Wat houdt deze control in?
Auditeisen en activiteiten op operationele systemen moeten worden gepland om verstoring te minimaliseren.
Waarom is dit verplicht?
Auditactiviteiten op productiesystemen kunnen leiden tot uitval als ze niet zorgvuldig worden gepland.
Praktische implementatie
- Plan audits buiten piekuren
- Beperk audittoegang tot alleen-lezen waar mogelijk
- Documenteer en beveilig auditbevindingen
- Leg vast welke systemen zijn geauditeerd
Aandachtspunten voor de overheid
ENSIA-audits en DigiD-assessments vereisen specifieke toegang; beschrijf dit in het auditbeleid.
Relatie met andere controls
Gerelateerd aan 8.15 (logging) en 5.35 (onafhankelijke beoordeling).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je plant auditeisen en -activiteiten op operationele systemen zo dat verstoring wordt geminimaliseerd. Auditactiviteiten op productiesystemen kunnen tot uitval leiden als ze niet zorgvuldig worden gepland. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. ENSIA-audits en DigiD-assessments vereisen specifieke toegang; beschrijf dit in het auditbeleid.
Passende maatregelen
4 basismaatregelen.
- ›Plan audits buiten piekuren om verstoring te minimaliseren.
- ›Beperk audittoegang tot alleen-lezen waar mogelijk.
- ›Documenteer en beveilig auditbevindingen en leg vast welke systemen zijn geauditeerd.
- ›Beschrijf de specifieke toegang voor ENSIA-audits en DigiD-assessments in het auditbeleid.
Bewijs dat je kunt verzamelen
- ›Auditbeleid met planning, toegang en ENSIA/DigiD-bepalingen
- ›Bewijs van alleen-lezen audittoegang waar mogelijk
- ›Beveiligde auditbevindingen en overzicht van geauditeerde systemen
- ›Planning van audits buiten piekuren
Wat je bij een audit moet kunnen aantonen
- ›Dat audits gepland worden om verstoring te minimaliseren
- ›Dat audittoegang beperkt is (alleen-lezen waar mogelijk)
- ›Dat auditbevindingen beveiligd worden vastgelegd
- ›Dat ENSIA/DigiD-toegang is beschreven
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is auditplanning (buiten piek, alleen-lezen) belegd?
- ›Is beveiliging van bevindingen bepaald?
- ›Is ENSIA/DigiD-toegang in het beleid beschreven?
- ›Worden audits zorgvuldig gepland?
- ›Is audittoegang beperkt?
- ›Zijn bevindingen beveiligd vastgelegd?
- ›Blijft auditverstoring geminimaliseerd?
- ›Wordt toegang consequent beperkt?
- ›Wordt vastgelegd welke systemen zijn geauditeerd?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.