12   Verwerving, ontwikkeling en onderhoud van informatiesystemen

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
De ontwikkeling van de informatievoorziening brengt een combinatie met zich mee van aanschaf van producten, aanpassingen aan de specifieke situatie en invoeren van procedures.
Bij de aanschaf, ontwikkeling en het onderhoud van informatiesystemen moet informatiebeveiliging in twee opzichten in acht worden genomen. Functionele eisen die informatiebeveiliging stelt, moeten worden meegenomen in het ontwerp en de ontwikkeling van informatiesystemen. Daarnaast moeten voor een veilig informatiesysteem ook de processen van ontwikkeling en onderhoud zelf voldoende worden beveiligd. Bij buitengebruikstelling van informatiesystemen moeten maatregelen worden getroffen zoals aangegeven in hoofdstuk 9 en 10.
Risicoanalyse en risicomanagement worden geïntegreerd tijdens de ontwikkeling en het onderhoud van informatiesystemen om tijdig, regelmatig en adequaat de beveiligingsbehoefte te analyseren en de maatregelen te bepalen om hieraan te voldoen.

12.1   Beveiligingseisen voor informatiesystemen

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Bewerkstelligen dat beveiliging integraal deel uitmaakt van informatiesystemen.

12.1.1   Analyse en specificatie van beveiligingseisen

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
In bedrijfseisen voor nieuwe informatiesystemen of uitbreidingen van bestaande informatiesystemen behoren ook eisen voor beveiligingsmaatregelen te worden opgenomen.
Aandachtspunten en aanbevelingen voor implementatie
Let op dat de eisen voor beveiligingsmaatregelen aangeven welke geautomatiseerde beheersmaatregelen in het systeem zijn ingebouwd, en wat de benodigde ondersteunende handmatige beheersmaatregelen zijn. Maak vergelijkbare afwegingen bij het beoordelen van programmatuur die is ontwikkeld of aangeschaft voor bedrijfstoepassingen.
Zorg ervoor dat goedkeuringen in zorgprocessen, waar dat nodig is, worden gekoppeld aan verschillende rollen en afgedwongen door applicatiefuncties in het informatiesysteem.
Bewaak dat beveiligingseisen en -maatregelen een afspiegeling zijn van de waarde van de informatie (zie ook 7.2) voor het bedrijf en de mogelijke schade voor het bedrijf als gevolg van het falen of het ontbreken van beveiliging.
Zorg ervoor dat systeemeisen voor informatiebeveiliging en de processen voor het implementeren van de beveiliging al in een vroeg stadium in informatiesysteemprojecten worden geïntegreerd. Het is beduidend goedkoper beveiligingsmaatregelen tijdens de ontwerpfase te implementeren en te onderhouden dan tijdens of na de implementatie.
Zorg ervoor dat indien producten worden aangeschaft een formeel test- en inkoopproces wordt gevolgd. Neem in de contracten met de leverancier de vastgestelde beveiligingseisen op. Heroverweeg, waar de beveiligingsfunctionaliteit in een voorgesteld product niet voldoet aan de gestelde eis, het geïntroduceerde risico en de daarmee verbonden beheersmaatregelen alvorens het product aan te schaffen. Voer een aanvullende risicobeoordeling uit indien extra functionaliteit wordt geleverd die een beveiligingsrisico met zich mee kan brengen, om vast te stellen welke beheersmaatregelen nodig zijn om het risico tot een aanvaardbaar niveau te beperken en beoordeel op grond daarvan of er voordeel te behalen is uit de extra functionaliteit.
De beveiligingseisen voor informatiesystemen zijn bedoeld om voldoende beschikbaarheid, integriteit en vertrouwelijkheid van gegevens te waarborgen. Voor gegevens die nodig zijn voor het zorgproces kan een risicoafweging leiden tot prioriteit voor beschikbaarheid en integriteit. De vertrouwelijkheid mag niet worden geschonden, maar de maatregelen die met het oog op het handhaven van de vertrouwelijkheid worden getroffen, kunnen ook weer niet zo rigide zijn dat daardoor de beschikbaarheid in gevaar zou komen. Ontwerp daarom vertrouwelijkheidsmaatregelen en afscherming voor zorgtoepassingen zodanig dat de vereiste beschikbaarheid altijd wordt gewaarborgd. Daaruit volgen dan weer eisen voor bijbehorende controlemaatregelen.
Overige informatie
Indien dit geschikt wordt geacht, kan de directie, bijvoorbeeld uit kostenoverwegingen, gebruikmaken van producten die onafhankelijk zijn beoordeeld en gecertificeerd. Nadere informatie over de beoordelingscriteria voor IT-beveiligingsproducten is te vinden in ISO/IEC 15408 of, waar van toepassing, in andere beoordelings- of certificatienormen.
ISO/IEC 27005 geeft aanbevelingen voor de toepassing van risicomanagementprocessen voor het vaststellen van eisen voor beveiligingsmaatregelen.

12.2   Correcte verwerking in toepassingen

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Voorkomen van fouten, verlies, onbevoegde modificatie of misbruik van informatie in toepassingen.

12.2.1   Validatie van invoergegevens

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Gegevens die worden ingevoerd in toepassingen behoren te worden gevalideerd om te bewerkstelligen dat deze gegevens juist en geschikt zijn.
Informatiesystemen die patiëntgegevens verwerken moeten alle patiëntgegevens gecontroleerd van de juiste patiëntidentificatie voorzien.
Aandachtspunten en aanbevelingen voor implementatie
Voer controles uit op de invoer van orders, vaste gegevens (bijvoorbeeld namen en adressen, dossiergegevens, BSN van patiënten) en parametertabellen (bijvoorbeeld diagnostische codes, declaratiecodes, koppelingen, medicatiekengegevens).
Overweeg de volgende richtlijnen:
  • a) tweevoudige invoer of andere vormen van invoercontroles, zoals grenswaarde controles of limietvelden voor bepaalde series invoergegevens, om de volgende fouten te ontdekken:
    • 1) waarden die buiten het geldige bereik vallen;
    • 2) ongeldige tekens in invoervelden;
    • 3) ontbrekende of onvolledige gegevens;
    • 4) overschrijding van boven- en ondergrenzen voor gegevensvolumes;
    • 5) ongeautoriseerde of inconsistente beheersgegevens;
  • b) periodieke beoordeling van de inhoud van sleutelvelden of gegevensbestanden om hun geldigheid en integriteit te bevestigen;
  • c) controle van papieren invoerdocumenten op ongeautoriseerde wijzigingen (voor alle wijzigingen in invoerdocumenten is toestemming nodig);
  • d) procedures voor het reageren op fouten bij geldigheidscontrole;
  • e) procedures voor het testen van de plausibiliteit van invoergegevens;
  • f) definiëren van verantwoordelijkheden van al het personeel dat betrokken is bij het gegevensinvoerproces;
  • g) aanmaken van een logbestand van de activiteiten die tijdens het gegevensinvoerproces plaatsvinden (zie 10.10.1);
  • h) patiëntgegevens die aanvankelijk niet met de juiste identificatie zijn vastgelegd met extra zorg koppelen aan de juiste patiëntidentificatie.
Overige informatie
Het automatisch onderzoeken en valideren van invoergegevens kan, waar van toepassing, worden overwogen als middel om de kans op fouten te verminderen en om standaardaanvallen, waaronder ‘buffer overflow’ en het tussenvoegen van programmaregels, te verhinderen.

12.2.2   Beheersing van interne gegevensverwerking

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren validatiecontroles te worden opgenomen in toepassingen om eventueel corrumperen van informatie door verwerkingsfouten of opzettelijke handelingen te ontdekken.
Aandachtspunten en aanbevelingen voor implementatie
Zorg ervoor dat ontwerp en de implementatie van toepassingen waarborgen dat de risico’s van verwerkingsfouten die tot verlies van integriteit leiden worden geminimaliseerd. Let met name op:
  • a) het gebruik van de functies ‘Toevoegen’, ‘Wijzigen’ en ‘Verwijderen’, om wijzigingen in gegevens aan te brengen;
  • b) procedures om te voorkomen dat programma's in de verkeerde volgorde worden uitgevoerd of doorgaan na een fout in de voorafgaande verwerking (zie ook 10.1.1);
  • c) het gebruik van geschikte programma's om fouten te herstellen, om een correcte gegevensverwerking te waarborgen;
  • d) bescherming tegen aanvallen die gebruik maken van buffer ‘overruns’/’overflows’.
    Gebruik een passende controlelijst, documenteer activiteiten en bewaar de resultaten veilig. Voorbeelden van controles die kunnen worden uitgevoerd zijn de volgende:
  • e) sessie- of batchcontroles, om bestandstotalen na transactie-updates met elkaar te vergelijken;
  • f) balanscontroles, om te controleren of de startgegevens overeenkomen met eerdere eindgegevens, zoals:
    • 1) controle op consistente gegevensverwerking;
    • 2) controle op totalen van bestandsupdates;
    • 3) onderlinge controle van programma's;
  • g) validatie van door het systeem gegenereerde invoergegevens (zie 12.2.1);
  • h) controle op de integriteit, authenticiteit of enig ander beveiligingskenmerk van gegevens of programmatuur die wordt gedownload of geüpload tussen centrale en decentrale computers;
  • i) ‘hash’-totalen van records en bestanden;
  • j) controles om te waarborgen dat toepassingsprogramma's op het juiste moment worden uitgevoerd;
  • k) controles om te waarborgen dat programma's in de juiste volgorde worden uitgevoerd en worden afgesloten in geval van een fout, en dat verdere verwerking wordt onderbroken totdat het probleem is opgelost;
  • l) aanmaken van een logbestand van de activiteiten die tijdens de verwerking plaatsvinden (zie 10.10.1).
Overige informatie
Gegevens die juist zijn ingevoerd kunnen worden gecorrumpeerd door apparatuurfouten, door verwerkingsfouten of door opzettelijk handelen. Er zijn procedurecontroles nodig om overdrachtsfouten en handmatige verwerkingsfouten te ondervangen (administratieve organisatie en interne controle).
De vereiste geldigheidscontroles hangen af van het soort toepassing en de invloed die de gecorrumpeerde gegevens op de bedrijfsvoering hebben.
Voor validatie van informatiesystemen wordt hier verwezen naar GAMP5 [23].

12.2.3   Integriteit van berichten

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren eisen te worden vastgesteld, en geschikte beheersmaatregelen te worden vastgesteld en geïmplementeerd, voor het bewerkstelligen van authenticiteit en het beschermen van integriteit van berichten in toepassingen.
Aandachtspunten en aanbevelingen voor implementatie
Voer beoordeling van de beveiligingsrisico’s uit om de volledigheid van berichten vast te stellen en om vast te stellen wat de meest geschikte implementatiemethode is.
Authenticatie van berichten is nodig voor toepassingen waarbij bescherming van de inhoud van berichten van essentieel belang is, zoals bij berichten die worden opgenomen in elektronische patiëntdossiers, administratieve patiëntensystemen en laboratoriumsystemen met gegevens over gezondheid van personen.
Overige informatie
Gebruik van certificaten in combinatie met cryptografische technieken (zie 12.3) vormen een geschikt middel om berichtinhoud en de verzender te authenticeren. Authenticatie van berichten is, in tegenstelling tot cryptografie, niet bedoeld om de inhoud van een bericht te beveiligen tegen ongeautoriseerde openbaarmaking.

12.2.4   Validatie van uitvoergegevens

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Gegevensuitvoer uit een toepassing behoort te worden gevalideerd, om te bewerkstelligen dat de verwerking van opgeslagen gegevens op de juiste manier plaatsvindt en geschikt is gezien de omstandigheden.
Informatiesystemen behoren bij het presenteren van patiëntgegevens altijd voldoende identificerende gegevens te tonen om het de zorgverlener mogelijk te maken vast te stellen dat de patiëntgegevens de patiënt in kwestie betreffen.
Aandachtspunten en aanbevelingen voor implementatie
Validatie van uitvoergegevens kan de volgende punten omvatten:
  • a) plausibiliteitcontroles, om te toetsen of de uitvoergegevens aanvaardbaar zijn;
  • b) controletellingen, om te waarborgen dat alle gegevens verwerkt zijn;
  • c) verschaffen van voldoende informatie voor een lezer of te gebruiken verwerkingssysteem om de juistheid, volledigheid, nauwkeurigheid en classificatie van de informatie te bepalen;
  • d) procedures voor het reageren op de uitkomsten van de validatie van uitvoergegevens;
  • e) definiëren van verantwoordelijkheden van al het personeel dat betrokken is bij het proces van gegevensuitvoer;
  • f) aanmaken van een logbestand van de activiteiten die tijdens de validatie van uitvoergegevens plaatsvinden.
Maak bij informatiesystemen voor het verwerken van patiëntgegevens controle mogelijk op de volledigheid van een afdruk (bijvoorbeeld: “pagina 3 van 5”).
Overige informatie
Bij het ontwerp van de meeste systemen en toepassingen wordt uitgegaan van de veronderstelling dat de uitvoer altijd correct zal zijn nadat de juiste validatie, verificatie en tests zijn uitgevoerd. Dit is echter niet altijd het geval; d.w.z. systemen die getest zijn kunnen onder bepaalde omstandigheden nog altijd onjuiste uitvoer produceren.
Voor validatie van informatiesystemen wordt hier verwezen naar GAMP5 [23].

12.3   Cryptografische beheersmaatregelen

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Beschermen van de vertrouwelijkheid, authenticiteit of integriteit van informatie met behulp van cryptografische middelen.

12.3.1   Beleid voor het gebruik van cryptografische beheersmaatregelen

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoort beleid te worden ontwikkeld en geïmplementeerd voor het gebruik van cryptografische beheersmaatregelen voor de bescherming van informatie.
Aandachtspunten en aanbevelingen voor implementatie
Houd bij het ontwikkelen van een cryptografiebeleid rekening met de volgende punten:
  • a) de benadering van de directie ten aanzien van het gebruik van cryptografische beheersmaatregelen in de organisatie, waaronder algemene uitgangspunten voor het beschermen van de bedrijfsinformatie (zie ook 5.1.1);
  • b) stel het vereiste beschermingsniveau vast aan de hand van een risicobeoordeling en bepaal daarop het type, de kracht en de kwaliteit van het vereiste encryptie-algoritme;
  • c) het gebruik van encryptie voor de bescherming van gevoelige informatie die wordt getransporteerd door draagbare of verwijderbare media, apparatuur of verzonden over communicatielijnen;
  • d) de aanpak van sleutelbeheer, waaronder methodes met betrekking tot de bescherming van cryptografische sleutels en het herstellen van versleutelde informatie in het geval sleutels verloren, gecompromitteerd of beschadigd zijn;
  • e) rollen en verantwoordelijkheden, bijvoorbeeld wie is verantwoordelijk voor:
    • 1) de implementatie van het beleid;
    • 2) het sleutelbeheer, waaronder het genereren van sleutels (zie ook 12.3.2);
  • f) de normen die voor een doeltreffende implementatie in de gehele organisatie moeten worden toegepast (welke oplossing wordt gebruikt voor welk bedrijfsproces);
  • g) de gevolgen van het gebruik van versleutelde informatie op de beheersmaatregelen die steunen op inspectie van de inhoud (bijvoorbeeld virusdetectie).
Besteed bij het implementeren van het cryptografiebeleid van de organisatie aandacht aan voorschriften en nationale regelgeving die in verschillende delen van de wereld bestaan ten aanzien van het gebruik van cryptografische technieken, en aan aspecten van grensoverschrijdende informatiestromen met versleutelde gegevens (zie ook 15.1.6).
Cryptografische beveiligingsmaatregelen kunnen worden gebruikt voor het realiseren van verschillende beveiligingsdoelstellingen, bijvoorbeeld:
  • a) vertrouwelijkheid: gebruik van versleuteling van informatie om gevoelige of kritische informatie te beschermen, bij opslag of tijdens verzending;
  • b) integriteit/authenticiteit: gebruik van elektronische handtekeningen of authenticatiecodes voor berichten om de authenticiteit en integriteit van opgeslagen of verzonden gevoelige of kritische informatie te beschermen;
  • c) onweerlegbaarheid: gebruik van cryptografische technieken om bewijs te verkrijgen van het al dan niet plaatsvinden van een gebeurtenis of handeling.
Aanwijzingen voor het uitgeven en gebruiken van digitale certificaten in de gezondheidszorg en voor het sleutelbeheer zijn te vinden in ISO 17090-3 [28].
Overige informatie
Laat het nemen van een besluit over het passend zijn van een cryptografische oplossing onderdeel zijn van het bredere proces van risicobeoordeling en de keuze van beheersmaatregelen. Deze beoordeling kan vervolgens worden gebruikt om te bepalen of een cryptografische maatregel passend is, welk type maatregel behoort te worden toegepast en voor welk doel en bedrijfsproces.
Er is een beleid voor het gebruik van cryptografische beheersmaatregelen nodig om de voordelen te maximaliseren en de risico's van het gebruik van cryptografische beheersmaatregelen zo klein mogelijk te maken en om niet passend of onjuist gebruik te vermijden. Houd bij gebruik van elektronische handtekeningen rekening met bestaande relevante wetgeving, in het bijzonder wetgeving waarin de omstandigheden zijn vastgelegd waarin een elektronische handtekening rechtsgeldig is (zie 15.1).
Win deskundig advies in om het juiste beschermingsniveau te bepalen, geschikte specificaties te definiëren die de benodigde mate van bescherming kunnen bieden en het implementeren van een betrouwbaar sleutelbeheersysteem ondersteunen (zie ook 12.3.2).
ISO/IEC JTC1 SC27 heeft verschillende normen opgesteld op het terrein van cryptografische beveiligingsmaatregelen. Meer informatie is te vinden in IEEE P1363 en de OECD ‘Guidelines for Cryptography Policy’.
In situaties waar mogelijk geschillen over het al dan niet plaatsvinden van een gebeurtenis of handeling kunnen ontstaan, bijvoorbeeld een geschil over het gebruik van een elektronische handtekening in een medicatieopdracht, is het zinvol gebruik te maken van een dienst die de onweerlegbaarheid kan aantonen. Dit kan bewijsmateriaal opleveren ter onderbouwing van de vraag of en onder wiens verantwoordelijkheid een bepaalde gebeurtenis of handeling heeft plaatsgevonden.

12.3.2   Sleutelbeheer

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoort sleutelbeheer te zijn vastgesteld ter ondersteuning van het gebruik van cryptografische technieken binnen de organisatie.
Aandachtspunten en aanbevelingen voor implementatie
Bescherm alle cryptografische sleutels tegen wijziging, verlies en vernietiging. Bescherm geheime en persoonlijke sleutels bovendien tegen onbevoegde openbaarmaking. Kies voor fysieke bescherming voor apparatuur die wordt gebruikt voor het genereren, opslaan en archiveren van sleutels.
Baseer het sleutelbeheersysteem op een overeengekomen geheel van normen, procedures en beveiligingsmethoden voor:
  • a) het genereren van sleutels voor verschillende cryptografische systemen en toepassingen;
  • b) het genereren en verkrijgen van certificaten voor openbare sleutels;
  • c) het verspreiden van sleutels onder de beoogde gebruikers, waaronder een instructie hoe de sleutels na ontvangst behoort te worden geactiveerd;
  • d) het opslaan van sleutels, waaronder een instructie hoe bevoegde gebruikers toegang tot sleutels krijgen;
  • e) het wijzigen of actualiseren van sleutels, waaronder voorschriften met betrekking tot het moment waarop sleutels behoren te worden gewijzigd en hoe dit gebeurt;
  • f) het omgaan met sleutels die gecompromitteerd zijn;
  • g) het herroepen van sleutels, met inbegrip van instructies hoe sleutels behoren te worden ingetrokken of gedeactiveerd, bijvoorbeeld wanneer sleutels gecompromitteerd zijn of wanneer een gebruiker de organisatie verlaat (in welk geval de sleutels ook behoren te worden gearchiveerd);
  • h) het herstellen van sleutels die verloren of gecorrumpeerde zijn als onderdeel van het beheerproces van bedrijfscontinuïteit, bijvoorbeeld voor het herstellen van versleutelde informatie;
  • i) het archiveren van sleutels, bijvoorbeeld voor informatie die is gearchiveerd of waarvan een back-up is gemaakt;
  • j) het vernietigen van sleutels;
  • k) het registreren in een logbestand en beoordelen van activiteiten die verband houden met sleutelbeheer.
Stel, om de kans te verminderen dat sleutels worden gecompromitteerd, vaste data vast voor activering en de-activering van sleutels, zodat de sleutels slechts gedurende een beperkte periode kunnen worden gebruikt. Laat deze periode afhangen van de omstandigheden waaronder de cryptografische beheersmaatregel wordt gebruikt en van het ingeschatte risico.
Besteed naast het zorgvuldig beheren van geheime en persoonlijke sleutels, ook aandacht aan de authenticiteit van openbare sleutels. Dit authenticatieproces kan worden uitgevoerd met behulp van certificaten voor openbare sleutels die gewoonlijk worden uitgegeven door een erkende certificerende instantie die beschikt over geschikte beheersmaatregelen en procedures om de vereiste mate van betrouwbaarheid te kunnen leveren.
Leg in serviceniveauovereenkomsten of contracten met externe leveranciers van cryptografische diensten, bijvoorbeeld met een certificerende instantie, aspecten als aansprakelijkheid, betrouwbaarheid van diensten en responstijden voor het leveren van diensten vast (zie 6.2.3).
Overige informatie
Het beheer van cryptografische sleutels is van essentieel belang voor het doeltreffende gebruik van cryptografische technieken. ISO/IEC 11770 geeft nadere informatie over sleutelbeheer. De twee typen cryptografische technieken zijn:
  • a) geheimesleuteltechnieken, waarbij twee of meer partijen dezelfde sleutel gebruiken en deze sleutel zowel voor het versleutelen als het ontcijferen van de gegevens wordt gebruikt. Deze sleutel moet geheim worden gehouden, aangezien iedereen die toegang heeft tot de sleutel in staat is alle informatie die met deze sleutel worden versleuteld te ontcijferen, of met gebruik van de sleutel ongeautoriseerde gegevens in te voeren;
  • b) openbaresleuteltechnieken, waarbij elke gebruiker over een sleutelpaar beschikt, namelijk een openbare sleutel (die aan iedereen bekend kan worden gemaakt) en een persoonlijke sleutel (die geheim moet worden gehouden); openbaresleuteltechnieken kunnen worden gebruikt voor encryptie en om elektronische handtekeningen te maken (zie ook ISO/IEC 9796 en ISO/IEC 14888).
Het risico bestaat dat een elektronische handtekening wordt vervalst door de openbare sleutel van een gebruiker te vervangen. Dit probleem wordt ondervangen door het gebruik van een certificaat voor een openbare sleutel.
Cryptografische technieken kunnen ook worden gebruikt voor het beschermen van cryptografische sleutels. Het kan nuttig zijn procedures op te stellen voor het omgaan met wettelijke verzoeken voor toegang tot cryptografische sleutels, het kan bijvoorbeeld nodig zijn versleutelde informatie in ontcijferde vorm beschikbaar moet worden gesteld als bewijs in een rechtszaak.

12.4   Beveiliging van systeembestanden

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Beveiliging van systeembestanden bewerkstelligen.

12.4.1   Beheersing van operationele programmatuur

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoren procedures te zijn vastgesteld om de installatie van programmatuur op productiesystemen te beheersen.
Aandachtspunten en aanbevelingen voor implementatie
Houd om het risico van corrumperen van productiesystemen tot een minimum te beperken rekening met de volgende richtlijnen om wijzigingen te beheersen:
  • a) het actualiseren van productieprogrammatuur, -toepassingen en -programmabibliotheken wordt uitsluitend uitgevoerd door ervaren beheerders na goedkeuring door de directie;
  • b) op productiesystemen is alleen goedgekeurde uitvoerbare programmatuur aanwezig, geen ontwikkelcode of compilers;
  • c) toepassingen en besturingssysteemprogrammatuur worden geïmplementeerd na uitgebreide en succesvolle tests (zie ook 10.3.2 en 12.4.2); er wordt o.a. getest op bruikbaarheid, beveiliging, effecten op andere systemen en gebruikersvriendelijkheid en de tests worden op gescheiden systemen uitgevoerd (zie ook 10.1.4); er wordt gewaarborgd dat alle bijbehorende broncodebibliotheken zijn geactualiseerd;
  • d) er wordt een configuratiebeheerssysteem gebruikt om alle geïnstalleerde programmatuur en de systeemdocumentatie te kunnen beheersen;
  • e) er is een terugdraaistrategie vastgesteld voordat wijzigingen worden doorgevoerd;
  • f) er wordt een auditlogbestand bijgehouden van elke update van besturingsprogrammabibliotheken;
  • g) eerdere versies van de toepassingsprogrammatuur worden bewaard voor noodgevallen;
  • h) oude versies van programmatuur worden gearchiveerd, samen met alle vereiste informatie en parameters, procedures, configuratiedetails en ondersteunende programmatuur zolang er gegevens in het archief worden bewaard.
Programmatuur van leveranciers die in productiesystemen wordt gebruikt, worden op een niveau onderhouden dat door de leverancier wordt ondersteund. Na verloop van tijd zullen programmatuurleveranciers de ondersteuning van oudere versies van de programmatuur staken. De organisatie onderkent de risico’s van het vertrouwen op niet-ondersteunde programmatuur.
Bij ieder besluit over upgraden naar een nieuwe programmatuurversie wordt rekening gehouden met de bedrijfseisen voor de wijziging en de veiligheid van deze versie, d.w.z. de invoering van nieuwe beveiligingsfunctionaliteit of het aantal en de ernst van de beveiligingsproblemen die met deze versie samenhangen. Eventueel worden herstelprogramma's (patches) in de programmatuur geïmplementeerd om zwakke plekken in de beveiliging te verhelpen of te verminderen (zie ook 12.6.1).
Geef leveranciers alleen fysieke of logische toegang wanneer dit noodzakelijk is voor ondersteunende diensten en met toestemming van de directie. Controleer de activiteiten van de leverancier, in het bijzonder bij onderhoud op afstand.
Computerprogrammatuur kan soms steunen op extern geleverde programmatuur en modules: monitor en controleer in deze gevallen om onbevoegde wijzigingen te vermijden, waardoor zwakke plekken in de beveiliging zouden kunnen ontstaan.
Overige informatie
Actualiseer besturingssystemen alleen wanneer daar een dwingende reden voor is, bijvoorbeeld indien de huidige versie van het besturingssysteem niet langer de bedrijfseisen ondersteunt. Het enkele feit dat een nieuwe versie van het besturingssysteem beschikbaar is, is geen reden voor installeren van een upgrade. Nieuwe versies van besturingssystemen kunnen minder veilig zijn, minder stabiel en minder begrijpelijk dan de huidige systemen.

12.4.2   Bescherming van testdata

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Testgegevens behoren zorgvuldig te worden gekozen, beschermd en beheerst.
Er behoren geen tot personen herleidbare patiëntgegevens te worden gebruikt als testgegevens.
Aandachtspunten en aanbevelingen voor implementatie
Vermijd gebruik van operationele databases met persoonlijke informatie of enige andere gevoelige informatie voor testdoeleinden. Verwijder, indien persoonlijke of anderszins gevoelige informatie wordt gebruikt voor testdoeleinden, eerst alle gevoelige details en inhoud, of pas deze aan zodat het onherkenbaar is. Overweeg de volgende richtlijnen ter bescherming van operationele gegevens als deze worden gebruikt bij testen:
  • a) gebruik de toegangsprocedures die voor besturingssystemen worden gebruikt ook voor testsystemen;
  • b) zorg ervoor dat telkens wanneer besturingsinformatie naar een testsysteem wordt gekopieerd, per keer autorisatie wordt verkregen;
  • c) wis besturingsgegevens onmiddellijk na beëindiging van de proef van het testsysteem;
  • d) registreer kopiëren en gebruik van besturingsgegevens om in een ‘audit trail’ te voorzien.
Overige informatie
Systeem- en acceptatietesten vereisen doorgaans grote hoeveelheden testgegevens, die een zo getrouw mogelijke weergave moeten zijn van operationele gegevens.
Bij een acceptatietest kan het in uitzonderlijke gevallen noodzakelijk zijn de originele patiëntgegevens te gebruiken. Aanvullende maatregelen zijn dan nodig.

12.4.3   Toegangsbeheersing voor broncode van programmatuur

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
De toegang tot broncode van programmatuur behoort te worden beperkt.
Aandachtspunten en aanbevelingen voor implementatie
Beheers de toegang tot programmabroncode en daarmee verbonden zaken (zoals ontwerpen, specificaties, verificatie- en validatieplannen) nauwgezet om het invoeren van onbevoegde functionaliteit te voorkomen en onbedoelde wijzigingen te vermijden. Dit kan voor programmabroncode worden bereikt met behulp van een beheerste centrale opslag van de code, bij voorkeur in broncodebibliotheken. Overweeg de volgende richtlijnen (zie ook hoofdstuk 11) om de toegang tot deze broncodebibliotheken te beheersen en zo de kans op corrumperen van computerprogramma’s te verminderen:
  • a) sla waar mogelijk broncodebibliotheken niet op in productiesystemen;
  • b) beheer de programmabroncode en de broncodebibliotheken volgens vastgestelde procedures;
  • c) verleen onderhoudspersoneel niet onbeperkt toegang tot broncodebibliotheken;
  • d) voer het actualiseren van broncodebibliotheken en daarmee verbonden zaken, en het afgeven van broncodes aan programmeurs alleen uit nadat daarvoor de juiste autorisatie is ontvangen;
  • e) bewaar programma-uitdraaien in een beveiligde omgeving (zie 10.7.4);
  • f) houd een auditlogbestand bij waarin elke toegang tot broncodebibliotheken wordt geregistreerd;
  • g) onderwerp het bijhouden en kopiëren van broncodebibliotheken aan strikte procedures voor wijzigingsbeheer (zie 12.5.1).
Overige informatie
Programmabroncode is door programmeurs geschreven code, die wordt gecompileerd (en gekoppeld) om uitvoerbare code te verkrijgen. Bepaalde programmeertalen maken geen formeel onderscheid tussen broncode en uitvoerbare code omdat de uitvoerbare code wordt aangemaakt op het moment van activering.
De normen ISO 10007 en ISO/IEC 12207 geven nadere informatie over configuratiebeheer en beheer van de levenscyclus van programmatuur.

12.5   Beveiliging bij ontwikkelings- en ondersteuningsprocessen

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Beveiliging van toepassingsprogrammatuur en -informatie handhaven.

12.5.1   Procedures voor wijzigingsbeheer

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
De implementatie van wijzigingen behoort te worden beheerst door middel van formele procedures voor wijzigingsbeheer.
Aandachtspunten en aanbevelingen voor implementatie
Documenteer formele procedures voor wijzigingsbeheer en dwing deze af om de kans op corrumperen van informatiesystemen tot een minimum te beperken. Bewerkstellig dat het invoeren van nieuwe systemen en belangrijke wijzigingen in bestaande systemen een formeel proces volgt van documentatie, specificatie, testen, kwaliteitscontrole en beheerde implementatie.
Neem in dit proces een risicobeoordeling, een analyse van de gevolgen van wijzigingen en een specificatie van de benodigde beveiligingsmaatregelen op. Bewerkstellig dat dit proces ook waarborgt dat bestaande beveiligings- en beheersingsprocedures niet worden gecompromitteerd, dat ondersteunende programmeurs uitsluitend toegang wordt verleend tot die onderdelen van het systeem die ze voor hun werk nodig hebben en dat formele instemming en goedkeuring wordt verkregen voor alle wijzigingen.
Integreer waar mogelijk procedures voor wijzigingsbeheer voor toepassingsprogrammatuur en voor de operationele omgeving (zie ook 10.1.2). Zorg ervoor dat de wijzigingsprocedures de volgende punten omvatten:
  • a) bijhouden van een registratie van overeengekomen autorisatieniveaus;
  • b) waarborgen dat wijzigingen alleen worden doorgevoerd door bevoegde gebruikers;
  • c) beoordelen van beheersmaatregelen en integriteitsprocedures om te waarborgen dat deze niet door de wijzigingen gecompromitteerd worden;
  • d) identificatie van alle programmatuur, informatie, databases en apparatuur die wijziging behoeven;
  • e) vooraf verkrijgen van formele goedkeuring voor gedetailleerde voorstellen;
  • f) waarborgen dat bevoegde gebruikers de wijzigingen aanvaarden voordat ze worden geïmplementeerd;
  • g) waarborgen dat de systeemdocumentatie na elke wijziging wordt geactualiseerd en dat oude documentatie wordt gearchiveerd of verwijderd;
  • h) versiebeheer uitvoeren voor alle programmatuur-updates;
  • i) bijhouden van een ‘audit trail’ van alle wijzigingsaanvragen;
  • j) waarborgen dat de bedrijfsdocumentatie (zie 10.1.1) en gebruikersprocedures worden veranderd zover noodzakelijk om toepasbaar te blijven;
  • k) waarborgen dat de implementatie van wijzigingen op het juiste moment plaatsvindt en de betrokken bedrijfsprocessen niet verstoort.
Overige informatie
Wijzigingen in programmatuur kunnen invloed hebben op de bedrijfsomgeving.
Een goede procedure omvat het testen van nieuwe programmatuur in een omgeving die gescheiden is van zowel de productie- als de ontwikkelingsomgevingen (zie ook 10.1.4). Dit is een manier om de invoering van nieuwe programmatuur te beheersen en om extra bescherming te bieden voor besturingsinformatie die voor testdoeleinden worden gebruikt. Dit omvat ook herstelprogramma’s, service packs en andere updates Gebruik automatische updates niet op kritische systemen, omdat bepaalde updates er de oorzaak van kunnen zijn dat kritische toepassingen vastlopen (zie 12.6.1).

12.5.2   Technische beoordeling van toepassingen na wijzigingen in het besturingssysteem

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Bij wijzigingen in besturingssystemen behoren bedrijfskritische toepassingen te worden beoordeeld en getest om te bewerkstelligen dat er geen nadelige gevolgen zijn voor de activiteiten of beveiliging van de organisatie.
Aandachtspunten en aanbevelingen voor implementatie
Overweeg de volgende punten:
  • a) beoordelen van de toepassingbeheersmaatregelen en integriteitprocedures voor de toepassing om te waarborgen dat zij niet gecompromitteerd worden door de wijzigingen in het besturingssysteem;
  • b) waarborgen dat in het jaarlijkse onderhoudsplan en -budget rekening wordt gehouden met beoordeling en testen als gevolg van wijzigingen in het besturingssysteem;
  • c) waarborgen dat wijzigingen in het besturingssysteem tijdig worden aangekondigd, zodat de noodzakelijke tests en beoordelingen kunnen worden uitgevoerd voordat de wijzigingen worden geïmplementeerd;
  • d) waarborgen dat testplannen ontwikkeld worden of aanwezig zijn;
  • e) waarborgen dat de benodigde wijzigingen worden aangebracht in de bedrijfscontinuïteitsplannen (zie hoofdstuk 14).
Belast een speciale groep of persoon met de verantwoordelijkheid voor het controleren van zwakke plekken en van herstelprogramma’s (‘patches’) en reparaties (‘fixes’) (zie 12.6.1) van leveranciers.

12.5.3   Restricties op wijzigingen in programmatuurpakketten

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Wijzigingen in programmatuurpakketten behoren te worden ontmoedigd, te worden beperkt tot noodzakelijke wijzigingen, en alle wijzigingen behoren strikt te worden beheerst.
Aandachtspunten en aanbevelingen voor implementatie
Gebruik zover mogelijk en praktisch uitvoerbaar kant-en-klaar geleverde programmatuur ongewijzigd. Houd waar wijzigingen in deze programmatuur noodzakelijk zijn rekening met de volgende punten:
  • a) het risico dat ingebouwde beheersmaatregelen en integriteitprocessen gecompromitteerd raken;
  • b) verkrijgen van toestemming van de leverancier;
  • c) de mogelijkheid de gewenste wijzigingen te verkrijgen van de leverancier, in de vorm van standaard programma-updates;
  • d) de impact op de organisatie als deze verantwoordelijk wordt gehouden voor toekomstig onderhoud van de programmatuur als gevolg van wijzigingen.
Bewaar, indien wijzigingen noodzakelijk zijn, de oorspronkelijke programmatuur en breng de wijzigingen aan in een duidelijk gemarkeerde kopie. Voer een beheerproces in voor programmatuur-updates om te waarborgen dat de meest recente goedgekeurde herstelprogramma’s en updates van toepassingen voor alle goedgekeurde programmatuur zijn geïnstalleerd (zie 12.6.1). Test en documenteer alle wijzigingen, zodat ze indien nodig opnieuw kunnen worden aangebracht in toekomstige upgrades van de programmatuur. Laat indien vereist de testen valideren door een onafhankelijke beoordelingsinstantie.
Overige informatie
Een organisatie die wijzigingen laat aanbrengen blijft daarvoor wel verantwoordelijk.

12.5.4   Informatielekken

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoort te worden voorkomen dat informatielekken ontstaan.
Aandachtspunten en aanbevelingen voor implementatie
Overweeg, om het risico van lekken van informatie, bijvoorbeeld via het gebruik van geheime communicatiekanalen, zo gering mogelijk te maken, de volgende aspecten:
  • a) scannen van uitgaande media en communicatie op verborgen informatie;
  • b) maskeren en moduleren van het systeem- en communicatiegedrag om de waarschijnlijkheid dat een derde partij in staat is om informatie af te leiden uit dat gedrag, te verminderen;
  • c) gebruikmaken van systemen en programmatuur waaraan een hoge integriteit wordt toegeschreven, bijvoorbeeld het toepassen van geëvalueerde producten (zie ISO/IEC 15408);
  • d) regelmatig controleren van personeels- en systeemactiviteiten, waar dat onder de vigerende wet- en regelgeving is toegestaan;
  • e) controleren van het hulpbronnengebruik in computersystemen.
Overige informatie
Geheime communicatiekanalen zijn kanalen die niet zijn bedoeld voor het verwerken van informatiestromen, maar die desondanks kunnen bestaan in een systeem of netwerk. Zo zouden bijvoorbeeld bits in communicatieprotocolpakketten kunnen worden gemanipuleerd om te worden gebruikt als een verborgen signaleringsmethode. Het voorkomen van alle mogelijke geheime communicatiekanalen is gezien het inherente karakter ervan moeilijk, zo niet onmogelijk. De benutting van dergelijke kanalen wordt echter vaak in gang gezet door Trojaanse paarden (zie ook 10.4.1). Het nemen van maatregelen tegen Trojaanse paarden vermindert daarom het risico van gebruik van geheime communicatiekanalen.
Voorkomen van onbevoegde netwerktoegang ( 11.4), gecombineerd met beleid en procedures om misbruik van informatiediensten door personeel te ontmoedigen ( 15.1.5) helpt bij de bescherming tegen geheime communicatiekanalen.

12.5.5   Uitbestede ontwikkeling van programmatuur

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Bij uitbestede ontwikkeling van programmatuur behoort de organisatie maatregelen te treffen ter waarborging van de kwaliteit van de ontwikkelde programmatuur.
Aandachtspunten en aanbevelingen voor implementatie
Houd, indien ontwikkeling van programmatuur wordt uitbesteed, rekening met de volgende punten:
  • a) licentieovereenkomsten, eigendom van de broncode en intellectuele eigendomsrechten (zie 15.1.2);
  • b) certificatie van de kwaliteit en nauwkeurigheid van het uitgevoerde werk;
  • c) zorgen voor een borg in geval een derde partij in gebreke blijft;
  • d) toegangsrechten voor het uitvoeren van een audit op de kwaliteit en nauwkeurigheid van het uitgevoerde werk;
  • e) contractuele eisen voor de kwaliteit en beveiligingsfunctionaliteit van de broncode (o.a. escrow);
  • f) testen voorafgaand aan installatie, om eventuele kwaadaardige programmatuur te ontdekken.

12.6   Beheer van technische kwetsbaarheden

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Doelstelling: Risico's verminderen als gevolg van benutting van gepubliceerde technische kwetsbaarheden.

12.6.1   Beheersing van technische kwetsbaarheden

Notitie toevoegen
Annuleren
Document toevoegen

Toegestaan: documenten (PDF, Word en Excel) en afbeeldingen (.png, .gif en .jpg). De maximale grootte per bestand is 5 MB.

Annuleren
Beheersmaatregel
Er behoort tijdig informatie te worden verkregen over technische kwetsbaarheden van de gebruikte informatiesystemen. De mate waarin de organisatie blootstaat aan dergelijke kwetsbaarheden behoort te worden geëvalueerd en er behoren geschikte maatregelen te worden genomen voor behandeling van daarmee samenhangende risico's.
Aandachtspunten en aanbevelingen voor implementatie
Een actueel en volledig overzicht van bedrijfsmiddelen (zie 7.1) is een voorwaarde voor een doeltreffend beheer van technische kwetsbaarheid. Neem daarbij informatie op over de leverancier van programmatuur, versienummers, huidige gebruiksstatus (bijvoorbeeld welke programmatuur op welk systeem is geïnstalleerd) en de perso(o)n(en) in de organisatie verantwoordelijk voor de programmatuur.
Neem passende en tijdige acties als reactie op de identificatie van mogelijke technische kwetsbaarheden. Overweeg de volgende richtlijnen voor het opzetten van een doeltreffend beheerproces voor technische kwetsbaarheden:
  • a) definieer en leg op organisatieniveau rollen en verantwoordelijkheden vast met betrekking tot het beheer van technische kwetsbaarheid, waaronder controle van de risico’s, risicobeoordeling van de kwetsbaarheid, installeren van herstelprogrammatuur, nalopen van bedrijfsmiddelen en alle vereiste coördinatieverantwoordelijkheden;
  • b) stel voor programmatuur en andere technologie (op basis van het overzicht van bedrijfsmiddelen, zie 7.1.1) informatiebronnen vast om de relevante technische kwetsbaarheden te bepalen en het veiligheidsbewustzijn levend te houden; actualiseer deze informatiebronnen op basis van veranderingen in de inventarisatielijst of wanneer er nieuwe en nuttige hulpbronnen worden gevonden;
  • c) definieer een tijdpad waarbinnen moet worden gereageerd op aankondigingen van mogelijk relevante technische kwetsbaarheden;
  • d) stel, wanneer een mogelijk relevante technische kwetsbaarheid is vastgesteld, op organisatieniveau de bijbehorende risico’s vast en de acties die daarop moeten worden genomen; deze acties zouden kunnen bestaan uit het installeren van herstelprogramma's in kwetsbare systemen en/of nemen van andere beheersmaatregelen;
  • e) voer, afhankelijk van de urgentie waarmee een technische kwetsbaarheid moet worden aangepakt, de genomen handeling in het kader van de beheersmaatregelen voor het beheer van wijzigingen uit (zie 12.5.1) of volg de reactieprocedures voor informatiebeveiligingsincidenten (zie 13.2);
  • f) beoordeel, indien een herstelprogramma beschikbaar is, de risico’s die gepaard gaan met het installeren van het herstelprogramma ( weeg de risico’s die worden gelopen door de kwetsbaarheid af tegen het risico van installeren van het herstelprogramma);
  • g) test herstelprogramma’s en beoordeel ze voordat ze worden geïnstalleerd om te waarborgen dat ze doeltreffend zijn en geen ontoelaatbare neveneffecten met zich meebrengen; overweeg indien geen herstelprogramma beschikbaar is andere beheersmaatregelen, zoals:
    • 1) uitschakelen van diensten of mogelijkheden die betrekking hebben op de kwetsbaarheid;
    • 2) aanpassen of toevoegen van toegangsbeveiligingsmaatregelen, bijvoorbeeld firewalls, rond de netwerkgrenzen (zie 11.4.5);
    • 3) verhoogde controle om werkelijke aanvallen te ontdekken of te voorkomen;
    • 4) verhogen van het bewustzijn van de kwetsbaarheid;
  • h) houd een auditlog bij van alle procedures die worden ingezet;
  • i) controleer en beoordeel regelmatig het beheerproces van technische kwetsbaarheid om de doeltreffendheid en doelmatigheid ervan te waarborgen;
  • j) pak eerst systemen die veel risico lopen aan.
Overige informatie
Het goed functioneren van het beheerproces van technische kwetsbaarheid van een organisatie is van cruciaal belang voor veel organisaties en vergt daarom regelmatig controle. Een nauwkeurig overzicht van bedrijfsmiddelen is essentieel om te waarborgen dat mogelijk relevante technische kwetsbaarheden worden vastgesteld.
Het beheer van technische kwetsbaarheid kan worden beschouwd als een subfunctie van het beheer van wijzigingen en kan als zodanig gebruik maken van de processen en procedures voor het beheer van wijzigingen (zie 10.1.2 en 12.5.1).
Leveranciers staan vaak onder aanzienlijke druk om herstelprogramma’s zo snel mogelijk beschikbaar te stellen. Een herstelprogramma kan daarom het probleem minder adequaat aanpakken en kan negatieve neveneffecten hebben. In bepaalde gevallen kan het verwijderen van een herstelprogramma ook minder gemakkelijk verlopen dan het installeren ervan.
Indien goed testen van herstelprogramma’s niet mogelijk is, bijvoorbeeld vanwege de kosten of te weinig andere middelen, kan een uitstel van de installatie worden overwogen om de ermee gepaard gaande risico’s te beoordelen op basis van de ervaringen die door andere gebruikers worden gerapporteerd.