Informatiebeveiliging integreren in projecten

7. Fysieke beveiliging en beveiliging van de projectomgeving 43
7.1 Fysieke beveiligingszone 43
7.2 Fysieke toegangsbeveiliging 43
7.3 Projectkantoren, -ruimten en -faciliteiten beveiligen 44
7.4 Projectbescherming tegen bedreigingen van buitenaf 44
7.5 Projectmatig werken in beveiligde gebieden 44
7.6 Laad- en loslocatie als projectbeheersing 44
7.7 Plaatsing en bescherming van projectapparatuur 44
7.8 Nutsvoorzieningen bij projecten 44
7.9 Beveiliging van projectbekabeling 44
7.10 Onderhoud van projectapparatuur 44
7.11 Verwijdering van projectmiddelen 45
7.12 Beveiliging van projectapparatuur en projectmiddelen buiten het terrein 45
7.13 Veilig verwijderen of hergebruiken van projectapparatuur 45
7.14 Onbeheerde projectapparatuur 45
7.15 Clean desk- en clean screen-projectbeleid 46

8. Beveiliging projectuitvoering 47
8.1 Project gedocumenteerde bedieningsprocedures 47
8.2 Project wijzigingsbeheer 47
8.3 Projectcapaciteitsbeheer en verwachting 48
8.4 Scheiding van OTAP 48
8.5 Projectbescherming tegen malware 49
8.6 Projectbeheersingsmaatregelen tegen malware 49
8.7 Back-up van projectinformatie 49
8.8 Projectgebeurtenissen registreren 49
8.9 Beschermen van projectinformatie in logbestanden 50
8.10 Projectlogbestanden van beheerders en operators 50
8.11 Projectkloksynchronisatie 50
8.12 Projectbeheersing operationele software 50
8.13 Beheer projecttechnische kwetsbaarheden 50
8.14 Beperkingen voor het projectmatig installeren van software 51
8.15 Beheersmaatregelen betreffende audits van informatiesystemen 51

9. Project communicatie-beveiliging 53
9.1 Projectbeheersmaatregelen voor netwerken 53
9.2 Projectbeveiliging van netwerkdiensten 53
9.3 Projectinformatietransport 54
9.4 Projectovereenkomsten over informatietransport 54
9.5 Elektronische projectberichten 54
9.6 Project vertrouwelijkheids- of geheimhoudingsovereenkomst 54

10. Projectacquisitie, ontwikkeling en onderhoud van informatiesystemen 55
10.1 Projectanalyse en specificatie van informatieeisen 55
10.2 Projectinformatie op openbare netwerken beveiligen 56
10.3 Projectinformatietransacties van toepassingsdiensten beschermen 56
10.4 Projectbeveiliging in ontwikkelprocessen en ondersteunende processen 56
10.5 Projectprocedures voor wijzigingsbeheer met betrekking tot systemen 56
10.6 Projecttechnische beoordeling bedieningsplatform 57
10.7 Projectbeperking op wijzigingen aan software pakketten 57
10.8 Projectprincipes voor engineering van beveiligde systemen 57
10.9 Beveiligde projectontwikkelomgeving 57
10.10 Projectuitbesteding softwareontwikkeling 57
10.11 Projecttesten van systeembeveiliging 57
10.12 Projectsysteem acceptatietest 57
10.13 Projectbescherming van testgegevens 58

11. Projectleveranciersrelaties 59
11.1 Informatiebeveiligingsbeleid voor leveranciersrelaties 59
11.2 Opnemen van projectbeveiligingsaspecten in leveranciersovereenkomsten 60
11.3 Toeleveringsketen van informatie- en communicatietechnologie 60
11.4 Monitoring en beoordeling van leveranciers na exploitatie 60
11.5 Beheer van veranderingen leveranciersdienstverlening 61
11.6 Projectverantwoordelijkheden en procedures bij informatie-beveiligingsincidenten 61
11.7 Projectrapportage van informatie-beveiligingsgebeurtenissen 61
11.8 Projectrapportage van zwakke plekken in de informatiebeveiliging 61
11.9 Projectbeoordeling van en besluitvorming 62
11.10 Projectrespons op informatie-beveiligingsincidenten 62
11.11 Lering uit projectinformatie-beveiligingsincidenten 62
11.12 Verzamelen van bewijsmateriaal 62

12. Informatiebeveiligingscontinuïteit borgen en naleven met PMO 65
12.1 Continuïteit en naleving 67
12.2 Intellectuele eigendomsrechten 67
12.3 Beschermen van registraties 67
12.4 Privacy en bescherming van persoonsgegevens 67
12.5 Voorschriften voor het gebruik van cryptografische beheersmaatregelen 67
12.6 Informatiebeveiligingsbeoordelingen 68
12.7 Naleving van beveiligingsbeleid en -normen 68

13. Interne audit op basis van ISO 19011 69
13.1 De implementatie-audit 70
13.2 Systeemtoets 70
13.3 Procestoets 70
13.4 Producttoets 70
13.5 Risicogestuurd toetsen 70
13.6 Privacy-impact toetsen 70
13.7 Data-impact toetsen 70
13.8 Business-impact analyse 71

14. Zes-stappen-auditmodel 73
14.1 Model voor een audit om conformiteit te toetsen 73
14.2 Schep kader 74
14.3 Stel uitgangspunten vast 74
14.4 Identificeer het proces 75
14.5 Zoek objectief bewijsmateriaal 76
14.6 Terugkoppeling 76
14.7 Toets verslag, analyse, besluitvorming en evaluatie 77
14.8 Sluiting 78

15. Bronnen 79

16. Checklist 81
Project informatiebeveiligingsbeleid 82
Veilig personeel 82
Beheer van projectmiddelen 82
Beheer van projectmiddelen 82
Toegangsbeveiliging project 83
Cryptografie bij projecten 83
Fysieke beveiliging en beveiliging van de projectomgeving 84
Beveiliging projectuitvoering 84
Project communicatiebeveiliging 84
Project-acquisitie, onwikkeling en onderhoud van informatiesystemen 85
Project leveranciersrelaties 85
Informatiebeveiligingscontinuïteit en naleving borgen met PMO 86
Audits/Assessments uitgevoerd? 86

17. DIA-vragenlijst 89