---
tags:
  - nen7510/2024
---


# NEN 7510-2:2024 (nl)

> Medische informatica – Informatiebeveiliging in de zorg – Deel 2: Beheersmaatregelen
>
> **Nederlandse norm**
>
> Vervangt NEN 7510-2:2017; NEN 7510-2:2024 Ontw.
>
> ICS 11.020; 35.240.80
>
> December 2024

**cument has been supplied under license by NEN to: ecurity.works 15-06-2025 16:26**

**cument has been supplied under license by NEN to: ecurity.works 15-06-2025 16:26**

> Nederlandse norm
>
> **NEN 7510-2**
>
> (nl)
>
> Medische informatica - Informatiebeveiliging in de zorg - Deel 2: Beheersmaatregelen
>
> Health informatics - Information security management in healthcare - Part 2: Controls
>
> Vervangt NEN 7510-2:2017;
>
> NEN 7510-2:2024 Ontw.
>
> ICS 11.020; 35.240.80
>
> december 2024
>
> <u>NEN 7510-2:2024</u>
>
> Normcommissie 303006 'Informatievoorziening in de zorg'
>
> <img src="media/image5.png" style="width:0.49624in;height:0.46916in" />**THIS PUBLICATION IS COPYRIGHT PROTECTED**
>
> **DEZE PUBLICATIE IS AUTEURSRECHTELIJK BESCHERMD**
>
> Apart from exceptions provided by the law, nothing from this publi- cation may be duplicated and/or published by means of photocopy, microfilm, storage in computer files or otherwise, which also applies to full or partial processing, without the written consent of Stichting Koninklijk Nederlands Normalisatie Instituut.
>
> Stichting Koninklijk Nederlands Normalisatie Instituut shall, with the exclusion of any other beneficiary, collect payments owed by third parties for duplication and/or act in and out of law, where this authority is not transferred or falls by right to Stichting Reprorecht. Auteursrecht voorbehouden. Behoudens uitzondering door de wet gesteld mag zonder schriftelijke toestemming van Stichting Konink- lijk Nederlands Normalisatie Instituut niets uit deze uitgave worden verveelvoudigd en/of openbaar gemaakt door middel van fotokopie, microfilm, opslag in computerbestanden of anderszins, hetgeen ook van toepassing is op gehele of gedeeltelijke bewerking.
>
> Stichting Koninklijk Nederlands Normalisatie Instituut is met uit- sluiting van ieder ander gerechtigd de door derden verschuldigde vergoedingen voor verveelvoudiging te innen en/of daartoe in en buiten rechte op te treden, voor zover deze bevoegdheid niet is
>
> Although the utmost care has been taken with this publica- tion, errors and omissions cannot be entirely excluded. Sticht- ing Koninklijk Nederlands Normalisatie Instituut and/or the members of the committees therefore accept no liability, not even for direct or indirect damage, occurring due to or in rela- tion with the application of publications issued by Stichting Koninklijk Nederlands Normalisatie Instituut.
>
> Hoewel bij deze uitgave de uiterste zorg is nagestreefd, kun- nen fouten en onvolledigheden niet geheel worden uitgeslo- ten. Stichting Koninklijk Nederlands Normalisatie Instituut en/of de leden van de commissies aanvaarden derhalve geen enkele aansprakelijkheid, ook niet voor directe of indirecte schade, ontstaan door of verband houdend met toepassing van door Stichting Koninklijk Nederlands Normalisatie Insti- tuut gepubliceerde uitgaven.
>
> <img src="media/image6.jpeg" style="width:0.68055in;height:0.40929in" /> <u>overgedragen c.q. rechtens toekomt aan Stichting Reprorecht.</u>
>
> © 2024 Stichting Koninklijk Nederlands Normalisatie Instituut [www.nen.nl]

### Inhoud

### 

[Voorwoord 6]

[Inleiding 7]

1.  [Onderwerp en toepassingsgebied 8]

2.  [Normatieve verwijzingen 8]

3.  [Termen en definities 8]

4.  [Algemeen 8]

    1.  [Hoofdstukken 8]

    2.  [Thema’s en attributen 9]

    3.  [Indeling beheersmaatregel 10]

5.  [Organisatorische beheersmaatregelen 11]

    1.  [Beleidsregels voor informatiebeveiliging 11]

    2.  [Rollen en verantwoordelijkheden bij informatiebeveiliging 15]

    3.  [Functiescheiding 17]

    4.  [Managementverantwoordelijkheden 18]

    5.  [Contact met overheidsinstanties 20]

    6.  [Contact met speciale belangengroepen 21]

    7.  [Informatie en analyses over dreigingen 22]

    8.  [Informatiebeveiliging in projectmanagement 24]

    9.  [Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen 27]

    10. [Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen 30]

    11. [Retourneren van bedrijfsmiddelen 32]

    12. [Classificeren van informatie 34]

    13. [Labelen van informatie 36]

    14. [Overdragen van informatie 39]

    15. [Toegangsbeveiliging 43]

    16. [Identiteitsbeheer 47]

    17. [Authenticatie-informatie 49]

    18. [Toegangsrechten 52]

    19. [Informatiebeveiliging in leveranciersrelaties 55]

    20. [Adresseren van informatiebeveiliging in leveranciersovereenkomsten 59]

    21. [Beheren van informatiebeveiliging in de ICT-toeleveringsketen 63]

    22. [Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten 67]

    23. [Informatiebeveiliging voor het gebruik van clouddiensten 69]

    24. [Plannen en voorbereiden van het beheer van informatiebeveiligingsincidenten 74]

    25. [Beoordelen van en besluiten over informatiebeveiligingsgebeurtenissen 77]

    26. [Reageren op informatiebeveiligingsincidenten 78]

    27. [Leren van informatiebeveiligingsincidenten 79]

    28. [Verzamelen van bewijsmateriaal 80]

    29. [Informatiebeveiliging tijdens een verstoring 82]

    30. [ICT-gereedheid voor bedrijfscontinuïteit 83]

    31. [Wettelijke, statutaire, regelgevende en contractuele eisen 86]

    32. [Intellectuele-eigendomsrechten 88]

    33. [Beschermen van registraties 91]

    34. [Privacy en bescherming van persoonsgegevens 93]

    35. [Onafhankelijke beoordeling van informatiebeveiliging 96]

    36. [Naleving van beleid, regels en normen voor informatiebeveiliging 98]

    37. [Gedocumenteerde bedieningsprocedures 99]

    38. [HLT – Analyse en specificatie van informatiebeveiligingseisen 101]

    39. [HLT – Zorgontvangers op unieke wijze identificeren 103]

    40. [HLT – Validatie van getoonde/geprinte gegevens 104]

    41. [HLT – Openbaar beschikbare gezondheidsinformatie 105]

    42. [HLT – Communicatie in noodsituaties 107]

    43. [HLT – Incidenten extern melden 108]

6.  [Mensgerichte beheersmaatregelen 109]

    1.  [Screening 109]

    2.  [Arbeidsovereenkomst 111]

    3.  [Bewustwording van, opleiding en training in informatiebeveiliging 113]

    4.  [Disciplinaire procedure 116]

    5.  [Verantwoordelijkheden na beëindiging of wijziging van het dienstverband 117]

    6.  [Vertrouwelijkheids- of geheimhoudingsovereenkomsten 119]

    7.  [Werken op afstand 121]

    8.  [Melden van informatiebeveiligingsgebeurtenissen 124]

    9.  [HLT – Managementtraining 126]

7.  [Fysieke beheersmaatregelen 127]

    1.  [Fysieke beveiligingszones 127]

    2.  [Fysieke toegangsbeveiliging 128]

    3.  [Beveiligen van kantoren, ruimten en faciliteiten 131]

    4.  [Monitoren van de fysieke beveiliging 132]

    5.  [Beschermen tegen fysieke en omgevingsdreigingen 134]

    6.  [Werken in beveiligde zones 136]

    7.  [‘Clear desk’ en ‘clear screen’ 137]

    8.  [Plaatsen en beschermen van apparatuur 139]

    9.  [Beveiligen van bedrijfsmiddelen buiten het terrein 140]

    10. [Opslagmedia 142]

    11. [Nutsvoorzieningen 145]

    12. [Beveiligen van bekabeling 146]

    13. [Onderhoud van apparatuur 147]

    14. [Veilig verwijderen of hergebruiken van apparatuur 149]

8.  [Technologische beheersmaatregelen 151]

    1.  [‘User endpoint devices’ 151]

    2.  [Speciale toegangsrechten 155]

    3.  [Beperking toegang tot informatie 157]

    4.  [Toegangsbeveiliging op broncode 160]

    5.  [Beveiligde authenticatie 162]

    6.  [Capaciteitsbeheer 165]

    7.  [Bescherming tegen malware 167]

    8.  [Beheer van technische kwetsbaarheden 170]

    9.  [Configuratiebeheer 176]

    10. [Wissen van informatie 180]

    11. [Maskeren van gegevens 182]

    12. [Voorkomen van gegevenslekken (data leakage prevention) 185]

    13. [Back-up van informatie 188]

    14. [Redundantie van informatieverwerkende faciliteiten 190]

    15. [Logging 192]

    16. [Monitoren van activiteiten 197]

    17. [Kloksynchronisatie 201]

    18. [Gebruik van speciale systeemhulpmiddelen 203]

    19. [Installeren van software op operationele systemen 204]

    20. [Beveiliging netwerkcomponenten 207]

    21. [Beveiliging van netwerkdiensten 209]

    22. [Netwerksegmentatie 211]

    23. [Toepassen van webfilters 212]

    24. [Gebruik van cryptografie 214]

    25. [Beveiligen tijdens de ontwikkelcyclus 218]

    26. [Toepassingsbeveiligingseisen 219]

    27. [Veilige systeemarchitectuur en technische uitgangspunten 223]

    28. [Veilig coderen 227]

    29. [Testen van de beveiliging tijdens ontwikkeling en acceptatie 232]

    30. [Uitbestede systeemontwikkeling 234]

    31. [Scheiding van ontwikkel-, test- en productieomgevingen 235]

    32. [Wijzigingsbeheer 238]

    33. [Testgegevens 240]

    34. [Bescherming van informatiesystemen tijdens audits 241]

    35. [HLT – Zero trust-beginselen 243]

[Bijlage A (informatief) Attributen gebruiken 244]

[Bijlage B (informatief) Overeenstemming van NEN 7510-2:2024 (dit document) met]

[NEN 7510-2:2017 259][Bijlage B (informatief) Overeenstemming van NEN 7510-2:2024 (dit document) met]

[Bijlage C (informatief) Informatiebeveiliging in gezondheidsorganisaties 269]

[Bijlage D (informatief) Voorbeelden van beveiligings- en privacy-eisen voor][] [gezondheidsinformatiesystemen en de correlatie ervan met de][Bijlage D (informatief) Voorbeelden van beveiligings- en privacy-eisen voor] [beheersmaatregelen van NEN 7510-2 en de beveiligingsmogelijkheden van][Bijlage D (informatief) Voorbeelden van beveiligings- en privacy-eisen voor]

> [IEC/CD TS 81001-2-2 282][Bijlage D (informatief) Voorbeelden van beveiligings- en privacy-eisen voor]

[Bijlage E (informatief) Mapping van NIS2 op NEN 7510-1 en NEN 7510-2 315]

[Bibliografie 317]

### Voorwoord

> NEN 7510-2:2024 vervangt Ontw. NEN 7510-2:2024 en NEN 7510-2:2017.
>
> De belangrijkste wijzigingen betreffen:

- de afstemming op de structuur van NEN-EN-ISO/IEC 27002:2022 en andere wijzigingen in die norm;

- de herziening en toevoeging van beheersmaatregelen specifiek voor de gezondheidszorg;

- de opmaak van de tekst in twee kolommen: in de linker kolom de beheersmaatregelen rechtstreeks uit NEN-EN-ISO/IEC 27002:2022; in de rechter kolom zaken die aanvullend voor de zorgsector van toepassing zijn (zorgspecifieke beheersmaatregelen gebaseerd op de niet-officiële vertaling van ISO/DIS 27799:2024 met aanvullingen en wijzigingen).

> Deze norm is vastgesteld door normcommissie 303 006 'Informatievoorziening in de zorg'.

### Inleiding

> OPMERKING De tekst van de inleiding is identiek aan die van de inleiding in NEN 7510-1:2024.
>
> Medische informatica – Informatiebeveiliging in de zorg – Deel 2: Beheersmaatregelen

### Onderwerp en toepassingsgebied

> OPMERKING De tekst van dit hoofdstuk is identiek aan die van hoofdstuk 1 in NEN 7510-1:2024.

### Normatieve verwijzingen

> OPMERKING De tekst van dit hoofdstuk is identiek aan die van hoofdstuk 2 in NEN 7510-1:2024.

### Termen en definities

> OPMERKING De tekst van dit hoofdstuk is identiek aan die van hoofdstuk 3 in NEN 7510-1:2024.

### Algemeen

##### Hoofdstukken

> Dit document is als volgt ingedeeld:

1)  Organisatorische beheersmaatregelen (hoofdstuk 5);

2)  Mensgerichte beheersmaatregelen (hoofdstuk 6);

3)  Fysieke beheersmaatregelen (hoofdstuk 7);

4)  Technologische beheersmaatregelen (hoofdstuk 8).

> Bij elke beheersmaatregel zijn de attributentabel (zie 4.2), het doel, de richtlijn en andere van toepassing zijnde informatie weergegeven. Voor bepaalde beheersmaatregelen is een aanvullende zorgspecifieke beheersmaatregel opgenomen. Deze aanvullende beheersmaatregelen zijn, voor gezondheidszorgdoeleinden, specifieker dan de generieke beheersmaatregelen of bevatten aanvullende aanbevelingen. Waar er een aanvullende zorgspecifieke beheersmaatregel is, is er ook een ‘Zorgspecifiek doel (aanvullend)’.
>
> Ongeacht een eventuele aanvullende beheersmaatregel of aanvullend doel zijn veel beheersmaatregelen voorzien van een ‘Zorgspecifieke richtlijn’ en/of ‘Overige zorgspecifieke informatie’.
>
> Evenals de beheersmaatregelen die corresponderen met de beheersmaatregelen in
>
> ISO/IEC 27002:2002, bevat deze norm een aantal aanvullende beheersmaatregelen. Deze worden op dezelfde manier beschreven en hebben het voorvoegsel "HLT" (dat voor HeaLTh (gezondheid) staat).
>
> Dit document heeft vijf informatieve bijlagen:

- In bijlage A wordt uitgelegd hoe een organisatie attributen (zie 4.2) kan gebruiken om haar eigen overzichten aan te maken op basis van de in dit document gedefinieerde of zelfbedachte attributen voor beheersmaatregelen.

- Bijlage B laat zien hoe de beheersmaatregelen in deze editie van NEN 7510-2 overeenstemmen met de vorige editie uit 2017.

- Bijlage C bevat een inleidend overzicht van cybersecurity in relatie tot gezondheidsorganisaties.

- Bijlage D geeft voorbeelden van beveiligings- en privacy-eisen voor gezondheidsinformatiesys- temen en presenteert de mapping van beheersmaatregelen van NEN 7510-2 met beveiligingsmoge- lijkheden van IEC/CD TS 81001-2-2.

- Bijlage E geeft een (informatieve) mapping van NIS2 op NEN 7510-1 en NEN 7510-2.

##### Thema’s en attributen

> De categorieën waarin beheersmaatregelen kunnen worden ingedeeld volgens de hoofdstukken 5 t/m 8 worden aangeduid als thema’s.
>
> Beheersmaatregelen worden ingedeeld in de categorieën:

1)  mensgericht, als ze betrekking hebben op individuele personen;

2)  fysiek, als ze betrekking hebben op fysieke objecten;

3)  technologisch, als ze betrekking hebben op technologie;

4)  organisatorisch, in de overige gevallen.

> De organisatie kan attributen gebruiken om verschillende overzichten te creëren. Dit zijn verschillende indelingen in categorieën van beheersmaatregelen, gezien vanuit een ander perspectief op de thema's. Attributen kunnen worden gebruikt om beheersmaatregelen in verschillende overzichten te filteren, sorteren of presenteren voor verschillende doelgroepen. In bijlage A staat uitleg over het maken van een overzicht met een voorbeeld van een overzicht.
>
> Bij wijze van voorbeeld is elke beheersmaatregel in dit document gerelateerd aan vijf attributen met bijbehorende attribuutwaarden (voorafgegaan door ‘#’ om ze opzoekbaar te maken) [\*)]. Dit is als volgt opgebouwd:

1)  Type beheersmaatregel

> Type beheersmaatregel is een attribuut om beheersmaatregelen te bekijken vanuit het oogpunt van wanneer en hoe de beheersmaatregel tot veranderingen van het risico leidt met betrekking tot het zich voordoen van een informatiebeveiligingsincident. De attribuutwaarden bestaan uit \#Preventief (de beheersmaatregel is ervoor bedoeld te voorkomen dat er zich een informatiebeveiligingsincident voordoet), \#Detectief (de beheersmaatregel treedt in werking wanneer er zich een informatiebeveiligingsincident voordoet) en \#Corrigerend (de beheersmaatregel treedt in werking nadat er zich een informatiebeveiligingsincident heeft voorgedaan).

2)  Informatiebeveiligingseigenschappen

> Informatiebeveiligingseigenschappen is een attribuut om beheersmaatregelen te bekijken vanuit het oogpunt: aan het behoud van welk kenmerk van informatie draagt de beheersmaatregel bij? De attribuutwaarden bestaan uit \#Vertrouwelijkheid, \#Integriteit en \#Beschikbaarheid.
>
> <span id="_bookmark8" class="anchor"></span>\*) Nederlandse voetnoot: In deze vertaling zijn ook in 4.2 de attribuutwaarden van een ‘#’ voorzien.

3)  Cybersecurityconcepten

> Cybersecurityconcepten is een attribuut om beheersmaatregelen te bekijken vanuit het oogpunt van het verband tussen beheersmaatregelen en de in het in ISO/IEC TS 27110 beschreven cybersecuritykader gedefinieerde cybersecurityconcepten. Deze attribuutwaarden bestaan uit \#Identificeren, \#Beschermen, \#Detecteren, \#Reageren en \#Herstellen.

4)  Operationele capaciteiten

> Operationele capaciteiten is een attribuut om beheersmaatregelen te bekijken vanuit het perspectief van beroepsbeoefenaren op informatiebeveiligingscapaciteiten. De attribuutwaarden bestaan uit \#Governance, \#Beheer_van_bedrijfsmiddelen, \#Informatiebescherming, \#Personeelsbeveiliging, \#Fysieke_beveiliging, \#Systeem-\_en_netwerkbeveiliging, \#Toepassingsbeveiliging, \#Veilige_configuratie, \#Identiteits-\_en_toegangsbeheer, \#Beheer_van_dreigingen_en_kwetsbaarheden, \#Continuïteit, \#Beveiliging_in_leveranciersrelaties, \#Juridisch_en_compliance, \#Beheer_van_informatiebeveiligingsgebeurtenissen en \#Borging_van_informatiebeveiliging.

5)  Beveiligingsdomeinen

> Beveiligingsdomeinen is een attribuut om beheersmaatregelen te bekijken vanuit het oogpunt van vier informatiebeveiligingsdomeinen: ‘Governance_en_Ecosysteem’ omvat ‘Information System Security Governance & Risk Management’ en ‘Ecosystem cybersecurity management’ (inclusief interne en externe belanghebbenden); ‘Bescherming’ omvat ‘IT-beveiligingsarchitectuur’, ‘IT- beveiligingsbeheer’, ‘Identiteits- en toegangsbeheer’, ‘IT-beveiligingsonderhoud’ en ‘Fysieke en omgevingsbeveiliging’; ‘Verdediging’ omvat ‘Detectie’ en ‘Computer Security Incident Management’; onder ‘Veerkracht’ (Resilience) wordt verstaan ‘Continuïteit van de bedrijfsvoering’ en ‘Crisisbeheersing’. De attribuutwaarden bestaan uit \#Governance_en_Ecosysteem, \#Bescherming, \#Verdediging en \#Veerkracht.
>
> De in dit document vermelde attributen zijn gekozen op basis van het feit dat ze als generiek genoeg worden beschouwd om door verschillende soorten organisaties te worden gebruikt. Organisaties kunnen ervoor kiezen een of meer van de in dit document vermelde attributen buiten beschouwing te laten. Ze kunnen ook zelf attributen (met de bijbehorende attribuutwaarden) aanmaken om hun eigen organisatieoverzichten te maken. In A.2 staan voorbeelden van dergelijke attributen.

##### Indeling beheersmaatregel

> De indeling van elke beheersmaatregel bevat in de linker tekstkolom het volgende:

- **Titel van de beheersmaatregel**: Korte naam van de beheersmaatregel;

- **Attributentabel**: Een tabel toont de waarde(n) van elk attribuut voor de beheersmaatregel in kwestie;

- **Beheersmaatregel**: Wat de beheersmaatregel is;

- **Doel**: Waarom de beheersmaatregel behoort te worden geïmplementeerd;

- **Richtlijn:** Hoe de beheersmaatregel behoort te worden geïmplementeerd;

- **Overige informatie:** Tekst met uitleg of verwijzingen naar andere gerelateerde documenten. In de rechter tekstkolom zijn de daarmee samenhangende zorgspecifieke teksten opgenomen.

> Omwille van de leesbaarheid zijn lange richtlijnteksten die op meer onderwerpen ingaan, soms onderverdeeld. De titels van deze secties zijn onderstreept.

### Organisatorische beheersmaatregelen

##### Beleidsregels voor informatiebeveiliging

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td>#Governance</td>
<td>#Governance_en_Ecosys- teem #Veerkracht</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Informatiebeveiligingsbeleid en onderwerpspeci- fieke beleidsregels behoren te worden gedefini- eerd, goedgekeurd door het management, gepubli- ceerd, gecommuniceerd aan en erkend door rele- vant personeel en relevante belanghebbenden en met geplande tussenpozen en als zich significante wijzigingen voordoen, te worden beoordeeld.</p></td>
<td colspan="3" style="text-align: left;"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Het informatiebeveiligingsbeleid behoort de aan- pak voor het beheer van informatiebeveiliging te beschrijven en te zijn goedgekeurd door het top- management, vervolgens ten minste eenmaal per jaar en daarna telkens als er zich een ernstige be- veiligingsgebeurtenis voordoet te worden beoor- deeld.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De voortdurende geschiktheid, toereikendheid, doeltreffendheid van de sturing en ondersteuning door het management overeenkomstig de be- drijfseisen en de eisen van wet- en regelgeving, statutaire en contractuele eisen bewerkstelligen.</p></td>
<td colspan="3" style="text-align: left;"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>Waarborgen van de betrokkenheid van de topma- nagement bij informatiebeveiliging, die altijd actu- eel wordt gehouden.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort op het hoogste niveau een ‘informatiebeveiligingsbeleid’ te definiëren dat is goedgekeurd door het topmanagement en dat de aanpak van de organisatie beschrijft om haar in- formatiebeveiliging te bereiken.</p>
<p>Het informatiebeveiligingsbeleid behoort eisen in aanmerking te nemen die zijn ontleend aan:</p>
<ol type="a">
<li><p>bedrijfsstrategie en -eisen;</p></li>
<li><p>wet- en regelgeving en contracten;</p></li>
<li><p>de huidige en verwachte risico's en dreigingen inzake informatiebeveiliging.</p></li>
</ol>
<p>Het informatiebeveiligingsbeleid behoort uiteen- zettingen te bevatten betreffende:</p>
<ol type="a">
<li><p>de definitie van informatiebeveiliging;</p></li>
<li><p>informatiebeveiligingsdoelstellingen of het ka- der voor het vaststellen van informatiebeveili- gingsdoelstellingen;</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Het informatiebeveiligingsbeleid behoort uiteen- zettingen te bevatten over:</p>
<ol type="a">
<li><p>de noodzaak van gezondheidsinformatiebevei- liging;</p></li>
<li><p>de doelen van gezondheidsinformatiebeveili- ging;</p></li>
<li><p>het toepassingsgebied in verband met naleving;</p></li>
<li><p>wettelijke, regelgevende en contractuele eisen, waaronder eisen met betrekking tot de be- scherming van persoonlijke gezondheidsinfor- matie en de wettelijke en ethische verantwoor- delijkheden van beroepsbeoefenaren in de ge- zondheidszorg om deze informatie te bescher- men;</p></li>
<li><p>regelingen voor het doen van kennisgeving van informatiebeveiligingsincidenten, waaronder een kanaal waarlangs zorgen met betrekking tot vertrouwelijkheid kunnen worden geuit zonder dat men angst hoeft te hebben voor be- schuldigingen of verwijten;</p></li>
</ol></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="3" type="a">
<li><p>principes die als leidraad dienen voor alle acti- viteiten in verband met informatiebeveiliging;</p></li>
<li><p>een verbintenis om te voldoen aan van toepas- sing zijnde eisen in verband met informatiebe- veiliging;</p></li>
<li><p>een verbintenis tot continue verbetering van het managementsysteem voor informatiebevei- liging;</p></li>
<li><p>toekenning van verantwoordelijkheden voor informatiebeveiligingsbeheer aan gedefini- eerde rollen;</p></li>
<li><p>procedures voor het behandelen van vrijge- stelde situaties en uitzonderingen.</p></li>
</ol>
<p>Eventuele wijzigingen aan het informatiebeveili- gingsbeleid behoren ter goedkeuring aan het top- management te worden voorgelegd.</p>
<p>Op een lager niveau behoort het informatiebeveili- gingsbeleid te worden ondersteund door onder- werpspecifieke beleidsregels naarmate nodig is, om de implementatie van beheersmaatregelen voor informatiebeveiliging verder verplicht te stellen. De typische structuur van onderwerpspe- cifieke beleidsregels is dusdanig dat ze ingaan op de behoeften van bepaalde doelgroepen binnen een organisatie of dat ze bepaalde beveiligingsge- bieden bestrijken. Onderwerpspecifieke beleidsre- gels behoren te worden afgestemd op het informa- tiebeveiligingsbeleid van de organisatie en dit aan te vullen.</p>
<p>Voorbeelden van dergelijke onderwerpen zijn:</p>
<ol type="a">
<li><p>toegangsbeveiliging;</p></li>
<li><p>fysieke beveiliging en beveiliging van de omge- ving;</p></li>
<li><p>beheer van bedrijfsmiddelen;</p></li>
<li><p>overdragen van informatie;</p></li>
<li><p>beveiligde configuratie van en omgang met ‘endpoint devices’ van gebruikers;</p></li>
<li><p>netwerkbeveiliging;</p></li>
<li><p>beheer van informatiebeveiligingsincidenten;</p></li>
</ol></th>
<th><ol start="6" type="a">
<li><p>het belang van het zo snel mogelijk melden van daadwerkelijke of vermeende incidenten, waaronder bijna-incidenten, zodat als er zich een incident voordoet dit zo snel mogelijk kan worden opgepakt en het niet ernstiger wordt;</p></li>
<li><p>het vaststellen van processen en systemen die van vitaal belang zijn in de gezondheidszorg (d.w.z. dat het falen ervan nadelige gevolgen kan hebben voor de zorg of ertoe kan leiden dat de veiligheid van patiënten afneemt).</p></li>
</ol>
<p>Het herzien van de inhoud van het beleid behoort te worden aangestuurd door de bevindingen uit een risicobeoordeling.</p>
<p>Bij het opstellen en onderhouden van het docu- ment inzake informatiebeveiligingsbeleid, behoort met de volgende factoren rekening te worden gehouden:</p>
<ol type="a">
<li><p>de breedte van gezondheidsinformatie;</p></li>
<li><p>de rechten en verantwoordelijkheden van het personeel, waaronder wettelijke en ethische eisen, door beroepsorganisaties vastgestelde normen, en eventuele lokale eisen;</p></li>
<li><p>de rechten van zorgontvangers op privacy en, indien van toepassing, op inzage in hun regi- straties;</p></li>
<li><p>de verplichtingen van clinici met betrekking tot het verkrijgen van geïnformeerde toestemming van zorgontvangers en het in stand houden van de vertrouwelijkheid van persoonlijke gezond- heidsinformatie;</p></li>
<li><p>meerdere organisaties (die zich in verschil- lende rechtsgebieden van elkaar kunnen bevin- den) die gezondheidszorg of ondersteunende diensten verlenen, evenals personen (met inbe- grip van de zorgontvangers op zich en hun fa- milieleden of begeleiders) kunnen betrokken zijn bij het op dit moment of in het verleden verlenen, vaststellen, administreren of financie- ren van gezondheidszorg en maatschappelijke zorg aan een ontvanger (zie bijlage C);</p></li>
<li><p>de protocollen en procedures die moeten wor- den toegepast op het delen van informatie in het kader van onderzoek en klinische studies;</p></li>
</ol></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="8" type="a">
<li><p>back-up;</p></li>
<li><p>cryptografie en sleutelbeheer;</p></li>
<li><p>classificatie van en omgaan met informatie;</p></li>
<li><p>beheer van technische kwetsbaarheden;</p></li>
<li><p>veilig ontwikkelen.</p></li>
</ol>
<p>De verantwoordelijkheid voor het ontwikkelen, beoordelen en goedkeuren van de onderwerpspe- cifieke beleidsregels behoort te worden toegewe- zen aan relevant personeel, op basis van passend bevoegdheidsniveau en technische bekwaamheid. De beoordeling behoort mede het beoordelen te omvatten van mogelijkheden voor het verbeteren van het informatiebeveiligingsbeleid en onder- werpspecifieke beleidsregels en het informatiebe- veiligingsbeheer van de organisatie als antwoord op veranderingen in:</p>
<ol type="a">
<li><p>de bedrijfsstrategie van de organisatie;</p></li>
<li><p>de technische omgeving van de organisatie;</p></li>
<li><p>wet- en regelgeving en contracten;</p></li>
<li><p>informatiebeveiligingsrisico's;</p></li>
<li><p>huidige en verwachte dreigingen inzake infor- matiebeveiliging;</p></li>
<li><p>lering die wordt getrokken uit informatiebevei- ligingsgebeurtenissen en -incidenten.</p></li>
</ol>
<p>Bij de beoordeling van informatiebeveiligingsbe- leid en onderwerpspecifieke beleidsregels behoort rekening te worden gehouden met de resultaten van management reviews en audits. Indien er één beleidsregel wordt gewijzigd, behoort, met het oog op de consistentie, te worden overwogen ook andere gerelateerde beleidsregels te beoordelen en bij te werken.</p>
<p>Het informatiebeveiligingsbeleid en de onder- werpspecifieke beleidsregels behoren in een vorm die relevant, toegankelijk en begrijpelijk is voor de beoogde lezer te worden gecommuniceerd aan re- levant personeel en relevante belanghebbenden. Van ontvangers van de beleidsregels behoort te worden verlangd dat ze bevestigen dat ze de be- leidsregels, indien van toepassing, begrijpen en</p>
<p>zich eraan zullen houden. De organisatie kan voor deze beleidsdocumenten formaten en namen</p></th>
<th><ol start="7" type="a">
<li><p>de regelingen voor, en bevoegdheidsgrenzen van:</p>
<ol type="1">
<li><p>personeel dat betrokken is bij het leveren van zorg, met inbegrip van tijdelijk perso- neel, zoals vervangers, stagiairs, studenten en “oproepkrachten” of uitzendpersoneel (zie bijlage C voor meer informatie);</p></li>
<li><p>personeel dat directe zorg ondersteunt, met inbegrip van administratieve en ondersteu- nende medewerkers evenals geestelijken, medewerkers van liefdadigheidsinstellingen en andere vrijwilligers (zie bijlage C voor verdere informatie);</p></li>
<li><p>personeel van regelgevende en inspectie- instanties, financiële en andere auditoren, beroepsbeoefenaren uit de gezondheids- sector en anderen die klinische of andere incidenten onderzoeken waarbij sprake is van zorgverlening;</p></li>
</ol></li>
<li><p>situaties waar informatie over een zorgontvan- ger extern moet worden verstrekt of wordt ge- vraagd door autoriteiten of andere derden: voorbeelden van dergelijke situaties zijn situa- ties waar aan iemand letsel of schade is toege- daan tijdens een misdrijf, indien er sprake is van vermeend misbruik van of ontoereikende zorg voor kinderen, vrouwen, ouderen, mensen met een leerstoornis of andere kwetsbare zorg- ontvangers;</p></li>
<li><p>de implicaties van beveiligingsmaatregelen voor de veiligheid van patiënten;</p></li>
<li><p>de implicaties van informatiebeveiligingsmaat- regelen voor de functionaliteit en prestaties van gezondheidsinformatiesystemen.</p></li>
</ol>
<p>Indien ondersteuning wordt ontvangen van</p>
<p>derde-organisaties of er wordt samengewerkt met derden, en met name indien de gezondheidsorga- nisatie diensten vanuit andere rechtsgebieden ontvangt, behoort het beleidskader gedocumen- teerd beleid en procedures die ingaan op derge- lijke interacties en de verantwoordelijkheden van alle partijen specificeren te omvatten.</p>
<p>Indien van toepassing behoren beoordelingen van beleid in te gaan op:</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>vaststellen die aan de behoeften van de organisa- tie voldoen. In bepaalde organisaties kunnen het informatiebeveiligingsbeleid en de onderwerpspe- cifieke beleidsregels in een en hetzelfde document worden opgenomen. De organisatie kan deze on- derwerpspecifieke beleidsregels aanduiden als normen, richtlijnen, beleidsregels enz.</p>
<p>Als het informatiebeveiligingsbeleid of een onder- werpspecifieke beleidsregel buiten de organisatie wordt verspreid, behoort erop te worden gelet dat geen vertrouwelijke informatie openbaar wordt gemaakt.</p>
<p>Tabel 1 illustreert de verschillen tussen informa- tiebeveiligingsbeleid en onderwerpspecifiek be- leid.</p>
<blockquote>
<p><strong>Tabel 1 — Verschillen tussen informatiebevei- ligingsbeleid en onderwerpspecifiek beleid</strong></p>
<p><img src="media/image7.jpeg" style="width:3.23961in;height:2.13719in" /></p>
</blockquote></th>
<th><ol type="a">
<li><p>de veranderende aard van de bedrijfsvoering en de gelijktijdige veranderingen voor het risi- coprofiel en de risicobeheerbehoeften;</p></li>
<li><p>aan de ICT-architectuur en/of infrastructuur aangebrachte veranderingen en de gelijktijdige veranderingen die deze met zich meebrengen voor het risicoprofiel;</p></li>
<li><p>de in de externe omgeving geïdentificeerde ver- anderingen die op vergelijkbare wijze van in- vloed zijn op het risicoprofiel;</p></li>
<li><p>de jongste beheersmaatregelen, nalevings- en zekerheidseisen en -regelingen die door de ge- zondheidsinstanties van een rechtsgebied of door nieuwe wet- of regelgeving verplicht wor- den gesteld;</p></li>
<li><p>de jongste richtlijnen en aanbevelingen van or- ganisaties van beroepsbeoefenaren in de ge- zondheidszorg en van toezichthoudende in- stanties op het gebied van de bescherming van tot de persoon herleidbare informatie (zie ook 5.34);</p></li>
<li><p>de resultaten van juridische casussen die bij de rechter zijn getoetst, waardoor precedenten zijn geschapen of ontkracht of praktijken zijn vastgesteld;</p></li>
<li><p>de uitdagingen en belangrijke punten met be- trekking tot het beleid, zoals aan de organisatie geuit door het personeel, zorgontvangers en hun partners en zorgverleners, onderzoekers en overheden (bijv. toezichthoudende instan- ties op het gebied van de bescherming van tot de persoon herleidbare informatie);</p></li>
<li><p>rapporten over incidenten die de veiligheid van patiënten betroffen teneinde deze incidenten tegen te gaan in die gevallen waar het veilig- heidsincident het gevolg is van het falen van in- formatiebeveiligingsmaatregelen.</p></li>
</ol></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Onderwerpspecifieke beleidsregels kunnen van organisatie tot organisatie verschillen.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Rollen en verantwoordelijkheden bij informatiebeveiliging

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td>#Governance</td>
<td>#Governance_en_Ecosys- teem #Bescherming #Veerkracht</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Rollen en verantwoordelijkheden bij informatie- beveiliging behoren te worden gedefinieerd en toegewezen overeenkomstig de behoeften van de organisatie.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Er behoort ten minste één persoon verantwoorde- lijk te zijn voor informatiebeveiliging.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Een gedefinieerde, goedgekeurde en duidelijk te begrijpen structuur voor de implementatie, uit- voering en het beheer van informatiebeveiliging binnen de organisatie inrichten.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>Waarborgen dat er sprake is van duidelijke rich- ting en sturing, zichtbare ondersteuning vanuit het management voor activiteiten die gepaard gaan met het beveiligen van gezondheidsinforma- tie en toereikende technische expertise.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Het toewijzen van de rollen en verantwoordelijk- heden die bij informatiebeveiliging horen, behoort te worden gedaan in overeenstemming met het beleid voor informatiebeveiliging en onderwerp- specifieke beleidsregels (zie 5.1). De organisatie behoort verantwoordelijkheden te definiëren en te beheren voor:</p>
<ol type="a">
<li><p>de bescherming van informatie en andere gere- lateerde bedrijfsmiddelen;</p></li>
<li><p>het uitvoeren van specifieke informatiebeveili- gingsprocessen;</p></li>
<li><p>beheeractiviteiten met betrekking tot informa- tiebeveiligingsrisico’s en in het bijzonder voor het accepteren van de overblijvende risico’s (bijv. voor de eigenaren van risico's);</p></li>
<li><p>al het personeel dat gebruikmaakt van informa- tie en andere gerelateerde bedrijfsmiddelen van een organisatie.</p></li>
</ol>
<p>Deze verantwoordelijkheden behoren waar nodig te worden aangevuld met meer gedetailleerde richtlijnen voor specifieke locaties en informatie- verwerkende faciliteiten. Personen aan wie ver- antwoordelijkheden inzake informatiebeveiliging zijn toegekend, kunnen beveiligingstaken aan an- deren toewijzen. Zij blijven echter</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Rekenschap en coördinatie van informatiebeveili- ging kunnen op de lange termijn alleen worden gehandhaafd indien de organisatie over een expli- ciete infrastructuur voor informatiebeveiligings- beheer beschikt.</p>
<p>Een belangrijk element bij rollen en verantwoor- delijkheden met betrekking tot informatiebeveili- ging is de aanwezigheid van, of toegang tot, een informatiebeveiligingsfunctionaris die verant- woordelijk is voor het coördineren van informa- tiebeveiliging. Van het allerhoogste belang is dat de directie rekenschap verschuldigd is voor alles wat met informatiebeveiliging te maken heeft.</p>
<p>Veel organisaties en met name grotere organisa- ties (met bijvoorbeeld meer dan 500 medewer- kers of meer dan 10 000 cliënten) behoren een adviesgroep voor informatiebeveiliging te hebben. Zulke groepen worden ook wel als comité of raad aangeduid.</p>
<p>Het doel van de groep is waarborgen dat er duide- lijke richting en sturing en zichtbare ondersteu- ning vanuit het management is voor het waarbor- gen van de beveiliging van gezondheidsinformatie. De groep behoort regelmatig bijeen te komen, meestal op maandelijkse basis, om ‘erbovenop te blijven zitten’ en op de hoogte te blijven van actuele ontwikkelingen.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>verantwoordelijk en behoren vast te stellen of ge- delegeerde taken correct zijn verricht.</p>
<p>Elk beveiligingsgebied waarvoor personen verant- woordelijk zijn, behoort te worden gedefinieerd, gedocumenteerd en gecommuniceerd. Autorisatie- niveaus behoren te worden gedefinieerd en gedo- cumenteerd. Personen die een specifieke rol op het gebied van informatiebeveiliging op zich ne- men, behoren competent te zijn wat betreft de kennis en vaardigheden die de rol vereist en beho- ren te worden ondersteund bij het op de hoogte blijven van de ontwikkelingen die verband houden met de rol en die vereist zijn om aan de verant- woordelijkheden van de rol te kunnen voldoen.</p></th>
<th><p>In aanvulling op de informatiebeveiligingsfunctio- naris behoort de groep te bestaan uit vertegen- woordigers vanuit de organisatie die:</p>
<ul>
<li><p>gezondheidssoftware of andere ICT-infrastruc- tuur en diensten gebruiken (bijvoorbeeld art- sen, verpleegkundigen, andere clinici, mana- gers, bestuurders);</p></li>
<li><p>binnen de organisatie beroepsmatige verant- woordelijkheid of rekenschap verschuldigd zijn voor de werking en/of het gebruik van sys- temen, medische apparaten en diensten (bij- voorbeeld ICT-medewerkers en technisch per- soneel).</p></li>
</ul></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Veel organisaties benoemen een manager infor- matiebeveiliging die de algehele verantwoorde- lijkheid draagt voor de ontwikkeling en imple- mentatie van informatiebeveiliging en om de iden- tificatie van risico's en beperkende beheersmaat- regelen te ondersteunen.</p>
<p>Echter, de verantwoordelijkheid voor het verzor- gen en implementeren van de beheersmaatregelen blijft vaak een taak van individuele managers. Een gangbare praktijk is om voor elk bedrijfsmiddel een eigenaar te benoemen die verantwoordelijk wordt voor de dagelijkse bescherming ervan.</p>
<p>Afhankelijk van de omvang en de middelen van een organisatie kan informatiebeveiliging door speciale rollen of door functies die naast be- staande rollen worden uitgevoerd, worden afge- dekt.</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Zie bijlage C voor verdere informatie over advies- groepen voor informatiebeveiliging.</p></td>
</tr>
</tbody>
</table>

##### Functiescheiding

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><p>#Governance #Identiteits-</p>
<p>_en_toegangsbe- heer</p></td>
<td>#Governance_en_Ecosys- teem</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Conflicterende taken en conflicterende verant- woordelijkheden behoren te worden gescheiden.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Het risico op fraude, fouten en het omzeilen van beheersmaatregelen voor informatiebeveiliging verminderen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De functiescheiding en verantwoordelijkheidszo- nes hebben tot doel conflicterende functies te scheiden en onder verschillende personen te ver- delen om te voorkomen dat mogelijk conflicte- rende functies door één persoon alleen worden uitgevoerd.</p>
<p>De organisatie behoort vast te stellen voor welke functies en verantwoordelijkheidszones het nodig is dat ze worden gesegmenteerd. Hieronder vol- gen voorbeelden van activiteiten waarvoor seg- mentatie nodig kan zijn:</p>
<ol type="a">
<li><p>het initiëren, goedkeuren en uitvoeren van een verandering;</p></li>
<li><p>het verzoeken om, goedkeuren en implemente- ren van toegangsrechten;</p></li>
<li><p>het ontwerpen, implementeren en beoordelen van code;</p></li>
<li><p>het ontwikkelen van software en het beheren van productiesystemen;</p></li>
<li><p>het gebruiken en beheren van toepassingen;</p></li>
<li><p>het gebruiken van toepassingen en het beheren van databases;</p></li>
<li><p>het ontwerpen, auditen en borgen van beheers- maatregelen voor informatiebeveiliging.</p></li>
</ol>
<p>Bij het ontwerpen van beheersmaatregelen met het oog op scheiding behoort rekening te worden</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>In zeer kleine organisaties is het soms niet moge- lijk om alle conflicterende functies en verantwoor- delijkheden te scheiden. In die gevallen behoren functies en verantwoordelijkheden zover als mo- gelijk te worden gescheiden. Aanvullende maatre- gelen behoren te worden overwogen waar proble- matische conflicterende situaties resteren. De res- terende conflicterende situaties en de bijbeho- rende aanvullende maatregelen behoren te wor- den vastgelegd.</p>
<p>Veel medewerkers in de gezondheidszorg, zoals beroepsbeoefenaren en onderzoekers, wisselen voortdurend van rol. Iets wat geen conflicterende taak of conflicterend verantwoordelijkheidsgebied is, kan er wel heel snel een worden. Een voorbeeld is een arts die op een moment een arts in oplei- ding superviseert en het volgende moment zorg verleent aan een cliënt. Speciale aandacht behoort te worden geschonken aan de scheiding van func- ties en verantwoordelijkheden in situaties waar rollen regelmatig wisselen.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>gehouden met de mogelijkheid van samenzwering. Voor kleine organisaties kan het moeilijk zijn om functies te scheiden, maar het principe behoort te worden toegepast voor zover dit mogelijk en haal- baar is. Wanneer het moeilijk is om functies te scheiden, behoren andere beheersmaatregelen te worden overwogen, zoals het monitoren van acti- viteiten, audittrajecten en supervisie door het ma- nagement.</p>
<p>Bij het gebruik van op functies gebaseerde toe- gangsbeveiligingssystemen behoort ervoor te worden gezorgd dat aan personen geen conflicte- rende functies worden toegekend. Wanneer er een groot aantal functies is, behoort de organisatie te overwegen geautomatiseerde hulpmiddelen te ge- bruiken om conflicten te identificeren en de ver- wijdering ervan mogelijk te maken. Functies beho- ren zorgvuldig te worden gedefinieerd en inge- steld zodat toegangsproblemen tot een minimum kunnen worden beperkt indien een functie wordt verwijderd of opnieuw wordt toegewezen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Managementverantwoordelijkheden

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td>#Governance</td>
<td>#Governance_en_Ecosys- teem</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Het management behoort van al het personeel te eisen dat ze informatiebeveiliging toepassen over- eenkomstig het vastgestelde informatiebeveili- gingsbeleid, de onderwerpspecifieke beleidsregels en procedures van de organisatie.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat het management zijn rol bij informatiebeveiliging begrijpt en maatregelen neemt om ervoor te zorgen dat al het personeel zich bewust is van zijn verantwoordelijkheden op het gebied van informatiebeveiliging en deze ook nakomt.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Het management behoort er blijk van te geven dat het het informatiebeveiligingsbeleid, onderwerp- specifieke beleidsregels, procedures en</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>beheersmaatregelen voor informatiebeveiliging ondersteunt.</p>
<p>Het management behoort ervoor te zorgen dat personeelsleden:</p>
<ol type="a">
<li><p>op de juiste manier worden geïnstrueerd over hun informatiebeveiligingsrollen en -verant- woordelijkheden voordat zij toegang krijgen tot informatie en andere gerelateerde bedrijfs- middelen van de organisatie;</p></li>
<li><p>richtlijnen ontvangen die de verwachtingen met betrekking tot hun informatiebeveiligings- rol binnen de organisatie aangeven;</p></li>
<li><p>verplicht worden te voldoen aan het informa- tiebeveiligingsbeleid en de onderwerpspeci- fieke beleidsregels van de organisatie;</p></li>
<li><p>een niveau van bewustwording van informatie- beveiliging bereiken dat relevant is voor hun rollen en verantwoordelijkheden binnen de or- ganisatie (zie 6.3);</p></li>
<li><p>de arbeids- of contractvoorwaarden en de voorwaarden van overeenkomsten, met inbe- grip van het informatiebeveiligingsbeleid en passende werkmethoden, naleven <a href="#_bookmark15">*)</a>;</p></li>
<li><p>de passende vaardigheden en kwalificaties op het gebied van informatiebeveiliging blijven houden door voortdurende bijscholing;</p></li>
<li><p>waar mogelijk, een vertrouwelijk kanaal krij- gen om overtredingen van het informatiebevei- ligingsbeleid, onderwerpspecifiek beleid of procedures voor informatiebeveiliging te mel- den (‘klokkenluiden’). Dit kan anonieme mel- dingen mogelijk maken, of bepalingen bevatten die ervoor zorgen dat de identiteit van de mel- der alleen bekend is bij degenen die dergelijke meldingen moeten behandelen;</p></li>
<li><p>voldoende middelen en tijd voor projectplan- ning krijgen voor het implementeren van de beveiligingsgerelateerde processen en beheers- maatregelen van de organisatie.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

> <span id="_bookmark15" class="anchor"></span>\*) Nederlandse voetnoot: Anders geformuleerd dan in de brontekst.

##### Contact met overheidsinstanties

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Corri- gerend</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Identificeren #Beschermen #Reageren #Her- stellen</p>
</blockquote></td>
<td>#Governance</td>
<td>#Verdediging #Veerkracht</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort contact met de relevante instanties te leggen en te onderhouden.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Een passende stroom van informatie met betrek- king tot informatiebeveiliging tussen de organisa- tie en relevante juridische, regelgevende en toe- zichthoudende instanties bewerkstelligen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort aan te geven wanneer en door wie contact behoort te worden opgenomen met overheidsinstanties (bijv. politie, regelge- vende organen, toezichthouders) en hoe geïdenti- ficeerde informatiebeveiligingsincidenten tijdig behoren te worden gemeld.</p>
<p>Contacten met overheidsinstanties behoren ook te worden gebruikt om inzicht mogelijk te maken in de bestaande en toekomstige verwachtingen van deze instanties (bijv. toepasselijke regelgeving met betrekking tot informatiebeveiliging).</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Overige informatie</strong></p>
<p>Organisaties die worden aangevallen, kunnen in- stanties verzoeken om actie te ondernemen tegen de aanvaller.</p>
<p>Het onderhouden van dergelijke contacten kan een eis zijn voor het ondersteunen van het beheer van informatiebeveiligingsincidenten (zie 5.24 t/m 5.28) of de noodplan- en bedrijfscontinuïteits- processen (zie 5.29 en 5.30). Contacten met regel- gevende organen zijn ook nuttig om te anticiperen op en voorbereidingen te treffen voor komende veranderingen in relevante wet- en regelgeving die op de organisatie van invloed zijn. Contacten met andere instanties omvatten contacten met nutsbedrijven, eerstehulpdiensten, elektriciteitsle- veranciers en gezondheids- en veiligheidsinstan- ties [bijv. de brandweer (in verband met de be- drijfscontinuïteit), telecommunicatiebedrijven (in verband met verbindingen en beschikbaarheid) en waterleidingbedrijven (in verband met koelvoor- zieningen voor apparatuur)].</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

##### Contact met speciale belangengroepen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Corrigerend</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Beschermen #Reageren #Herstellen</p>
</blockquote></td>
<td>#Governance</td>
<td>#Verdediging</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort contacten met speciale be- langengroepen of andere gespecialiseerde beveili- gingsfora en beroepsverenigingen te leggen en te onderhouden.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Een passende stroom van informatie met betrek- king tot informatiebeveiliging bewerkstelligen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Lidmaatschap van speciale belangengroepen of fora behoort te worden overwogen als middel om:</p>
<ol type="a">
<li><p>kennis te verbeteren over ‘best practices’ en op de hoogte te blijven van relevante beveiligings- informatie;</p></li>
<li><p>ervoor te zorgen dat de kennis van informatie- beveiliging actueel is;</p></li>
<li><p>vroegtijdige waarschuwingen te ontvangen in- zake alarm, adviezen en patches die verband houden met aanvallen en kwetsbaarheden;</p></li>
<li><p>toegang te krijgen tot gespecialiseerd advies over informatiebeveiliging;</p></li>
<li><p>informatie over nieuwe technologieën, pro- ducten, diensten, dreigingen of kwetsbaarhe- den te delen en uit te wisselen;</p></li>
<li><p>geschikte contactpunten te verkrijgen als er in- formatiebeveiligingsincidenten aan de orde zijn (zie 5.24 t/m 5.28).</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Privacy-eisen kunnen significante implicaties hebben voor beveiliging. Vanwege de speciale overwegingen die van toepassing zijn binnen de gezondheidszorg, behoort te worden overwogen hier groepen, fora en verenigingen van beroeps- beoefenaren bij te betrekken die zich speciaal richten op de privacy en beveiliging van gezond- heidsinformatie.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

##### Informatie en analyses over dreigingen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Detectief #Corrigerend</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren #Detecteren #Reageren</td>
<td><blockquote>
<p>#Beheer_van_drei- gingen_en_kwets- baarheden</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Informatie met betrekking tot informatiebeveili- gingsdreigingen behoort te worden verzameld en geanalyseerd om informatie over dreigingen te produceren.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewustwording bieden van de mogelijke dreigin- gen voor de organisatie zodat de passende mitige- rende maatregelen kunnen worden getroffen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Informatie over bestaande of opkomende dreigin- gen wordt verzameld en geanalyseerd teneinde:</p>
<ol type="a">
<li><p>weloverwogen maatregelen mogelijk te maken om te voorkomen dat de dreigingen schade aan de organisatie toebrengen;</p></li>
<li><p>de impact van dergelijke dreigingen te beper- ken.</p></li>
</ol>
<p>Informatie en analyses over dreigingen kunnen in drie lagen worden opgedeeld die alle drie in aan- merking behoren te worden genomen:</p>
<ol type="a">
<li><p>informatie over strategische dreigingen: uit- wisseling van informatie op hoofdlijnen over het veranderende dreigingslandschap (bijv. soorten aanvallers of soorten aanvallen);</p></li>
<li><p>informatie en analyses over tactische dreigin- gen: informatie over de desbetreffende metho- dieken, instrumenten en technologieën waar- van aanvallers zich bedienen;</p></li>
<li><p>informatie en analyses over operationele drei- gingen: details over specifieke aanvallen, met inbegrip van technische indicatoren.</p></li>
</ol>
<p>Informatie en analyses over dreigingen behoren:</p>
<ol type="a">
<li><p>relevant te zijn (d.w.z. verband te houden met de bescherming van de organisatie);</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Op het gebied van gezondheid zijn er allerlei be- dreigingen waarmee rekening moet worden ge- houden en waarvoor kennis behoort te worden onderhouden. Onder andere de volgende factoren zijn met name relevant:</p>
<ol type="a">
<li><p>In aanvulling op generieke ICT- en Internet-of- Things-apparaten is er zorgspecifieke appara- tuur, waaronder veel verschillende soorten en modellen medische apparaten.</p></li>
<li><p>Op generieke ICT-apparatuur omvatten de be- veiligingsmaatregelen het updaten van soft- ware, het toepassen van patches en het gebruik van software die bescherming biedt tegen mal- ware. Onder andere om redenen van klinische veiligheid kunnen er beperkingen zijn gesteld aan het nemen van dergelijke maatregelen voor bepaalde medische apparaten die gegevens re- gistreren, verwerken of rapporteren.</p></li>
<li><p>Veel zorgorganisaties gebruiken hardware en software die verouderd, niet naar behoren ge- configureerd of beide is.</p></li>
<li><p>Er kunnen met name uitdagingen bestaan wat betreft het bijhouden van kloppende voorraad- lijsten en het beheersen van bedrijfsmiddelen.</p></li>
</ol></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="2" type="a">
<li><p>inzicht te bieden (d.w.z. de organisatie een nauwkeurig en gedetailleerd inzicht te ver- schaffen in het dreigingslandschap);</p></li>
<li><p>contextueel te zijn om situationeel bewustwor- ding te bieden (d.w.z. door context toe te voe- gen aan de informatie op basis van het tijdstip van de gebeurtenissen, waar zij zich voordoen, eerdere ervaringen en prevalentie in soortge- lijke organisaties);</p></li>
<li><p>bruikbaar te zijn (d.w.z. dat de organisatie snel en doeltreffend kan handelen op basis van de informatie).</p></li>
</ol>
<p>Activiteiten op het gebied van informatie en analy- ses over dreigingen behoren het volgende te om- vatten:</p>
<ol type="a">
<li><p>het vaststellen van doelstellingen voor het pro- duceren van informatie en analyses over drei- gingen;</p></li>
<li><p>het identificeren, doorlichten en selecteren van interne en externe informatiebronnen die no- dig en geschikt zijn om te voorzien in informa- tie die vereist is om de gewenste informatie en analyses over dreigingen te produceren;</p></li>
<li><p>het verzamelen van informatie uit geselec- teerde interne en externe bronnen;</p></li>
<li><p>het verwerken van verzamelde informatie om deze voor te bereiden op analyse (bijv. door in- formatie te vertalen, op te maken of te bevesti- gen);</p></li>
<li><p>het analyseren van informatie om inzicht te krijgen in hoe deze verband houdt met de orga- nisatie en de betekenis ervan voor de organisa- tie;</p></li>
<li><p>het in een begrijpelijke vorm meedelen ervan aan en delen met relevante personen.</p></li>
</ol>
<p>Informatie over dreigingen behoort te worden ge- analyseerd en later te worden gebruikt:</p>
<ol type="a">
<li><p>door processen te implementeren om uit bron- nen van informatie en analyses over dreigingen verzamelde informatie op te nemen in de be- heerprocessen voor informatiebeveiligingsri- sico’s van de organisatie;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="2" type="a">
<li><p>als aanvullende input voor technische preven- tieve en detectieve beheersmaatregelen, zoals firewalls, inbraakdetectiesystemen of anti- malwareoplossingen;</p></li>
<li><p>als input voor de processen en technieken voor het testen van de informatiebeveiliging.</p></li>
</ol>
<p>De organisatie behoort informatie en analyses over dreigingen op wederzijdse basis met andere organisaties te delen om de algemene informatie en analyses over dreigingen te verbeteren.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Organisaties kunnen informatie en analyses over dreigingen gebruiken om dreigingen te voorko- men, detecteren of erop te reageren. Organisaties kunnen zelf informatie en analyses over dreigin- gen produceren, maar het is gebruikelijker dat ze informatie en analyses over dreigingen ontvangen en gebruiken die door andere bronnen wordt ge- produceerd.</p>
<p>Informatie en analyses over dreigingen worden vaak verstrekt door onafhankelijke aanbieders of adviseurs, overheidsinstanties of groepen die ge- zamenlijk informatie over dreigingen verzamelen en analyseren.</p>
<p>De doeltreffendheid van beheersmaatregelen zo- als 5.25, 8.7, 8.16 of 8.23 is afhankelijk van de kwaliteit van de beschikbare informatie en analy- ses over dreigingen.</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Zie bijlage C voor verdere informatie.</p></td>
</tr>
</tbody>
</table>

##### Informatiebeveiliging in projectmanagement

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Identificeren #Beschermen</p>
</blockquote></td>
<td>#Governance</td>
<td>#Governance_en_Ecosys- teem #Bescherming</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Informatiebeveiliging behoort te worden geïnte- greerd in projectmanagement.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Ervoor zorgen dat informatiebeveiligingsrisico’s binnen projecten en te leveren producten en dien- sten gedurende de gehele levenscyclus van het project op doeltreffende wijze binnen het project- management worden aangepakt.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Richtlijn</strong></p>
<p>Informatiebeveiliging behoort te worden geïnte- greerd in projectmanagement om ervoor te zorgen dat informatiebeveiligingsrisico's in het kader van projectmanagement worden aangepakt. Dit kan worden toegepast op elk type project ongeacht de complexiteit, omvang, duur, discipline of het toe- passingsgebied (bijv. een project voor een proces voor kernactiviteiten, IT, ‘facility management’ of andere ondersteunende processen).</p>
<p>Het projectmanagement dat wordt toegepast, be- hoort te vereisen dat:</p>
<ol type="a">
<li><p>informatiebeveiligingsrisico’s tijdens een vroeg stadium en periodiek gedurende de volledige levenscyclus van het project als onderdeel van de projectrisico's worden beoordeeld en be- handeld;</p></li>
<li><p>informatiebeveiligingseisen [bijv. beveiligings- eisen voor toepassingen (8.26), eisen inzake de naleving van intellectuele-eigendomsrechten (5.32) enz.] in de vroege stadia van projecten worden aangepakt;</p></li>
<li><p>informatiebeveiligingsrisico’s in verband met de uitvoering van projecten, zoals de beveili- ging van interne en externe communicatieas- pecten, gedurende de gehele levenscyclus van het project in aanmerking worden genomen en behandeld;</p></li>
<li><p>de vorderingen met betrekking tot de behande- ling van informatiebeveiligingsrisico’s worden beoordeeld en de doeltreffendheid van de be- handeling wordt beoordeeld en beproefd.</p></li>
</ol>
<p>De passendheid van de informatiebeveiligings- overwegingen en -activiteiten behoort in vooraf bepaalde stadia te worden gecontroleerd door ge- schikte personen of governance-instanties, zoals de projectstuurgroep.</p>
<p>Verantwoordelijkheden en bevoegdheden voor in- formatiebeveiliging relevant voor het project be- horen te worden gedefinieerd en te worden toege- wezen aan gespecificeerde rollen.</p>
<p>Informatiebeveiligingseisen voor door het project te leveren producten of diensten behoren te wor- den vastgesteld met gebruikmaking van verschil- lende methoden zoals het afleiden van nalevings- eisen uit informatiebeveiligingsbeleid,</p></th>
<th><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Veiligheid en privacy behoren ook integraal on- derdeel te zijn van projectbeheer. De hiernaast weergegeven richtlijn behoren ook te worden toe- gepast op veiligheid en privacy.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>onderwerpspecifieke beleidsregels en regelgeving. Verdere informatiebeveiligingseisen kunnen wor- den ontleend aan activiteiten zoals dreigings- modellering, beoordelingen van incidenten, het gebruik van kwetsbaarheidsdrempels of het op- stellen van noodplannen om zo te bewerkstelligen dat de architectuur en het ontwerp van informa- tiesystemen worden beschermd tegen bekende dreigingen die gebaseerd zijn op de operationele omgeving.</p>
<p>Er behoren informatiebeveiligingseisen te worden vastgesteld voor alle soorten projecten, niet alleen voor ICT-ontwikkelprojecten. Bij het vaststellen van deze eisen behoort ook het volgende in aan- merking te worden genomen:</p>
<ol type="a">
<li><p>welke informatie het betreft (vaststelling van de informatie), wat de bijbehorende informa- tiebeveiligingsbehoeften zijn (classificatie; zie 5.12) en de mogelijke negatieve bedrijfsimpact die het gevolg kan zijn van ontoereikende be- veiliging;</p></li>
<li><p>de noodzaak om de desbetreffende informatie en andere gerelateerde bedrijfsmiddelen te be- schermen, met name wat betreft vertrouwelijk- heid, integriteit en beschikbaarheid;</p></li>
<li><p>de vereiste mate van betrouwbaarheid of ze- kerheid ten opzichte van de beweerde identi- teit van entiteiten om de authenticatie-eisen af te leiden;</p></li>
<li><p>processen voor het verlenen van toegang en autorisatie, voor klanten en andere zakelijke gebruikers en voor bevoorrechte of technische gebruikers, zoals relevante projectleden, moge- lijk operationeel personeel of externe leveran- ciers;</p></li>
<li><p>het informeren van gebruikers over hun plich- ten en verantwoordelijkheden;</p></li>
<li><p>eisen die zijn afgeleid van bedrijfsprocessen, zoals registreren en monitoren van transacties, eisen voor onweerlegbaarheid;</p></li>
<li><p>eisen die verplicht zijn gesteld door andere be- heersmaatregelen met betrekking tot informa- tiebeveiliging (bijv. interfaces voor het registre- ren en monitoren of systemen voor het detecte- ren van lekken van gegevens);</p></li>
<li><p>naleving van de wettelijke, statutaire, regelge- vende en contractuele omgeving waarin de or- ganisatie actief is;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th>i) het vereiste niveau van vertrouwen of zeker- heid dat derden zullen voldoen aan het infor- matiebeveiligingsbeleid en de onderwerpspeci- fieke beleidsregels van de organisatie, met in- begrip van relevante beveiligingsclausules in overeenkomsten of contracten.</th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>De projectontwikkelaanpak, zoals de Waterfall-le- venscyclus of de Agile-levenscyclus, behoort ge- structureerde informatiebeveiliging te ondersteu- nen die kan worden aangepast aan de volgens een beoordeling vastgestelde informatiebeveiligingsri- sico’s, aansluitend bij het karakter van het project. Het vroegtijdig nadenken over informatiebeveili- gingseisen voor het product of de dienst (bijv. tij- dens de plannings- en ontwerpfasen) kan leiden tot doeltreffender en kostenefficiëntere oplossin- gen voor kwaliteits- en informatiebeveiliging.</p>
<p>ISO 21500 en ISO 21502 geven richtlijnen voor projectmanagementconcepten en -processen die belangrijk zijn voor de prestaties van projecten.</p>
<p>ISO/IEC 27005 geeft richtlijnen voor het gebruik van risicobeheerprocessen om beheersmaatrege- len te identificeren die aan informatiebeveiligings- eisen voldoen.</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Zie ook 5.38 waarin aandacht wordt besteed aan analyse en specificatie. Zie ook 5.34 waarin wordt ingegaan op privacy.</p>
<p>ISO 81001-1 geeft uitgebreide richtlijnen over de onderlinge afhankelijkheid van veiligheid, doel- treffendheid en beveiliging met inbegrip van be- langrijke punten met betrekking tot projectbe- heer. ISO 81001-1 geeft ook informatie over an- dere relevante normen, met name voor medische apparaten.</p></td>
</tr>
</tbody>
</table>

##### Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td><blockquote>
<p>#Beheer_van_be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_Ecosys- teem #Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoort een inventarislijst van informatie en andere gerelateerde bedrijfsmiddelen, met inbe- grip van de eigenaren, te worden opgesteld en on- derhouden.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Alle informatiestromen (zowel binnen als tussen organisaties) en de interfaces daarvan (waaronder integratieplatforms) behoren te worden opgeno- men in de inventarisatie.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De informatie en andere gerelateerde bedrijfsmid- delen van de organisatie identificeren om de infor- matiebeveiliging ervan te behouden en passend eigenaarschap toe te wijzen.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>De stromen van informatie en de interfaces van die stromen identificeren om de informatiebeveili- ging ervan te behouden en er passende eigenaren aan toe te wijzen.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Inventarislijst</u></p>
<p>De organisatie behoort haar informatie en andere gerelateerde bedrijfsmiddelen te identificeren en het belang ervan wat betreft informatiebeveiliging</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Naast bedrijfsmiddelen zoals randapparatuur, ap- paraten en software componenten, zijn zorgorga- nisaties in toenemende mate afhankelijk van infor- matiestromen (zowel binnen als tussen</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>vast te stellen. Documentatie behoort te worden onderhouden in speciale of bestaande inventaris- lijsten indien van toepassing.</p>
<p>De inventarislijst van informatie en andere gerela- teerde bedrijfsmiddelen behoort nauwkeurig, ac- tueel, consistent en in overeenstemming met an- dere inventarisoverzichten te zijn. Opties om de nauwkeurigheid van een inventarislijst van infor- matie en andere gerelateerde bedrijfsmiddelen te bewerkstelligen zijn onder andere:</p>
<ol type="a">
<li><p>regelmatig beoordelingen van geïdentificeerde informatie en andere gerelateerde bedrijfsmid- delen aan de hand van de inventarislijst van be- drijfsmiddelen uitvoeren;</p></li>
<li><p>de inventarislijst automatisch laten bijwerken als er een bedrijfsmiddel wordt geïnstalleerd, gewijzigd of verwijderd.</p></li>
</ol>
<p>De locatie van een bedrijfsmiddel behoort al naar- gelang de situatie in de inventarislijst te worden opgenomen.</p>
<p>De inventarislijst hoeft niet één lijst te zijn van in- formatie en andere gerelateerde bedrijfsmiddelen. Aangezien de inventarislijst van bedrijfsmiddelen door de relevante functies behoort te worden on- derhouden, kan deze worden beschouwd als een verzameling dynamische inventarislijsten, zoals inventarislijsten voor informatiebedrijfsmiddelen, hardware, software, virtuele machines (VM's), fa- ciliteiten, personeel, competenties, capaciteiten en registraties.</p>
<p>Elk bedrijfsmiddel behoort te worden geclassifi- ceerd overeenkomstig de classificatie van de met dat bedrijfsmiddel gerelateerde informatie (zie 5.12).</p>
<p>Het niveau van granulariteit van de inventarislijst van informatie en andere gerelateerde bedrijfs- middelen behoort te passen bij de behoeften van de organisatie. Soms is het vanwege de aard van het bedrijfsmiddel niet praktisch uitvoerbaar om specifieke instanties van bedrijfsmiddelen in de informatielevenscyclus te documenteren. Een voorbeeld van een bedrijfsmiddel met een korte levensduur is een instantie van een VM die van korte duur kan zijn.</p></th>
<th><p>organisaties) en de interfaces daarvan (waaronder integratieplatforms).</p>
<p>In sommige gevallen kan eigenaarschap moeilijk vast te stellen zijn. In dergelijke situaties kunnen (contractuele) overeenkomsten tussen partijen uitkomst bieden; dit kan ook behulpzaam zijn in het vaststellen van de plichten van de eigenaar.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><u>Eigendom</u></p>
<p>Voor de geïdentificeerde informatie- en andere ge- relateerde bedrijfsmiddelen behoort de eigendom van het bedrijfsmiddel te worden toegewezen aan een persoon of een groep en behoort de classifica- tie te worden geïdentificeerd (zie 5.12, 5.13). Er behoort een procedure te worden geïmplemen- teerd die ervoor zorgt dat de benoeming van de eigenaar van bedrijfsmiddelen tijdig plaatsvindt.</p>
<p>Het eigenaarschap behoort te worden toegekend als bedrijfsmiddelen worden aangemaakt of als bedrijfsmiddelen naar de organisatie worden overgebracht. Het eigenaarschap van een bedrijfs- middel behoort naarmate nodig is opnieuw te worden toegekend wanneer de huidige eigenaren van een bedrijfsmiddel vertrekken of een andere functie krijgen.</p>
<p><u>Taken van de eigenaar</u></p>
<p>De eigenaar van het bedrijfsmiddel behoort ver- antwoordelijk te zijn voor het juiste beheer ervan voor de gehele levenscyclus van het bedrijfsmid- del en behoort ervoor te zorgen dat:</p>
<ol type="a">
<li><p>informatie en andere gerelateerde bedrijfsmid- delen worden geïnventariseerd;</p></li>
<li><p>informatie en andere gerelateerde bedrijfsmid- delen passend worden geclassificeerd en be- schermd;</p></li>
<li><p>de classificatie periodiek wordt beoordeeld;</p></li>
<li><p>er een lijst wordt opgesteld van de componen- ten die technologische bedrijfsmiddelen onder- steunen, zoals database-, opslag-, softwarecom- ponenten en -subcomponenten, en deze wor- den gekoppeld;</p></li>
<li><p>eisen voor het aanvaardbare gebruik van infor- matie en andere gerelateerde bedrijfsmiddelen (zie 5.10) worden vastgesteld;</p></li>
<li><p>de toegangsbeperkingen overeenstemmen met de classificatie, doeltreffend zijn en periodiek worden beoordeeld;</p></li>
<li><p>informatie en andere gerelateerde bedrijfsmid- delen die worden gewist of verwijderd, veilig worden behandeld en uit de inventarislijst worden verwijderd;</p></li>
<li><p>hij betrokken is bij het identificeren en het beheer van de risico's in verband met zijn bedrijfsmiddel(en);</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th>i) hij het personeel ondersteunt dat de rollen en de verantwoordelijkheden heeft voor het beheren van zijn informatie.</th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Inventarislijsten van informatie en andere gerela- teerde bedrijfsmiddelen zijn vaak nodig om de doeltreffende bescherming van informatie zeker te stellen en kunnen voor andere doeleinden ver- eist zijn, zoals om gezondheids- en veiligheids-, verzekerings- of financiële redenen. Inventarislijs- ten van informatie en andere gerelateerde be- drijfsmiddelen ondersteunen ook risicobeheer, au- ditactiviteiten, kwetsbaarhedenbeheer, incident- respons- en herstelplanning.</p>
<p>Taken en verantwoordelijkheden kunnen worden gedelegeerd (bijv. aan een beheerder die de dage- lijkse zorg heeft over de bedrijfsmiddelen), maar de persoon of groep die ze heeft gedelegeerd blijft verantwoordelijk.</p>
<p>Het kan nuttig zijn om groepen van informatie en andere gerelateerde bedrijfsmiddelen aan te wij- zen die samen een bepaalde dienst verlenen. In dat geval is de eigenaar van deze dienst verant- woordelijk voor het leveren van de dienst, met inbegrip van de werking van de bedrijfsmiddelen die de dienst verzorgen.</p>
<p>Zie ISO/IEC 19770-1 voor aanvullende informatie over het beheer van IT-bedrijfsmiddelen. Zie</p>
<p>ISO 55001 voor aanvullende informatie over het beheer van bedrijfsmiddelen.</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Zie bijlage C voor informatie over eigenaarschap van middelen en de verschillende soorten midde- len en hun gebruik.</p></td>
</tr>
</tbody>
</table>

##### Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Beheer_van_be- drijfsmiddelen #Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_Ecosys- teem #Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Regels voor het aanvaardbaar gebruik van en procedures voor het omgaan met informatie en andere gerelateerde bedrijfsmiddelen behoren te worden geïdentificeerd, gedocumenteerd en geïm- plementeerd.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Doel</strong></p>
<p>Waarborgen dat informatie en andere gerela- teerde bedrijfsmiddelen passend worden be- schermd, gebruikt en behandeld.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Richtlijn</strong></p>
<p>Personeel en externe gebruikers die informatie en andere gerelateerde bedrijfsmiddelen van de or- ganisatie gebruiken of er toegang toe hebben, be- horen bewust te worden gemaakt van de informa- tiebeveiligingseisen voor het beschermen van en omgaan met de informatie van de organisatie en andere gerelateerde bedrijfsmiddelen. Zij behoren verantwoordelijk te zijn voor het gebruik dat zij maken van informatieverwerkende faciliteiten.</p>
<p>De organisatie behoort onderwerpspecifiek beleid inzake het aanvaardbare gebruik van informatie en andere gerelateerde bedrijfsmiddelen vast te stellen en dit mee te delen aan iedereen die infor- matie en andere gerelateerde bedrijfsmiddelen gebruikt of hanteert. Het onderwerpspecifieke beleid inzake aanvaardbaar gebruik behoort dui- delijk aan te geven hoe van personen wordt ver- wacht dat ze informatie en andere gerelateerde bedrijfsmiddelen gebruiken. In het onderwerp- specifieke beleid behoort het volgende te worden opgenomen:</p>
<ol type="a">
<li><p>verwacht en onaanvaardbaar gedrag van per- sonen vanuit het oogpunt van informatiebevei- liging;</p></li>
<li><p>wat wordt beschouwd als toegestaan en verbo- den gebruik van informatie en andere gerela- teerde bedrijfsmiddelen;</p></li>
<li><p>welke monitoringactiviteiten de organisatie uitvoert.</p></li>
</ol>
<p>Er behoren procedures voor aanvaardbaar ge- bruik te worden opgesteld voor de volledige le- venscyclus van de informatie overeenkomstig de classificatie ervan (zie 5.12) en de vastgestelde ri- sico's. Met de volgende aspecten behoort rekening te worden gehouden:</p>
<ol type="a">
<li><p>toegangsbeperkingen die de beschermingsei- sen van elk classificatieniveau ondersteunen;</p></li>
<li><p>onderhoud van een registratie van de bevoegde gebruikers van informatie en andere gerela- teerde bedrijfsmiddelen;</p></li>
<li><p>bescherming van tijdelijke of permanente kopieën van de informatie tot een niveau dat</p></li>
</ol></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>consistent is met de bescherming van de origi- nele informatie;</p>
</blockquote>
<ol start="4" type="a">
<li><p>opslag van bedrijfsmiddelen die samenhangen met informatie in overeenstemming met de voorschriften van de fabrikant (zie 7.8);</p></li>
<li><p>duidelijke markering van alle kopieën van (elektronische of fysieke) opslagmedia ter attentie van de bevoegde ontvanger (zie 7.10);</p></li>
<li><p>autorisatie van het verwijderen van informatie en andere gerelateerde bedrijfsmiddelen en ondersteunde wismethode(n) (zie 8.10).</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Het is mogelijk dat de desbetreffende bedrijfsmid- delen niet direct tot de organisatie behoren, zoals openbare clouddiensten. Het gebruik van zulke bedrijfsmiddelen van derden en van bedrijfsmid- delen van de organisatie in verband met zulke ex- terne bedrijfsmiddelen (bijv. informatie, software) behoort te worden geïdentificeerd al naargelang de situatie en beheerst, bijv. door middel van over- eenkomsten met aanbieders van clouddiensten.</p>
<p>Indien er gebruik wordt gemaakt van een op sa- menwerking gerichte werkomgeving, behoort er ook zorgvuldig te worden gehandeld.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Retourneren van bedrijfsmiddelen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Beheer_van_be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Personeel en andere belanghebbenden, al naarge- lang de situatie, behoren alle bedrijfsmiddelen van de organisatie die ze in hun bezit hebben bij beëindiging van hun dienstverband, contract of overeenkomst te retourneren.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Er behoort beleid te zijn dat vereist dat personen schriftelijk bevestigen dat alle bedrijfsmiddelen in hun bezit in alle formaten op veilige wijze zijn ge- retourneerd of verwijderd, indien van toepassing.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De bedrijfsmiddelen van de organisatie bescher- men als onderdeel van de procedure voor het wij- zigen of beëindigen van het dienstverband, het contract of de overeenkomst.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>Persoonlijke gezondheidsinformatie als onderdeel van de procedure voor het wijzigen of beëindigen van een dienstverband, contract of overeenkomst beschermen.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>In de wijzigings- of beëindigingsprocedure be- hoort formeel het retourneren van alle eerder ver- strekte fysieke en elektronische bedrijfsmiddelen</p></td>
<td colspan="3" style="text-align: left;"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Het beleid behoort maatregelen te omvatten die kunnen worden getroffen tegen personen indien tijdens of na een verandering of beëindiging van een dienstverband, contract of overeenkomst</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>die het eigendom zijn van of toevertrouwd zijn aan de organisatie, te worden opgenomen.</p>
<p>Ingeval personeel en andere belanghebbenden apparatuur van de organisatie kopen of eigen persoonlijke apparatuur gebruiken, behoren pro- cedures te worden gevolgd om ervoor te zorgen dat alle relevante informatie wordt getraceerd en aan de organisatie wordt overgedragen en nauw- keurig van de apparatuur wordt verwijderd (zie 7.14).</p>
<p>Indien personeel en andere belanghebbenden beschikken over kennis die belangrijk is voor de lopende bedrijfsvoering, behoort die informatie te worden gedocumenteerd en aan de organisatie te worden overgedragen.</p>
<p>Tijdens de opzegtermijn en daarna behoort de or- ganisatie het onbevoegd kopiëren van relevante informatie (bijv. intellectuele eigendom) door per- soneel van wie het dienstverband is opgezegd, te voorkomen.</p>
<p>De organisatie behoort alle te retourneren infor- matie en andere gerelateerde bedrijfsmiddelen duidelijk te identificeren en documenteren. Deze informatie en bedrijfsmiddelen kunnen onder an- dere zijn:</p>
<ol type="a">
<li><p>‘endpoint devices’ van gebruikers;</p></li>
<li><p>draagbare opslagapparatuur;</p></li>
<li><p>specialistische apparatuur;</p></li>
<li><p>authenticatiehardware (bijv. mechanische sleu- tels, fysieke tokens en chipkaarten) voor infor- matiesystemen, locaties en fysieke archieven;</p></li>
<li><p>fysieke kopieën van informatie.</p></li>
</ol></th>
<th><p>blijkt dat niet alle bedrijfsmiddelen zijn geretour- neerd of verwijderd, al naar gelang van toepassing is.</p>
<p>De volgens het beleid vereiste schriftelijke beves- tiging behoort alle informatie te omvatten die niet tot een individuele persoon behoort en die op hun eigen persoonlijke apparatuur staat of namens de persoon elders wordt bewaard (bijvoorbeeld door cloudaanbieders verleende opslag- en andere diensten, met inbegrip van e-mail).</p>
<p>Indien het retourneren van informatie die een per- soon bewaart of die namens hem of haar wordt bewaard tot onnodige duplicering zou leiden, mag het beleid toestaan dat de persoon de informatie op beveiligde wijze wist zonder deze te retourne- ren. Het beleid behoort de technieken aan te geven die moeten worden gevolgd om op beveiligde wijze wissen te waarborgen.</p></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Het kan lastig zijn informatie te retourneren die zich bevindt op bedrijfsmiddelen die geen eigen- dom zijn van de organisatie. In dergelijke gevallen is het nodig het gebruik van informatie door mid- del van andere beheersmaatregelen voor informa- tiebeveiliging, zoals het beheer van toegangsrech- ten (5.18) of het gebruik van cryptografie (8.24) te beperken.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Classificeren van informatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td><blockquote>
<p>#Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Informatie behoort te worden geclassificeerd vol- gens de informatiebeveiligingsbehoeften van de organisatie, op basis van de eisen voor vertrouwe- lijkheid, integriteit, beschikbaarheid en relevante eisen van belanghebbenden.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Persoonlijke gezondheidsinformatie behoort uni- form als vertrouwelijk te worden geclassificeerd.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat het identificeren van en het inzicht in de beschermingsbehoeften voor infor- matie in overeenstemming zijn met het belang ervan voor de organisatie.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>De juiste classificatie van persoonlijke gezond- heidsinformatie onder alle omstandigheden waar- borgen.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort een onderwerpspecifiek beleid inzake het classificeren van informatie vast te stellen en aan alle relevante belanghebbenden mee te delen.</p>
<p>De organisatie behoort in het classificatieschema rekening te houden met eisen voor vertrouwelijk- heid, integriteit en beschikbaarheid.</p>
<p>Classificaties en gerelateerde beschermende be- heersmaatregelen voor informatie behoren reke- ning te houden met de bedrijfsbehoeften ten aan- zien van het delen of beperken van informatie, het beschermen van de integriteit van informatie en het waarborgen van beschikbaarheid, alsmede wettelijke eisen met betrekking tot de vertrouwe- lijkheid, integriteit of beschikbaarheid van de in- formatie. Andere bedrijfsmiddelen dan informatie kunnen ook worden geclassificeerd in overeen- stemming met de classificatie van informatie die is opgeslagen in, verwerkt door of anderszins behan- deld of beschermd door het bedrijfsmiddel.</p>
<p>Eigenaren van informatie behoren verantwoorde- lijk te zijn voor de classificatie ervan.</p>
<p>Het classificatieschema behoort regels voor het classificeren te bevatten en criteria voor het na verloop van tijd opnieuw beoordelen van de clas- sificatie. Resultaten van classificatie behoren te worden geactualiseerd in overeenstemming met</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Binnen de gezondheidszorg kan classificeren een uitdaging zijn. De volgende factoren behoren in overweging te worden genomen: Wettelijke, regel- gevende, contractuele en lokale beleidsvereisten voor medische dossiers en andere persoonlijke ge- zondheidsinformatie variëren aanzienlijk. In som- mige gevallen zijn de vereisten gebaseerd op re- gels voor papieren dossiers en houden ze niet vol- doende rekening met informatie die elektronisch wordt bewaard. Andere</p>
<p>potentiële problemen zijn onduidelijke of tegen- strijdige vereisten. Dit gebeurt vaak omdat vereis- ten voortdurend evolueren en omdat er meerdere bronnen van vereisten kunnen zijn. Bijvoorbeeld, persoonlijke gezondheidsinformatie als een subset van persoonsgegevens kan worden beheerst door overkoepelende algemene wetgeving inzake gege- vensbescherming, naast andere vereisten die niet specifiek zijn voor de gezondheid.</p>
<p>Binnen het domein van persoonlijke gezondheids- informatie kan het nodig zijn om een reeks classi- ficaties te hanteren. Gegevens over een gebroken been zijn bijvoorbeeld duidelijk van een andere rangorde dan informatie over seksueel overdraag- bare aandoeningen. Er kan een verschil zijn in de rangorde van persoonlijke gezondheidsinformatie van een prominent persoon in vergelijking met de informatie van andere personen. Er kunnen zich in</p>
<p>de loop van de tijd andere rangordes ontwikkelen: bepaalde persoonlijke gegevens kunnen minder</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>wijzigingen in de waarde, gevoeligheid en het be- lang van informatie in de loop van de levenscyclus.</p>
<p>Het schema behoort te worden afgestemd op het onderwerpspecifieke beleid inzake toegangsbevei- liging (zie 5.1) en het behoort te kunnen ingaan op specifieke bedrijfsbehoeften van de organisatie.</p>
<p>De classificatie kan worden vastgesteld aan de hand van de mate van effect die compromittering van de informatie zou hebben op de organisatie. Elk in het schema gedefinieerd niveau behoort een naam te krijgen die betekenis heeft in de context van de toepassing van het classificatieschema.</p>
<p>Het schema behoort organisatiebreed consistent te zijn en te zijn opgenomen in de procedures van de organisatie zodat iedereen informatie en rele- vante andere gerelateerde bedrijfsmiddelen op dezelfde manier classificeert. Op deze manier heeft iedereen een gemeenschappelijk begrip van beschermingseisen en past iedereen de passende bescherming toe.</p>
<p>Het binnen de organisatie gebruikte classificatie- schema kan verschillen van de schema's die andere organisaties gebruiken, zelf als de namen voor niveaus op elkaar lijken. Bovendien kan de classificatie van informatie die tussen organisaties wordt getransporteerd verschillen, afhankelijk van de context ervan binnen elke organisatie, zelfs als de organisaties dezelfde classificatieschema's gebruiken. Daarom behoren overeenkomsten met andere organisaties waarin het delen van informa- tie voorkomt, procedures te bevatten voor het identificeren van de classificatie van die informa- tie en voor het interpreteren van de classificatieni- veaus van andere organisaties. De overeenstem- ming tussen verschillende schema's kan worden vastgesteld door te zoeken naar gelijkwaardigheid in de gerelateerde methoden voor hantering en bescherming.</p></th>
<th><p>gevoelig zijn (bijvoorbeeld het verschil tussen een psychische episode van tien jaar geleden in verge- lijking met een actuele episode), terwijl andere ge- gevens meer gevoelig kunnen worden. Persoons- gegevens kunnen ook worden verstrekt met gege- vens uit andere bronnen, waardoor de classificatie ervan verandert. Bovendien kan bepaalde per- soonlijke gezondheidsinformatie op andere perso- nen duiden: bijvoorbeeld familieleden waar het genetica betreft, of personen met betrekking tot leed dat zij hebben veroorzaakt (bijvoorbeeld in geval van kindermisbruik).</p>
<p>Persoonlijke gezondheidsinformatie, die in zijn ge- heel behoort te worden geclassificeerd, kan ook afkomstig kan zijn van draagbare apparatuur ('wearable technology'), implantaten en andere medische apparaten.</p></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Classificatie biedt personen die met informatie omgaan, een beknopte indicatie van hoe deze te behandelen en te beschermen. Het aanmaken van informatiegroepen met gelijksoortige bescher- mingsbehoeften en het specificeren van informa- tiebeveiligingsprocedures die gelden voor alle informatie in elke groep, vergemakkelijken dit.</p>
<p>Deze aanpak vermindert de behoefte aan</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>afzonderlijke risicobeoordeling en speciaal ont- worpen beheersmaatregelen.</p>
<p>Het is mogelijk dat informatie na verloop van tijd niet meer gevoelig of essentieel is. Als de informa- tie bijvoorbeeld openbaar is gemaakt, gelden er niet langer vertrouwelijkheidseisen voor, maar kan het nog steeds nodig zijn deze vanwege de integriteits- en beschikbaarheidseigenschappen ervan te beschermen. Met deze aspecten behoort rekening te worden gehouden omdat overclassifi- catie kan leiden tot het implementeren van onno- dige beheersmaatregelen, wat resulteert in extra kosten, terwijl onderclassificatie kan leiden tot on- voldoende beheersmaatregelen om de informatie tegen compromittering te beschermen.</p>
<p>Bij wijze van voorbeeld kan een classificatie- schema betreffende de vertrouwelijkheid van in- formatie worden gebaseerd op de volgende vier niveaus:</p>
<ol type="a">
<li><p>openbaarmaking veroorzaakt geen schade;</p></li>
<li><p>openbaarmaking veroorzaakt geringe reputa- tieschade of een geringe operationele impact;</p></li>
<li><p>openbaarmaking heeft een kortdurende signifi- cante impact op de operationele of bedrijfs- doelstellingen;</p></li>
<li><p>openbaarmaking heeft een ernstige impact op de langetermijnbedrijfsdoelstellingen of brengt het voortbestaan van de organisatie in gevaar.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Labelen van informatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td>#Informatiebe- scherming</td>
<td>#Verdediging #Bescherming</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Om informatie te labelen behoort een passende reeks procedures te worden ontwikkeld en geïm- plementeerd in overeenstemming met het infor- matieclassificatieschema dat is vastgesteld door de organisatie.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Doel</strong></p>
<p>Het communiceren van de classificatie van infor- matie mogelijk maken en het automatiseren van informatieverwerking en -beheer ondersteunen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Richtlijn</strong></p>
<p>Procedures voor het labelen van informatie beho- ren te gaan over informatie en andere gerela- teerde bedrijfsmiddelen in alle formaten. De labe- ling behoort in overeenstemming te zijn met het classificatieschema vastgesteld in 5.12. De labels behoren gemakkelijk herkenbaar te zijn. De proce- dures behoren richtlijnen te geven over waar en hoe labels zijn bevestigd, rekening houdend met hoe de informatie wordt bereikt of hoe de be- drijfsmiddelen worden gehanteerd afhankelijk van de soorten opslagmedia. De procedures kun- nen het volgende definiëren:</p>
<ol type="a">
<li><p>gevallen waarin labelen niet wordt toegepast (bijv. bij niet-vertrouwelijke informatie, om de werklast te verminderen);</p></li>
<li><p>de manier van labelen van informatie die wordt verzonden door of opgeslagen op elektronische of fysieke middelen, of een ander formaat;</p></li>
<li><p>hoe om te gaan met gevallen waarin labelen niet mogelijk is (bijv. vanwege technische be- perkingen).</p></li>
</ol>
<p>Voorbeelden van labeltechnieken zijn:</p>
<ol type="a">
<li><p>fysieke labels;</p></li>
<li><p>kop- en voetteksten;</p></li>
<li><p>metagegevens;</p></li>
<li><p>watermerken;</p></li>
<li><p>rubberen stempels.</p></li>
</ol>
<p>Digitale informatie behoort gebruik te maken van metagegevens om informatie te identificeren, be- heren en beheersen, met name wat betreft ver- trouwelijkheid. Metagegevens behoren ook het doelmatig en correct zoeken naar informatie mo- gelijk te maken. Metagegevens behoren mogelijk te maken dat systemen interactie met elkaar heb- ben en op basis van de toegekende classificatiela- bels besluiten nemen.</p></td>
<td><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Niet alle gezondheidsinformatie is vertrouwelijk en niet alle gezondheidsinformatiesystemen bie- den gebruikers toegang tot persoonlijke gezond- heidsinformatie. Gebruikers van gezondheidsin- formatiesystemen behoren het te weten als de gegevens waartoe zij zich toegang verschaffen persoonlijke gezondheidsinformatie bevatten.</p>
<p>Er behoort rekening te worden gehouden met het informeren van gebruikers, bijv. telkens bij op- starten of inloggen. Het kan echter voldoende zijn deze informatie alleen te geven op het moment dat een bepaalde gebruiker zich voor het eerst toe- gang verschaft tot een systeem.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>De procedures behoren te beschrijven hoe meta- gegevens aan informatie worden gekoppeld, welke labels behoren te worden gebruikt en hoe gege- vens behoren te worden gehanteerd, in overeen- stemming met het informatiemodel en de ICT-ar- chitectuur van de organisatie.</p>
<p>Relevante aanvullende metagegevens behoren te worden toegevoegd door systemen wanneer ze informatie verwerken, afhankelijk van de informa- tiebeveiligingseigenschappen ervan.</p>
<p>Personeel en andere belanghebbenden behoren op de hoogte te worden gebracht van de labelpro- cedures. Al het personeel behoort de benodigde training te krijgen om te waarborgen dat informa- tie juist wordt gelabeld en dienovereenkomstig wordt behandeld.</p>
<p>Output van systemen die informatie bevatten die is geclassificeerd als gevoelig of essentieel, be- hoort een passend classificatielabel te dragen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Het labelen van geclassificeerde informatie is een belangrijke eis voor het delen van informatie.</p>
<p>Andere nuttige metagegevens die aan de informa- tie kunnen worden gekoppeld, zijn welk proces van de organisatie de informatie heeft aange- maakt, en op welk tijdstip.</p>
<p>Het labelen van informatie en andere gerelateerde bedrijfsmiddelen kan soms negatieve effecten hebben. Geclassificeerde bedrijfsmiddelen zijn ge- makkelijker te identificeren door kwaadwillenden, die daarvan mogelijk misbruik maken.</p>
<p>Bepaalde systemen voorzien individuele bestan- den of registraties in databases niet van labels met de classificatie, maar beschermen alle informatie op het hoogste classificatieniveau van de informa- tie die erin vervat is of mag zijn. Het is gebruikelijk in dergelijke systemen dat informatie wordt geïdentificeerd en vervolgens gelabeld op het moment van exporteren.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Overdragen van informatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Beheer_van_be- drijfsmiddelen #Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoren regels, procedures of overeenkomsten voor informatieoverdracht te zijn vastgesteld voor alle soorten van overdracht binnen de organisatie en tussen de organisatie en andere partijen.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Vóórdat enige overdracht plaatsvindt, behoren er regels, procedures en overeenkomsten te zijn in- gesteld.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Handhaven van de beveiliging van informatie die wordt uitgewisseld binnen een organisatie en met een externe belanghebbende.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>De beveiliging van informatieoverdracht gedu- rende de volledige levensduur ervan waarborgen.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>De organisatie behoort een onderwerpspecifiek beleid inzake de overdracht van informatie vast te stellen en aan alle relevante belanghebbenden mee te delen. Regels, procedures en overeenkom- sten om informatie die wordt overgedragen te beschermen, behoren de classificatie van de des- betreffende informatie te weerspiegelen. Wanneer informatie wordt overgedragen tussen de organi- satie en derden, behoren transportovereenkom- sten (met inbegrip van authenticatie van de ont- vanger) te worden vastgesteld en gehandhaafd om informatie in alle vormen tijdens overdracht te beschermen (zie 5.10).</p>
<p>Informatie kan worden overgedragen via elektro- nische overdracht, door fysieke opslagmedia over te dragen en via mondelinge overdracht.</p>
<p>Voor alle soorten van overdracht van informatie behoren de regels, procedures en overeenkomsten het volgende te omvatten:</p>
<p>a) beheersmaatregelen die ervoor zijn ontworpen om overgedragen informatie te beschermen tegen interceptie, toegang door onbevoegden, kopiëren, wijziging, foutieve routering, vernie- tiging en ‘denial of service’, met inbegrip van toegangsbeveiligingsniveaus die passend zijn bij de classificatie van de desbetreffende infor- matie en eventuele speciale beheersmaatrege- len die vereist zijn om gevoelige informatie te</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Organisaties behoren te waarborgen dat de bevei- liging van informatie-uitwisseling het onderwerp is van beleidsontwikkeling en van audits van de naleving. Cryptografische technieken behoren op passende wijze te worden gebruikt.</p>
<p>De beveiliging van informatie-uitwisseling kan sterk worden geholpen door gebruik te maken van overeenkomsten over informatie-uitwisseling waarin wordt voorgeschreven welke beheers- maatregelen minimaal moeten worden geïmple- menteerd. Dergelijke overeenkomsten binden beide (of meer) partijen die informatie uitwisse- len, terwijl regels en procedures in het algemeen alleen binnen één organisatie van toepassing zijn.</p>
<p>Er behoort beleid te zijn ingesteld dat waarborgt dat persoonlijke gezondheidsinformatie en andere vertrouwelijke informatie die wordt uitgewisseld via e-mail, instant messaging of in een andere vorm beveiligd is of, indien voldoende beveiliging niet mogelijk is, helemaal niet via deze kanalen wordt uitgewisseld.</p>
<p>Dit is uitgewerkt in NEN 7512.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>beschermen, zoals het gebruik van cryptografi- sche technieken (zie 8.24);</p>
</blockquote>
<ol start="2" type="a">
<li><p>beheersmaatregelen om de traceerbaarheid en onweerlegbaarheid te waarborgen, met inbe- grip van het in stand houden van een bewa- kingsketen voor informatie tijdens het overdra- gen;</p></li>
<li><p>identificatie van passende contactpersonen met betrekking tot het overdragen, met inbe- grip van de eigenaren van de informatie, risico- eigenaren, beveiligingsfunctionarissen en be- heerders van informatie, voor zover van toe- passing;</p></li>
<li><p>verantwoordelijkheden en aansprakelijkheden in geval van informatiebeveiligingsincidenten, zoals verlies van fysieke opslagmedia of gege- vens;</p></li>
<li><p>gebruik van een afgesproken labelsysteem voor gevoelige of essentiële informatie dat waar- borgt dat de betekenis van de labels meteen duidelijk is en dat de informatie passend is be- schermd (zie 5.13);</p></li>
<li><p>betrouwbaarheid en beschikbaarheid van de overdrachtdienst;</p></li>
<li><p>het onderwerpspecifieke beleid of richtlijnen over aanvaardbaar gebruik van overdragen van informatiefaciliteiten (zie 5.10);</p></li>
<li><p>richtlijnen voor het bewaren en verwijderen van alle bedrijfsregistraties, met inbegrip van berichten;</p></li>
</ol>
<blockquote>
<p>OPMERKING Er kan lokale wet- en regelgeving bestaan inzake het bewaren en verwijderen van be- drijfsregistraties.</p>
</blockquote>
<ol start="9" type="a">
<li><p>aandacht voor andere relevante eisen van wet- en regelgeving, statutaire en contractuele eisen (zie 5.31, 5.32, 5.33, 5.34) in verband met het overdragen van informatie (bijv. eisen voor elektronische handtekeningen).</p></li>
</ol>
<p><u>Elektronisch transport</u></p>
<p>In regels, procedures en overeenkomsten behoort ook rekening te worden gehouden met de vol- gende punten bij het gebruik van elektronische</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>communicatiefaciliteiten voor het overdragen van informatie:</p>
<ol type="a">
<li><p>het detecteren van en beschermen tegen mal- ware die kan worden overgebracht door het gebruik van elektronische communicatie (zie 8.7);</p></li>
<li><p>bescherming van als bijlage gecommuniceerde gevoelige elektronische informatie;</p></li>
<li><p>het voorkómen dat documenten en berichten in mededelingen naar het verkeerde adres of nummer worden gestuurd;</p></li>
<li><p>het verkrijgen van toestemming voorafgaand aan het gebruiken van externe openbare dien- sten zoals instant messaging, sociale netwer- ken, het delen van bestanden of opslag in de cloud;</p></li>
<li><p>sterkere authenticatieniveaus bij het overdra- gen van informatie via openbaar toegankelijke netwerken;</p></li>
<li><p>beperkingen die samenhangen met het gebruik van elektronische communicatiefaciliteiten (bijv. het geautomatiseerd doorsturen van e- mail naar externe e-mailadressen voorkomen);</p></li>
<li><p>personeel en andere belanghebbenden advise- ren geen berichten met essentiële informatie via sms of andere vormen van instant messa- ging te verzenden, aangezien deze op openbare plekken (en derhalve door onbevoegden) kun- nen worden gelezen of kunnen worden opge- slagen op apparaten die niet afdoende zijn be- schermd;</p></li>
<li><p>personeel en andere belanghebbenden infor- meren over problemen in verband met het ge- bruiken van faxapparatuur of -diensten, name- lijk:</p>
<ol type="1">
<li><p>onbevoegde toegang tot ingebouwde berich- tenboxen om berichten op te vragen;</p></li>
<li><p>opzettelijk of onbedoeld programmeren van machines, waardoor berichten naar be- paalde nummers worden gestuurd.</p></li>
</ol></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><u>Fysiek overdragen van opslagmedia</u></p>
<p>Bij het overdragen van fysieke opslagmedia, waar- onder papier, behoort in de regels, procedures en overeenkomsten ook te zijn voorzien in:</p>
<ol type="a">
<li><p>verantwoordelijkheden voor het beheersen en notificeren van overdracht, verzending en ont- vangst;</p></li>
<li><p>het garanderen van correcte adressering en overdracht van het bericht;</p></li>
<li><p>verpakking die de inhoud beschermt tegen fy- sieke schade waarvan aannemelijk is dat deze zich kan voordoen tijdens het overdragen en overeenkomstig de specificaties van fabrikan- ten, bijv. verpakking die bescherming biedt te- gen omgevingsfactoren die de doeltreffendheid kunnen verminderen van het herstellen van opslagmedia, zoals blootstelling aan warmte, vocht of elektromagnetische velden; met ge- bruikmaking van de minimale technische nor- men voor verpakking en verzending (bijv. het gebruik van ondoorzichtige enveloppen);</p></li>
<li><p>een door het management goedgekeurde lijst van goedgekeurde betrouwbare koeriers;</p></li>
<li><p>koeriersidentificatienormen;</p></li>
<li><p>afhankelijk van het classificatieniveau van de informatie in of op de over te dragen opslagme- dia, de toepassing van beheersmaatregelen waardoor manipulatie duidelijk wordt aange- toond of die tegen manipulatie bestendig zijn (bijv. tassen, containers);</p></li>
<li><p>procedures om de identificatie van koeriers te verifiëren;</p></li>
<li><p>een goedgekeurde lijst van derden die ver- voers- of koeriersdiensten verlenen, afhanke- lijk van de classificatie van de informatie;</p></li>
<li><p>het bijhouden van registraties die de inhoud van de opslagmedia en de toegepaste bescher- ming identificeren, een lijst bevatten van be- voegde ontvangers waarin ook wordt vastge- legd hoe vaak de media zijn overgedragen naar de beheerder en in ontvangst zijn genomen op de plaats van bestemming.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><u>Mondelinge overdracht</u></p>
<p>Om de mondelinge overdracht van informatie te beschermen, behoren personeel en andere belang- hebbenden eraan te worden herinnerd dat zij:</p>
<ol type="a">
<li><p>geen vertrouwelijke mondelinge gesprekken behoren te voeren op openbare plekken of via onveilige communicatiekanalen, aangezien deze door onbevoegden kunnen worden afge- luisterd;</p></li>
<li><p>geen berichten die vertrouwelijke informatie bevatten, behoren achter te laten op antwoord- apparaten of als spraakbericht, omdat deze kunnen worden afgespeeld door onbevoegde personen, op gemeenschappelijke systemen kunnen worden opgeslagen of onjuist kunnen worden opgeslagen als gevolg van foutieve nummerkeuze;</p></li>
<li><p>op het juiste niveau behoren te zijn gescreend om naar het gesprek te mogen luisteren;</p></li>
<li><p>behoren te waarborgen dat passende beheers- maatregelen voor de ruimte zijn geïmplemen- teerd (bijv. geluidsdichtheid, dichte deur);</p></li>
<li><p>gevoelige gesprekken altijd behoren te begin- nen met een disclaimer zodat de aanwezigen het classificatieniveau kennen van wat ze gaan horen en eventuele eisen met betrekking tot de omgang ermee.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Toegangsbeveiliging

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p></td>
<td>#Bescherming</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoren regels op basis van bedrijfs- en infor- matiebeveiligingseisen te worden vastgesteld en geïmplementeerd om de fysieke en logische toe- gang tot informatie en andere gerelateerde be- drijfsmiddelen te beheersen.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Er behoort beleid voor op rollen gebaseerde toe- gangsbeveiliging te gelden voor de toegang tot persoonlijke gezondheidsinformatie.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Doel</strong></p>
<p>Toegang voor bevoegden bewerkstelligen en toe- gang voor onbevoegden tot informatie en andere gerelateerde bedrijfsmiddelen voorkomen.</p></th>
<th><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>Toegang op basis van op gedegen wijze vastge- stelde rollen waarborgen.</p></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Richtlijn</strong></p>
<p>Eigenaren van informatie en andere gerelateerde bedrijfsmiddelen behoren informatiebeveiligings- en bedrijfseisen met betrekking tot toegangsbe- veiliging vast te stellen. Er behoort onderwerpspe- cifiek beleid inzake toegangsbeveiliging te worden gedefinieerd waarin rekening wordt gehouden met deze eisen en dit behoort naar alle desbetref- fende belanghebbenden te worden gecommuni- ceerd.</p>
<p>Bij deze eisen en het onderwerpspecifieke beleid behoort rekening te worden gehouden met het volgende:</p>
<ol type="a">
<li><p>vaststellen voor welke entiteiten welke soort toegang tot de informatie en andere gerela- teerde bedrijfsmiddelen vereist is;</p></li>
<li><p>beveiliging van toepassingen (zie 8.26);</p></li>
<li><p>fysieke toegang waarvoor ondersteuning door passende fysieke toegangsbeveiligingsmaatre- gelen nodig is (zie 7.2, 7.3, 7.4);</p></li>
<li><p>regels voor informatieverspreiding en -autori- satie (bijv. het ‘need-to-know’-principe), infor- matiebeveiligingsniveaus en -classificatie (zie 5.10, 5.12, 5.13);</p></li>
<li><p>beperkingen op speciale toegangsrechten (zie 8.2);</p></li>
<li><p>functiescheiding (zie 5.3);</p></li>
<li><p>relevante wet- en regelgeving en contractuele verplichtingen met betrekking tot het beperken van de toegang tot gegevens of diensten (zie 5.31, 5.32, 5.33, 5.34, 8.3);</p></li>
<li><p>scheiding van toegangsbeveiligingsfuncties (bijv. toegangsverzoek, -autorisatie, -admi- nistratie);</p></li>
<li><p>formele autorisatie voor verzoeken om toegang (zie 5.16 en 5.18);</p></li>
<li><p>het beheer van toegangsrechten (zie 5.18);</p></li>
<li><p>registratie (zie 8.15).</p></li>
</ol>
<p>Er behoren regels voor toegangsbeveiliging te worden geïmplementeerd door passende toe- gangsrechten en -beperkingen voor de</p></td>
<td><p><strong>Zorgspecifieke richtlijn</strong></p>
<p><u>Op rollen gebaseerde toegangsbeveiliging</u></p>
<p>Het beleid voor op rollen gebaseerde toegang be- hoort:</p>
<ol type="a">
<li><p>te zijn vastgesteld op basis van vooraf gedefini- eerde rollen met bijbehorende bevoegdheden die passen bij, maar beperkt zijn tot, de behoef- ten van die rol;</p></li>
<li><p>professionele, ethische, juridische en zorgont- vanger-gerelateerde eisen te weerspiegelen, en</p></li>
<li><p>de taken die worden uitgevoerd door beroeps- beoefenaren in de gezondheidszorg of andere geautoriseerde medewerkers en de workflow van de taak in aanmerking te nemen.</p></li>
</ol>
<p><u>Beheersing van toegang tot persoonlijke gezond-</u> <u>heidsinformatie</u></p>
<p>Toegang tot persoonlijke gezondheidsinformatie behoort te worden beheerst. In het algemeen be- horen de gebruikers van gezondheidsinformatie- systemen hun toegang tot persoonlijke gezond- heidsinformatie te beperken tot situaties:</p>
<ol type="a">
<li><p>waarin de gebruiker deel uitmaakt van het be- handelteam van de persoon waarop de gege- vens betrekking hebben (de zorgontvanger tot wiens persoonlijke gezondheidsinformatie er toegang wordt gemaakt);</p></li>
<li><p>waarin de gebruiker een activiteit uitvoert na- mens de persoon waarop de gegevens betrek- king hebben;</p></li>
<li><p>waarin er specifieke gegevens nodig zijn om deze activiteit te ondersteunen.</p></li>
</ol>
<p>Om te voorkomen dat de levering van gezond- heidszorg wordt vertraagd of anderszins negatief wordt beïnvloed, kunnen een duidelijk beleid en proces met de bijbehorende autorisatie nodig zijn om de “normale” regels voor toegangsbeveiliging in noodsituaties opzij te zetten (dit wordt in het Engels soms aangeduid als “break the glass”).</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>desbetreffende entiteiten te definiëren en toe te wijzen (zie 5.16). Een entiteit kan zowel staan voor een menselijke gebruiker, als voor een tech- nisch of logisch object (bijv. een machine, apparaat of dienst). Om het toegangsbeveiligingsbeheer te vereenvoudigen, kunnen er specifieke rollen aan groepen entiteiten worden toegewezen.</p>
<p>Bij het definiëren en implementeren van regels voor toegangsbeveiliging behoort rekening te worden gehouden met het volgende:</p>
<ol type="a">
<li><p>consistentie tussen de toegangsrechten en de informatieclassificatie;</p></li>
<li><p>consistentie tussen de toegangsrechten en de behoeften en eisen met betrekking tot de fy- sieke beveiliging van de buitengrenzen;</p></li>
<li><p>het in aanmerking nemen van alle soorten be- schikbare verbindingen in gedistribueerde om- gevingen zodat entiteiten alleen toegang krij- gen tot informatie en andere gerelateerde be- drijfsmiddelen, waaronder netwerken en net- werkdiensten waarvoor zij als gebruiker be- voegd zijn;</p></li>
<li><p>het overwegen hoe elementen of factoren die relevant zijn voor dynamische toegangsbeveili- ging kunnen worden weergegeven.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Er worden vaak overkoepelende principes ge- bruikt in de toegangsbeveiligingscontext. Twee van de meest gebruikte principes zijn:</p>
<ol type="a">
<li><p>‘need-to-know’: een entiteit krijgt alleen toe- gang tot de informatie die de entiteit in kwestie nodig heeft voor het uitvoeren van zijn functies (verschillende functies of rollen betekenen ver- schillende ‘need-to-know’-informatie en daar- door verschillende toegangsprofielen);</p></li>
<li><p>noodzaak tot gebruik (‘need-to-use’): een enti- teit krijgt alleen toegang tot de informatietech- nologie-infrastructuur indien daarvoor een dui- delijke noodzaak bestaat.</p></li>
</ol>
<p>Bij het opstellen van regels voor toegangsbeveili- ging behoort aandacht te worden besteed aan het volgende:</p>
<ol type="a">
<li><p>het vaststellen van regels gebaseerd op de vooronderstelling van het ‘least privilege’</p></li>
</ol></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Zie ook 5.34 over aanvullende privacyoverwegin- gen die de toegang tot persoonlijke gezondheids- informatie kunnen beperken en naarmate passend is behoren te worden opgenomen in het beleid in- zake toegangsbeveiliging.</p>
<p>De ISO 22600-reeks geeft verdere informatie over toegangsbeveiliging binnen medische informatica.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>(minste rechten): ‘Alles is in principe verboden tenzij het uitdrukkelijk is toegelaten’, in plaats van de zwakkere regel ‘Alles is in principe toe- gelaten tenzij het uitdrukkelijk is verboden’;</p>
</blockquote>
<ol start="2" type="a">
<li><p>wijzigingen in informatielabels (zie 5.13) die automatisch door informatieverwerkende faci- liteiten worden aangebracht, en wijzigingen die naar keuze van de gebruiker worden aange- bracht;</p></li>
<li><p>wijzigingen in toegangsrechten voor gebrui- kers die automatisch door het informatiesys- teem worden aangebracht, en wijzigingen die door een beheerder worden aangebracht;</p></li>
<li><p>de momenten van het definiëren en regelmatig beoordelen van de goedkeuring.</p></li>
</ol>
<p>Regels voor toegangsbeveiliging behoren te wor- den ondersteund door formele procedures (zie 5.16, 5.17, 5.18, 8.2, 8.3, 8.4, 8.5, 8.18) en gedefini-</p>
<p>eerde verantwoordelijkheden (zie 5.2, 5.17).</p>
<p>Er zijn diverse manieren om toegangsbeveiliging te implementeren, waaronder MAC (‘mandatory access control’ - verplichte toegangsbeveiliging), DAC (‘discretionary access control’ - discretionaire toegangsbeveiliging), RBAC (‘role-based access control’ - op rollen gebaseerde toegangsbeveili- ging) en ABAC (‘attribute-based access control’ - op attributen gebaseerde toegangsbeveiliging).</p>
<p>Regels voor toegangsbeveiliging kunnen ook dy- namische elementen bevatten (bijv. een functie die toegangsinstanties uit het verleden of speci- fieke omgevingswaarden beoordeelt). Regels voor toegangsbeveiliging kunnen met verschillende granulariteit worden geïmplementeerd, uiteenlo- pend van het afdekken van volledige netwerken of systemen tot specifieke gegevensvelden, en hierbij kunnen ook eigenschappen zoals de locatie van de gebruiker of het soort netwerkverbinding dat voor de toegang wordt gebruikt, in aanmerking worden genomen. Deze principes, evenals de wijze waarop granulaire toegangsbeveiliging wordt gedefini- eerd, kunnen een aanmerkelijk kosteneffect heb- ben. Strengere regels en meer granulariteit leiden doorgaans tot hogere kosten. Aan de hand van be- drijfseisen en risico-overwegingen behoort te worden gedefinieerd welke regels voor toegangs- beveiliging worden toegepast en welke granulari- teit vereist is.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Identiteitsbeheer

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p></td>
<td>#Bescherming</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De volledige levenscyclus van identiteiten behoort te worden beheerd.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Gebruikers die toegang willen hebben tot per- soonlijke gezondheidsinformatie en andere ver- trouwelijke informatie, behoren formeel te zijn ge- registreerd.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De unieke identificatie van personen en systemen die toegang hebben tot de informatie en andere gerelateerde bedrijfsmiddelen van de organisatie, en een juiste toewijzing van toegangsrechten mo- gelijk maken.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>Waarborgen dat aan elk individu een correcte ge- bruikersidentiteit wordt toegewezen.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De processen die worden gebruikt in de context van identiteitsbeheer, behoren te bewerkstelligen dat:</p>
<ol type="a">
<li><p>indien identiteiten aan personen zijn toegewe- zen, een specifieke identiteit slechts aan één persoon wordt gekoppeld zodat de persoon ertoe kan worden gehouden rekenschap af te leggen voor met deze specifieke identiteit ver- richte handelingen;</p></li>
<li><p>aan meer personen toegewezen identiteiten (bijv. gedeelde identiteiten) alleen zijn toege- staan wanneer ze om zakelijke of operationele redenen nodig zijn en ze aan speciale goedkeu- ring en documentatie worden onderworpen;</p></li>
<li><p>naar behoren gescheiden goedkeuring en onaf- hankelijk lopend toezicht wordt uitgeoefend in- dien identiteiten aan niet-menselijke entiteiten zijn toegewezen;</p></li>
<li><p>identiteiten tijdig gedeactiveerd of verwijderd worden als ze niet meer nodig zijn (bijv. als de gerelateerde entiteiten worden verwijderd of niet langer worden gebruikt of als de aan een identiteit gekoppelde persoon de organisatie heeft verlaten of van rol is veranderd);</p></li>
<li><p>in een specifiek domein één enkele identiteit aan één enkele entiteit wordt gekoppeld [d.w.z. dat wordt vermeden dat meerdere identiteiten binnen dezelfde context aan dezelfde entiteit worden gekoppeld (dubbele identiteiten)];</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Het registratieproces behoort strenge controles te omvatten om ervoor te zorgen dat identiteiten die aan gebruikers worden toegewezen, onderworpen zijn aan de juiste authenticatie en dat hun toe- gangsrechten consistent zijn met hun rollen.</p>
<p>Het registratieproces behoort, waar van toepas- sing, al het volgende te omvatten:</p>
<ol type="a">
<li><p>controleren of de persoon is wie hij/zij beweert te zijn;</p></li>
<li><p>verificatie van de professionele kwalificaties van de persoon, inclusief of deze momenteel gel- dig zijn;</p></li>
<li><p>nauwgezette vastlegging van de informatie die aan de persoon is gekoppeld;</p></li>
<li><p>toewijzing van een unieke en ondubbelzinnige gebruikersidentiteit.</p></li>
</ol>
<p>Voor personeel dat nieuw is bij een organisatie, behoren persoonsgegevens, zoals naam, geboorte- datum, te worden gecontroleerd aan de hand van een geschikt document zoals een paspoort, tenzij dit is gedaan als onderdeel van het screeningpro- ces (zie 6.1 voor meer informatie).</p>
<blockquote>
<p>Het registratieproces behoort verschillende soor- ten gebruikers te accommoderen, waaronder zorgprofessionals, ICT-personeel met verhoogde rechten, zorgvragers en hun ondersteunende</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>f) registraties worden bijgehouden van alle be- langrijke gebeurtenissen betreffende het ge- bruik en het beheer van gebruikersidentiteiten en authenticatie-informatie.</p>
<p>De organisatie behoort een ondersteunend proces te hebben ingesteld voor het omgaan met veran- deringen aan informatie met betrekking tot ge- bruikersidentiteiten. Deze processen kunnen het opnieuw verifiëren van vertrouwde documenten met betrekking tot een persoon omvatten.</p>
<p>Wanneer gebruik wordt gemaakt van door derden verstrekte of uitgegeven identiteiten (bijv. toe- gangsgegevens voor sociale media), behoort de or- ganisatie te bewerkstelligen dat deze identiteiten van derden de vereiste mate van vertrouwen bie- den en dat eventueel daarmee samenhangende ri- sico's bekend zijn en voldoende worden behan- deld. Dit kan beheersmaatregelen in verband met de derden (zie 5.19) alsmede beheersmaatregelen in verband met gerelateerde authenticatie-infor- matie (zie 5.17) omvatten.</p></th>
<th>begeleiders, die allemaal verschillende registratie- vereisten hebben.</th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Het verlenen of intrekken van toegang tot infor- matie en andere gerelateerde bedrijfsmiddelen is doorgaans een meerstapsprocedure:</p>
<ol type="a">
<li><p>het bevestigen van de zakelijke eisen voor het vaststellen van een identiteit;</p></li>
<li><p>het verifiëren van de identiteit van een entiteit alvorens deze een logische identiteit toe te ken- nen;</p></li>
<li><p>het vaststellen van een identiteit;</p></li>
<li><p>het configureren en activeren van de identiteit. Dit omvat ook het configureren en initieel in- stellen van gerelateerde authenticatiediensten;</p></li>
<li><p>het verlenen of intrekken van specifieke toe- gangsrechten aan de identiteit, op basis van passende beslissingen over autorisatie of rech- ten (zie 5.18).</p></li>
</ol></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Het kan nuttig zijn om identiteitsbeheer te coördi- neren met activiteiten met betrekking tot fysieke beveiliging. Een voorbeeld is de toewijzing van be- veiligingspassen die de toegang tot kamers of loca- ties regelen. Een ander voorbeeld is de toewijzing van identiteitsbadges of -passen.</p></td>
</tr>
</tbody>
</table>

##### Authenticatie-informatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p></td>
<td>#Bescherming</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De toewijzing en het beheer van authenticatie-in- formatie behoort te worden beheerst door middel van een beheerproces waarvan het adviseren van het personeel over de juiste manier van omgaan met authenticatie-informatie deel uitmaakt.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Goede authenticatie bewerkstelligen en fouten van authenticatieprocessen voorkomen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Toewijzing van authenticatie-informatie</u></p>
<p>Het toewijzings- en beheerproces behoort te be- werkstelligen dat:</p>
<ol type="a">
<li><p>tijdens inschrijfprocessen automatisch gegene- reerde persoonlijke wachtwoorden of pincodes als tijdelijke geheime authenticatie informatie niet geraden kunnen worden en gebruikers deze na het eerste gebruik moeten wijzigen;</p></li>
<li><p>er procedures worden vastgesteld om de iden- titeit van een gebruiker vast te stellen voordat nieuwe, vervangende of tijdelijke authenticatie- informatie wordt verstrekt;</p></li>
<li><p>authenticatie-informatie, met inbegrip van tij- delijke authenticatie-informatie, op een bevei- ligde manier aan de gebruikers wordt verzon- den (bijv. via een geauthenticeerd en be- schermd kanaal) en het gebruik van onbe- schermde (onversleutelde) e-mailberichten voor dit doel wordt vermeden;</p></li>
<li><p>gebruikers de ontvangst van authenticatie-in- formatie bevestigen;</p></li>
<li><p>standaard authenticatie-informatie zoals vooraf gedefinieerd of door verkopers ver- strekt onmiddellijk na het installeren van sys- temen of software wordt gewijzigd;</p></li>
<li><p>registraties van belangrijke gebeurtenissen in verband met de toewijzing en het beheer van authenticatie-informatie worden bewaard en</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Door tijdsdruk die wordt ondervonden in situaties waar gezondheidszorg wordt verleend kan het doeltreffende gebruik van wachtwoorden lastig zijn. Gezondheidsorganisaties behoren in derge- lijke gevallen het invoeren van alternatieve au- thenticatietechnologieën met het oog op dit probleem in overweging te nemen. Zie ook 8.5.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th style="text-align: left;"><blockquote>
<p>de vertrouwelijkheid ervan gewaarborgd is, en dat de registratiemethode is goedgekeurd (bijv. met behulp van een goedgekeurd wachtwoord- kluisinstrument).</p>
</blockquote>
<p><u>Verantwoordelijkheden van gebruikers</u></p>
<p>Elke persoon die toegang heeft tot of gebruik- maakt van authenticatie-informatie, behoort erop te worden gewezen ervoor te zorgen dat:</p>
<ol type="a">
<li><p>geheime authenticatie-informatie zoals wacht- woorden geheim wordt gehouden. Persoonlijke geheime authenticatie-informatie mag niet met anderen worden gedeeld. Geheime authentica- tie-informatie die wordt gebruikt in de context van identiteiten die zijn gekoppeld aan meer gebruikers of aan niet-persoonlijke entiteiten, wordt uitsluitend gedeeld met bevoegden.</p></li>
<li><p>aangetaste of gecompromitteerde authentica- tie-informatie wordt gewijzigd onmiddellijk na kennisgeving ervan of na andere aanwijzingen dat deze is gecompromitteerd;</p></li>
<li><p>wanneer wachtwoorden als authenticatie-in- formatie worden gebruikt, er sterke wacht- woorden volgens aanbevelingen aan de hand van ‘best practices’ worden gekozen, bijvoor- beeld:</p>
<ol type="1">
<li><p>wachtwoorden worden niet gebaseerd op gegevens die iemand anders gemakkelijk met behulp van persoonsgerelateerde infor- matie (zoals namen, telefoonnummers en ge- boortedata) kan raden of achterhalen;</p></li>
<li><p>wachtwoorden worden niet gebaseerd op woordenboekwoorden of combinaties daar- van;</p></li>
<li><p>gebruik gemakkelijk te onthouden wachtzin- nen en probeer daarin alfanumerieke en speciale tekens te gebruiken;</p></li>
<li><p>wachtwoorden hebben een minimumlengte;</p></li>
</ol></li>
<li><p>een en hetzelfde wachtwoord niet voor ver- schillende diensten en op verschillende sys- temen wordt gebruikt;</p></li>
<li><p>de verplichting om deze regels na te leven ook wordt opgenomen in de arbeidsovereenkomst (zie 6.2);</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th style="text-align: left;"><p><u>Systeem voor wachtwoordbeheer</u></p>
<p>Wanneer wachtwoorden worden gebruikt als au- thenticatie-informatie, behoort het wachtwoord- beheersysteem:</p>
<ol type="a">
<li><p>gebruikers de mogelijkheid te bieden hun eigen wachtwoord te kiezen en te wijzigen, en een bevestigingsprocedure te bevatten om foutieve invoer te adresseren;</p></li>
<li><p>sterke wachtwoorden af te dwingen volgens aanbevelingen aan de hand van ‘best practices’ [zie c) van ‘Verantwoordelijkheden van gebrui- kers’];</p></li>
<li><p>gebruikers te dwingen hun wachtwoord bij het eerste inloggen te wijzigen;</p></li>
<li><p>af te dwingen dat wachtwoorden worden gewijzigd wanneer dat nodig is, bijv. na een beveiligingsincident of bij beëindiging of wijzi- ging van dienstverband wanneer een gebruiker beschikt over bekende wachtwoorden voor identiteiten die actief blijven (bijv. gedeelde identiteiten);</p></li>
<li><p>het hergebruik van eerdere wachtwoorden te voorkomen;</p></li>
<li><p>het gebruik van veelgebruikte wachtwoorden en gecompromitteerde gebruikersnamen, wachtwoordcombinaties uit gehackte systemen te voorkomen;</p></li>
<li><p>wachtwoorden niet op het scherm te tonen als ze worden ingevoerd;</p></li>
<li><p>wachtwoorden in beschermde vorm op te slaan en te versturen.</p></li>
</ol>
<p>Wachtwoordversleuteling en hashing behoren te worden uitgevoerd volgens goedgekeurde crypto- grafische technieken voor wachtwoorden (zie 8.24).</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Wachtwoorden of wachtzinnen zijn een algemeen gebruikt type authenticatie-informatie en zijn een gebruikelijk middel om de identiteit van een ge- bruiker te verifiëren. Andere typen authenticatie- informatie zijn cryptografische sleutels en andere</p>
<p>gegevens die zijn opgeslagen op hardwaretokens (bijv. chipkaarten) die authenticatiecodes</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>produceren. en biometrische gegevens zoals iris- scans of vingerafdrukken. Aanvullende informatie is te vinden in de ISO/IEC 24760-reeks.</p>
<p>Verplichten dat wachtwoorden vaak worden ge- wijzigd kan een probleem zijn, aangezien gebrui- kers geïrriteerd kunnen raken door de frequente wijzigingen, nieuwe wachtwoorden kunnen verge- ten, ze op onveilige plaatsen kunnen noteren, of onveilige wachtwoorden kunnen kiezen. Als ‘Sin- gle Sign On’ (SSO) of andere authenticatie- beheerinstrumenten (bijv. wachtwoordkluizen) beschikbaar worden gesteld, vermindert dat de hoeveelheid authenticatie-informatie die gebrui- kers moeten beschermen, waardoor de doeltref- fendheid van deze beheersmaatregel kan toene- men. Echter, deze instrumenten kunnen ook de impact van openbaarmaking van authenticatie-in- formatie vergroten.</p>
<p>Bepaalde toepassingen vereisen dat wachtwoor- den voor gebruikers door een onafhankelijke in- stantie worden toegewezen. In dergelijke gevallen zijn de punten a), c) en d) van ‘Systeem voor wachtwoordbeheer’ niet van toepassing.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Toegangsrechten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 10%" />
<col style="width: 15%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td><blockquote>
<p>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</p>
</blockquote></td>
<td colspan="2"><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p></td>
<td>#Bescherming</td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Toegangsrechten voor informatie en andere gere- lateerde bedrijfsmiddelen behoren te worden ver- strekt, beoordeeld, aangepast en verwijderd over- eenkomstig het onderwerpspecifieke beleid en de regels inzake toegangsbeveiliging van de organisa- tie.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat de toegang tot informatie en andere gerelateerde bedrijfsmiddelen wordt vast- gesteld en goedgekeurd overeenkomstig de be- drijfseisen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Verlenen en intrekken van toegangsrechten</u></p>
<p>De procedure voor het toewijzen of intrekken van fysieke en logische toegangsrechten aan de</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p><u>Overweging voorafgaand aan een wijziging of</u> <u>beëindiging van rollen</u></p>
<p>Met name in grote ziekenhuizen hebben vaak grote aantallen personeel kortstondig toegang tot</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>geauthenticeerde identiteit van een entiteit be- hoort te omvatten:</p>
<ol type="a">
<li><p>autorisatie van de eigenaar van de informatie en andere gerelateerde bedrijfsmiddelen ver- krijgen voor het gebruik van de informatie en andere gerelateerde bedrijfsmiddelen (zie 5.9). De verlening van aparte goedkeuring voor toe- gangsrechten door het management kan ook passend zijn;</p></li>
<li><p>de bedrijfseisen en het onderwerpspecifieke beleid en de regels inzake toegangsbeveiliging van de organisatie in overweging nemen;</p></li>
<li><p>overwegen functies te scheiden, waaronder het scheiden van de rollen van goedkeuring en im- plementatie van de toegangsrechten en het scheiden van conflicterende rollen;</p></li>
<li><p>bewerkstelligen dat toegangsrechten worden ingetrokken wanneer iemand geen toegang meer nodig heeft tot de informatie en andere gerelateerde bedrijfsmiddelen, en met name bewerkstelligen dat toegangsrechten van ge- bruikers die de organisatie hebben verlaten, tij- dig worden ingetrokken;</p></li>
<li><p>overwegen tijdelijke toegangsrechten voor be- perkte duur te verlenen en deze op de afloop- datum in te trekken, met name voor tijdelijk personeel of indien slechts tijdelijk toegang vereist is voor het personeel;</p></li>
<li><p>verifiëren dat het toegekende toegangsniveau in overeenstemming is met de onderwerpspe- cifieke beleidsregels inzake toegangsbeveili- ging (zie 5.15) en aansluit op andere informa- tiebeveiligingseisen zoals functiescheiding (zie 5.3);</p></li>
<li><p>waarborgen dat toegangsrechten pas worden geactiveerd (bijv. door dienstverleners) nadat de autorisatieprocedures succesvol zijn afge- rond;</p></li>
<li><p>een centraal overzicht bijhouden van toegangs- rechten die aan een (logische of fysieke) ge- bruikersidentificatie zijn toegekend om toe- gang te verkrijgen tot informatie en andere ge- relateerde bedrijfsmiddelen;</p></li>
</ol></th>
<th><p>persoonlijke gezondheidsinformatie. Het beëindi- gen van de toegangsrechten van dergelijk perso- neel behoort zorgvuldig te worden beheerd. Voor- beelden van zulk personeel zijn studenten, stagi- airs en vervangers. Andere voorbeelden zijn uit- zendpersoneel of vergelijkbaar personeel, evenals vaste medewerkers die een rol of dienst van ie- mand anders overnemen.</p>
<p>Een ander belangrijk punt is dat veel transacties enige tijd na de zorggebeurtenis plaatsvinden (bijv. het aftekenen van medische transcripties) en soms vinden de transacties veel later plaats. Dit kan het proces van het tijdig verwijderen van toe- gangsrechten aanmerkelijk gecompliceerder ma- ken en met deze transacties behoort rekening te worden gehouden bij het ontwerpen en imple- menteren van procedures voor het verwijderen van toegangsrechten.</p>
<p>Er behoort rekening te worden gehouden met het onmiddellijk beëindigen van toegangsrechten na ontvangst of verzending van een ontslagbrief of een kennisgeving van ontslag, enz. als men dan van mening is dat het voortzetten van die toegang een verhoogd risico met zich meebrengt.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="9" type="a">
<li><p>de toegangsrechten aanpassen van gebruikers die van rol of functie zijn veranderd;</p></li>
<li><p>fysieke en logische toegangsrechten verwijde- ren of aanpassen, hetgeen kan worden gedaan door sleutels, authenticatie-informatie, ID- kaarten of abonnementen te verwijderen, in te trekken, te herroepen of te vervangen;</p></li>
<li><p>een registratie bijhouden van wijzigingen in de logische en fysieke toegangsrechten van ge- bruikers.</p></li>
</ol>
<p><u>Beoordeling van toegangsrechten</u></p>
<p>Bij het regelmatig beoordelen van fysieke en logi- sche toegangsrechten behoren de volgende aspec- ten in overweging te worden genomen:</p>
<ol type="a">
<li><p>de toegangsrechten van gebruikers na een ver- andering binnen dezelfde organisatie (bijv. ver- andering van functie, promotie, demotie) of be- eindiging van het dienstverband (zie 6.1 t/m 6.5);</p></li>
<li><p>autorisaties voor speciale toegangsrechten.</p></li>
</ol>
<p><u>Overweging voorafgaand aan een wijziging of</u> <u>beëindiging van het dienstverband</u></p>
<p>De toegangsrechten van een gebruiker tot infor- matie en gerelateerde bedrijfsmiddelen behoren te worden beoordeeld en aangepast of ingetrok- ken voorafgaand aan een wijziging aan of beëindi- ging van het dienstverband, op basis van de evalu- atie van risicofactoren zoals:</p>
<ol type="a">
<li><p>of de beëindiging of wijziging is geïnitieerd door de gebruiker of door het management en de reden voor de beëindiging;</p></li>
<li><p>de actuele verantwoordelijkheden van de ge- bruiker;</p></li>
<li><p>de waarde van de bedrijfsmiddelen die op dat moment toegankelijk zijn.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Er behoort op te worden gelet dat gebruikerstoe- gangsrollen worden vastgesteld op basis van be- drijfseisen die een aantal toegangsrechten samen- vatten in specifieke gebruikerstoegangsprofielen. Toegangsverzoeken en beoordelingen van toe- gangsrechten zijn gemakkelijker te beheren op het niveau van dergelijke rollen dan op het niveau van bijzondere rechten.</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>Er behoort op te worden gelet dat in personeels- en dienstencontracten bepalingen worden opge- nomen die sancties noemen voor personeel dat onbevoegde toegang probeert te verkrijgen (zie 5.20, 6.2, 6.4, 6.6).</p>
<p>Ingeval het management de beëindiging van het dienstverband heeft geïnitieerd, bestaat het risico dat ontevreden personeel of externe gebruikers opzettelijk informatie corrumperen of informatie- verwerkende faciliteiten saboteren. Personen die ontslag nemen of worden ontslagen, kunnen in de verleiding komen informatie te verzamelen voor toekomstig gebruik.</p>
<p>Klonen is een doelmatige manier waarop organi- saties toegang aan gebruikers kunnen toewijzen. Dit behoort echter met zorg te gebeuren, op basis van door de organisatie vastgestelde onderschei- den rollen, in plaats van een identiteit met alle ge- relateerde toegangsrechten zomaar te klonen. Aan het klonen is het inherente risico verbonden dat het leidt tot buitensporige toegangsrechten tot in- formatie en andere gerelateerde bedrijfsmiddelen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Informatiebeveiliging in leveranciersrelaties

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td><blockquote>
<p>#Beveiliging_in_ leveranciersrela- ties</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem #Bescher- ming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoren processen en procedures te worden vastgesteld en geïmplementeerd om de informa- tiebeveiligingsrisico’s in verband met het gebruik van producten of diensten van de leverancier te beheersen.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>De risico's in verband met toegang door externe partijen tot systemen of de gegevens die zij bevat- ten behoren te worden beoordeeld en beheers- maatregelen passend bij het geïdentificeerde ri- sico behoren te worden geïmplementeerd.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Een overeengekomen niveau van informatiebevei- liging in leveranciersrelaties in stand houden.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>De externe toegang van leveranciers tot systemen en gegevens beheren en beschermen.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort een onderwerpspecifiek beleid inzake leveranciersrelaties vast te stellen en aan alle relevante belanghebbenden mee te de- len.</p>
<p>De organisatie behoort processen en procedures te identificeren en te implementeren om de bevei- ligingsrisico's in verband met het gebruik van door leveranciers geleverde producten en</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Risicobeoordeling is essentieel voor het doeltref- fend beheren van de toegang door derden tot sys- temen die gezondheidsinformatie, met name per- soonlijke gezondheidsinformatie, bevatten.</p>
<p>Rechten van zorgontvangers behoren te worden beschermd, zelfs wanneer een derde met potenti- ele toegang tot persoonlijke gezondheids-informa- tie zich in een ander rechtsgebied bevindt dan het</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>diensten op te pakken. Dit behoort ook van toe- passing te zijn op het gebruik door de organisatie van middelen van aanbieders van clouddiensten. Deze processen en procedures behoren de door de organisatie te implementeren processen en proce- dures te omvatten, alsmede de processen en pro- cedures waarvan de organisatie vereist dat de le- verancier ze implementeert om te starten met het gebruik van de producten of diensten van een le- verancier of voor de beëindiging van het gebruik van de producten en diensten van een leverancier, zoals:</p>
<ol type="a">
<li><p>het vaststellen en documenteren van de soor- ten leveranciers, bijv. ICT-diensten, logistieke voorzieningen, financiële diensten, ICT-infra- structuurcomponenten die gevolgen kunnen hebben voor de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie van de organisatie;</p></li>
<li><p>het vaststellen hoe leveranciers worden geëva- lueerd en geselecteerd op basis van de gevoe- ligheid van informatie, producten en diensten (bijv. met marktanalyse, referenties van klan- ten, beoordeling van documenten, beoordelin- gen op locatie, certificeringen);</p></li>
<li><p>het evalueren en selecteren van producten of diensten van een leverancier met toereikende beheersmaatregelen voor informatiebeveili- ging en deze beoordelen; met name de juist- heid en volledigheid van de door de leverancier geïmplementeerde beheersmaatregelen die de integriteit van de informatie van, en de infor- matieverwerking door, de leverancier en daar- mee de informatiebeveiliging van de organisa- tie garanderen;</p></li>
<li><p>het definiëren van de informatie, ICT-diensten en fysieke infrastructuur van de organisatie waartoe leveranciers toegang hebben en die ze kunnen monitoren, beheersen of gebruiken;</p></li>
<li><p>het definiëren van de door leveranciers gele- verde soorten ICT-infrastructuurcomponenten en -diensten die van invloed kunnen zijn op de vertrouwelijkheid, integriteit en beschikbaar- heid van de informatie van de organisatie;</p></li>
<li><p>het beoordelen en beheersen van de informa- tiebeveiligingsrisico’s in verband met:</p></li>
</ol></th>
<th><p>rechtsgebied waaronder de zorgontvanger of de gezondheidsorganisatie valt.</p>
<p>Alle persoonlijke gezondheids- en andere vertrou- welijke informatie waartoe leveranciers om welke reden dan ook, met inbegrip van het leveren van clouddiensten, verwerking, ondersteuning, trainen of testen, toegang zouden kunnen hebben, behoort te zijn versleuteld.</p>
<p>Er behoort een combinatie van beleid en proces- sen en procedures te zijn om te waarborgen dat dit wordt bereikt en gemonitord. In bepaalde ge- vallen, bijvoorbeeld bij bepaalde medische appa- raten, is het niet mogelijk gegevens te versleutelen en behoren in plaats daarvan op een risicobeoor- deling gebaseerde beheersmaatregelen die dit compenseren te worden geïmplementeerd.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol type="1">
<li><p>het gebruik door leveranciers van de infor- matie en andere gerelateerde bedrijfsmid- delen van de organisatie, met inbegrip van risico's die uitgaan van mogelijk kwaadwil- lig personeel van de leverancier;</p></li>
<li><p>storingen of kwetsbaarheden van de door de leveranciers geleverde producten (met inbegrip van softwarecomponenten en sub- componenten die in deze producten wor- den gebruikt) of diensten;</p></li>
</ol>
<ol start="7" type="a">
<li><p>het monitoren van het voldoen aan vastge- stelde informatiebeveiligingseisen voor elke soort leverancier en elke soort toegang, met in- begrip van beoordeling van derden en product- validatie;</p></li>
<li><p>het beperken van het niet voldoen door een le- verancier ongeacht of dit is opgemerkt door monitoring of door andere middelen;</p></li>
<li><p>het omgaan met incidenten en noodsituaties die verband houden met producten en diensten van leveranciers, met inbegrip van verantwoor- delijkheden van zowel de organisatie als van de leveranciers;</p></li>
<li><p>veerkracht- en, indien nodig, herstel- en cala- miteitenmaatregelen om de beschikbaarheid te bewerkstelligen van de informatie van, en de informatieverwerking door, de leverancier en als gevolg daarvan de beschikbaarheid van de informatie van de organisatie;</p></li>
<li><p>bewustwording en training voor het personeel van de organisatie dat contacten onderhoudt met personeel van de leverancier betreffende passende regels van betrokkenheid, onder- werpspecifieke beleidsregels, processen en procedures en gedrag, gebaseerd op het type leverancier en het soort toegang dat de leve- rancier heeft tot systemen en informatie van de organisatie;</p></li>
<li><p>het beheren van het nodige transport van infor- matie, gerelateerde bedrijfsmiddelen en al het andere dat moet worden veranderd, en waar- borgen dat informatiebeveiliging tijdens de ge- hele transportperiode wordt gehandhaafd;</p></li>
<li><p>eisen om veilige beëindiging van de leveran- ciersrelatie te bewerkstelligen, met inbegrip van:</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol type="1">
<li><p>het intrekken van toegangsrechten;</p></li>
<li><p>het omgaan met informatie;</p></li>
<li><p>het vaststellen van de eigendom van intel- lectuele eigendom die tijdens de verbinte- nis is ontwikkeld;</p></li>
<li><p>de overdraagbaarheid van informatie in ge- val van verandering van leverancier of ‘insourcing’;</p></li>
</ol>
<ol start="6" type="1">
<li><p>beheer van registraties;<a href="#_bookmark31">*)</a></p></li>
<li><p>het retourneren van bedrijfsmiddelen;</p></li>
<li><p>beveiligde verwijdering van informatie en andere gerelateerde bedrijfsmiddelen;</p></li>
<li><p>voortdurende geheimhoudingseisen;</p></li>
</ol>
<p>n) het niveau van beveiliging van personeel en fy- sieke beveiliging dat wordt verwacht van per- soneel en faciliteiten van de leverancier.</p>
<p>Er behoort te worden nagedacht over de procedu- res voor het voortzetten van de verwerking van informatie indien de leverancier zijn producten of diensten niet meer kan leveren (bijv. als gevolg van een incident, omdat de leverancier zijn bedrijf heeft gestaakt, of bepaalde onderdelen niet meer levert als gevolg van technologische ontwikkelin- gen) om vertraging bij het regelen van vervan- gende producten of diensten te voorkomen (bijv. door van tevoren een alternatieve leverancier aan te wijzen of altijd gebruik te maken van alterna- tieve leveranciers).</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>In gevallen waarin het voor een organisatie niet mogelijk is eisen te stellen aan een leverancier, be- hoort de organisatie:</p>
<ol type="a">
<li><p>de in deze beheersmaatregel gegeven richtlij- nen in aanmerking te nemen bij het nemen van beslissingen over de keuze van een leverancier en zijn product of dienst;</p></li>
<li><p>op basis van een risicobeoordeling benodigde compenserende beheersmaatregelen te imple- menteren.</p></li>
</ol>
<p>Informatie kan in gevaar worden gebracht door le- veranciers met een ontoereikend</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Afhankelijk van de systemen, diensten en leveran- ciers kan mogelijk op allerlei manieren toegang worden verkregen tot informatie, waaronder met applicatieprogramma's of (systeem)hulpmiddelen die bijvoorbeeld actief zijn op databases, be- standssystemen of netwerken. Leveranciers en hun toeleveranciers kunnen beheerders- of andere rechten hebben en over diagnostische of speciale systeemhulpmiddelen beschikken die toegang tot vertrouwelijke informatie zouden kunnen moge- lijk maken of verlenen. Het is lastig, zo niet onmo- gelijk, voor opdrachtgevers van leveranciers om de volledige omvang van de mogelijkheden van le-</p>
<p>veranciers te kennen. Met deze factoren behoort rekening te worden gehouden bij het beoordelen</p></td>
</tr>
</tbody>
</table>

> <span id="_bookmark31" class="anchor"></span>\*) Nederlandse voetnoot: Nummering als in de brontekst.

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>informatiebeveiligingsbeheer. Om de toegang tot informatie en andere gerelateerde bedrijfsmidde- len door de leverancier te beheren, behoren be- heersmaatregelen te worden vastgesteld en toege- past. Indien er bijvoorbeeld een speciale noodzaak is om de informatie vertrouwelijk te houden, kun- nen geheimhoudingsovereenkomsten of crypto- grafische technieken worden gebruikt. Een ander voorbeeld vormen risico's voor de bescherming van persoonlijke gegevens als de leveranciers- overeenkomst betrekking heeft op de overdracht van, of toegang tot informatie over de grens. De organisatie behoort zich ervan bewust te zijn dat de wettelijke of contractuele verantwoordelijk- heid voor het beschermen van de informatie bij de organisatie ligt.</p>
<p>Risico's kunnen ook worden veroorzaakt door on- toereikende beheersmaatregelen van door leve- ranciers geleverde ICT-infrastructuurcomponen- ten of -diensten. Componenten of diensten met storingen of kwetsbaarheden kunnen inbreuken op de informatiebeveiliging in de organisatie of voor een andere entiteit veroorzaken. Ze kunnen bijvoorbeeld besmetting met malware, aanvallen of andere schade aan andere entiteiten dan de or- ganisatie veroorzaken.</p>
<p>Zie ISO/IEC 27036-2 voor nadere details.</p></th>
<th>van risico's in verband met relaties met leveran- ciers.</th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Adresseren van informatiebeveiliging in leveranciersovereenkomsten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td><blockquote>
<p>#Beveiliging_in_ leveranciersrela- ties</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem #Bescher- ming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Relevante informatiebeveiligingseisen behoren te worden vastgesteld en met elke leverancier op ba- sis van het type leveranciersrelatie te worden overeengekomen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Een overeengekomen niveau van informatiebevei- liging in leveranciersrelaties in stand houden.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Leveranciersovereenkomsten behoren te worden vastgesteld en gedocumenteerd om te waarborgen dat er tussen de organisatie en de leverancier dui- delijkheid bestaat ten aanzien van de</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>verplichtingen van beide partijen om te voldoen aan relevante informatiebeveiligingseisen.</p>
<p>Om aan de vastgestelde informatiebeveiligingsei- sen te voldoen kan worden overwogen de vol- gende voorwaarden in de overeenkomsten op te nemen:</p>
<ol type="a">
<li><p>omschrijving van de te verstrekken of te bena- deren informatie en methoden om de informa- tie te verschaffen of toegankelijk te maken;</p></li>
<li><p>classificatie van de informatie in overeenstem- ming met het classificatieschema van de orga- nisatie (zie 5.10, 5.12, 5.13);</p></li>
<li><p>mapping tussen het eigen classificatieschema van de organisatie en het classificatieschema van de leverancier;</p></li>
<li><p>eisen van wet- en regelgeving, statutaire en contractuele eisen, met inbegrip van gegevens- bescherming, het omgaan met persoonsgege- vens, rechten van intellectuele eigendom en au- teursrecht, en een beschrijving van hoe wordt gewaarborgd dat eraan wordt voldaan;</p></li>
<li><p>de verplichting van elke contractpartij om overeengekomen beheersmaatregelen te im- plementeren, met inbegrip van toegangsbevei- liging, prestatiebeoordeling, monitoren, mel- den, rapportage en auditen en de verplichtin- gen van de leverancier om te voldoen aan de in- formatiebeveiligingseisen van de organisatie;</p></li>
<li><p>de regels van aanvaardbaar gebruik van infor- matie en andere gerelateerde bedrijfsmiddelen, met inbegrip van onaanvaardbaar gebruik in- dien noodzakelijk;</p></li>
<li><p>procedures of voorwaarden voor autorisatie en voor het intrekken van de autorisatie voor het gebruik van de informatie en andere gerela- teerde bedrijfsmiddelen van de organisatie door personeel van de leverancier (bijv. aan de hand van een specifieke lijst van personeel van leveranciers dat bevoegd is om de informatie en andere gerelateerde bedrijfsmiddelen van de organisatie te gebruiken);</p></li>
<li><p>informatiebeveiligingseisen met betrekking tot de ICT-infrastructuur van de leverancier; met name minimale informatiebeveiligingseisen voor elk type informatie en elk type toegang, te</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>gebruiken als basis voor individuele overeen- komsten met leveranciers op basis van de be- drijfsbehoeften en risicocriteria van de organi- satie;</p>
</blockquote>
<ol start="9" type="a">
<li><p>schadeloosstellingen en herstel indien de con- tractant niet aan de eisen voldoet;</p></li>
<li><p>eisen voor incidentbeheer en -procedures (in het bijzonder notificatie en samenwerking tij- dens herstel van het incident);</p></li>
<li><p>trainings- en bewustwordingseisen voor speci- fieke procedures en informatiebeveiligingsei- sen (bijv. voor incidentresponsprocedures, au- torisatieprocedures);</p></li>
<li><p>relevante voorzieningen voor uitbesteding, met inbegrip van de te implementeren beheers- maatregelen, zoals een overeenkomst over de inzet van onderleveranciers (bijv. eisen dat voor hen dezelfde verplichtingen gelden als voor de leverancier, eisen dat er een lijst van onderleveranciers wordt verstrekt en kennis- geving telkens voordat er iets verandert);</p></li>
<li><p>relevante contacten, met inbegrip van een con- tactpersoon voor aangelegenheden betreffende informatiebeveiliging;</p></li>
<li><p>screeningeisen, indien wettelijk toegestaan, voor het personeel van leveranciers, met inbe- grip van verantwoordelijkheden voor het uit- voeren van de screening en kennisgevingspro- cedures indien de screening niet is voltooid of de resultaten aanleiding geven tot twijfel of be- zorgdheid;</p></li>
<li><p>de bewijs- en borgingsmechanismen van attes- ten van derden voor relevante informatiebevei- ligingseisen met betrekking tot de processen van leveranciers en een onafhankelijk rapport over de doeltreffendheid van beheersmaatre- gelen;</p></li>
<li><p>het recht om de processen en beheersmaatre- gelen van de leverancier in verband met de overeenkomst te auditen;</p></li>
<li><p>verplichting van de leverancier om periodiek een rapport te verstrekken over de doeltref- fendheid van beheersmaatregelen, en overeen- komst over tijdige correctie van relevante</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>kwesties die in het rapport aan de orde worden gesteld;</p>
</blockquote>
<ol start="18" type="a">
<li><p>procedures voor het oplossen van defecten en conflicten;</p></li>
<li><p>voorzien in back-up die is afgestemd op de be- hoeften van de organisatie (wat betreft fre- quentie en type en opslaglocatie);</p></li>
<li><p>het bewerkstelligen van de beschikbaarheid van een alternatieve faciliteit (d.w.z. noodher- stellocatie) waarvoor niet dezelfde dreigingen gelden als voor de primaire faciliteit en over- wegingen met betrekking tot alternatieve be- heersmaatregelen waarop wordt teruggevallen indien de primaire beheersmaatregelen falen;</p></li>
<li><p>de beschikking over een proces voor wijzi- gingsbeheer dat bewerkstelligt dat de organisa- tie vooraf op de hoogte wordt gebracht en de mogelijkheid heeft om wijzigingen niet te aan- vaarden;</p></li>
<li><p>fysieke beveiligingsbeheersmaatregelen die passen bij de classificatie van de informatie;</p></li>
<li><p>beheersmaatregelen voor overdragen van in- formatie om de informatie te beschermen tij- dens fysiek transport of tijdens logische over- dracht;</p></li>
<li><p>beëindigingsclausules bij het afsluiten van de overeenkomst, met inbegrip van beheer van re- gistraties, het retourneren van bedrijfsmidde- len, beveiligde verwijdering van informatie en andere gerelateerde bedrijfsmiddelen en even- tuele doorlopende geheimhoudingsverplichtin- gen;</p></li>
<li><p>het voorzien in een methode om de door de le- verancier opgeslagen informatie van de organi- satie op beveiligde wijze te vernietigen zodra die informatie niet meer nodig is;</p></li>
<li><p>het bewerkstelligen van ondersteuning bij de overdracht aan een andere leverancier of aan de organisatie zelf bij het einde van de over- eenkomst.</p></li>
</ol>
<p>De organisatie behoort een register van afspraken met externe partijen (bijv. contracten, een memo- randum van overeenstemming, overeenkomsten voor het delen van informatie) op te stellen en te</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th>onderhouden om bij te houden waar haar infor- matie naartoe gaat. De organisatie behoort ook haar overeenkomsten met externe partijen regel- matig te beoordelen, te valideren en bij te werken om te garanderen dat ze nog steeds vereist zijn en geschikt zijn voor het doel en dat ze relevante clausules over informatiebeveiliging bevatten.</th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>De overeenkomsten kunnen voor de verschillende organisaties en de verschillende soorten leveran- ciers aanzienlijk variëren. Derhalve behoort erop te worden toegezien dat alle relevante eisen voor het oppakken van informatiebeveiligingsrisico’s erin worden opgenomen.</p>
<p>Voor gegevens over overeenkomsten met leveran- ciers, zie de ISO/IEC 27036-reeks. Voor gegevens over overeenkomsten voor clouddiensten, zie de ISO/IEC 19086-reeks.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Beheren van informatiebeveiliging in de ICT-toeleveringsketen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td><blockquote>
<p>#Beveiliging_in_ leveranciersrela- ties</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem #Bescher- ming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoren processen en procedures te worden bepaald en geïmplementeerd om de informatiebe- veiligingsrisico’s in verband met de toeleverings- keten van ICT-producten en -diensten te beheer- sen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Een overeengekomen niveau van informatiebevei- liging in leveranciersrelaties in stand houden.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>In aanvulling op de algemene informatiebeveili- gingseisen voor leveranciersrelaties behoren de volgende informatiebeveiligingsonderwerpen in aanmerking te worden genomen binnen de bevei- liging van de ICT-toeleveringsketen:</p>
<ol type="a">
<li><p>informatiebeveiligingseisen definiëren die van toepassing zijn op het verwerven van ICT-pro- ducten of -diensten;</p></li>
<li><p>eisen dat leveranciers de beveiligingseisen van de organisatie in de gehele toeleveringsketen</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Voor medische apparaten die gegevens registre- ren, verwerken of rapporteren omvat de informa- tie die fabrikanten behoren te geven: een MDS2 ('Manufacturer Disclosure Statement for Medical Device Security'), configuratie-eisen, kwetsbaar- heidsanalyses en een software-stuklijst (SBOM).</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>bekendmaken indien zij delen van de ICT- dienst die zij aan de organisatie leveren, uitbe- steden;</p>
</blockquote>
<ol start="3" type="a">
<li><p>eisen dat de leveranciers van ICT-producten passende beveiligingspraktijken in de gehele toeleveringsketen bekendmaken indien deze producten componenten bevatten die worden ingekocht bij of verkregen van andere leveran- ciers of andere entiteiten (bijv. softwareont- wikkelaars en leveranciers van hardwarecom- ponenten die op basis van onderaanneming werken);</p></li>
<li><p>verzoeken dat de leveranciers van ICT-pro- ducten informatie verstrekken waarin de in producten gebruikte softwarecomponenten worden beschreven;</p></li>
<li><p>verzoeken dat de leveranciers van ICT-pro- ducten informatie verstrekken waarin de geïm- plementeerde beveiligingsfuncties van hun product en de voor het veilige gebruik ervan vereiste configuratie worden beschreven;</p></li>
<li><p>een monitoringproces en aanvaardbare metho- den voor het valideren dat de geleverde ICT- producten en -diensten voldoen aan de ge- stelde beveiligingseisen, implementeren. Voor- beelden van zulke methoden voor het beoorde- len van leveranciers zijn penetratietests en be- wijs of validatie van attesten van derden voor de informatiebeveiligingsactiviteiten van de le- verancier;</p></li>
<li><p>een proces implementeren voor het vaststellen en documenteren van componenten van pro- ducten of diensten die essentieel zijn voor het handhaven van de functionaliteit en daarom verhoogde aandacht, toezicht en verdere opvol- ging vereisen als deze buiten de organisatie worden gebouwd, in het bijzonder indien de leverancier delen van componenten van pro- ducten of diensten aan andere leveranciers uitbesteedt;</p></li>
<li><p>zekerheid verkrijgen dat essentiële componen- ten en de herkomst ervan in de toeleveringske- ten kunnen worden getraceerd;</p></li>
<li><p>zekerheid verkrijgen dat de geleverde ICT-pro- ducten functioneren zoals voorzien zonder on- verwachte of ongewenste verschijnselen;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="10" type="a">
<li><p>processen implementeren om te garanderen dat componenten van leveranciers echt zijn en ongewijzigd zijn ten opzichte van de specifica- ties. Voorbeeldmaatregelen zijn labels tegen manipulatie, cryptografische hashverificaties of digitale handtekeningen. Monitoren op presta- ties die niet aan de specificaties voldoen, kan een manier zijn om manipulatie of namaak aan te tonen. Er behoort preventie en detectie van manipulatie te worden geïmplementeerd tij- dens verschillende fasen van de levenscyclus van systeemontwikkeling, met inbegrip van de ontwerp-, ontwikkel-, integratie-, operationele en onderhoudsfasen;</p></li>
<li><p>waarborgen dat ICT-producten de vereiste be- veiligingsniveaus halen, bijv. door middel van een formele certificerings- of beoordelingsre- geling, zoals de Common Criteria Recognition Arrangement;</p></li>
<li><p>regels definiëren voor het delen van informatie met betrekking tot de toeleveringsketen en po- tentiële kwesties en compromissen tussen de organisatie en leveranciers;</p></li>
<li><p>specifieke processen implementeren voor het beheren van de levenscyclus en beschikbaar- heid van ICT-componenten en gerelateerde be- veiligingsrisico's. Dit omvat het beheersen van de risico's dat onderdelen niet langer beschik- baar zijn omdat leveranciers hun bedrijf heb- ben gestaakt of deze onderdelen als gevolg van technologische ontwikkelingen niet meer aan- bieden. Het identificeren van een alternatieve leverancier en het proces om software en com- petentie naar de alternatieve leverancier over te brengen behoren te worden overwogen.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>De specifieke risicobeheerpraktijken betreffende de ICT-toeleveringsketen komen boven op de alge- mene praktijken van informatiebeveiliging, kwali- teit, projectmanagement en systeemengineering, maar vervangen deze niet.</p>
<p>Organisaties wordt geadviseerd om samen te wer- ken met leveranciers voor een goed begrip van de ICT-toeleveringsketen en de aangelegenheden die een belangrijke uitwerking hebben op de pro- ducten en diensten die worden geleverd. De orga- nisatie kan informatiebeveiligingspraktijken van de ICT-toeleveringsketen beïnvloeden door in</p>
<p>overeenkomsten met leveranciers de</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Zie bijlage D en ISO 81000-1.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>aangelegenheden bekend te maken waaraan door andere leveranciers in de ICT-toeleveringsketen invulling behoort te worden gegeven.</p>
<p>ICT behoort te worden verkregen van bronnen met een goede reputatie. De betrouwbaarheid van software en hardware is een kwestie van kwali- teitscontrole. Hoewel het voor een organisatie over het algemeen niet mogelijk is om de kwali- teitscontrolesystemen van haar leveranciers te in- specteren, kan zij wel een betrouwbaar oordeel vellen op basis van de reputatie van de leveran- cier.</p>
<p>De ICT-toeleveringsketen zoals hier bedoeld om- vat ook clouddiensten.</p>
<p>Voorbeelden van ICT-toeleveringsketens zijn:</p>
<ol type="a">
<li><p>‘cloud services provisioning’, waar de aanbie- der van de clouddienst afhankelijk is van de softwareontwikkelaars, aanbieders van tele- communicatiediensten, hardware-aanbieders;</p></li>
<li><p>internet of things (IoT), waarbij de dienst ook de fabrikanten van apparatuur, de aanbieders van de clouddienst (bijv. de exploitanten van het IoT-platform), de ontwikkelaars voor mo- biele en internettoepassingen en de leverancier van softwarebibliotheken betreft;</p></li>
<li><p>hostingdiensten, waar de aanbieder op externe servicebalies vertrouwt, met inbegrip van eer- ste, tweede en derde niveaus van ondersteu- ning.</p></li>
</ol>
<p>Zie ISO/IEC 27036-3 voor nadere details met inbe- grip van richtlijnen voor risicobeoordeling.</p>
<p>Software-identificatietags (SWID) kunnen ook bij- dragen aan betere informatiebeveiliging in de toe- leveringsketen, door informatie te geven over de herkomst van software. Zie ISO/IEC 19770-2 voor nadere details.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td><blockquote>
<p>#Beveiliging_in_ leveranciersrela- ties #Bor- ging_van_informa- tiebeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem #Bescher- ming</p>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort de informatiebeveiligings- praktijken en de dienstverlening van leveranciers regelmatig te monitoren, beoordelen, evalueren en veranderingen daaraan te beheren.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Een overeengekomen niveau van informatiebevei- liging en dienstverlening in overeenstemming met de leveranciersovereenkomsten handhaven.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Het monitoren en beoordelen van, en het beheren van veranderingen aan, leveranciersdiensten be- hoort te bewerkstelligen dat aan de informatiebe- veiligingsvoorwaarden van de overeenkomsten wordt voldaan, informatiebeveiligingsincidenten en -problemen naar behoren worden beheerd en veranderingen in leveranciersdiensten of de be- drijfsstatus niet van invloed zijn op de dienstverle- ning.</p>
<p>Hiertoe behoort een proces voor het beheer van de relatie tussen de organisatie en de leverancier te bestaan om:</p>
<ol type="a">
<li><p>de prestatieniveaus van de dienstverlening te monitoren om de naleving van de overeenkom- sten te verifiëren;</p></li>
<li><p>door leveranciers aangebrachte veranderingen te monitoren, waaronder:</p>
<ol type="1">
<li><p>verbeteringen van de huidige aangeboden dienstverlening;</p></li>
<li><p>ontwikkelingen van nieuwe toepassingen en systemen;</p></li>
<li><p>wijzigingen in of updates van beleid en pro- cedures van de leverancier;</p></li>
<li><p>nieuwe of gewijzigde beheersmaatregelen om informatiebeveiligingsincidenten op te</p></li>
</ol></li>
</ol></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>lossen en om de informatiebeveiliging te verbeteren;</p>
</blockquote>
<ol start="3" type="a">
<li><p>veranderingen in leveranciersdiensten te moni- toren, waaronder:</p>
<ol type="1">
<li><p>veranderingen en verbeteringen van net- werken;</p></li>
<li><p>gebruik van nieuwe technologieën;</p></li>
<li><p>aanvaarding van nieuwe producten of nieu- were versies of uitgaven;</p></li>
<li><p>nieuwe ontwikkelinstrumenten en omgevin- gen;</p></li>
<li><p>veranderingen in fysieke locatie van dienst- verleningsfaciliteiten;</p></li>
<li><p>verandering van onderleveranciers;</p></li>
<li><p>uitbesteding aan een andere leverancier;</p></li>
</ol></li>
<li><p>de rapporten over de dienstverlening die zijn opgesteld door de leverancier, te beoordelen en regelmatig voortgangsbesprekingen te regelen voor zover door de overeenkomsten vereist;</p></li>
<li><p>audits van leveranciers en onderleveranciers uit te voeren, in samenhang met de beoordeling van rapporten van onafhankelijke auditoren, indien beschikbaar, en vastgestelde kwesties op te volgen;</p></li>
<li><p>informatie te verstrekken over informatiebe- veiligingsincidenten en deze informatie te be- oordelen voor zover vereist door de overeen- komsten en ondersteunende richtlijnen en pro- cedures;</p></li>
<li><p>audittrajecten van leveranciers en registraties van informatiebeveiligingsgebeurtenissen, ope- rationele problemen, weigeringen, opsporing van storingen en onderbrekingen in verband met de geleverde dienst te beoordelen;</p></li>
<li><p>te reageren op geïdentificeerde informatiebe- veiligingsgebeurtenissen of -incidenten en deze te beheren;</p></li>
<li><p>kwetsbaarheden in de informatiebeveiliging te identificeren en beheren;</p></li>
<li><p>informatiebeveiligingsaspecten van de relaties van de leverancier met zijn eigen leveranciers te beoordelen;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="11" type="a">
<li><p>te bewerkstelligen dat de leverancier vol- doende capaciteit voor de diensten onderhoudt samen met werkbare plannen die zijn ontwor- pen om te waarborgen dat de overeengekomen continuïteitsniveaus van de dienstverlening na grote storingen of calamiteiten in de dienstver- lening worden onderhouden (zie 5.29, 5.30,</p></li>
</ol>
<blockquote>
<p>5.35, 5.36, 8.14);</p>
</blockquote>
<ol start="12" type="a">
<li><p>ervoor te zorgen dat leveranciers verantwoor- delijkheden toewijzen voor het beoordelen van naleving en voor het dwingend uitvoeren van de eisen van de overeenkomsten;</p></li>
<li><p>regelmatig te evalueren of de leveranciers af- doende informatiebeveiligingsniveaus in stand houden.</p></li>
</ol>
<p>De verantwoordelijkheid voor het beheer van le- veranciersrelaties behoort te worden toegekend aan een daarvoor aangewezen persoon of team. Om te monitoren dat de eisen van de overeen- komst, in het bijzonder de informatiebeveiligings- eisen, worden nagekomen, behoren voldoende technische vaardigheden en middelen beschikbaar te worden gesteld. Als tekortkomingen in de dienstverlening worden waargenomen behoren passende maatregelen te worden getroffen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Zie ISO/IEC 27036-3 voor nadere details.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Informatiebeveiliging voor het gebruik van clouddiensten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Beveiliging_in_ leveranciersrela- ties</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ ecosysteem #Bescher- ming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Processen voor het aanschaffen, gebruiken, behe- ren en beëindigen van clouddiensten behoren overeenkomstig de informatiebeveiligingseisen van de organisatie te worden opgesteld.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Informatiebeveiliging voor het gebruik van cloud- diensten specificeren en beheren.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort een onderwerpspecifiek beleid inzake het gebruik van clouddiensten vast</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>te stellen en aan alle relevante belanghebbenden mee te delen.</p>
<p>De organisatie behoort te definiëren en te commu- niceren hoe zij voornemens is informatiebeveili- gingsrisico's in verband met het gebruik van clouddiensten te beheersen. Dit kan een uitbrei- ding zijn of deel uitmaken van de bestaande aan- pak voor de manier waarop een organisatie door externe partijen geleverde diensten beheert (zie 5.21 en 5.22).</p>
<p>Het gebruik van clouddiensten kan gepaard gaan met een gedeelde verantwoordelijkheid voor in- formatiebeveiliging en samenwerking tussen de aanbieder van de clouddienst en de organisatie die als afnemer van de clouddienst optreedt. Het is essentieel dat de verantwoordelijkheden voor zo- wel de aanbieder als de organisatie, handelend als afnemer van de clouddienst, op de juiste wijze worden gedefinieerd en geïmplementeerd.</p>
<p>De organisatie behoort het volgende te definiëren:</p>
<ol type="a">
<li><p>alle relevante informatiebeveiligingseisen in verband met het gebruik van de clouddiensten;</p></li>
<li><p>selectiecriteria voor clouddiensten en de reik- wijdte van het gebruik van clouddiensten;</p></li>
<li><p>rollen en verantwoordelijkheden met betrek- king tot het gebruik en beheer van clouddien- sten;</p></li>
<li><p>welke beheersmaatregelen voor informatiebe- veiliging door de aanbieder van de clouddienst en welke door de organisatie als afnemer van de clouddienst worden beheerd;</p></li>
<li><p>hoe door de aanbieder van de clouddienst ver- strekte informatiebeveiligingscapaciteiten kun- nen worden verkregen en gebruikt;</p></li>
<li><p>hoe zekerheid kan worden verkregen over de door aanbieders van clouddiensten geïmple- menteerde beheersmaatregelen voor informa- tiebeveiliging;</p></li>
<li><p>hoe beheersmaatregelen, interfaces en wijzi- gingen aan diensten behoren te worden be- heerd wanneer een organisatie gebruikmaakt van meerdere clouddiensten, met name van verschillende aanbieders van clouddiensten;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="8" type="a">
<li><p>procedures voor het omgaan met informatiebe- veiligingsincidenten die zich voordoen met be- trekking tot het gebruik van clouddiensten;</p></li>
<li><p>haar aanpak voor het monitoren, beoordelen en evalueren van het doorlopend gebruik van clouddiensten om informatiebeveiligingsri- sico’s te beheersen;</p></li>
<li><p>hoe het gebruik van clouddiensten met inbe- grip van exitstrategieën voor clouddiensten kan worden gewijzigd of beëindigd.</p></li>
</ol>
<p>Overeenkomsten voor clouddiensten zijn vaak vooraf gedefinieerd zonder dat het mogelijk is er- over te onderhandelen. Voor alle clouddiensten behoort de organisatie overeenkomsten voor clouddiensten met de aanbieder(s) van clouddien- sten te beoordelen. Een overeenkomst voor cloud- diensten behoort in te gaan op de eisen van de or- ganisatie ten aanzien van vertrouwelijkheid, inte- griteit, beschikbaarheid en het omgaan met per- soonsgegevens, met passende doelstellingen voor het niveau van dienstverlening van de clouddienst en kwalitatieve doelstellingen voor de cloud- dienst. De organisatie behoort ook relevante risi- cobeoordelingen uit te voeren om de risico's in verband met het gebruik van de clouddienst te identificeren. Eventuele overblijvende risico's in verband met het gebruik van de clouddienst beho- ren duidelijk te worden geïdentificeerd en aan- vaard door het passende management van de or- ganisatie.</p>
<p>Een overeenkomst tussen de aanbieder van een clouddienst en de organisatie, in haar rol van afne- mer van de clouddienst, behoort de volgende be- palingen te bevatten voor de bescherming van de gegevens van de organisatie en de beschikbaar- heid van diensten:</p>
<ol type="a">
<li><p>het leveren van oplossingen op basis van door de industrie aanvaarde normen voor architec- tuur en infrastructuur;</p></li>
<li><p>het beheren van toegangsbeveiligingsmaatre- gelen van de clouddienst conform de eisen van de organisatie;</p></li>
<li><p>het implementeren van oplossingen voor het monitoren van en beschermen tegen malware;</p></li>
<li><p>het verwerken en op goedgekeurde locaties (bijv. een bepaald land of bepaalde regio) of</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th style="text-align: left;"><blockquote>
<p>binnen een bepaald rechtsgebied of krachtens een bepaalde rechtsbevoegdheid opslaan van gevoelige informatie van de organisatie;</p>
</blockquote>
<ol start="5" type="a">
<li><p>het bieden van gerichte steun indien er zich een informatiebeveiligingsincident voordoet in de cloudomgeving;</p></li>
<li><p>het bewerkstelligen dat aan de informatiebe- veiligingseisen van de organisatie wordt vol- daan indien clouddiensten verder worden uit- besteed aan een externe leverancier (of verbie- den dat clouddiensten worden uitbesteed);</p></li>
<li><p>het ondersteunen van de organisatie bij het verzamelen van digitaal bewijsmateriaal, met inachtneming van wet- en regelgeving inzake digitaal bewijsmateriaal in verschillende rechtsgebieden;</p></li>
<li><p>het voorzien in passende ondersteuning en be- schikbaarheid van diensten gedurende een pas- send tijdsbestek wanneer de organisatie niet langer gebruik wil maken van de clouddienst;</p></li>
<li><p>het voorzien in de vereiste back-ups van gege- vens en configuratie-informatie en het veilig beheren van back-ups voor zover van toepas- sing, op basis van de capaciteiten van de leve- rancier van de clouddienst die wordt ingezet door de organisatie in haar rol als afnemer van de clouddienst;</p></li>
<li><p>het verstrekken en retourneren van informatie zoals configuratiebestanden, broncode en gege- vens die eigendom zijn van de organisatie in haar rol van afnemer van de clouddienst op verzoek of bij beëindiging van de dienst.</p></li>
</ol>
<p>In haar rol van afnemer van de clouddienst be- hoort de organisatie te overwegen of de overeen- komst behoort te vereisen dat de aanbieders van clouddiensten vooraf kennis geven van wezenlijke wijzigingen aan hoe de dienst aan de organisatie wordt geleverd die gevolgen hebben voor de afne- mer, waaronder:</p>
<ol type="a">
<li><p>wijzigingen aan de technische infrastructuur (bijv. verhuizing, herconfiguratie of wijzigingen in hardware of software) die van invloed zijn op, of tot veranderingen leiden in, de aangebo- den clouddienst;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="2" type="a">
<li><p>het verwerken of opslaan van informatie in een nieuw geografisch of juridisch rechtsgebied;</p></li>
<li><p>het gebruik van collega-aanbieders van cloud- diensten of andere onderaannemers (met inbe- grip van het wijzigen van bestaande of het ge- bruik van nieuwe partijen).</p></li>
</ol>
<p>De organisatie die clouddiensten gebruikt, be- hoort nauw contact te onderhouden met haar aan- bieders van de clouddiensten. Deze contacten ma- ken wederzijdse uitwisseling mogelijk van infor- matie over informatiebeveiliging voor het gebruik van de clouddiensten, met inbegrip van een me- chanisme voor zowel de aanbieder als de organi- satie, in haar rol van afnemer van de clouddien- sten, om elk kenmerk van de diensten te monito- ren en tekortkomingen ten opzichte van de in de overeenkomsten opgenomen verbintenissen te melden.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Deze beheersmaatregel bekijkt cloudbeveiliging vanuit het oogpunt van de afnemer van de cloud- dienst(en).</p>
<p>Aanvullende informatie met betrekking tot cloud- diensten is te vinden in ISO/IEC 17788,</p>
<p>ISO/IEC 17789 en ISO/IEC 22123-1. Specifieke in- formatie met betrekking tot clouds en overdraag- baarheid bij exitstrategieën is te vinden in ISO/IEC 19941. Specifieke informatie met betrek- king tot informatiebeveiliging en publieke cloud- diensten wordt beschreven in ISO/IEC 27017.</p>
<p>Specifieke informatie met betrekking tot de be- scherming van persoonsgegevens in publieke clouds die als verwerker van persoonsgegevens fungeren, wordt beschreven in ISO/IEC 27018. Le- veranciersrelaties voor clouddiensten worden be- handeld in ISO/IEC 27036-4 en clouddienstover- eenkomsten en de inhoud ervan worden behan- deld in de ISO/IEC 19086-reeks, waarbij</p>
<p>ISO/IEC 19086-4 specifiek ingaat op beveiliging en privacy.</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>ISO/TS 23535 en ISO/TR 21332 geven informatie over beveiliging en privacy voor binnen de ge- zondheidszorg gebruikte clouddiensten.</p></td>
</tr>
</tbody>
</table>

##### Plannen en voorbereiden van het beheer van informatiebeveiligingsincidenten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Corrigerend</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Reageren #Herstellen</td>
<td><blockquote>
<p>#Governance #Beheer_van_in- formatiebeveili- gingsgebeurtenis- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort plannen op te stellen voor, en zich voor te bereiden op, het beheren van infor- matiebeveiligingsincidenten door processen, rol- len en verantwoordelijkheden voor het beheer van informatiebeveiligingsincidenten te defini- eren, vast te stellen en te communiceren.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Een snelle, doeltreffende, consistente en geor- dende reactie op informatiebeveiligingsinciden- ten, met inbegrip van communicatie over informa- tiebeveiligingsgebeurtenissen, bewerkstelligen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Rollen en verantwoordelijkheden</u></p>
<p>De organisatie behoort passende processen voor het beheer van informatiebeveiligingsincidenten op te stellen. Rollen en verantwoordelijkheden voor het uitvoeren van de procedures voor inci- dentenbeheer behoren te worden vastgesteld en op doeltreffende wijze te worden gecommuni- ceerd aan de relevante interne en externe belang- hebbenden.</p>
<p>Het volgende behoort te worden overwogen:</p>
<ol type="a">
<li><p>een gemeenschappelijke methode opstellen voor het melden van informatiebeveiligingsge- beurtenissen met inbegrip van een contactpunt (zie 6.8);</p></li>
<li><p>een proces opstellen voor het beheer van inci- denten om de organisatie de capaciteit te bie- den voor het beheren van informatiebeveili- gingsincidenten, met inbegrip van beheer, do- cumentatie, detectie, triage, prioritering, ana- lyse, communicatie en het coördineren van be- langhebbenden;</p></li>
<li><p>een proces opstellen voor het reageren op inci- denten waardoor de organisatie het vermogen krijgt informatiebeveiligingsincidenten te</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Informatiebeveiligingsincidenten behoren niet los van andere soorten incidenten, zowel tijdens be- handeling als rapportage, te worden beoordeeld. Alle soorten incidenten behoren te worden opge- nomen in het proces voor het beheer van informa- tiebeveiligingsincidenten. Een inbraak zou immers kunnen hebben geleid tot diefstal van ICT-hard- ware (hetgeen tot een inbreuk op de geheimhou- ding leidt), of er kan brand zijn gesticht om mis- bruik van ICT-apparatuur te verhullen, of geïdenti- ficeerd misbruik of foutief gebruik van het sys- teem zou tot klinische gevolgen kunnen hebben geleid, enz.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>beoordelen, erop te reageren en er lering uit te trekken;</p>
</blockquote>
<ol start="4" type="a">
<li><p>alleen competent personeel toestaan de kwes- ties te behandelen die verband houden met in- formatiebeveiligingsincidenten binnen de orga- nisatie. Dit personeel behoort te worden voor- zien van documentatie over de procedures en periodieke training;</p></li>
<li><p>een proces opstellen voor het identificeren van vereiste training, certificering en voortdurende professionele ontwikkeling van personeel dat de taak heeft op incidenten te reageren.</p></li>
</ol>
<p><u>Procedures voor incidentenbeheer</u></p>
<p>De doelstellingen voor het beheer van informatie- beveiligingsincidenten behoren met het manage- ment te worden overeengekomen en er behoort te worden gewaarborgd dat de personen die verant- woordelijk zijn voor het beheer van informatiebe- veiligingsincidenten, op de hoogte zijn van de pri- oriteiten van de organisatie voor het behandelen van informatiebeveiligingsincidenten met inbe- grip van een op de mogelijke gevolgen en ernst ge- baseerde tijdspanne voor het oplossen ervan. Er behoren procedures voor incidentenbeheer te worden geïmplementeerd die aan deze doelstel- lingen en prioriteiten voldoen.</p>
<p>Het management behoort te bewerkstelligen dat er een plan voor het beheer van informatiebeveili- gingsincidenten wordt opgesteld waarbij rekening wordt gehouden met verschillende scenario's en dat er procedures worden ontwikkeld en geïmple- menteerd voor de volgende activiteiten:</p>
<ol type="a">
<li><p>het evalueren van informatiebeveiligingsge- beurtenissen volgens criteria voor wat een in- formatiebeveiligingsincident uitmaakt;</p></li>
<li><p>het monitoren (zie 8.15 en 8.16), detecteren (zie 8.16), classificeren (zie 5.25), analyseren en melden (zie 6.8) van informatiebeveiligings- gebeurtenissen en -incidenten (door mensen of door automatische middelen);</p></li>
<li><p>het beheren van informatiebeveiligingsinciden- ten tot ze volledig zijn afgehandeld, met inbe- grip van reactie en escalatie (zie 5.26), volgens het type en de categorie van het incident, mo- gelijke inschakeling van crisisbeheersing en ac- tivering van continuïteitsplannen,</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>gecontroleerd herstel na een incident en com- municatie met interne en externe belangheb- benden;</p>
</blockquote>
<ol start="4" type="a">
<li><p>afstemming met interne en externe belangheb- benden zoals overheidsinstanties, externe be- langengroepen en fora, leveranciers en klanten (zie 5.5 en 5.6);</p></li>
<li><p>het registreren van incidentbeheeractiviteiten;</p></li>
<li><p>het behandelen van bewijs (zie 5.28);</p></li>
<li><p>analyse van de onderliggende oorzaak of post- mortemprocedures;</p></li>
<li><p>identificatie van getrokken lering en eventueel vereiste verbeteringen van de procedures voor incidentenbeheer of de beheersmaatregelen voor informatiebeveiliging in het algemeen.</p></li>
</ol>
<p><u>Meldings- en rapportageprocedures</u></p>
<p>Meldings- en rapportageprocedures behoren de volgende aspecten te omvatten:</p>
<ol type="a">
<li><p>de in geval van een informatiebeveiligingsge- beurtenis te treffen maatregelen (bijv. onmid- dellijk alle relevante details zoals de optre- dende storing en berichten op het scherm note- ren, onmiddellijk melden bij het contactpunt en alleen gecoördineerde actie ondernemen);</p></li>
<li><p>het gebruik van incidentenformulieren om het personeel te ondersteunen bij het verrichten van alle noodzakelijke handelingen bij het mel- den van informatiebeveiligingsincidenten;</p></li>
<li><p>passende feedbackprocedures om te bewerk- stelligen dat de personen die informatiebeveili- gingsgebeurtenissen melden, voor zover moge- lijk over de resultaten worden geïnformeerd nadat de kwestie is opgepakt en afgesloten;</p></li>
<li><p>het opstellen van rapportage over incidenten.</p></li>
</ol>
<p>Bij het implementeren van procedures voor inci- dentenbeheer behoren externe eisen ten aanzien van het binnen het gedefinieerde tijdsbestek mel- den van incidenten aan relevante belanghebben- den (bijv. eisen voor het melden van inbreuken aan de regelgevende instanties) in aanmerking te worden genomen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Overige informatie</strong></p>
<p>Informatiebeveiligingsincidenten kunnen de gren- zen van organisaties en landen overschrijden. Om op dergelijke incidenten te kunnen reageren is het nuttig om indien van toepassing opvolging te coör- dineren en informatie over deze incidenten te de- len met externe organisaties.</p>
<p>De ISO/IEC 27035-reeks biedt gedetailleerde richtlijnen over het beheer van informatiebeveili- gingsincidenten.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Beoordelen van en besluiten over informatiebeveiligingsgebeurtenissen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Detectief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Detecteren #Reageren</td>
<td><blockquote>
<p>#Beheer_van_in- formatiebeveili- gingsgebeurtenis- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort informatiebeveiligingsge- beurtenissen te beoordelen en te beslissen of ze moeten worden gecategoriseerd als informatiebe- veiligingsincidenten.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Doeltreffende categorisering en prioritering van informatiebeveiligingsgebeurtenissen bewerkstel- ligen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Er behoort een categoriserings- en prioriterings- schema voor informatiebeveiligingsincidenten te worden overeengekomen voor het identificeren van de gevolgen en prioriteit van een incident. Het schema behoort de criteria te omvatten voor het als informatiebeveiligingsincident categoriseren van gebeurtenissen. Het contactpunt behoort elke informatiebeveiligingsgebeurtenis aan de hand van het overeengekomen schema te beoordelen.</p>
<p>Personeel dat verantwoordelijk is voor het coördi- neren van en reageren op informatiebeveiligings- incidenten behoort de beoordeling uit te voeren en een besluit te nemen over informatiebeveili- gingsgebeurtenissen.</p>
<p>Resultaten van de beoordeling en het besluit be- horen in detail te worden geregistreerd ten be- hoeve van toekomstige raadpleging en verificatie.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>In het categoriserings- en prioriteitenschema be- hoort rekening te worden gehouden met of klini- sche activiteiten (mogelijk) zijn beïnvloed en of bij de gebeurtenissen:</p>
<ol type="a">
<li><p>persoonlijke gezondheidsinformatie betrokken was, en/of</p></li>
<li><p>medische apparaten die gegevens registreren, verwerken of rapporteren betrokken waren.</p></li>
</ol>
<p>In het schema behoort ook te worden overwogen of klinische activiteiten (potentieel) zijn beïn- vloed.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Overige informatie</strong></p>
<p>De ISO/IEC 27035-reeks geeft verdere richtlijnen over het beheer van incidenten.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

##### Reageren op informatiebeveiligingsincidenten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Corrigerend</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Reageren #Herstellen</td>
<td><blockquote>
<p>#Beheer_van_in- formatiebeveili- gingsgebeurtenis- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Op informatiebeveiligingsincidenten behoort te worden gereageerd in overeenstemming met de gedocumenteerde procedures.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Een doelmatige en doeltreffende reactie op infor- matiebeveiligingsincidenten bewerkstelligen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort procedures voor het reage- ren op informatiebeveiligingsincidenten op te stel- len en aan alle relevante belanghebbenden mee te delen.</p>
<p>Een speciaal team met de vereiste competentie (zie 5.24) behoort te reageren op informatiebevei- ligingsincidenten.</p>
<p>De reactie behoort de volgende aspecten te omvat- ten:</p>
<ol type="a">
<li><p>de systemen die door het incident worden ge- troffen inperken als de gevolgen van het inci- dent zich kunnen uitbreiden;</p></li>
<li><p>zo snel mogelijk na het incident bewijs verza- melen (zie 5.28);</p></li>
<li><p>escalatie, zoals vereist, met inbegrip van crisis- beheersingsactiviteiten en mogelijk door be- drijfscontinuïteitsplannen in te roepen (zie 5.29 en 5.30);</p></li>
<li><p>bewerkstelligen dat alle betrokken responsac- tiviteiten op de juiste manier worden vastge- legd voor latere analyse;</p></li>
<li><p>het bestaan van het informatiebeveiligingsinci- dent of relevante details daarvan volgens het ‘need-to-know’-principe aan alle relevante in- en externe belanghebbenden communiceren;</p></li>
<li><p>met interne en externe partijen, waaronder overheidsinstanties, belangengroepen en fora,</p></li>
</ol></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>leveranciers en klanten, afstemmen om de doeltreffendheid van de reactie te verbeteren en de gevolgen voor andere organisaties tot het minimum te helpen beperken;</p>
</blockquote>
<ol start="7" type="a">
<li><p>het incident formeel afsluiten en registreren zodra het incident met succes is opgepakt;</p></li>
<li><p>indien vereist, forensische analyse van de infor- matiebeveiliging uitvoeren (zie 5.28);</p></li>
<li><p>postincidentanalyse uitvoeren om de onderlig- gende oorzaak te identificeren. Zorg ervoor dat het wordt gedocumenteerd en gecommuni- ceerd volgens gedefinieerde procedures (zie 5.27);</p></li>
<li><p>kwetsbaarheden en zwakke punten in de infor- matiebeveiliging, onder andere met betrekking tot beheersmaatregelen die het incident heb- ben veroorzaakt, eraan hebben bijgedragen of het niet hebben voorkomen, identificeren en beheren.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>De ISO/IEC 27035-reeks geeft verdere richtlijnen over het beheer van incidenten.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Leren van informatiebeveiligingsincidenten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren #Beschermen</td>
<td><blockquote>
<p>#Beheer_van_in- formatiebeveili- gingsgebeurtenis- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Kennis die is opgedaan met informatiebeveili- gingsincidenten behoort te worden gebruikt om de beheersmaatregelen voor informatiebeveili- ging te versterken en te verbeteren.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De waarschijnlijkheid of de gevolgen van toekom- stige incidenten verminderen.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort procedures op te stellen om de soorten, volumes en kosten van informatie- beveiligingsincidenten te kwantificeren en te mo- nitoren.</p>
<p>De informatie die is verkregen uit de evaluatie van informatiebeveiligingsincidenten behoort te wor- den gebruikt om:</p>
<ol type="a">
<li><p>het plan voor incidentenbeheer, met inbegrip van incidentscenario's en -procedures, te ver- beteren (zie 5.24);</p></li>
<li><p>terugkerende of ernstige incidenten en de oor- zaken ervan te identificeren, teneinde de risico- beoordeling van de informatiebeveiliging van de organisatie te actualiseren, en de nodige aanvullende beheersmaatregelen vast te stellen en te implementeren om de waarschijnlijkheid of de gevolgen van soortgelijke incidenten in de toekomst te verkleinen. Mechanismen om dat mogelijk te maken zijn onder meer het verza- melen, kwantificeren en monitoren van infor- matie over soorten incidenten, volumes en kos- ten;</p></li>
<li><p>de bewustwording en training van gebruikers (zie 6.3) te verbeteren door voorbeelden te ge- ven van wat er kan gebeuren, hoe te reageren op dergelijke incidenten en hoe ze in de toe- komst kunnen worden vermeden.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>De ISO/IEC 27035-reeks geeft verdere richtlijnen.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Verzamelen van bewijsmateriaal

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Corrigerend</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Detecteren #Reageren</td>
<td><blockquote>
<p>#Beheer_van_in- formatiebeveili- gingsgebeurtenis- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort procedures vast te stellen en te implementeren voor het identificeren, verza- melen, verkrijgen en bewaren van bewijs met be- trekking tot informatiebeveiligingsgebeurtenis- sen.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Doel</strong></p>
<p>In het kader van disciplinaire en gerechtelijke stappen consistent en doeltreffend beheer be- werkstelligen van bewijsmateriaal in verband met informatiebeveiligingsincidenten.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Richtlijn</strong></p>
<p>Bij het in het kader van disciplinaire en gerechte- lijke stappen omgaan met bewijs met betrekking tot informatiebeveiligingsgebeurtenissen behoren interne procedures te worden ontwikkeld en ge- volgd. De eisen van verschillende rechtsgebieden behoren in aanmerking te worden genomen om de kans zo groot mogelijk te maken dat het bewijs wordt toegelaten in de relevante rechtsgebieden.</p>
<p>In het algemeen behoren deze procedures voor het beheren van bewijs instructies in te houden voor het identificeren, verzamelen, verkrijgen en bewaren van bewijs in overeenstemming met de verschillende soorten opslagmedia, apparaten en de status van de apparaten (d.w.z. in- of uitgescha- keld). Gewoonlijk is het nodig bewijsmateriaal dusdanig te verzamelen dat het voor de bevoegde nationale rechters of een ander disciplinair forum toelaatbaar is. Het behoort mogelijk te zijn aan te tonen dat:</p>
<ol type="a">
<li><p>registraties volledig zijn en op geen enkele wijze zijn gemanipuleerd;</p></li>
<li><p>kopieën van elektronische bewijsstukken waarschijnlijk identiek zijn aan de originelen;</p></li>
<li><p>elk informatiesysteem waarvan bewijsmateri- aal is verkregen, correct werkte op het moment van vastlegging van het bewijsmateriaal.</p></li>
</ol>
<p>Indien beschikbaar, behoort certificatie of andere relevante methoden om personeel en middelen te kwalificeren te worden gezocht om de waarde van het verkregen bewijs te versterken.</p>
<p>Digitaal bewijs kan grenzen van organisaties of rechtsgebieden overschrijden. In zulke gevallen behoort te worden gewaarborgd dat de organisa- tie het recht heeft de vereiste informatie als digi- taal bewijs te verzamelen.</p></td>
<td><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Gezondheidsorganisaties behoren rekening te houden met de implicaties van het verzamelen van bewijs in het kader van het onderzoeken van klini- sche incidenten.</p></td>
</tr>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Direct na het ontdekken van een informatiebevei- ligingsgebeurtenis is het niet altijd duidelijk of de gebeurtenis zal leiden tot gerechtelijke stappen. Het gevaar bestaat dan ook dat noodzakelijk</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>bewijs bewust of toevallig wordt vernietigd voor- dat de ernst van het incident wordt onderkend.</p>
<p>Het is raadzaam om vroegtijdig juridisch advies of de rechtshandhavers in te schakelen als gerechte- lijke stappen worden overwogen en advies in te winnen over het vereiste bewijs.</p>
<p>ISO/IEC 27037 biedt definities en richtlijnen voor het identificeren, verzamelen, verkrijgen en bewa- ren van digitaal bewijs.</p>
<p>De ISO/IEC 27050-reeks behandelt elektronische ontdekking, hetgeen gepaard gaat met het als be- wijsmiddel verwerken van elektronisch opgesla- gen informatie.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Informatiebeveiliging tijdens een verstoring

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Corri- gerend</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen #Reageren</td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort plannen te maken voor het op het passende niveau waarborgen van de infor- matiebeveiliging tijdens een verstoring.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Informatie en andere gerelateerde bedrijfsmidde- len tijdens een verstoring beschermen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort haar eisen vast te stellen voor het tijdens een verstoring aanpassen van beheersmaatregelen voor informatiebeveiliging. Informatiebeveiligingseisen behoren te worden opgenomen in de processen voor bedrijfscontinuï- teitsbeheer van de organisatie.</p>
<p>Er behoren plannen te worden ontwikkeld, geïm- plementeerd, getest, beoordeeld en geëvalueerd om de beveiliging van informatie van essentiële bedrijfsprocessen in stand te houden of te herstel- len na een (ver)storing. De beveiliging van infor- matie behoort op het vereiste niveau en binnen de vereiste tijdsbestekken te worden hersteld.</p>
<p>De organisatie behoort het volgende te implemen- teren en te onderhouden:</p>
<p>a) beheersmaatregelen voor informatiebeveili- ging, ondersteunende systemen en</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th style="text-align: left;"><blockquote>
<p>hulpmiddelen binnen bedrijfscontinuïteits- en ICT-continuïteitsplannen;</p>
</blockquote>
<ol start="2" type="a">
<li><p>processen om bestaande beheersmaatregelen voor informatiebeveiliging tijdens een versto- ring in stand te houden;</p></li>
<li><p>compenserende beheersmaatregelen voor be- heersmaatregelen voor informatiebeveiliging die tijdens een verstoring niet kunnen worden gehandhaafd.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>In de context van de bedrijfscontinuïteits- en ICT- continuïteitsplanning kan het nodig zijn de infor- matiebeveiligingseisen aan te passen, afhankelijk van de soort verstoring, in vergelijking met de normale operationele omstandigheden. Als onder- deel van de bedrijfsimpactanalyse en de risicobe- oordeling die worden uitgevoerd binnen bedrijfs- continuïteitsbeheer, behoren de gevolgen van het wegvallen van de geheimhouding en de integriteit van informatie, naast de noodzaak om de beschik- baarheid in stand te houden, te worden overwo- gen en geprioriteerd.</p>
<p>Informatie over systemen voor bedrijfscontinuï- teitsbeheer is te vinden in ISO 22301 en</p>
<p>ISO 22313. Verdere richtlijnen voor bedrijfsim- pactanalyse (BIA) zijn te vinden in ISO/TS 22317.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### ICT-gereedheid voor bedrijfscontinuïteit

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Corrigerend</td>
<td>#Beschikbaarheid</td>
<td colspan="2">#Reageren</td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De ICT-gereedheid behoort te worden gepland, geïmplementeerd, onderhouden en getest op basis van bedrijfscontinuïteitsdoelstellingen en ICT- continuïteitseisen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De beschikbaarheid van de informatie en andere gerelateerde bedrijfsmiddelen van de organisatie tijdens een verstoring waarborgen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De ICT-gereedheid voor bedrijfscontinuïteit is een belangrijk onderdeel van bedrijfscontinuïteitsbe- heer en informatiebeveiligingsbeheer om te be- werkstelligen dat ook tijdens een verstoring aan</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Organisaties behoren processen, systemen en an- dere relevante apparatuur die van vitaal belang zijn voor de zorgverlening te identificeren.</p>
<p>Noodprocedures behoren in overweging te wor- den genomen indien en naarmate ze noodzakelijk</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>de doelstellingen van de organisatie kan blijven worden voldaan.</p>
<p>De ICT-continuïteitseisen zijn het resultaat van de bedrijfsimpactanalyse (BIA). Het BIA-proces be- hoort gebruik te maken van impactsoorten en -cri- teria om de impact in de tijd als gevolg van de ver- storing van bedrijfsactiviteiten die producten en diensten leveren te beoordelen. De omvang en de duur van de daaruit voortvloeiende gevolgen be- horen te worden gebruikt om geprioriteerde acti- viteiten waaraan een hersteltijddoelstelling (RTO) behoort te worden toegekend te identificeren. De BIA behoort vervolgens vast te stellen welke mid- delen nodig zijn om geprioriteerde activiteiten te ondersteunen. Er behoort ook een RTO te worden gespecificeerd voor deze middelen. Een deel van deze middelen behoort ICT-diensten te omvatten.</p>
<p>De BIA waarbij ICT-diensten worden betrokken, kan worden uitgebreid om de prestatie- en capaci- teitseisen van ICT-systemen en de RPO’s van in- formatie die nodig is om activiteiten te ondersteu- nen tijdens een verstoring, te definiëren.</p>
<p>Op basis van de output van de BIA en risicobeoor- deling waarbij ICT-diensten worden betrokken, behoort de organisatie strategieën voor ICT-conti- nuïteit te identificeren en selecteren waarin opties voor voorafgaand aan, tijdens en na een verstoring in overweging worden genomen. De strategieën voor bedrijfscontinuïteit kunnen uit een of meer oplossingen bestaan. Op basis van de strategieën behoren plannen te worden opgesteld, geïmple- menteerd en getest om na een (ver)storing van es- sentiële processen het vereiste beschikbaarheids- niveau van ICT-diensten binnen de vereiste tijds- bestekken te halen.</p>
<p>De organisatie behoort ervoor te zorgen dat:</p>
<ol type="a">
<li><p>er een adequate organisatiestructuur is die is voorbereid op een verstoring, deze verzacht en erop reageert, ondersteund door personeel met de nodige verantwoordelijkheid, autoriteit en competentie;</p></li>
<li><p>ICT-continuïteitsplannen, met inbegrip van res- pons- en herstelprocedures waarin wordt be- schreven hoe de organisatie gepland heeft een verstoring van de ICT-diensten te beheren:</p></li>
</ol></th>
<th><p>zijn als reactie op storingen in processen, sys- temen en andere relevante apparatuur die van vitaal belang zijn voor de zorgverlening.</p>
<p>Met het oog op de strenge beschikbaarheidseisen in de gezondheidszorg zou bijzondere aandacht moeten worden geschonken aan regelingen voor veerkracht en redundantie, zowel voor technolo- gie als voor medewerkers.</p>
<p>ICT-continuïteitsplanning in de gezondheidszorg behoort op geschikte wijze te zijn geïntegreerd binnen bedrijfscontinuïteitsplanning (bijv. plan- nen voor het omgaan met stroomuitval, het imple- menteren van infectiebeheer en het omgaan met andere klinische noodsituaties).</p>
<p>De veiligheid van zorgontvangers kan afhangen van de toegang tot hun gegevens en het is essenti- eel dat hiermee tijdens de planning rekening wordt gehouden. Catastrofes en crises waarbij er sprake is van overmacht waardoor ICT-systemen in andere bedrijfstakken buiten werking gesteld worden zijn juist de gebeurtenissen die kunnen leiden tot een volksgezondheidscrisis waarbij tij- dige toegang tot gezondheidsinformatie cruciaal is.</p>
<p>Gezondheidsorganisaties horen er ook op toe te zien dat de plannen die ze ontwikkelen regelmatig op “programmatische” basis worden getoetst. De toetsen die in dat programma worden opgenomen behoren op elkaar voort te bouwen, vanaf desk- top-toetsen tot modulair toetsen tot een synthese van waarschijnlijke hersteltijden en ten slotte tot volledige oefeningen. Een dergelijk programma gaat derhalve met een laag risico gepaard en le- vert een echte verbetering op van het algemene bewustzijnsniveau van de gebruikerspopulatie.</p>
<p>Gezondheidsorganisaties behoren op de hoogte te blijven van de rol die gezondheidsinformatiesys- temen spelen in de continuïteit van zorg. Zulke or- ganisaties behoren voorbereid te zijn indien/wan- neer ICT-systemen niet naar behoren werken.</p>
<p>Afhankelijk van de aard en duur van de uitval van een systeem kan het nodig zijn gegevens over zorgontvangers vast te leggen die onder normale omstandigheden in het systeem zouden worden geregistreerd. Back-upvoorzieningen kunnen on- der andere bestaan uit, bijvoorbeeld, het gebruik van spreadsheets of papieren formulieren; voor- zieningen voor onvoorziene gebeurtenissen</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol type="1">
<li><p>regelmatig door middel van oefeningen en tests worden geëvalueerd;</p></li>
<li><p>door het management worden goedgekeurd;</p></li>
</ol>
<ol start="3" type="a">
<li><p>ICT-continuïteitsplannen de volgende ICT-con- tinuïteitsinformatie omvatten:</p>
<ol type="1">
<li><p>prestatie- en capaciteitsspecificaties om te voldoen aan de bedrijfscontinuïteitseisen en -doelstellingen zoals gespecificeerd in de BIA;</p></li>
<li><p>de RTO van elke geprioriteerde ICT-dienst en de procedures voor het herstel van die componenten;</p></li>
<li><p>de RPO van de als informatie gedefinieerde geprioriteerde ICT-middelen en de procedu- res om de informatie te herstellen.</p></li>
</ol></li>
</ol></th>
<th style="text-align: left;"><p>behoren te waarborgen dat informatie die tijdens uitval wordt verzameld zo juist, volledig en tijdig mogelijk is.</p>
<p>Tijdens uitval vastgelegde gegevens zullen, zodra het systeem na uitval weer draait, vaak worden getransporteerd naar, of handmatig ingevoerd in, het systeem. Aanvullende controles op juistheid, volledigheid en gegevensintegriteit behoren in het kader van de bijwerkprocessen te worden uitge- voerd.</p></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Het beheer van de ICT-continuïteit vormt een es- sentieel onderdeel van de bedrijfscontinuïteitsei- sen met betrekking tot beschikbaarheid om in staat te zijn:</p>
<ol type="a">
<li><p>te reageren op en te herstellen van verstorin- gen van ICT-diensten ongeacht de oorzaak;</p></li>
<li><p>te bewerkstelligen dat de continuïteit van ge- prioriteerde activiteiten door de vereiste ICT- diensten wordt ondersteund;</p></li>
<li><p>te reageren voordat er zich een verstoring van de ICT-diensten voordoet en zodra er ten min- ste één incident is waargenomen dat kan leiden tot een verstoring van de ICT-diensten.</p></li>
</ol>
<p>Verdere richtlijnen over de ICT-gereedheid voor bedrijfscontinuïteit zijn te vinden in</p>
<p>ISO/IEC 27031.</p>
<p>Verdere richtlijnen over een systeem voor be- drijfscontinuïteitsbeheer zijn te vinden in</p>
<p>ISO 22301 en ISO 22313.</p>
<p>Verdere richtlijnen over BIA zijn te vinden in ISO/TS 22317.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Wettelijke, statutaire, regelgevende en contractuele eisen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td><blockquote>
<p>#Juri- disch_en_compli- ance</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem #Bescher- ming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Wettelijke, statutaire, regelgevende en contractu- ele eisen die relevant zijn voor informatiebeveili- ging en de aanpak van de organisatie om aan deze eisen te voldoen, behoren te worden geïdentifi- ceerd, gedocumenteerd en actueel gehouden.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De naleving bewerkstelligen van wettelijke, statu- taire, regelgevende en contractuele eisen in ver- band met informatiebeveiliging.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>Externe eisen, met inbegrip van wettelijke, statu- taire, regelgevende en contractuele eisen behoren in aanmerking te worden genomen bij het:</p>
<ol type="a">
<li><p>ontwikkelen van informatiebeveiligingsbeleid en -procedures;</p></li>
<li><p>ontwerpen, implementeren of wijzigen van be- heersmaatregelen voor informatiebeveiliging;</p></li>
<li><p>classificeren van informatie en andere gerela- teerde bedrijfsmiddelen in het kader van het proces voor het vaststellen van informatiebe- veiligingseisen voor interne behoeften of voor overeenkomsten met leveranciers;</p></li>
<li><p>uitvoeren van risicobeoordelingen met het oog op informatiebeveiliging en het vaststellen van de activiteiten voor de behandeling van infor- matiebeveiligingsrisico’s;</p></li>
<li><p>vaststellen van processen plus de bijbehorende rollen en verantwoordelijkheden met betrek- king tot informatiebeveiliging;</p></li>
<li><p>vaststellen van de contractuele eisen voor leve- ranciers die relevant zijn voor de organisatie en de reikwijdte van de levering van producten en diensten.</p></li>
</ol></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><u>Wet- en regelgeving</u></p>
<p>De organisatie behoort:</p>
<ol type="a">
<li><p>alle wet- en regelgeving te identificeren die re- levant zijn voor de informatiebeveiliging van de organisatie om op de hoogte te zijn van de ei- sen voor haar soort bedrijf;</p></li>
<li><p>het voldoen eraan in alle relevante landen in aanmerking te nemen, indien de organisatie:</p>
<ul>
<li><p>zaken doet in andere landen;</p>
<ul>
<li><p>producten en diensten gebruikt uit andere landen waar wet- en regelgeving van in- vloed kunnen zijn op de organisatie;</p></li>
<li><p>informatie over de grenzen van rechtsgebie- den transporteert waar wet- en regelgeving van invloed kunnen zijn op de organisatie;</p></li>
</ul></li>
</ul></li>
</ol>
<ol start="3" type="a">
<li><p>de geïdentificeerde wet- en regelgeving regel- matig te beoordelen om op de hoogte te blijven van wijzigingen en nieuwe wetgeving te identi- ficeren;</p></li>
<li><p>de specifieke processen en individuele verant- woordelijkheden om aan deze eisen te voldoen te definiëren en documenteren.</p></li>
</ol>
<p><u>Cryptografie</u></p>
<p>Cryptografie is een gebied waarvoor vaak speci- fieke wettelijke eisen gelden. Het naleven van de relevante overeenkomsten en wet- en regelgeving met betrekking tot de volgende punten behoort in aanmerking te worden genomen:</p>
<ol type="a">
<li><p>beperkingen op de import of export van com- puterhardware en -software voor het uitvoeren van cryptografische functies;</p></li>
<li><p>beperkingen op de import of export van com- puterhardware en -software die zo zijn ontwor- pen dat er cryptografische functies aan kunnen worden toegevoegd;</p></li>
<li><p>beperkingen op de toepassing van cryptografie;</p></li>
<li><p>verplichte of discretionaire methoden voor de toegang van de overheidsinstanties van de lan- den tot versleutelde informatie;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>e) geldigheid van digitale handtekeningen, zegels en certificaten.</p>
<p>Het wordt aanbevolen juridisch advies in te win- nen om ervoor te zorgen dat de relevante wet- en regelgeving wordt nageleefd, vooral wanneer ver- sleutelde informatie of cryptografie-instrumenten tot voorbij de grenzen van rechtsgebieden worden verplaatst.</p>
<p><u>Contracten</u></p>
<p>Contractuele eisen in verband met informatiebe- veiliging behoren de eisen te omvatten die zijn vermeld in:</p>
<ol type="a">
<li><p>contracten met klanten;</p></li>
<li><p>contracten met leveranciers (zie 5.20);</p></li>
<li><p>verzekeringscontracten.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Intellectuele-eigendomsrechten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td><blockquote>
<p>#Juri- disch_en_compli- ance</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort passende procedures te implementeren om intellectuele-eigendomsrech- ten te beschermen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De naleving bewerkstelligen van eisen van wet- en regelgeving, statutaire en contractuele eisen in verband met intellectuele-eigendomsrechten en het gebruik van gepatenteerde producten.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De volgende richtlijnen behoren in overweging te worden genomen om materiaal dat kan worden beschouwd als intellectuele eigendom te bescher- men:</p>
<p>a) onderwerpspecifiek beleid inzake de bescher- ming van intellectuele-eigendomsrechten defi- niëren en communiceren;</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="2" type="a">
<li><p>procedures voor het voldoen aan intellectuele- eigendomsrechten publiceren die het gebruik van software en informatieproducten volgens de eisen definiëren;</p></li>
<li><p>software alleen aanschaffen bij bekende bron- nen met een goede reputatie, om te waarbor- gen dat het auteursrecht niet wordt geschon- den;</p></li>
<li><p>geschikte registers van bedrijfsmiddelen bij- houden, en alle bedrijfsmiddelen waarbij be- scherming van intellectuele-eigendomsrechten vereist is, identificeren;</p></li>
<li><p>bewijs en bewijsmateriaal bijhouden van de ei- gendom van licenties, handleidingen enz.</p></li>
<li><p>bewerkstelligen dat een maximumaantal ge- bruikers of middelen (bijv. CPU's) dat eventu- eel door de licentie is toegestaan, niet wordt overschreden;</p></li>
<li><p>beoordelingen uitvoeren om te bewerkstelligen dat alleen goedgekeurde software en in licentie gegeven producten zijn geïnstalleerd;</p></li>
<li><p>procedures vaststellen voor het handhaven van de juiste licentievoorwaarden;</p></li>
<li><p>procedures vaststellen voor het verwijderen of aan anderen overdragen van software;</p></li>
<li><p>voldoen aan voorwaarden voor software en in- formatie verkregen van openbare netwerken en externe bronnen;</p></li>
<li><p>niet dupliceren, naar een ander formaat con- verteren of een uittreksel maken van commer- ciële opnamen (video, audio), tenzij dit au- teursrechtelijk of volgens de licenties die van toepassing zijn, is toegestaan;</p></li>
<li><p>geen normen (bijv. internationale normen van ISO/IEC), boeken, artikelen, rapporten of an- dere documenten geheel of ten dele kopiëren, tenzij dit auteursrechtelijk of volgens de licen- ties die van toepassing zijn, is toegestaan.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Onder intellectuele-eigendomsrechten vallen au- teursrechten op software of documenten, ont- werprechten, handelsmerken, patenten en bron- codelicenties.</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>Eigendomssoftwareproducten worden gewoonlijk geleverd op basis van een licentieovereenkomst die de licentievoorwaarden vermeldt, bijv. het ge- bruik van de producten beperken tot bepaalde machines of het kopiëren beperken tot het maken van back-upkopieën. Zie de ISO/IEC 19770-reeks voor nadere informatie over het beheer van IT-be- drijfsmiddelen.</p>
<p>Gegevens kunnen worden verkregen uit externe bronnen. Doorgaans worden dergelijke gegevens verkregen op grond van een overeenkomst voor het delen van gegevens of een soortgelijk juridisch instrument. In zulke overeenkomsten voor het de- len van gegevens behoort duidelijk te worden ge- maakt welke verwerking is toegestaan voor de verkregen gegevens. Het is ook raadzaam dat de herkomst van de gegevens duidelijk wordt ver- meld. Zie ISO/IEC 23751 voor meer informatie over overeenkomsten voor het delen van gege- vens.</p>
<p>Eisen van wet- en regelgeving, statutaire en con- tractuele eisen kunnen beperkingen inhouden voor het kopiëren van eigendomsmateriaal. In het bijzonder kan worden bepaald dat alleen materi- aal mag worden gebruikt dat is ontwikkeld door de organisatie zelf of dat door de ontwikkelaar in licentie is gegeven aan de organisatie of aan de or- ganisatie is geleverd. Schending van auteursrecht kan leiden tot gerechtelijke stappen, die kunnen resulteren in een geldboete of een strafproces.</p>
<p>Afgezien van het feit dat het nodig is dat de orga- nisatie voldoet aan haar verplichtingen wat betreft de intellectuele-eigendomsrechten van derden, behoren de risico's dat personeel en derden de ei- gen intellectuele-eigendomsrechten van de orga- nisatie niet behartigen ook te worden beheerst.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Beschermen van registraties

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren #Beschermen</td>
<td><blockquote>
<p>#Juri- disch_en_compli- ance #Beheer_van_be- drijfsmiddelen #Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Registraties behoren te worden beschermd tegen verlies, vernietiging, vervalsing, toegang door on- bevoegden en ongeoorloofde vrijgave.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De naleving bewerkstelligen van wet- en regelge- ving, statutaire en contractuele eisen, alsmede ge- meenschaps- of maatschappelijke verwachtingen, met betrekking tot de bescherming en beschik- baarheid van registraties.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort de volgende stappen te on- dernemen om de authenticiteit, betrouwbaarheid, integriteit en bruikbaarheid van registraties te be- schermen, aangezien de bedrijfscontext en de ei- sen voor het beheer ervan na verloop van tijd ver- anderen:</p>
<ol type="a">
<li><p>richtlijnen uitvaardigen inzake de opslag, de bewakingsketen voor de hantering, en het ver- wijderen van registraties, hetgeen ook het voorkomen van manipulatie van registraties omvat. Deze richtlijnen behoren te worden af- gestemd op het onderwerpspecifieke beleid van de organisatie inzake het beheer van regi- straties en andere eisen aan registraties;</p></li>
<li><p>een bewaarschema opstellen waarin registra- ties en de periode dat ze behoren te worden be- waard, zijn gedefinieerd.</p></li>
</ol>
<p>Het systeem waarmee gegevens worden opgesla- gen en behandeld, behoort de identificatie van re- gistraties en hun bewaarperiode te waarborgen, rekening houdend, indien van toepassing, met na- tionale of regionale wet- of regelgeving, evenals de verwachtingen vanuit de gemeenschap of de maatschappij. Dit systeem behoort toe te staan dat registraties na afloop van die termijn op een</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>passende manier worden vernietigd als de organi- satie ze niet langer nodig heeft.</p>
<p>Bij besluitvorming over bescherming van speci- fieke registraties van de organisatie behoort de informatiebeveiligingsclassificatie daarvan, geba- seerd op het classificatieschema van de organisa- tie, in overweging te worden genomen. Registra- ties behoren te worden gecategoriseerd naar types registratie (bijv. boekhoudkundige, transac- tie-, personeels-, juridische registraties). Bij elk type behoren de bewaartermijn en de toegestane soorten opslagmedia (fysiek of elektronisch) te worden vermeld.</p>
<p>Systemen voor gegevensopslag behoren zo te wor- den gekozen dat vereiste registraties binnen een aanvaardbare tijdspanne en in een aanvaardbaar formaat kunnen worden opgevraagd, afhankelijk van de desbetreffende eisen.</p>
<p>Als elektronische opslagmedia worden gekozen behoren procedures te worden vastgesteld om te waarborgen dat de registraties tijdens de bewaar- periode toegankelijk blijven (leesbaarheid van zo- wel de opslagmedia als van het gegevensformaat), om te voorkomen dat de informatie verloren gaat als gevolg van toekomstige technologische veran- deringen. Ook gerelateerde cryptografische sleu- tels en programma’s die samenhangen met ver- sleutelde archieven of digitale handtekeningen, behoren te worden bewaard om decodering van de registraties mogelijk te maken gedurende de bewaarperiode van de registraties (zie 8.24).</p>
<p>Procedures voor het bewaren en behandelen van deze media behoren te worden geïmplementeerd in overeenstemming met de aanbevelingen van fa- brikanten van opslagmedia. Er behoort rekening te worden gehouden met de mogelijkheid dat me- dia die worden gebruikt om registraties te bewa- ren, in kwaliteit achteruitgaan.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Registraties documenteren individuele gebeurte- nissen of transacties of kunnen samenvoegingen zijn van gegevens die ervoor zijn opgezet om ar- beidsprocessen, activiteiten of functies te docu- menteren. Ze vormen het bewijs van zowel be- drijfsactiviteiten als van informatiebedrijfsmidde- len. Elke informatieverzameling, ongeacht struc- tuur of vorm, kan als registratie worden beheerd.</p>
<p>Dit omvat informatie in de vorm van een docu- ment, een verzameling gegevens of andere soorten</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>digitale of analoge informatie die in het kader van de bedrijfsvoering worden aangemaakt, vastge- legd en beheerd.</p>
<p>In het kader van het beheren van registraties zijn metagegevens gegevens die de context, inhoud en structuur van registraties, evenals het beheer er- van in de loop van de tijd, beschrijven. Metagege- vens zijn een essentieel bestanddeel van elke regi- stratie.</p>
<p>Het kan nodig zijn sommige registraties veilig te bewaren om te voldoen aan eisen van wet- en re- gelgeving, statutaire en contractuele eisen, en om essentiële bedrijfsactiviteiten te ondersteunen. De bewaartermijn en de soort informatie die behoort te worden bewaard, kunnen zijn vastgelegd in na- tionale wet- of regelgeving. Verdere informatie over beheer van registraties is te vinden in</p>
<p>ISO 15489.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Privacy en bescherming van persoonsgegevens

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren #Beschermen</td>
<td><blockquote>
<p>#Informatiebe- scherming #Juri-</p>
<p>disch_en_compli- ance</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort de eisen met betrekking tot het behoud van privacy en de bescherming van persoonsgegevens volgens de toepasselijke wet- en regelgeving en contractuele eisen te identifice- ren en eraan te voldoen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De naleving bewerkstelligen van wet- en regelge- ving, statutaire en contractuele eisen met betrek- king tot de informatiebeveiligingsaspecten voor de bescherming van persoonsgegevens.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort een onderwerpspecifiek beleid inzake privacy en bescherming van per- soonsgegevens vast te stellen en aan alle relevante belanghebbenden mee te delen.</p>
<p>De organisatie behoort procedures te ontwikkelen en te implementeren voor het behoud van privacy en het beschermen van persoonsgegevens. Deze procedures behoren te worden gecommuniceerd</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Toegang tot persoonlijke gezondheidsinformatie behoort alleen te worden toegestaan wanneer er voor de gebruiker een legitieme noodzaak is van toegang tot de registraties van een zorgontvanger.</p>
<p>Indien er sprake is van een legitieme noodzaak voor de gebruiker, betekent dit niet per se dat de gebruiker recht heeft op toegang tot alle persoon- lijke gezondheidsinformatie van de</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>aan alle relevante belanghebbenden die betrokken zijn bij het verwerken van persoonsgegevens.</p>
<p>Naleving van deze procedures en van alle rele- vante wet- en regelgeving betreffende het behoud van privacy en het beschermen van persoonsgege- vens vereist passende rollen, verantwoordelijkhe- den en beheersmaatregelen. Vaak kan dit het beste worden bereikt door een persoon te benoe- men die hiervoor verantwoordelijk is, zoals een privacyfunctionaris, die richtlijnen behoort te ge- ven aan personeel, dienstverleners en andere be- langhebbenden over hun individuele verantwoor- delijkheden en de specifieke procedures die beho- ren te worden gevolgd.</p>
<p>Verantwoordelijkheid voor het omgaan met per- soonsgegevens behoort met inachtneming van de desbetreffende wet- en regelgeving te worden be- handeld.</p>
<p>Er behoren passende technische en organisatori- sche maatregelen te worden geïmplementeerd om persoonsgegevens te beschermen.</p></th>
<th><p>zorgontvanger, aangezien eisen van wet- en regel- geving, beroepseisen, lokaal beleid of andere eisen tot aanvullende toegangsbeperkingen kunnen lei- den. Bijvoorbeeld:</p>
<ol type="a">
<li><p>toegang tot de persoonlijke gezondheidsinfor- matie in kwestie, bijvoorbeeld met betrekking tot de seksuele gezondheid, geestelijke gezond- heid, contraceptie, een eventuele actuele zwan- gerschap of de resultaten van eerdere zwanger- schappen van een zorgontvanger, kan worden beperkt tot de clinici die de specifieke aandoe- ningen behandelen;</p></li>
<li><p>Zorgontvangers kunnen rechten hebben om aan te geven welke gezondheidsregistraties die hen betreffen al dan niet toegankelijk zijn voor bepaalde gebruikers of groepen gebruikers;</p></li>
<li><p>Zorgontvangers kunnen rechten op toegang tot hun eigen registraties hebben, maar er kunnen eisen zijn dat bepaalde informatie niet met ze mag worden gedeeld. Dit kan van toepassing zijn op bepaalde geestelijke aandoeningen of indien de gezondheidsregistraties van een zorgontvanger informatie over andere perso- nen, zoals familieleden met aanverwante aan- doeningen of diagnoses bevatten, en de privacy van die andere personen moet worden be- schermd;</p></li>
<li><p>indien bepaalde gezondheidsaangelegenheden zoals de in a) vermelde aangelegenheden wor- den geregistreerd, kunnen zorgontvangers on- der een alias of een speciale identificatiecode worden geregistreerd en wordt de toegang tot hun echte identificatie-informatie beperkt;</p></li>
<li><p>bepaalde zorgontvangers kunnen een alias of een speciale identificatiecode krijgen om toe- gang tot hun ware identiteit te voorkomen. Dit kan bijvoorbeeld van toepassing zijn op ‘very important persons’ (VIP's), medewerkers bij de veiligheidsdiensten (waaronder politie en le- ger) en slachtoffers van een misdrijf.</p></li>
</ol>
<p>Aanvullende overwegingen zijn van toepassing op de toegang tot registraties van kinderen of van volwassenen met een gevolmachtigde.</p>
<p>In gevallen waarin zorgontvangers of hun gevol- machtigden rechten hebben om te specificeren of toegang tot bepaalde registraties behoort te wor- den verleend of geweigerd, behoren geschikte</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th></th>
<th><p>logbestanden te worden bijgehouden. Deze logbe- standen behoren details te bevatten van advies dat aan zorgontvangers of hun gevolmachtigden is ge- geven en van de besluiten die zij vervolgens ne- men.</p>
<p>Er zijn opties voor als de toegang tot een deel van de registraties van een zorgontvanger wordt ont- zegd. Bijvoorbeeld:</p>
<ol type="a">
<li><p>de informatie in kwestie kan helemaal verbor- gen zijn, zodat helemaal niet aan de gebruiker wordt getoond dat deze er is;</p></li>
<li><p>de informatie kan gemaskeerd zijn of kan zijn vervangen door tekst die de gebruiker ervan op de hoogte stelt dat bepaalde informatie beperkt is.</p></li>
</ol>
<p>Eisen van wet- en regelgeving of lokaal beleid be- horen te worden opgevolgd om vast te stellen wat de passende maatregelen zijn bij het weigeren van toegang. Op methoden voor het weigeren van toe- gang wordt ingegaan in 8.11.</p>
<p>Zoals in 5.15 is opgemerkt, kan het nodig zijn in noodgevallen bepaalde beheersmaatregelen voor toegangsbeveiliging of toegangsbeperkingen opzij te zetten.</p>
<p>Speciale nadruk behoort te worden gelegd op de punten van zorg van zorgontvangers die niet wen- sen dat hun persoonlijke gezondheidsinformatie kan worden ingezien door gezondheidswerkers die hun buren, collega's of familieleden zijn. Ook is het vaak zo dat personeelsleden niet onnodig in de positie willen worden geplaatst waar ze informa- tie over vrienden, familieleden of buren moeten beoordelen. Doeltreffend beheer van gezondheids- informatiesystemen behoort op deze punten van zorg in te gaan.</p></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Een aantal landen heeft wetgeving ingevoerd waardoor er beheersmaatregelen zijn ingesteld voor het verzamelen, verwerken, verzenden en wissen van persoonsgegevens. Afhankelijk van de respectieve nationale wetgeving kunnen derge- lijke beheersmaatregelen verplichtingen opleggen aan personen die persoonsgegevens verzamelen, verwerken en verspreiden, en kunnen zij ook de bevoegdheid voor het versturen van persoonsge- gevens naar andere landen beperken.</p>
<p>ISO/IEC 29100 voorziet in een kader op hoog ni- veau voor de bescherming van persoonsgegevens</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Verdere informatie over het beheer van toestem- ming voor de toegang tot informatie in de gezond- heidszorg is te vinden in ISO/TS 17975.</p>
<p>ISO/IEC 27701 is een uitbreiding van</p>
<p>ISO/IEC 27001 en ISO/IEC 27002 waarin eisen en richtlijnen worden gegeven voor het beheer van privacygevoelige informatie. Veel van de beheers- maatregelen kunnen binnen gezondheid worden toegepast.</p>
<p>Zie ook bijlage D.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>binnen ICT-systemen. Verdere informatie over privacy-informatiebeheersystemen is te vinden in ISO/IEC 27701. Specifieke informatie met betrek- king tot privacy-informatiebeheer voor publieke clouds die als verwerkers van persoonsgegevens fungeren is te vinden in ISO/IEC 27018.</p>
<p>ISO/IEC 29134 geeft richtlijnen voor privacy-ef- fectbeoordelingen (PIA) en een voorbeeld van de structuur en inhoud van een PIA-rapport. In ver- gelijking met ISO/IEC 27005 is dit toegespitst op het verwerken van persoonsgegevens en is het re- levant voor die organisaties die persoonsgegevens verwerken. Dit kan helpen bij het identificeren van privacyrisico's en mogelijke beperkende maatregelen om deze risico's tot een aanvaard- baar niveau terug te brengen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Onafhankelijke beoordeling van informatiebeveiliging

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Corri- gerend</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren #Beschermen</td>
<td><blockquote>
<p>#Borging_van_in- formatiebeveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De aanpak van de organisatie ten aanzien van het beheer van informatiebeveiliging en de implemen- tatie ervan, met inbegrip van mensen, processen en technologieën, behoren onafhankelijk en met geplande tussenpozen of zodra zich belangrijke veranderingen voordoen, te worden beoordeeld.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Waarborgen dat de organisatie continu een ge- schikte, toereikende en doeltreffende aanpak voor het beheer van informatiebeveiliging hanteert.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort te beschikken over proces- sen om onafhankelijke beoordelingen uit te voe- ren.</p>
<p>Het management behoort periodieke onafhanke- lijke beoordelingen te plannen en te initiëren. De beoordelingen behoren tevens het beoordelen van verbetermogelijkheden en de noodzaak om wijzi- gingen aan te brengen in de informatiebeveili- gingsaanpak te omvatten, met inbegrip van het in- formatiebeveiligingsbeleid, onderwerpspecifieke beleidsregels en andere beheersmaatregelen.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Vanwege de gespecialiseerde aard van de gezond- heidszorg, inclusief de onderlinge afhankelijkhe- den tussen veiligheid en informatiebeveiliging, be- hoort het gebruik van onafhankelijke reviewers met begrip van de sector te worden overwogen.</p>
<p>Hoewel niet noodzakelijkerwijs uitgevoerd door relevante experts en niet strikt onafhankelijk, kan beoordeling door collega's van een peer-organisa- tie dienen als een nuttige aanvulling op formele onafhankelijke beoordelingen.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th style="text-align: left;"><p>Dergelijke beoordelingen behoren te worden uit- gevoerd door personen met een onafhankelijke positie ten opzichte van het te beoordelen gebied (bijv. door de interne auditor, een onafhankelijke manager of een externe organisatie die gespeciali- seerd is in dergelijke beoordelingen). Personen die deze beoordelingen uitvoeren, behoren te be- schikken over de passende competentie. Om te ga- randeren dat de persoon die de beoordelingen uit- voert voldoende onafhankelijk is om een beoorde- ling uit te voeren, behoort hij of zij geen deel uit te maken van de hiërarchie.</p>
<p>De resultaten van de onafhankelijke beoordelin- gen behoren te worden gerapporteerd aan het ma- nagement dat de beoordelingen heeft geïnitieerd en, indien van toepassing, het topmanagement.</p>
<p>Deze registraties behoren te worden bewaard.</p>
<p>Indien in de onafhankelijke beoordelingen wordt vastgesteld dat de aanpak en de implementatie van het beheer van informatiebeveiliging van de organisatie niet voldoen [bijv. gedocumenteerde doelstellingen en eisen zijn niet gehaald of niet in overeenstemming met de koers voor informatie- beveiliging zoals opgenomen in het beleid voor in- formatiebeveiliging en onderwerpspecifieke be- leidsregels (zie 5.1)], behoort het management corrigerende maatregelen te initiëren.</p>
<p>In aanvulling op de periodieke onafhankelijke be- oordelingen behoort de organisatie te overwegen onafhankelijke beoordelingen uit te voeren wan- neer:</p>
<ol type="a">
<li><p>wet- en regelgeving die van invloed is op de organisatie, verandert;</p></li>
<li><p>er zich belangrijke incidenten voordoen;</p></li>
<li><p>de organisatie een nieuw bedrijf start of een bestaand bedrijf verandert;</p></li>
<li><p>de organisatie een nieuw product of nieuwe dienst gaat gebruiken of het gebruik van een actueel gebruikt(e) product of dienst wijzigt;</p></li>
<li><p>de organisatie de beheersmaatregelen en pro- cedures voor informatiebeveiliging significant wijzigt.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align: left;"><p><strong>Overige informatie</strong></p>
<p>ISO/IEC 27007 en ISO/IEC TS 27008 voorzien in richtlijnen voor het uitvoeren van onafhankelijke beoordelingen.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Naleving van beleid, regels en normen voor informatiebeveiliging

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren #Beschermen</td>
<td><blockquote>
<p>#Juri- disch_en_compli- ance #Borging_van_in- formatiebeveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De naleving van het informatiebeveiligingsbeleid, het onderwerpspecifieke beleid, regels en de nor- men van de organisatie behoort regelmatig te worden beoordeeld.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat informatiebeveiliging in over- eenstemming met het informatiebeveiligingsbe- leid, het onderwerpspecifieke beleid, regels en normen van de organisatie wordt geïmplemen- teerd en uitgevoerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Managers of de eigenaren van diensten, producten of informatie behoren vast te stellen op welke ma- nier wordt beoordeeld of aan informatiebeveili- gingseisen zoals gedefinieerd in het informatiebe- veiligingsbeleid, het onderwerpspecifieke beleid, regels, normen en andere toepasselijke regelge- ving, wordt nageleefd. Voor een doeltreffende re- gelmatige beoordeling behoort te worden overwo- gen om automatische meet- en rapportage-instru- menten in te zetten.</p>
<p>Indien de beoordeling een geval van niet-naleving oplevert, behoren managers:</p>
<ol type="a">
<li><p>de oorzaken van de niet-naleving vast te stel- len;</p></li>
<li><p>de noodzaak te evalueren tot het treffen van corrigerende maatregelen om naleving te be- werkstelligen;</p></li>
<li><p>passende corrigerende maatregelen te imple- menteren;</p></li>
<li><p>de getroffen corrigerende maatregelen te be- oordelen om de doeltreffendheid ervan te veri- fiëren en om gebreken of zwakke plekken te identificeren.</p></li>
</ol>
<p>Resultaten van door managers of de eigenaren van diensten, producten of informatie uitgevoerde</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Er behoort een programma voor het auditen van naleving te zijn ingesteld dat op de volledige le- venscyclus van activiteiten ingaat en dat:</p>
<ol type="a">
<li><p>aandachtspunten identificeert;</p></li>
<li><p>resultaten beoordeelt, en</p></li>
<li><p>beslist over updates van het ISMS.</p></li>
</ol>
<p>Het auditprogramma behoort binnen een cyclus van 12 tot 18 maanden te zijn gestructureerd en behoort het volgende af te dekken:</p>
<ol type="a">
<li><p>alle elementen van dit document;</p></li>
<li><p>alle risicogebieden, en</p></li>
<li><p>alle geïmplementeerde beheersmaatregelen.</p></li>
</ol>
<p>Indien van toepassing behoort de adviesgroep in- zake informatiebeveiliging (zie 8.22.) zichzelf als doel te stellen een gegradueerd kader voor het au- diten van naleving vast te stellen, met als onderste laag een zelfaudit door degenen die de processen uitvoeren en de managers. Vervolgens behoren audits van het ISMS ten behoeve van de advies- groep inzake informatiebeveiliging, interne audits, beoordelingen voor het borgen van beheersmaat- regelen en ten slotte externe audits dusdanig te</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>beoordelingen en getroffen corrigerende maatre- gelen behoren te worden geregistreerd en deze re- gistraties behoren te worden bewaard. Managers behoren de resultaten te rapporteren aan de per- sonen die onafhankelijke beoordelingen uitvoeren (zie 5.35) wanneer een onafhankelijke beoorde- ling plaatsvindt binnen hun verantwoordelijk- heidsgebied.</p>
<p>Corrigerende maatregelen behoren tijdig te wor- den voltooid, naarmate passend is gezien het ri- sico. Indien deze maatregelen niet voor de vol- gende geplande beoordeling zijn voltooid, behoren de vorderingen in ieder geval als onderdeel van die beoordeling te worden behandeld.</p></th>
<th>worden gedefinieerd dat elke laag vertrouwen kan ontlenen aan alle lagen eronder.</th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Operationele monitoring van het gebruik van sys- temen wordt behandeld in 8.15, 8.16, 8.17.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Gedocumenteerde bedieningsprocedures

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Corrigerend</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen #Herstellen</td>
<td><blockquote>
<p>#Beheer_van_be- drijfs_middelen #Fysieke_beveili- ging #Systeem-</p>
<p>_en_netwerkbevei- liging #Toepas- singsbeveiliging #Veilige_configura- tie</p>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer #Beheer_van_drei- gingen_en_kwets- baarheden #Continuïteit #Beheer_van_in- formatiebeveili- gingsgebeurtenis- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem #Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Bedieningsprocedures voor informatieverwer- kende faciliteiten behoren te worden gedocumen- teerd en beschikbaar te worden gesteld aan het personeel dat ze nodig heeft.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De correcte en veilige bediening van informatie- verwerkende faciliteiten waarborgen.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Richtlijn</strong></p>
<p>Er behoren gedocumenteerde procedures te wor- den opgesteld voor de operationele activiteiten van de organisatie die verband houden met infor- matiebeveiliging, bijvoorbeeld:</p>
<ol type="a">
<li><p>wanneer het nodig is dat de activiteit door veel mensen op dezelfde manier wordt uitgevoerd;</p></li>
<li><p>wanneer de activiteit zelden wordt uitgevoerd en waarschijnlijk vergeten zal zijn als zij weer wordt uitgevoerd;</p></li>
<li><p>wanneer de activiteit nieuw is en een risico inhoudt als zij niet correct wordt uitgevoerd;</p></li>
<li><p>voorafgaand aan de overdracht van de activi- teit aan nieuwe medewerkers.</p></li>
</ol>
<p>In de bedieningsprocedures behoort het volgende te worden gespecificeerd:</p>
<ol type="a">
<li><p>welke personen verantwoordelijk zijn;</p></li>
<li><p>de beveiligde installatie en configuratie van systemen;</p></li>
<li><p>verwerking en behandeling van informatie, zowel geautomatiseerd als handmatig;</p></li>
<li><p>back-up (zie 8.13) en veerkracht;</p></li>
<li><p>de planning van eisen, waaronder onderlinge afhankelijkheden met andere systemen;</p></li>
<li><p>instructies voor het omgaan met fouten of an- dere uitzonderlijke omstandigheden [bijv. be- perkingen ten aanzien van het gebruik van sys- teemhulpmiddelen (zie 8.18)] die zich tijdens de uitvoering van een functie kunnen voor- doen;</p></li>
<li><p>ondersteunings- en escalatiecontacten, waar- onder externe ondersteuningscontacten in ge- val van onverwachte bedienings- of technische moeilijkheden;</p></li>
<li><p>instructies voor het behandelen van opslagme- dia (zie 7.10 en 7.14);</p></li>
<li><p>procedures voor het opnieuw opstarten en her- stellen van het systeem in geval van systeem- storingen;</p></li>
<li><p>het beheer van informatie uit audittrajecten en systeemlogbestanden (zie 8.15 en 8.17) en vi- deobewakingssystemen (zie 7.4);</p></li>
<li><p>monitoringprocedures zoals capaciteit, presta- ties en beveiliging (zie 8.6 en 8.16);</p></li>
<li><p>onderhoudsinstructies.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th>Gedocumenteerde bedieningsprocedures behoren te worden beoordeeld en zo nodig bijgewerkt. Wij- zigingen in gedocumenteerde bedieningsprocedu- res behoren te worden geautoriseerd. Indien tech- nisch haalbaar behoren informatiesystemen con- sistent te worden beheerd, met gebruikmaking van dezelfde procedures, instrumenten en hulp- middelen.</th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### HLT – Analyse en specificatie van informatiebeveiligingseisen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td>#Informatiebe- scherming #Sys- teem-_en_netwerk- beveiliging #Appli- catiebeveiliging, #Beveiligde_confi- guratie #Identi- teits-_en_toegangs- beveiliging #Conti- nuïteit</td>
<td><blockquote>
<p>#Bescherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel</strong></p>
<p>De informatiebeveiligingsgerelateerde eisen beho- ren te worden opgenomen in de eisen voor nieuwe informatiesystemen of verbeteringen aan be- staande informatiesystemen.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Waarborgen dat risico's in verband met de ont- wikkeling en/of aankoop van informatiesystemen gedurende de levenscyclus van het informatiesys- teem doeltreffend worden aangepakt.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Informatiebeveiligingseisen behoren te worden geïdentificeerd met behulp van uiteenlopende me- thoden zoals het afleiden van nalevingseisen uit beleid en regelgeving, modellering van bedreigin- gen, beoordelingen van incidenten of het gebruik van drempelwaarden voor kwetsbaarheden. Re- sultaten van de identificatie behoren door alle be- langhebbenden te worden gedocumenteerd en be- oordeeld.</p>
<p>Informatiebeveiligingseisen en beheersmaatrege- len behoren de waarde van de desbetreffende in- formatie (zie 5.12 en 5.13) en de mogelijke nega- tieve impact die het gevolg zou kunnen zijn van een gebrek aan afdoende beveiliging te</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th></th>
<th><p>weerspiegelen. De mogelijke gevolgen voor pati- entveiligheid moet hierbij worden betrokken.</p>
<p>Het identificeren en beheren van informatiebevei- ligingseisen en aanverwante processen behoort in de vroege stadia van informatiesysteemprojecten te zijn geïntegreerd. Vroegtijdig aandacht beste- den aan informatiebeveiligingseisen, bijv. tijdens het ontwerpstadium, kan tot meer doeltreffende en vanuit kostenoogpunt meer rendabele oplos- singen leiden.</p>
<p>In de informatiebeveiligingseisen behoort ook rekening te worden gehouden met:</p>
<ol type="a">
<li><p>de vereiste mate van betrouwbaarheid ten opzichte van de beweerde identiteit van gebruikers om gebruikersauthenticatie-eisen af te leiden;</p></li>
<li><p>processen voor toegangsverlening en autorisa- tie, voor alle soorten gebruikers, waaronder gebruikers met speciale rechten of technische gebruikers;</p></li>
<li><p>het over hun taken en verantwoordelijkheden informeren van gebruikers en uitvoerenden;</p></li>
<li><p>de vereiste beschermingsbehoeften van de desbetreffende bedrijfsmiddelen, met name wat betreft beschikbaarheid, vertrouwelijk- heid, integriteit;</p></li>
<li><p>eisen die zijn afgeleid van operationele proces- sen, zoals registreren en monitoren van trans- acties, eisen voor onweerlegbaarheid;</p></li>
<li><p>eisen die verplicht zijn gesteld door andere beheersmaatregelen met betrekking tot beveili- ging, bijv. interfaces voor het registreren en monitoren of systemen voor het opsporen van lekken van gegevens.</p></li>
</ol>
<p>Voor toepassingen die diensten via openbare net- werken verlenen of die transacties implementeren behoort rekening te worden gehouden met de spe- ciale beheersmaatregel 8.26.</p>
<p>Indien producten worden aangekocht, behoort een formeel test- en aankoopproces te worden ge- volgd. In de contracten met de leverancier beho- ren de vastgestelde beveiligingseisen te zijn opge- nomen. Indien de beveiligingsfunctionaliteit in een voorgesteld product niet aan de gespecificeerde eis voldoet, behoren het geïntroduceerde risico en de beheersmaatregelen die daarmee verband hou- den opnieuw te worden overwogen alvorens het product aan te kopen.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th></th>
<th><p>Beschikbare richtlijnen voor de beveiligingsconfi- guratie van het product, afgestemd op het defini- tieve pakket van software en diensten van dat sys- teem behoren te worden geëvalueerd en geïmple- menteerd.</p>
<p>Voor het aanvaarden van producten behoren cri- teria, bijv. wat betreft de functionaliteit van de producten, te worden gedefinieerd die de waar- borg geven dat aan de geïdentificeerde beveili- gingseisen wordt voldaan. Voordat producten worden gekocht, behoren ze aan de hand van deze criteria te worden geëvalueerd. Aanvullende func- tionaliteit behoort te worden beoordeeld om te waarborgen dat deze geen onaanvaardbare aan- vullende risico's met zich meebrengt.</p></th>
</tr>
</thead>
<tbody>
<tr>
<td></td>
<td><p><strong>Zorgspecifieke overige informatie</strong></p>
<p>Zie bijlage D.</p>
<p>ISO/IEC 27005 geeft richtlijnen voor het gebruik van risicobeheerprocessen om beheersmaatrege- len te identificeren die aan informatiebeveiligings- eisen voldoen.</p></td>
</tr>
</tbody>
</table>

##### HLT – Zorgontvangers op unieke wijze identificeren

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td>#Informatiebe- scherming, #Sys- teem-_en_netwerk- beveiliging, #Ap- plicatiebeveiliging, #Beveiligde_confi- guratie, #Identi- teits-_en_toegangs- beveiliging, #Con- tinuïteit</td>
<td><blockquote>
<p>#Bescherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecieke beheersmaatregel</strong></p>
<p>Beleid en processen behoren te waarborgen dat elke zorgontvanger op unieke wijze binnen het systeem kan worden geïdentificeerd en behoren in staat te zijn dubbele of meervoudige registraties samen te voegen als er dubbele of meervoudige registraties zijn voor een en dezelfde zorgontvan- ger.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Voorkomen van onvolledige of niet-consistente informatie en dossiers over zorgontvangers.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th></th>
<th><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>In het geval van zorgverlening in noodgevallen en bij andere situaties waar toereikende identificatie van een zorgontvanger niet mogelijk is, kunnen er meerdere registraties ontstaan voor een en de- zelfde zorgontvanger. Daarnaast kunnen cliënten om administratieve redenen meerdere dossiers hebben, bijvoorbeeld vanwege een fusie of over- name van voorheen aparte zorginstellingen waar zij behandeld zijn.</p>
<p>Gezondheidsinformatiesystemen behoren over de mogelijkheid te beschikken meerdere registraties voor een zorgontvanger tot één registratie samen te voegen. Dit samenvoegen moet met de hoogst mogelijke zorg gebeuren en vereist daarom niet alleen personeel dat daarvoor is opgeleid, maar kan ook technische instrumenten vereisen om de oorspronkelijke registraties tot één geheel te kun- nen integreren.</p>
<p>Organisaties die persoonlijke gezondheidsinfor- matie verwerken behoren te waarborgen dat ge- gevens op basis waarvan personen kunnen wor- den geïdentificeerd alleen worden bewaard indien dit nodig is en dat verwijderings-, anonimiserings- en pseudononimiseringstechnieken op gepaste wijze en zo uitgebreid mogelijk worden gebruikt om het risico van onbedoelde openbaarmaking van persoonlijke informatie te minimaliseren.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### HLT – Validatie van getoonde/geprinte gegevens

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td>#Informatiebe- scherming, #Sys- teem-_en_netwerk- beveiliging #Appli- catiebeveiliging, #Beveiligde_confi- guratie, #Identi- teits-_en_toegangs- beveiliging #Conti- nuïteit</td>
<td><blockquote>
<p>#Bescherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel</strong></p>
<p>Als er gegevens worden getoond en/of geprint door gezondheidsinformatiesystemen behoren deze gegevens ook informatie te omvatten waar- mee de zorgontvanger waarop de gegevens be- trekking heeft wordt geïdentificeerd.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De bevestiging mogelijk maken dat informatie voor de juiste zorgontvanger is en voorkomen dat</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th></th>
<th>informatie wordt gebruikt die op iemand anders betrekking heeft.</th>
</tr>
</thead>
<tbody>
<tr>
<td></td>
<td><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Alvorens persoonlijke gezondheidsinformatie te gebruiken die wordt verstrekt door een gezond- heidsinformatiesysteem, behoort aan beroepsbe- oefenaren in de gezondheidszorg voldoende infor- matie te worden getoond om te waarborgen dat de zorgontvanger die zij behandelen met de gepre- senteerde informatie correspondeert. Controleren of een zorgontvanger met een bestaande registra- tie correspondeert kan een niet-triviale taak zijn. Sommige systemen verhogen de beveiliging door een identificatie aan de hand van een foto op te nemen in elke registratie van een zorgontvanger. Dergelijke verbeteringen kunnen op zich tot priva- cyproblemen leiden, aangezien zij mogelijk het im- pliciet vastleggen toestaan van gelaatskenmerken zoals ras, die niet als gegevensvelden worden op- genomen. Ook kunnen de eisen voor het identifice- ren van zorgontvangers en de beschikbaarheid van gegevens die worden gebruikt om dit te on- dersteunen van rechtsgebied tot rechtsgebied ver- schillen. Er behoort een hoge mate van zorg te worden betracht bij het ontwerpen van gezond- heidsinformatiesystemen om te waarborgen dat beroepsbeoefenaren in de gezondheidszorg erop kunnen vertrouwen dat het systeem de informatie levert die nodig is om te bevestigen dat elke opge- vraagde registratie met de persoon die onder be- handeling is correspondeert.</p>
<p>Gezondheidsinformatiesystemen behoren con- trole mogelijk te maken op het volledig zijn van uitdraaien op papier (bijv. “pagina 3 van 5”).</p></td>
</tr>
</tbody>
</table>

##### HLT – Openbaar beschikbare gezondheidsinformatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Integriteit</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Governance, #Be- drijfsmiddelenbe- heer #Bescher- ming_van_informa- tie #Juridische_za- ken_en_naleving</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming, #Verdedi- ging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3" style="text-align: left;"><p><strong>Zorgspecifieke beheersmaatregel</strong></p>
<p>Openbaar beschikbare gezondheidsinformatie be- hoort te worden beschermd, bewaard en beheerd gedurende de volledige levenscyclus.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th></th>
<th><p><strong>Doel</strong></p>
<p>Waarborgen dat openbaar beschikbare gezond- heidsinformatie beschikbaar is wanneer nodig, de integriteit wordt gehandhaafd, de herkomst wordt vastgelegd, er een audittraject wordt bijgehouden en historische informatie kan worden achterhaald. Informatie, inclusief bijwerkingen, over voorge- schreven medicijnen en andere medicijnen is vaak ook openbaar beschikbaar, samen met uitleg over de diagnose en behandeling van veel aandoenin- gen.</p>
<p>Belangrijke beslissingen kunnen worden genomen door zorgvragers, hun begeleiders of plaatsver- vangers op basis van openbaar beschikbare ge- zondheidsinformatie. Gezondheidszorgprofessio- nals kunnen ook vertrouwen op dergelijke infor- matie. Het is daarom essentieel dat openbaar be- schikbare gezondheidsinformatie betrouwbaar, nauwkeurig en up-to-date is. Om dit te garande- ren:</p>
<ol type="a">
<li><p>moeten de integriteit en beschikbaarheid van de informatie worden beschermd;</p></li>
<li><p>moet de oorsprong van de informatie worden vermeld en moet de herkomst ervan worden gecontroleerd voordat deze beschikbaar wordt gesteld;</p></li>
<li><p>moet er een volledig audittraject zijn, zodat dui- delijk is welk personeel de informatie heeft ge- maakt, gewijzigd, verwijderd of andere acties heeft uitgevoerd;</p></li>
<li><p>moet er een uitgebreid archief van de informa- tie worden bijgehouden en moet er een faciliteit zijn om toegang te krijgen tot de historische in- formatie om vast te stellen welke inhoud op een bepaald moment beschikbaar was.</p></li>
</ol></th>
</tr>
</thead>
<tbody>
<tr>
<td></td>
<td><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Soortgelijke principes moeten worden toegepast op informatie op intranetten, interne kennisban- ken en vergelijkbare bronnen die alleen toeganke- lijk zijn voor medewerkers binnen een organisatie.</p></td>
</tr>
</tbody>
</table>

##### HLT – Communicatie in noodsituaties

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Corrigerend</td>
<td>#Beschikbaarheid</td>
<td colspan="2">#Reageren, #Herstellen</td>
<td><blockquote>
<p>#Governance #In- formatiebescher- ming #HR_beveili- ging #Bedreigin- gen_en_kwetsbaar- heidsbeheer #Con- tinuïteit #Beveili- ging_van_rela- ties_met_leveran- ciers, #Manage- ment_van_informa- tiebeveiligingsge- beurtenissen #Bor- ging_van_informa- tiebeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel</strong></p>
<p>Noodcommunicatiekanalen binnen een zorgorga- nisatie die in werking treden wanneer er een sto- ring is in de continuïteit van de ICT van de organi- satie behoren te worden gepland, geïmplemen- teerd, onderhouden en beproefd.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Waarborgen dat essentiële communicatie mogelijk is bij uitval van ICT.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Voor interpersoonlijke communicatie wordt steeds meer gebruikgemaakt van ICT en dat leidt tot een dienovereenkomstige toename in de af- hankelijkheid van ICT. Als ICT uitvalt, wordt com- municatie via ICT al snel onmogelijk. Voor het ver- lenen van zorg is dat niet acceptabel. Daarom moet noodcommunicatie die geen gebruik maakt van ICT (van de organisatie) worden gepland, geïmplementeerd, onderhouden en de doeltref- fendheid ervan regelmatig worden beproefd. Zo kan bijvoorbeeld mobiele communicatie worden gebruikt in plaats van netwerkcommunicatie en kunnen papieren formulieren worden gebruikt om verzoeken om pathologisch onderzoek en de re- sultaten ervan te communiceren.</p></td>
</tr>
</tbody>
</table>

##### HLT – Incidenten extern melden

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Detectief #Corri- gerend</td>
<td>#Integriteit #Beschik- baarheid</td>
<td colspan="2">#Reageren</td>
<td><blockquote>
<p>#Governance #Be- dreigingen-</p>
<p>_en_kwetsbaar- heidsbeheer #Be- veiliging_van_rela- ties_met_leveran- ciers #Juridi- sche_zaken_en_na- leving</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ecosys- teem</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel</strong></p>
<p>Informatiebeveiligingsincidenten behoren volgens juridische of contractuele verplichtingen of ver- plichtingen uit hoofde van wet- en regelgeving te worden gemeld.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Waarborgen dat wordt voldaan aan juridische of contractuele verplichtingen of verplichtingen uit hoofde van wet- en regelgeving met betrekking tot informatiebeveiligingsincidenten.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>In de gezondheidszorg en elders neemt de nood- zaak om informatiebeveiligingsincidenten aan de bevoegde instanties en/of contractpartners te melden toe. Dit stelt deze partijen in staat snel pa- tronen binnen cybercriminaliteit te ontdekken.</p>
<p>Om te waarborgen dat wordt voldaan aan derge- lijke meldings- en rapportageverplichtingen is het nodig eerst deze verplichtingen te inventariseren. Op basis hiervan:</p>
<ol type="a">
<li><p>behoren partijen binnen de organisatie te wor- den benoemd die verantwoordelijk zijn voor (groepen) individuele meldingen en de bijbeho- rende rapportages, en</p></li>
<li><p>de omvang (lengte en breedte) van elke mel- ding behoort te worden vastgesteld op basis van een evenwicht tussen meldingseisen en de bescherming van persoonlijke (gezond- heids)informatie.</p></li>
</ol>
<p>Telkens als een incident extern is gemeld, behoort de directie hiervan op de hoogte te worden ge- steld.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke overige informatie</strong></p>
<p>Zie ook 5.31.</p></td>
</tr>
</tbody>
</table>

### Mensgerichte beheersmaatregelen

##### Screening

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Personeelsbevei- liging</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De achtergrond van alle kandidaten voor een dienstverband behoort te worden gecontroleerd voordat ze bij de organisatie in dienst treden en daarna op gezette tijden te worden herhaald. Hier- bij behoort rekening te worden gehouden met de toepasselijke wet- en regelgeving, voorschriften en ethische overwegingen, en deze controle be- hoort in verhouding te staan tot de bedrijfseisen, de classificatie van de informatie waartoe toegang wordt verleend en de vastgestelde risico's.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat al het personeel in aanmer- king komt en geschikt is voor de functies waar- voor zij worden overwogen en dat zij hiervoor ge- durende hun dienstverband in aanmerking blijven komen en geschikt blijven.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Al het personeel, met inbegrip van voltijd-, deel- tijd- en tijdelijk personeel, behoort te worden ge- screend. Indien deze personen via dienstverleners worden ingehuurd, behoren screeningeisen te worden opgenomen in de contractuele afspraken tussen de organisatie en de dienstverleners.</p>
<p>Informatie over alle kandidaten die in aanmerking komen voor posities binnen de organisatie, be- hoort te worden verzameld en verwerkt met in- achtneming van de relevante wetgeving in het re- levante rechtsgebied. In bepaalde rechtsgebieden kan het wettelijk vereist zijn dat de organisatie de kandidaten vooraf op de hoogte stelt van de scree- ningsactiviteiten.</p>
<p>Bij deze controle behoort alle relevante wetgeving op het gebied van privacy, bescherming van per- soonsgegevens en arbeidswetgeving in acht te worden genomen, en de controle behoort, voor zover toegestaan, het volgende te omvatten:</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Alle organisaties waar persoonlijke gezondheids- informatie wordt verwerkt behoren te beschikken over beleid voor het screenen van personeel. Als minimale vereiste behoort het beleid de eis van het verifiëren van identiteit, het actuele adres en eerdere dienstverbanden te omvatten.</p>
<p>De screening van alle potentiële personeelsleden behoort een verificatie te omvatten van de toepas- selijke kwalificaties voor beroepsbeoefenaren in de gezondheidszorg en, indien van toepassing, dat de persoon in kwestie geaccrediteerd is of over een licentie beschikt voor het uitoefenen van zijn of haar beroep. Indien van toepassing behoren controles op het al dan niet bestaan van een straf- blad te worden uitgevoerd. Alle controles behoren regelmatig te worden herhaald.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol type="a">
<li><p>de beschikbaarheid van positieve referenties (bijv. zakelijke en persoonlijke referenties);</p></li>
<li><p>een controle (op volledigheid en nauwkeurig- heid) van het curriculum vitae van de sollici- tant;</p></li>
<li><p>bevestiging van de geclaimde academische en beroepskwalificaties;</p></li>
<li><p>onafhankelijke identiteitscontrole (bijv. een paspoort of ander aanvaardbaar document dat is afgegeven door een passende instantie);</p></li>
<li><p>meer gedetailleerde controle, zoals controle op kredietwaardigheid of strafblad indien de kan- didaat een essentiële rol krijgt.</p></li>
</ol>
<p>Als een persoon wordt ingehuurd voor een speci- fieke informatiebeveiligingsrol, behoort de organi- satie zich ervan te vergewissen dat:</p>
<ol type="a">
<li><p>de kandidaat over de nodige competentie beschikt om de beveiligingsrol te vervullen;</p></li>
<li><p>de kandidaat de rol kan worden toevertrouwd, in het bijzonder als de rol cruciaal is voor de organisatie.</p></li>
</ol>
<p>Als een functie, hetzij bij een eerste aanstelling, hetzij bij promotie, met zich meebrengt dat de persoon toegang heeft tot faciliteiten die informa- tie verwerken, en, in het bijzonder, indien het hierbij gaat om vertrouwelijke informatie (bijv. fi- nanciële, persoonlijke of medische informatie of zeer vertrouwelijke informatie), behoort de orga- nisatie ook verdere, meer gedetailleerde verifica- ties te overwegen.</p>
<p>In procedures behoren criteria en beperkingen voor controleonderzoeken te worden gedefinieerd (bijv. wie is competent om personen te screenen, en hoe, wanneer en waarom worden controle- onderzoeken uitgevoerd).</p>
<p>In situaties waarin de controle niet tijdig kan wor- den voltooid, behoren beperkende beheersmaat- regelen te worden geïmplementeerd totdat de be- oordeling is voltooid, bijvoorbeeld:</p>
<ol type="a">
<li><p>uitgestelde ‘onboarding’;</p></li>
<li><p>uitgestelde inzet van bedrijfsmiddelen van het bedrijf;</p></li>
<li><p>‘onboarding’ met beperkte toegang;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>d) beëindiging van het dienstverband.</p>
<p>Deze controles behoren op gezette tijden te wor- den herhaald om te bevestigen dat personeel nog altijd geschikt is, afhankelijk van hoe essentieel de rol van een persoon is.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Arbeidsovereenkomst

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Personeelsbevei- liging</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ ecosysteem</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>In arbeidsovereenkomsten behoort te worden vermeld wat de verantwoordelijkheden van het personeel en van de organisatie zijn wat betreft informatiebeveiliging.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>In functiebeschrijvingen behoren de beveiligings- rollen en verantwoordelijkheden te worden ver- meld die van toepassing zijn op het verwerken van persoonlijke gezondheidsinformatie.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat personeel begrijpt wat hun verantwoordelijkheden zijn op het gebied van in- formatiebeveiliging voor de rollen waarvoor zij mogelijk in aanmerking komen.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>Waarborgen dat de privacy van zorgontvangers wordt benadrukt en begrepen.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>In de contractuele verplichtingen voor personeel behoren het informatiebeveiligingsbeleid en rele- vante onderwerpspecifieke beleidsregels van de organisatie in aanmerking te worden genomen.</p>
<p>Bovendien kunnen de volgende punten worden opgehelderd en vermeld:</p>
<ol type="a">
<li><p>vertrouwelijkheids- of geheimhoudingsover- eenkomsten die door personeel dat toegang krijgt tot vertrouwelijke informatie, behoren te worden ondertekend alvorens aan personeel toegang wordt verleend tot informatie en an- dere gerelateerde bedrijfsmiddelen (zie 6.6);</p></li>
<li><p>wettelijke verantwoordelijkheden en rechten [bijv. betreffende auteursrechtwetgeving of wetgeving inzake gegevensbescherming (zie 5.32 en 5.34)];</p></li>
<li><p>verantwoordelijkheden met betrekking tot de classificatie van informatie en het beheer van de informatie en andere gerelateerde bedrijfs- middelen van de organisatie, informatiever- werkende faciliteiten en informatiediensten</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Organisaties behoren erop toe te zien dat perso- neel de plicht heeft schendingen van de beveili- ging van gezondheidsinformatie of de privacy van zorgontvangers te melden.</p>
<p>Het is nodig dat beleid ingaat op alle soorten per- soneel, zowel vast als anders, waaronder:</p>
<ol type="a">
<li><p>tijdelijk of bezoekende clinici, zoals vervangers, stagiairs, studenten en “oproepkrachten” of uit- zendpersoneel;</p></li>
<li><p>personeel dat directe zorg ondersteunt, met in- begrip van administratieve en ondersteunende medewerkers evenals geestelijk verzorgers, medewerkers van liefdadigheidsinstellingen en andere vrijwilligers.</p></li>
</ol></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>waarmee het personeel omgaat (zie 5.9 t/m 5.13);</p>
</blockquote>
<ol start="4" type="a">
<li><p>verantwoordelijkheden voor het omgaan met van belanghebbenden ontvangen informatie;</p></li>
<li><p>te treffen maatregelen indien personeel de be- veiligingseisen van de organisatie veronacht- zaamt (zie 6.4).</p></li>
</ol>
<p>De informatiebeveiligingsrollen en de verant- woordelijkheden behoren tijdens het voortraject van het aanstellingsproces aan kandidaten te wor- den gecommuniceerd.</p>
<p>De organisatie behoort ervoor te zorgen dat per- soneel en contractanten instemmen met voor- waarden betreffende informatiebeveiliging. Deze voorwaarden behoren te passen bij de aard en de mate van toegang die ze zullen krijgen tot de be- drijfsmiddelen van de organisatie die samenhan- gen met informatiesystemen en -diensten. De voorwaarden inzake informatiebeveiliging beho- ren te worden beoordeeld wanneer wetten, regel- geving, het informatiebeveiligingsbeleid of onder- werpspecifieke beleidsregels veranderen.</p>
<p>Waar van toepassing behoren de verantwoorde- lijkheden die in de arbeidsovereenkomst staan, voor een vastgestelde periode na het einde van het dienstverband van kracht te blijven (zie 6.5).</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Er kan een gedragscode worden gebruikt die de verantwoordelijkheden van het personeel in het kader van informatiebeveiliging aangeeft ten aan- zien van vertrouwelijkheid, bescherming van per- soonsgegevens, ethiek, passend gebruik van de in- formatie en andere gerelateerde bedrijfsmiddelen van de organisatie, alsmede ten aanzien van door de organisatie verwacht moreel verantwoord han- delen.</p>
<p>Een externe partij waarmee personeel van leve- ranciers is verbonden, kan ertoe zijn verplicht na- mens de gecontracteerde persoon contractuele af- spraken te maken.</p>
<p>Indien de organisatie geen rechtspersoon is en geen werknemers heeft, kan het equivalent van een contractuele overeenkomst en van contractu- ele voorwaarden in aanmerking worden genomen, overeenkomstig de richtlijnen van deze beheers- maatregel.</p></td>
<td><p><strong>Zorgspecifieke overige informatie</strong></p>
<p>Zie bijlage C voor verdere informatie over mede- werkers binnen zorgorganisaties.</p></td>
</tr>
</tbody>
</table>

##### Bewustwording van, opleiding en training in informatiebeveiliging

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Personeelsbevei- liging</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Personeel van de organisatie en relevante belang- hebbenden behoren een passende bewustwording van, opleiding en training in informatiebeveiliging en regelmatige updates over het informatiebevei- ligingsbeleid, onderwerpspecifieke beleidsregels en procedures van de organisatie, voor zover rele- vant voor hun functie, te krijgen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Ervoor zorgen dat personeel en relevante belang- hebbenden zich bewust zijn van hun verantwoor- delijkheden op het gebied van informatiebeveili- ging en deze nakomen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>Een bewustwordingsprogramma, -opleiding en</p>
<p>-training voor informatiebeveiliging behoren te worden vastgesteld in overeenstemming met het informatiebeveiligingsbeleid, onderwerpspeci- fieke beleidsregels en relevante procedures inzake informatiebeveiliging van de organisatie, rekening houdend met de te beschermen informatie van de organisatie en de beheersmaatregelen voor infor- matiebeveiliging die zijn geïmplementeerd om de informatie te beschermen.</p>
<p>Opleiding en training voor bewustwording van in- formatiebeveiliging behoort periodiek plaats te vinden. Een basisbewustwordingsprogramma,</p>
<p>-opleiding en -training kunnen van toepassing zijn op nieuw personeel en op personeel dat naar nieuwe functies of rollen met substantieel andere informatiebeveiligingseisen overstapt.</p>
<p>Om de kennisoverdracht en doeltreffendheid van het bewustwordings-, opleidings- of trainingspro- gramma te testen behoort aan het eind van een bewustwordings-, opleidings- of trainingsactiviteit een beoordeling van het inzicht van het personeel te worden uitgevoerd.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Bewustzijn, opleiding en training kunnen regelma- tige beoordeling en/of toetsen omvatten.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><u>Bewustwording</u></p>
<p>Een bewustwordingsprogramma voor informatie- beveiliging behoort erop gericht te zijn om perso- neel bewust te maken van hun verantwoordelijk- heden voor informatiebeveiliging en de manieren waarop personeel zich van deze verantwoordelijk- heden kan kwijten.</p>
<p>Bij het plannen van het bewustwordingspro- gramma behoort rekening te worden gehouden met de rollen van het personeel binnen de organi- satie, met inbegrip van intern en extern personeel (bijv. externe consultants, personeel van leveran- ciers). De activiteiten in het bewustwordingspro- gramma behoren op zo’n manier te worden ge- spreid en bij voorkeur regelmatig te worden uitge- voerd dat de activiteiten worden herhaald en nieuw personeel deze ook meemaken. Er behoort te worden voortgebouwd op lering die is getrok- ken uit informatiebeveiligingsincidenten.</p>
<p>Het bewustwordingsprogramma behoort een aan- tal bewustwordingsactiviteiten te bevatten via passende fysieke of virtuele kanalen, zoals cam- pagnes, boekjes, posters, nieuwsbrieven, websites, informatiesessies, briefings, e-learningmodules en e-mails.</p>
<p>Bewustwording van informatiebeveiliging behoort algemene aspecten te omvatten zoals:</p>
<ol type="a">
<li><p>de betrokkenheid van het management bij in- formatiebeveiliging in de gehele organisatie;</p></li>
<li><p>de noodzaak van bekend zijn met en het vol- doen aan de van toepassing zijnde regels en verplichtingen met betrekking tot informatie- beveiliging, rekening houdend met informatie- beveiligingsbeleid en onderwerpspecifieke be- leidsregels, normen, wetten, statuten, regelge- ving, contracten en overeenkomsten;</p></li>
<li><p>persoonlijke verantwoordelijkheid voor eigen doen en laten, en algemene verantwoordelijk- heden ten opzichte van het beveiligen of be- schermen van informatie die eigendom is van de organisatie en belanghebbenden;</p></li>
<li><p>basisprocedures op informatiebeveiliging [zo- als het melden van informatiebeveiligingsge- beurtenissen (6.8)] en basisbeheersmaatrege- len [zoals wachtwoordbeveiliging (5.17)];</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>e) contactpunten en bronnen voor aanvullende informatie en advies over informatiebeveili- gingsaangelegenheden, met inbegrip van aan- vullende materialen voor het verhogen van be- wustwording van informatiebeveiliging.</p>
<p><u>Opleiding en training</u></p>
<p>De organisatie behoort een passend trainingsplan vast te stellen, voor te bereiden en te implemente- ren voor technische teams met rollen die speci- fieke vaardigheden en deskundigheid vereisen.</p>
<p>Technische teams behoren te beschikken over de vaardigheden voor het configureren en in stand houden van het vereiste beveiligingsniveau voor apparaten, systemen, toepassingen en diensten. Indien er vaardigheden ontbreken, behoort de or- ganisatie actie te ondernemen om deze vaardighe- den te verwerven.</p>
<p>Voor het opleidings- en trainingsprogramma be- horen verschillende vormen te worden overwo- gen [bijv. lessen of zelfstudie, begeleiding door deskundig personeel of consultants (training in de praktijk), het rouleren van personeelsleden om verschillende activiteiten te volgen, mensen met de juiste vaardigheden werven en consultants in- huren]. Dit kan via verschillende middelen wor- den geleverd, bijv. klassikaal, via afstandsonder- wijs, via internet, in eigen tempo. Technisch perso- neel behoort zijn kennis op peil te houden door zich te abonneren op nieuwsbrieven en tijdschrif- ten of door conferenties en evenementen te bezoe- ken die zich richten op technische en professio- nele verbetering.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Bij het opstellen van een bewustwordingspro- gramma is het belangrijk niet alleen de aandacht te richten op het ‘wat’ en ‘hoe’, maar ook op het ‘waarom’, indien mogelijk. Het is belangrijk dat personeel het doel van informatiebeveiliging en de mogelijke uitwerking, positief en negatief, van het eigen gedrag op de organisatie begrijpt.</p>
<p>Bewustwording van, opleiding en training in infor- matiebeveiliging kunnen onderdeel zijn van, of worden gegeven in combinatie met andere activi- teiten, bijvoorbeeld algemene informatiemanage- ment-, ICT-, beveiligings-, privacy- of veiligheids- training.</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Om aan de slag te gaan met het veranderen van het gedrag van personeel om veilig met informatie om te gaan is specifiek voor de zorg een stappen- plan ontwikkeld ‘Aan de slag met informatieveilig gedrag’.</p>
<p>Meer informatie over dit stappenplan is beschik- baar via:</p>
<p><a href="https://www.informatieveiliggedragzorg.nl/"><u>https://www.informatieveiliggedragzorg.nl</u></a>/.</p></td>
</tr>
</tbody>
</table>

##### Disciplinaire procedure

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Corri- gerend</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen #Reageren</td>
<td><blockquote>
<p>#Personeelsbevei- liging</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoort een formele en gecommuniceerde dis- ciplinaire procedure te zijn om actie te onderne- men tegen personeel en andere belanghebbenden die zich schuldig hebben gemaakt aan een schen- ding van het informatiebeveiligingsbeleid.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat personeel en andere rele- vante belanghebbenden de gevolgen begrijpen van schending van het informatiebeveiligingsbeleid, personeel en andere relevante belanghebbenden ervan weerhouden zich schuldig te maken aan een schending, en personeel en andere relevante be- langhebbenden die zich schuldig hebben gemaakt aan een schending op de juiste manier aanpakken.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De disciplinaire procedure behoort niet te worden geïnitieerd voordat is geverifieerd dat er zich een schending van het informatiebeveiligingsbeleid heeft voorgedaan (zie 5.28).</p>
<p>De formele disciplinaire procedure behoort te voorzien in een geleidelijke getrapte respons waarbij rekening wordt gehouden met factoren zoals:</p>
<ol type="a">
<li><p>de aard (wie, wat, wanneer, hoe) en ernst van de inbreuk en de gevolgen ervan;</p></li>
<li><p>of de overtreding opzettelijk (kwaadwillig) of onopzettelijk (per ongeluk) was;</p></li>
<li><p>of het al dan niet een eerste overtreding be- treft;</p></li>
<li><p>of de overtreder al dan niet naar behoren was opgeleid.</p></li>
</ol>
<p>Bij de reactie behoort rekening te worden gehou- den met relevante eisen van wet- en regelgeving, statutaire, contractuele en bedrijfseisen evenals</p>
<p>andere factoren voor zover vereist. De discipli- naire procedure behoort ook te worden gebruikt</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Voor ernstige overtredingen behoort de discipli- naire procedure, zowel ter afschrikking als omdat dit nodig kan zijn, te vermelden dat de overtreders bij een of meer externe instanties worden gemeld.</p>
<p>Er zou bijvoorbeeld een melding tegen clinici kun- nen worden gedaan bij de desbetreffende regelge- vende of registratie-instantie. Er zou een melding tegen studenten en stagiairs kunnen worden ge- daan bij de academische instelling waaraan ze zijn gelieerd.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th>als een afschrikmiddel om te voorkomen dat per- soneel en andere relevante belanghebbenden het informatiebeveiligingsbeleid, onderwerpspeci- fieke beleidsregels en procedures voor informatie- beveiliging overtreden. Opzettelijke schendingen van het informatiebeveiligingsbeleid kunnen on- middellijke maatregelen vereisen.</th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Indien mogelijk behoort de identiteit van perso- nen tegen wie disciplinaire actie wordt onderno- men overeenkomstig de toepasselijke eisen te worden beschermd.</p>
<p>Wanneer personen blijk hebben gegeven van uit- stekend gedrag met betrekking tot informatiebe- veiliging, kunnen ze worden beloond om de infor- matiebeveiliging te bevorderen en goed gedrag te stimuleren.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Verantwoordelijkheden na beëindiging of wijziging van het dienstverband

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Personeelsbevei- liging #Beheer_van_be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Verantwoordelijkheden en taken met betrekking tot informatiebeveiliging die van kracht blijven na beëindiging of wijziging van het dienstverband, behoren te worden gedefinieerd, gehandhaafd en gecommuniceerd aan relevant personeel en an- dere belanghebbenden.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De belangen van de organisatie beschermen als onderdeel van de wijzigings- of beëindigingspro- cedure van dienstverband of contracten.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Het proces voor het beheer van een beëindiging of verandering van dienstverband behoort te defini- eren welke verantwoordelijkheden en plichten op het gebied van informatiebeveiliging na de beëin- diging of verandering behoren te blijven gelden.</p>
<p>Dit kan onder meer betrekking hebben op de ver- trouwelijkheid van informatie, intellectuele eigen- dom en andere kennis die wordt verkregen, als- mede op de verantwoordelijkheden die deel uit- maken van andere geheimhoudings-</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Veel artsen, verpleegkundigen en andere clinici doorlopen opleidingsprogramma's en andere pro- gramma's waarbij er sprake is van functieroulatie en waarbij hun klinische taken en de zorgontvan- gers bij wiens zorg zij betrokken zijn sterk kunnen veranderen.</p>
<p>Om te waarborgen dat toegangs- en andere aan- verwante rechten worden beëindigd die niet lan- ger vereist zijn voor hun rol, behoren veranderin- gen in werkkring in eerste instantie op dezelfde</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>overeenkomsten (zie 6.6). Verantwoordelijkheden en taken die na beëindiging van het dienstverband of contract nog altijd van kracht zijn, behoren te worden opgenomen in de arbeidsovereenkomst, het contract of de overeenkomst van de persoon (zie 6.2). Andere contracten of overeenkomsten die na het einde van het dienstverband van de per- soon nog een bepaalde tijd doorlopen, kunnen ook verantwoordelijkheden op het gebied van infor- matiebeveiliging bevatten.</p>
<p>Wijzigingen in verantwoordelijkheid of dienstver- band behoren te worden beheerst als het beëindi- gen van de desbetreffende verantwoordelijkheid of het desbetreffende dienstverband behoort te worden gecombineerd met het initiëren van de nieuwe verantwoordelijkheid of het nieuwe dienstverband.</p>
<p>De informatiebeveiligingsrollen en -verantwoor- delijkheden van een persoon die een rol of functie neerlegt of van rol of functie verandert, behoren te worden geïdentificeerd en op een andere persoon te worden overgedragen.</p>
<p>Er behoort een proces te worden opgesteld om de wijzigingen en operationele procedures te com- municeren naar het personeel, andere belangheb- benden en relevante contactpersonen (bijv. klan- ten en leveranciers).</p>
<p>Het proces voor het beëindigen of wijzigen van een dienstverband behoort ook te worden toege- past op extern personeel (d.w.z. leveranciers) wanneer een dienstverband van personeel, het contract of de functie bij de organisatie wordt beëindigd of wanneer er een verandering van functie binnen de organisatie is.</p></th>
<th>manier te worden verwerkt als het geval is bij per- sonen van wie het dienstverband bij de organisa- tie eindigt.</th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>In veel organisaties is de afdeling personeelszaken doorgaans verantwoordelijk voor de totale beëin- digingsprocedure en werkt deze afdeling samen met de direct leidinggevende van de persoon die overstapt om de informatiebeveiligingsaspecten van de relevante procedures af te handelen. Als het gaat om personeel dat is ingehuurd via een ex- terne partij (bijv. via een leverancier), dan wordt deze beëindigingsprocedure uitgevoerd door de externe partij in overeenstemming met het con- tract tussen de organisatie en de externe partij.</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Veranderingen in werkgelegenheid kunnen ook gevolgen hebben voor de fysieke locaties waar personen toegang toe hebben of mogen hebben. Er behoren regelingen te worden getroffen om ge- schikte wijzigingen in beveiligingspassen en/of andere maatregelen voor fysieke en lokale beveili- ging te garanderen.</p>
<p>Zie 5.15 en 5.18 voor situaties met betrekking tot tijdelijk personeel.</p></td>
</tr>
</tbody>
</table>

##### Vertrouwelijkheids- of geheimhoudingsovereenkomsten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Personeelsbevei- liging #Informatiebe- scherming #Leveranciersrela- ties</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Vertrouwelijkheids- of geheimhoudingsovereen- komsten die de behoeften van de organisatie in- zake de bescherming van informatie weerspiege- len, behoren te worden geïdentificeerd, gedocu- menteerd, regelmatig te worden beoordeeld en ondertekend door personeel en andere relevante belanghebbenden.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Alle personeel dat bevoegd is tot toegang tot per- soonlijke gezondheidsinformatie behoort er for- meel toe te worden verplicht die informatie ver- trouwelijk te behandelen.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De vertrouwelijkheid van informatie waartoe per- soneel of externe partijen toegang hebben hand- haven.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>Formeel de vertrouwelijkheid van informatie waartoe personeel of derden toegang hebben in stand houden.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Vertrouwelijkheids- of geheimhoudingsovereen- komsten behoren de eis van bescherming van ver- trouwelijke informatie te behandelen binnen juri- disch afdwingbare voorwaarden. Vertrouwelijk- heids- of geheimhoudingsovereenkomsten zijn van toepassing op belanghebbenden en personeel van de organisatie. Op basis van de informatiebe- veiligingseisen van een organisatie behoren de voorwaarden in de overeenkomsten te worden vastgesteld door te kijken naar de soort informatie waarmee de belanghebbenden of het personeel zullen omgaan, het classificatieniveau en het ge- bruik ervan en de toegestane toegang door de an- dere partij. Bij het vaststellen van eisen voor ver- trouwelijkheids- of geheimhoudingsovereenkom- sten, behoren de volgende elementen in overwe- ging te worden genomen:</p>
<ol type="a">
<li><p>een definitie van de te beschermen informatie (bijv. vertrouwelijke informatie);</p></li>
<li><p>de verwachte looptijd van een overeenkomst, met inbegrip van gevallen waarin het nodig kan zijn de vertrouwelijkheid onbeperkt te handha- ven of tot de informatie openbaar beschikbaar wordt;</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Een formele verbintenis kan bijvoorbeeld voortko- men uit een ondertekende overeenkomst, zoals een niet-openbaarmakings- of geheimhoudings- overeenkomst, een overeenkomst inzake eisen vanuit regelgeving, of uit de wet.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="3" type="a">
<li><p>de vereiste acties als een overeenkomst is beëindigd;</p></li>
<li><p>de verantwoordelijkheden en acties van de on- dertekenaars betreffende het vermijden van onbevoegd openbaar maken van informatie;</p></li>
<li><p>de eigendom van informatie, handelsgeheimen en intellectuele eigendom, en hoe dit zich ver- houdt tot de bescherming van vertrouwelijke informatie;</p></li>
<li><p>het toegelaten gebruik van vertrouwelijke in- formatie en de rechten van de ondertekenaar om de informatie te gebruiken;</p></li>
<li><p>het recht om activiteiten waar vertrouwelijke informatie voor uiterst gevoelige omstandighe- den bij is betrokken, te auditen en te monito- ren;</p></li>
<li><p>de procedure voor het notificeren en melden van ongeoorloofde openbaarmaking of lekken van vertrouwelijke informatie;</p></li>
<li><p>de voorwaarden voor retourneren of vernieti- gen van informatie na beëindiging van de over- eenkomst;</p></li>
<li><p>de verwachte te treffen maatregelen indien niet wordt voldaan aan de overeenkomst.</p></li>
</ol>
<p>De organisatie behoort het voldoen aan vertrou- welijkheids- en geheimhoudingsovereenkomsten in aanmerking te nemen voor het rechtsgebied waarop deze van toepassing zijn (zie 5.31, 5.32, 5.33, 5.34).</p>
<p>Eisen voor vertrouwelijkheids- en geheimhou- dingsovereenkomsten behoren periodiek te wor- den beoordeeld, en als zich veranderingen voor- doen die van invloed zijn op deze eisen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Vertrouwelijkheids- en geheimhoudingsovereen- komsten beschermen informatie van de organisa- tie en informeren de ondertekenaars over hun verantwoordelijkheid om informatie op een ver- antwoordelijke en bevoegde manier te bescher- men, te gebruiken en openbaar te maken.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Werken op afstand

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Beheer_van_be- drijfsmiddelen #Informatiebe- scherming #Fysieke_beveili- ging</p>
<p>#Systeem-_en_net- werkbeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Wanneer personeel op afstand werkt, behoren er beveiligingsmaatregelen te worden geïmplemen- teerd om informatie te beschermen die buiten het gebouw en/of terrein van de organisatie wordt in- gezien, verwerkt of opgeslagen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De beveiliging van informatie waarborgen wan- neer personeel op afstand werkt.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Er is sprake van werken op afstand telkens wan- neer personeel van de organisatie vanaf een loca- tie buiten het gebouw en/of terrein van de organi- satie werkt en toegang maakt tot informatie, hetzij in gedrukte vorm of elektronisch via ICT-appara- tuur. Omgevingen voor werken op afstand zijn on- der andere omgevingen die worden aangeduid als ‘telewerken’, ‘teleforenzen’, ‘flexibele werkplek’, ‘virtuele werkomgevingen’ en ‘onderhoud op af- stand’.</p>
<p>OPMERKING Het is mogelijk dat niet alle aanbeve- lingen in deze richtlijn kunnen worden toegepast als gevolg van lokale wet- en regelgeving in verschillende rechtsgebieden.</p>
<p>Organisaties die activiteiten voor werken op af- stand toestaan, behoren onderwerpspecifiek be- leid inzake werken op afstand uit te vaardigen waarin de desbetreffende voorwaarden en beper- kingen worden gedefinieerd. Waar van toepassing geacht, behoort rekening te worden gehouden met de volgende zaken:</p>
<p>a) de bestaande of voorgestelde fysieke beveili- ging van de locatie van waaraf op afstand wordt gewerkt, waarbij rekening wordt gehou- den met de fysieke beveiliging van de locatie en de lokale omgeving, met inbegrip van de</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>verschillende rechtsgebieden waar personeel zich bevindt;</p>
</blockquote>
<ol start="2" type="a">
<li><p>regels en beveiligingsmechanismen voor de fy- sieke werkomgeving op afstand, zoals afsluit- bare archiefkasten, beveiligd transport tussen locaties en regels voor toegang op afstand, ‘clear desk’, het printen en verwijderen van in- formatie en andere gerelateerde bedrijfsmidde- len, en het melden van informatiebeveiligings- gebeurtenissen (zie 6.8);</p></li>
<li><p>de verwachte fysieke werkomgevingen op af- stand;</p></li>
<li><p>de beveiligingseisen die voor communicatie gelden, waarbij rekening wordt gehouden met de behoefte aan toegang op afstand tot de sys- temen van de organisatie, de gevoeligheid van de informatie die wordt ingezien en via de communicatiekoppeling wordt doorgegeven, en de gevoeligheid van de systemen en toepas- singen;</p></li>
<li><p>het gebruik van toegang op afstand zoals virtu- ele desktoptoegang die verwerking en opslag van informatie op privéapparatuur onder- steunt;</p></li>
<li><p>de dreiging van onbevoegde toegang tot infor- matie of middelen van andere gebruikers op de locatie van waaraf op afstand wordt gewerkt (bijv. familie en vrienden);</p></li>
<li><p>de dreiging van onbevoegde toegang tot infor- matie of middelen door andere personen op openbare plekken;</p></li>
<li><p>het gebruik van thuisnetwerken en openbare netwerken en de eisen of beperkingen van de configuratie van draadloze netwerkdiensten;</p></li>
<li><p>het gebruik van beveiligingsmaatregelen, zoals firewalls en bescherming tegen malware;</p></li>
<li><p>beveiligde mechanismen voor het op afstand inzetten en initialiseren van systemen;</p></li>
<li><p>beveiligde mechanismen voor het authentice- ren en inschakelen van speciale toegangsrech- ten, rekening houdend met de kwetsbaarheid van eenfactorauthenticatiemechanismen</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>waarbij toegang tot het netwerk van de organi- satie vanaf een externe locatie is toegestaan.</p>
</blockquote>
<p>De in acht te nemen richtlijnen en maatregelen be- horen te omvatten:</p>
<ol type="a">
<li><p>het beschikbaar stellen van passende appara- tuur en opbergmeubelen voor de activiteiten van het werken op afstand, waarbij het gebruik van privéapparatuur die niet onder het beheer van de organisatie staat, niet is toegelaten;</p></li>
<li><p>een definitie van geoorloofde werkzaamheden, de classificatie van informatie waarover men kan beschikken en de interne systemen en diensten waartoe de persoon die werkt op af- stand, bevoegde toegang heeft;</p></li>
<li><p>het voorzien in training voor personeel dat werkt op afstand en personeel dat ondersteu- ning biedt. Dit behoort ook in te gaan op hoe men veilig kan zakendoen tijdens het werken op afstand;</p></li>
<li><p>het voorzien in passende communicatieappara- tuur, met inbegrip van methoden voor het be- veiligen van toegang op afstand, zoals eisen in- zake schermvergrendeling en inactiviteitsti- mers; de mogelijkheid om de locatie van appa- raten te traceren; de installatie van mogelijkhe- den om apparaten op afstand schoon te vegen;</p></li>
<li><p>fysieke beveiliging;</p></li>
<li><p>regels en richtlijnen voor toegang voor familie en bezoekers tot apparatuur en informatie;</p></li>
<li><p>het beschikbaar stellen van ondersteuning en onderhoud van hardware en software;</p></li>
<li><p>het regelen van de verzekering;</p></li>
<li><p>de procedures voor de back-up en de bedrijfs- continuïteit;</p></li>
<li><p>audit en monitoren van de beveiliging;</p></li>
<li><p>intrekking van bevoegdheid en toegangsrech- ten en het inleveren van apparatuur na beëin- diging van de werkactiviteiten op afstand.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>In de gezondheidszorg kan op afstand werken de grenzen van rechtsgebieden overschrijden en zelfs plaatsvinden aan boord van vliegtuigen en</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th></th>
<th><p>schepen die zich niet binnen een nationaal rechts- gebied bevinden. Het is gebruikelijk dat clinici me- dische afbeeldingen enz. grensoverschrijdend be- oordelen. Het is mogelijk dat internationale teams die hulpverlenen bij calamiteiten gebruikmaken van gezondheidsinformatiesystemen in andere rechtsgebieden dan die van hun thuisland. Het is nodig dat met de wettelijke, aansprakelijkheids- en ethische overwegingen rekening wordt gehou- den bij het ontwerpen en inzetten van gezond- heidsinformatiesystemen.</p>
<p>Zie ISO 13131.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Melden van informatiebeveiligingsgebeurtenissen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Detectief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Detecteren</td>
<td><blockquote>
<p>#Beheer_van_in- formatiebeveili- gingsgebeurtenis- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort te voorzien in een mecha- nisme waarmee personeel waargenomen of ver- moede informatiebeveiligingsgebeurtenissen tij- dig via passende kanalen kan melden.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Tijdige, consistente en doeltreffende melding on- dersteunen van informatiebeveiligingsgebeurte- nissen die door personeel kunnen worden geïden- tificeerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Al het personeel en alle gebruikers behoren be- wust te worden gemaakt van hun verantwoorde- lijkheid om informatiebeveiligingsgebeurtenissen zo snel mogelijk te melden om het effect van infor- matiebeveiligingsincidenten te voorkomen of tot het minimum te beperken. Zij behoren ook te wor- den geïnformeerd over de procedure voor het melden van informatiebeveiligingsgebeurtenissen en het contactpunt waar de gebeurtenissen beho- ren te worden gemeld. Het meldmechanisme be- hoort zo eenvoudig, toegankelijk en beschikbaar mogelijk te zijn. Informatiebeveiligingsgebeurte- nissen zijn onder andere incidenten, inbreuken en kwetsbaarheden.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Organisaties behoren de zorgontvanger op de hoogte te stellen als het niet-beschikbaar zijn en/of verlies van integriteit van gezondheidsinfor- matie negatieve gevolgen gehad kan hebben voor de zorgverlening. Informatiebeveiligingsgebeurte- nissen kunnen incidenten omvatten die de veilig- heid van patiënten betreffen waarbij gegevensver- werking of informatieoverdracht een rol speelde.</p>
<p>Organisaties behoren de zorgontvanger altijd te informeren als persoonlijke gezondheidsinforma- tie op niet-gepaste wijze openbaar is gemaakt. In bepaalde rechtsgebieden kan dit wettelijk vereist zijn. In veel rechtsgebieden is er een wettelijke eis</p>
<p>dat gegevenslekken waarbij tot de persoon her- leidbare informatie betrokken is, gemeld worden</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>Wat betreft het melden van informatiebeveili- gingsgebeurtenissen, behoort rekening te worden gehouden met de volgende situaties:</p>
<ol type="a">
<li><p>ondoeltreffende informatiebeveiligingsbe- heersmaatregelen;</p></li>
<li><p>schending van informatievertrouwelijkheid,</p></li>
</ol>
<blockquote>
<p>-integriteit of aanwezige verwachtingen;</p>
</blockquote>
<ol start="3" type="a">
<li><p>menselijke fouten;</p></li>
<li><p>het niet naleven van het informatiebeveili- gingsbeleid, onderwerpspecifieke beleidsregels of toepasselijke normen;</p></li>
<li><p>schending van fysieke beveiligingsmaatregelen;</p></li>
<li><p>wijzigingen aan systemen die niet het proces voor wijzigingsbeheer hebben doorlopen;</p></li>
<li><p>storingen of ander afwijkend systeemgedrag van software of hardware;</p></li>
<li><p>overtredingen van de toegangsregeling;</p></li>
<li><p>kwetsbaarheden;</p></li>
<li><p>vermoedelijke besmetting door malware.</p></li>
</ol>
<p>Personeel en gebruikers behoort te worden gead- viseerd niet te proberen om de vermeende aanwe- zigheid van kwetsbaarheden op het gebied van in- formatiebeveiliging aan te tonen. Het testen op kwetsbaarheden kan worden uitgelegd als poten- tieel misbruik van het systeem en kan ook schade veroorzaken aan het informatiesysteem en het kan digitaal bewijs corrumperen of aan het oog onttrekken. Uiteindelijk kan dit leiden tot wette- lijke aansprakelijkheid voor de persoon die de tests uitvoert.</p></th>
<th>bij de betrokkenen van wie persoonlijke informa- tie is gelekt.</th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Zie de ISO/IEC 27035-reeks voor aanvullende in- formatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### HLT – Managementtraining

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief, #Cor- rigerend</td>
<td>#Vertrouwelijkheid, #In- tegriteit #Beschikbaar- heid</td>
<td colspan="2">#Beschermen, #Reageren, #Herstellen</td>
<td><blockquote>
<p>#Governance, #Ju- ridische_za- ken_en_naleving, #Borging_van_in- formatiebeveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_Ecosys- teem #Bescherming #Verdediging #Veer- kracht</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel</strong></p>
<p>Het management van de organisatie behoort passende training te krijgen, naarmate relevant is voor hun rollen en verantwoordelijkheden met betrekking tot informatiebeveiliging en hoe het wordt beheerd.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Waarborgen dat het management zijn rollen kan vervullen en zijn verantwoordelijkheden kan ne- men met betrekking tot het managementsysteem voor informatiebeveiliging.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Via deze norm en elders krijgt het management van de organisatie allerlei rollen en verantwoor- delijkheden toegewezen. Er behoort een inventari- satie te worden gemaakt van de specifieke rollen en verantwoordelijkheden. Vervolgens behoort een hiaatanalyse te worden uitgevoerd om vast te stellen welke training nodig is.</p>
<p>Aangezien er regelmatig wisselingen binnen het managementteam van een organisatie kunnen plaatsvinden, behoren de bovenstaande stappen te worden herhaald telkens wanneer dat nodig is.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke overige informatie</strong></p>
<p>Zie ook 6.3.</p></td>
</tr>
</tbody>
</table>

### Fysieke beheersmaatregelen

##### Fysieke beveiligingszones

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Zones die informatie en andere gerelateerde be- drijfsmiddelen bevatten, behoren te worden be- schermd door beveiligingszones te definiëren en te gebruiken.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Onbevoegde fysieke toegang tot, schade aan en in- terferentie met informatie en andere gerelateerde bedrijfsmiddelen van de organisatie voorkomen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Voor zover van toepassing behoren de volgende richtlijnen voor fysieke beveiligingszones te wor- den overwogen:</p>
<ol type="a">
<li><p>beveiligingszones en de locatie en sterkte van elk van de buitengrenzen definiëren overeen- komstig de informatiebeveiligingseisen met be- trekking tot bedrijfsmiddelen binnen de bevei- ligingszone;</p></li>
<li><p>beschikken over fysiek solide buitengrenzen voor een gebouw of locatie met informatiever- werkende faciliteiten (d.w.z. dat er geen zwakke plekken mogen zitten in de buitengren- zen of beveiligingszones waardoor men gemak- kelijk kan inbreken). De constructie van de bui- tendaken, -muren, -plafonds en -vloeren van de locatie behoort gedegen te zijn en alle buiten- deuren behoren op passende wijze met toe- gangsbeveiligingsmechanismen (bijv. stangen, alarmen, sloten) te worden beschermd tegen toegang door onbevoegden. Deuren en ramen behoren afgesloten te zijn als er geen toezicht is en er behoort externe bescherming te wor- den overwogen voor ramen, met name op de begane grond; ook aan ventilatiepunten be- hoort aandacht te worden besteed;</p></li>
<li><p>alle branddeuren die deel uitmaken van een be- veiligingszone, van alarmsystemen voorzien en ze in combinatie met de muren monitoren en</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>In veel operationele zones zijn zorgontvangers aanwezig. Tegelijkertijd behoren de fysieke veilig- heid en beveiliging van het publiek (zorgontvan- gers en hun begeleiders), evenals de gegevens en systemen die binnen die omgeving toegankelijk kunnen zijn, in stand te worden gehouden. Het is bijvoorbeeld mogelijk dat een zorgontvanger al- leen wordt achtergelaten in een onderzoekskamer (bijv. om de zorgontvanger een onderzoeksschort te laten aantrekken voor een lichamelijk onder- zoek) ondanks dat er een werkend werkstation in het vertrek aanwezig is. De beveiliging van werk- stations in de gezondheidszorg mag daarom niet volledig afhangen van het uit beveiligingszones buitensluiten van zorgontvangers.</p>
<p>In de gezondheidszorg kunnen zich situaties voor- doen waarin zorgontvangers (of anderen) niet al- tijd rationeel handelen. Dit kan bijvoorbeeld van toepassing zijn op jonge kinderen, mensen met een psychische aandoening, mensen die onlangs nieuws hebben gekregen dat tot spanningen heeft geleid, neurodiverse mensen, mensen die onder de invloed van drugs en/of alcohol verkeren enzo- voort. Fysieke beveiligingsmaatregelen behoren dit op gepaste wijze te weerspiegelen.</p>
<p>Er behoort aandacht te worden besteed aan de be- veiliging van ICT-apparatuur (met inbegrip van</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>testen om vast te stellen of ze het vereiste weerstandsniveau, overeenkomstig geschikte normen, bieden. Ze behoren faalveilig te wer- ken.</p>
</blockquote></th>
<th><p>mobiele telefoons) van zorgontvangers daar waar zij zelf niet in staat zijn voor beveiliging te zorgen.</p>
<p>Fysieke beveiligingsmaatregelen voor gegevens en systemen behoren te worden afgestemd op alge- mene fysieke beveiligings- en veiligheidsmaatre- gelen.</p></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Fysieke bescherming kan worden verkregen door een of meer fysieke barrières rond het gebouw en/of terrein en de informatieverwerkende facili- teiten van de organisatie aan te brengen.</p>
<p>Een beveiligd gebied kan een afsluitbaar kantoor zijn of diverse ruimten omgeven door een onon- derbroken interne fysieke beveiligingsbarrière. Tussen zones met verschillende beveiligingseisen binnen de beveiligingszone kunnen extra barriè- res en buitengrenzen nodig zijn om fysieke toe- gang te beheersen. De organisatie behoort te over- wegen fysieke beveiligingsmaatregelen in te voe- ren die tijdens situaties waar er sprake is van een verhoogd dreigingsniveau kunnen worden ver- sterkt.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Fysieke toegangsbeveiliging

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging</p>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Beveiligde zones behoren te worden beschermd door passende toegangsbeveiligingsmaatregelen en toegangspunten.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat er alleen bevoegde fysieke toegang tot de informatie en andere gerelateerde bedrijfsmiddelen van de organisatie plaatsvindt.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>Toegangspunten zoals laad- en loslocaties en an- dere punten waar onbevoegde personen het ge- bouw en/of terrein kunnen betreden, behoren te worden beheerst, en zo mogelijk te worden</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Het verlenen van gezondheidszorg omvat speci- fieke omstandigheden waarbij het publiek (zorg- ontvangers en hun begeleiders) fysiek wordt toe- gelaten tot zones waar grote hoeveelheden gevoe- lige informatie worden verwerkt. In fysieke gebie- den waar gezondheidsinformatie wordt vergaard en/of waar systemen aanwezig zijn waar gegevens</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>afgeschermd van informatieverwerkende facilitei- ten om onbevoegde toegang te vermijden.</p>
<p>Met de volgende richtlijnen behoort rekening te worden gehouden:</p>
<ol type="a">
<li><p>uitsluitend bevoegd personeel toegang verle- nen tot locaties en gebouwen. Het proces voor het beheer van toegangsrechten tot fysieke zo- nes behoort het toekennen, periodiek herzien, bijwerken en intrekken van autorisaties te om- vatten (zie 5.18);</p></li>
<li><p>veilig een fysiek logboek of elektronisch audit- traject van alle toegang onderhouden en moni- toren en alle logbestanden (zie 5.33) en gevoe- lige authenticatie-informatie beschermen;</p></li>
<li><p>een proces en technische mechanismen voor het beheer van de toegang tot zones waar in- formatie wordt verwerkt of opgeslagen, opstel- len en implementeren. Authenticatiemechanis- men omvatten het gebruik van toegangspassen, biometrische authenticatie of tweefactorau- thenticatie, zoals een toegangspas en een ge- heime pincode. Dubbele veiligheidsdeuren be- horen te worden overwogen voor toegang tot gevoelige zones;</p></li>
<li><p>een ontvangstgebied dat door personeel wordt gemonitord, opzetten of andere middelen om de fysieke toegang tot de locatie of het gebouw te beheersen;</p></li>
<li><p>de persoonlijke bezittingen van personeel en belanghebbenden bij het binnenkomen en weg- gaan inspecteren en onderzoeken;</p></li>
</ol>
<blockquote>
<p>OPMERKING Er kan lokale wet- en regelgeving bestaan inzake de mogelijkheid persoonlijke bezit- tingen te inspecteren.</p>
</blockquote>
<ol start="6" type="a">
<li><p>van al het personeel en alle belanghebbenden verlangen dat zij een bepaalde vorm van zicht- bare identificatie dragen en dat zij onmiddellijk beveiligingspersoneel op de hoogte stellen als zij bezoekers zonder begeleiding en personen die geen zichtbare identificatie dragen, tegen- komen. Gemakkelijk te herkennen badges be- horen te worden overwogen om vaste werkne- mers, leveranciers en bezoekers beter te kun- nen identificeren;</p></li>
<li><p>personeel van leveranciers alleen wanneer toe- gang vereist is, beperkte toegang verlenen tot</p></li>
</ol></th>
<th><p>op het scherm worden bekeken behoren daarom extra voorzorgsmaatregelen te worden toegepast.</p>
<p>In bepaalde gevallen wordt persoonlijke gezond- heidsinformatie op schermen vertoond die niet voor iedereen bestemd is. Voorbeelden zijn het scherm dat een zorgontvanger te zien krijgt tij- dens de administratieve fase van opname en dat mogelijk door de volgende wachtende persoon kan worden gelezen, of grote informatieborden die bestemd zijn voor gebruik door ziekenhuisme- dewerkers met daarop de kamerindeling op een afdeling die alle bezoekers aan die afdeling kun- nen lezen. Dergelijke schermen zijn uitsluitend be- doeld voor gebruik door medewerkers die zulke informatie voor het vervullen van hun taak nodig hebben. In dergelijke gevallen behoort het delen van informatie met onbevoegden te worden voor- komen, bijvoorbeeld door de borden in kwestie op een andere plek te plaatsen.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>beveiligde zones of informatieverwerkende fa- ciliteiten. Deze toegang behoort gebaseerd te zijn op autorisatie en te worden gemonitord;</p>
</blockquote>
<ol start="8" type="a">
<li><p>speciale aandacht geven aan de fysieke toe- gangsbeveiliging van gebouwen die bedrijfs- middelen voor meerdere organisaties bevatten;</p></li>
<li><p>fysieke beveiligingsmaatregelen dusdanig ont- werpen dat ze kunnen worden versterkt indien het meer aannemelijk wordt dat er zich fysieke incidenten gaan voordoen;</p></li>
<li><p>andere toegangspunten zoals nooduitgangen tegen onbevoegde toegang beveiligen;</p></li>
<li><p>een sleutelbeheerproces opzetten om ervoor te zorgen dat de fysieke sleutels of authenticatie- informatie (bijv. slotcodes, combinatiesloten voor kantoren, ruimten en faciliteiten zoals sleutelkasten) worden beheerd en om een log- boek of jaarlijkse sleutelaudit te bewerkstelli- gen en ervoor te zorgen dat de toegang tot fy- sieke sleutels of authenticatie-informatie wordt beveiligd (zie 5.17 voor verdere richtlijnen over authenticatie-informatie).</p></li>
</ol>
<p><u>Bezoekers</u></p>
<p>Met de volgende richtlijnen behoort rekening te worden gehouden:</p>
<ol type="a">
<li><p>met passende middelen de identiteit van be- zoekers vaststellen;</p></li>
<li><p>de datum en het tijdstip van binnenkomst en vertrek van bezoekers registreren;</p></li>
<li><p>bezoekers alleen toegang verlenen voor speci- fieke, toegestane doeleinden en ze instructies geven over de veiligheidseisen voor de zone en over noodprocedures;</p></li>
<li><p>toezicht houden op alle bezoekers, tenzij er een uitdrukkelijke uitzondering is verleend.</p></li>
</ol>
<p><u>Laad- en loslocaties en inkomend materiaal</u></p>
<p>Met de volgende richtlijnen behoort rekening te worden gehouden:</p>
<ol type="a">
<li><p>uitsluitend geïdentificeerd en bevoegd perso- neel toegang verlenen tot laad- en loslocaties van buiten het gebouw;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="2" type="a">
<li><p>de laad- en loslocaties dusdanig ontwerpen dat leveringen kunnen worden geladen en gelost zonder dat de leverancier onbevoegde toegang heeft tot andere zones van het gebouw;</p></li>
<li><p>de buitendeuren van laad- en loslocaties bevei- ligen als deuren naar beperkt toegankelijke zo- nes open zijn;</p></li>
<li><p>inkomende leveringen controleren en onder- zoeken op explosieven, chemicaliën of andere gevaarlijke materialen voordat ze vanaf laad- en loslocaties worden overgebracht;</p></li>
<li><p>inkomende leveringen bij binnenkomst op de zone in overeenstemming met de procedures voor bedrijfsmiddelenbeheer registreren (zie 5.9 en 7.10);</p></li>
<li><p>waar mogelijk, inkomende en uitgaande zen- dingen fysiek scheiden;</p></li>
<li><p>inkomende leveringen inspecteren op bewijs van manipulatie onderweg. Indien vervalsing wordt ontdekt, behoort dit direct aan beveili- gingspersoneel te worden gemeld.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Beveiligen van kantoren, ruimten en faciliteiten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging #Beheer_van_be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Voor kantoren, ruimten en faciliteiten behoort fy- sieke beveiliging te worden ontworpen en geïm- plementeerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Onbevoegde fysieke toegang tot, schade aan en in- terferentie met informatie en andere gerelateerde bedrijfsmiddelen van de organisatie in kantoren, ruimten en faciliteiten voorkomen.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Richtlijn</strong></p>
<p>Bij het beveiligen van kantoren, ruimten en facili- teiten behoren de volgende richtlijnen in aanmer- king te worden genomen:</p>
<ol type="a">
<li><p>essentiële faciliteiten dusdanig positioneren dat wordt vermeden dat het publiek er toegang toe heeft;</p></li>
<li><p>indien van toepassing, bewerkstelligen dat ge- bouwen onopvallend zijn en zo min mogelijk aanwijzingen geven over het gebruiksdoel er- van, zonder duidelijke tekenen binnen of bui- ten het gebouw die op de aanwezigheid van in- formatieverwerkende activiteiten duiden;</p></li>
<li><p>faciliteiten zo configureren dat wordt voorko- men dat vertrouwelijke informatie of activitei- ten van buitenaf zichtbaar en hoorbaar zijn. Voor zover van toepassing behoort elektromag- netische afscherming ook te worden overwo- gen;</p></li>
<li><p>ervoor zorgen dat adreslijsten, interne tele- foongidsen en online toegankelijke plattegron- den met daarop de locaties van faciliteiten waar vertrouwelijke informatie wordt ver- werkt, niet gemakkelijk beschikbaar zijn voor onbevoegden.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Monitoren van de fysieke beveiliging

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Detectief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen #Detecteren</td>
<td><blockquote>
<p>#Fysieke_beveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Het gebouw en terrein behoort voortdurend te worden gemonitord op onbevoegde fysieke toe- gang.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Onbevoegde fysieke toegang detecteren en ont- moedigen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Fysieke terreinen en gebouwen behoren te wor- den bewaakt door bewakingssystemen die kunnen bestaan uit bewakers, inbraakalarmen, videobe- wakingssystemen zoals gesloten televisiecircuits</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th style="text-align: left;"><p>en software voor het beheer van informatie over fysieke beveiliging die intern of door een aanbie- der van bewakingsdiensten wordt beheerd.</p>
<p>De toegang tot gebouwen waarin kritieke sys- temen zijn ondergebracht, behoort voortdurend te worden gemonitord om toegang door onbevoeg- den of verdacht gedrag te detecteren door:</p>
<ol type="a">
<li><p>videomonitoringssystemen, zoals gesloten tele- visiecircuits, te installeren om de toegang tot gevoelige zones binnen en buiten het terrein en de gebouwen van een organisatie te bekijken en te registreren;</p></li>
<li><p>contact-, geluids- of bewegingsmelders die een inbraakalarm in werking stellen, volgens de desbetreffende toepasselijke normen te instal- leren en periodiek te testen, bijvoorbeeld:</p>
<ol type="1">
<li><p>op elke plaats waar contact kan worden ge- maakt of verbroken (zoals ramen en deuren en onder voorwerpen), contactmelders die een alarm geven wanneer een contact wordt gemaakt of verbroken, voor gebruik als pa- niekalarm installeren;</p></li>
<li><p>bewegingsmelders op basis van infrarood- technologie installeren die een alarm ver- oorzaken wanneer een voorwerp hun ge- zichtsveld passeert;</p></li>
<li><p>sensoren installeren die gevoelig zijn voor het geluid van brekend glas en die een alarm in werking kunnen stellen dat de beveili- gingsmedewerkers alarmeert.</p></li>
</ol></li>
<li><p>met de alarmsystemen alle buitendeuren en toegankelijke ramen af te dekken. Leegstaande ruimten behoren te allen tijde met een alarm beveiligd te zijn; er behoort ook te worden voorzien in dekking voor andere ruimten (bijv. computer- of communicatieruimten).</p></li>
</ol>
<p>Het ontwerp van monitoringsystemen behoort ge- heim te worden gehouden omdat openbaarmaking ervan onopgemerkte inbraken mogelijk kan ma- ken.</p>
<p>Om te voorkomen dat onbevoegden toegang heb- ben tot bewakingsinformatie, zoals videobeelden, of dat systemen op afstand worden uitgeschakeld,</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>behoren monitoringsystemen te worden be- schermd tegen toegang door onbevoegden.</p>
<p>Het bedieningspaneel van het alarmsysteem be- hoort in een met een alarm beveiligde zone te worden geplaatst en, in het geval van veilig- heidsalarmen, op een plek die het voor de persoon die het alarm instelt, gemakkelijk maakt om de zone te verlaten. Het bedieningspaneel en de de- tectoren behoren te zijn voorzien van manipula- tiebestendige mechanismen. Het systeem behoort regelmatig te worden getest om te garanderen dat het naar behoren werkt, met name als de onderde- len ervan op batterijen werken.</p>
<p>Elk monitoring- en opnamemechanisme behoort te worden gebruikt met inachtneming van de plaatselijke wet- en regelgeving, met inbegrip van de wetgeving inzake gegevensbescherming en de bescherming van persoonsgegevens, met name wat betreft het monitoren van werknemers en de bewaringstermijnen voor video-opnamen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Beschermen tegen fysieke en omgevingsdreigingen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoort bescherming tegen fysieke en omge- vingsdreigingen, zoals natuurrampen en andere opzettelijke of onopzettelijke fysieke dreigingen voor de infrastructuur, te worden ontworpen en geïmplementeerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De gevolgen van gebeurtenissen die voortvloeien uit fysieke en omgevingsdreigingen, voorkomen of beperken.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Risicobeoordelingen om de potentiële gevolgen van fysieke en omgevingsdreigingen te identifice- ren, behoren voorafgaand aan kritische activitei- ten op een fysieke locatie en met regelmatige tus- senpozen te worden uitgevoerd. De nodige voor-</p>
<p>zorgsmaatregelen behoren te worden getroffen en</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>veranderingen in de dreigingen behoren te wor- den gemonitord. Specialistisch advies behoort te worden ingewonnen over het beheersen van risi- co's die voortvloeien uit fysieke en omgevingsdrei- gingen, zoals brand, overstroming, aardbeving, ex- plosie, oproer, toxisch afval, uitstoot van milieube- lastende stoffen en andere vormen van natuur- rampen of door personen veroorzaakte rampen.</p>
<p>Bij het bepalen van de locatie en het aanleggen en bouwen van fysieke terreinen en gebouwen be- hoort rekening te worden gehouden met:</p>
<ol type="a">
<li><p>de topografie ter plaatse, zoals de juiste hoog- teligging, watermassa's en breuklijnen langs tektonische platen;</p></li>
<li><p>dreigingen die inherent zijn aan stedelijke om- gevingen, zoals locaties met een hoog risico- profiel wat betreft het aantrekken van politieke onrust, criminele activiteiten of terrorisme.</p></li>
</ol>
<p>Op basis van de resultaten van de risicobeoorde- lingen behoren de relevante fysieke en omge- vingsdreigingen te worden geïdentificeerd en be- hoort te worden nagedacht over passende be- heersmaatregelen in de volgende contexten, bij wijze van voorbeeld:</p>
<ol type="a">
<li><p>brand: systemen die vroegtijdig brand kunnen detecteren, installeren en configureren zodat deze brandmeldingen doen of blussystemen in werking stellen, om brandschade aan opslag- media en gerelateerde informatieverwerkende systemen te voorkomen. Brand behoort te wor- den geblust met de meest passende stof voor wat betreft de omgeving (bijv. gas in besloten ruimten);</p></li>
<li><p>overstroming: systemen die overstroming in een vroeg stadium kunnen detecteren, installe- ren onder de vloeren van ruimten met opslag- media of informatieverwerkende systemen. Waterpompen of gelijkwaardige middelen be- horen onmiddellijk beschikbaar te zijn voor het geval er zich een overstroming voordoet;</p></li>
<li><p>stroompieken: systemen die zowel server- als clientinformatiesystemen tegen stroompieken of soortgelijke gebeurtenissen kunnen bescher- men, implementeren om de gevolgen van der- gelijke gebeurtenissen tot een minimum te be- perken;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th>d) explosieven en wapens: steekproefsgewijze in- specties verrichten naar de aanwezigheid van explosieven of wapens bij personeel, in voertui- gen of in goederen die faciliteiten binnenko- men waar gevoelige informatie wordt ver- werkt.</th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Kluizen en andere vormen van beveiligde opslag- voorzieningen kunnen de daarin opgeslagen infor- matie beschermen tegen rampen zoals brand, aardbeving, overstroming of explosie.</p>
<p>Organisaties kunnen de concepten van criminali- teitspreventie door het ontwerp van de omgeving in overweging nemen bij het ontwerpen van de beheersmaatregelen om hun omgeving te beveili- gen en dreigingen die inherent zijn aan stedelijke omgevingen, te beperken. In plaats van verkeers- palen te gebruiken, kunnen bijvoorbeeld stand- beelden of waterpartijen als decoratie en als fy- sieke barrière fungeren.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Werken in beveiligde zones

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Voor het werken in beveiligde zones behoren be- veiligingsmaatregelen te worden ontwikkeld en geïmplementeerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Informatie en andere gerelateerde bedrijfsmidde- len in beveiligde zones beschermen tegen schade en onbevoegde verstoring door personeel dat in deze zones aan het werk is.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De beveiligingsmaatregelen voor het werken in beveiligde gebieden behoren van toepassing te zijn op al het personeel en behoren alle activitei- ten te bestrijken die in de beveiligde zone plaats- vinden.</p>
<p>Met de volgende richtlijnen behoort rekening te worden gehouden:</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol type="a">
<li><p>het personeel op grond van ‘need-to-know’ al- leen bekend maken met het bestaan van de ac- tiviteiten in een beveiligde zone;</p></li>
<li><p>zonder toezicht werken in beveiligde gebieden vermijden, zowel om veiligheidsredenen als om de kansen op kwaadaardige activiteiten te be- perken;</p></li>
<li><p>leegstaande beveiligde gebieden fysiek afslui- ten en regelmatig inspecteren;</p></li>
<li><p>foto-, video-, audio- of andere opnameappara- tuur, zoals camera’s in ‘endpoint devices’ van gebruikers, alleen toelaten als hiervoor autori- satie is verleend;</p></li>
<li><p>het in beveiligde gebieden meenemen en ge- bruiken van ‘endpoint devices’ van gebruikers naar behoren beheersen;</p></li>
<li><p>noodprocedures duidelijk zichtbaar en toegan- kelijk ophangen.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### ‘Clear desk’ en ‘clear screen’

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoren ‘clear desk’-regels voor papieren docu- menten en verwijderbare opslagmedia en ‘clear screen’-regels voor informatieverwerkende facili- teiten te worden gedefinieerd en op passende wijze te worden afgedwongen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De risico's op onbevoegde toegang tot, verlies van en schade aan informatie op bureaus, schermen en op andere toegankelijke plaatsen tijdens en buiten de gebruikelijke werkuren beperken.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort een onderwerpspecifiek beleid inzake ‘clear desk’ en ‘clear screen’ vast te stellen en aan alle relevante belanghebbenden mee te delen.</p>
<p>Met de volgende richtlijnen behoort rekening te worden gehouden:</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Er behoort zorg voor te worden gedragen dat de time-out- en automatische uitlogfuncties op de juiste manier zijn geconfigureerd, waar dit moge- lijk is.</p>
<p>Bijzondere zorg is vereist in bepaalde gebieden, zoals operatiekamers en intensive care-afdelingen,</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol type="a">
<li><p>gevoelige of essentiële bedrijfsinformatie (bijv. op papier of op elektronische opslagmedia) in een afgesloten ruimte bewaren (idealiter in een kluis, een kast of een andere vorm van bevei- ligd meubilair) wanneer deze informatie niet vereist is, met name als er niemand in het kan- toor is;</p></li>
<li><p>‘endpoint devices’ van gebruikers beschermen met sleutelsloten of andere beveiligingsmidde- len wanneer deze onbeheerd of niet in gebruik zijn;</p></li>
<li><p>ervoor zorgen dat onbeheerde ‘endpoint devi- ces’ van gebruikers uitgelogd zijn of beschermd zijn met een scherm- en toetsenbordvergren- deling met gebruikersauthenticatie. Alle com- puters en systemen behoren te worden gecon- figureerd met een time-out of automatische af- meldfunctie;</p></li>
<li><p>ervoor zorgen dat de persoon die een printop- dracht geeft, de uitdraaien onmiddellijk uit de printer of het multifunctionele apparaat verwij- dert. Gebruik printers met een authenticatie- functie, waardoor alleen degene die de code invoert en naast de printer staat, de afdrukken ontvangt;</p></li>
<li><p>documenten en verwijderbare opslagmedia met gevoelige informatie veilig opslaan en ze, wanneer ze niet meer nodig zijn, met behulp van beveiligde verwijderingsmechanismen ver- wijderen;</p></li>
<li><p>regels en richtlijnen voor het configureren van pop-ups op schermen vaststellen en communi- ceren (bijv. de pop-ups voor nieuwe e-mail en berichten zo mogelijk uitschakelen tijdens pre- sentaties, bij het delen van schermen of in een openbare ruimte);</p></li>
<li><p>gevoelige of essentiële informatie van white- boards en andere schermen of borden wissen als deze niet meer nodig is.</p></li>
</ol>
<p>De organisatie behoort te beschikken over proce- dures voor het ontruimen van faciliteiten, waaron- der een laatste doorzoeking voorafgaand aan ver- trek om te garanderen dat er geen bedrijfsmidde- len van de organisatie worden achtergelaten (bijv. documenten die achter laden of meubilair zijn ge- vallen).</p></th>
<th>waar het nodig kan zijn om time-outs en automati- sche uitlogs uit te schakelen om veiligheidsrede- nen. In dergelijke gevallen behoren er passende procedures te zijn om ongeautoriseerde weergave of andere gebruik te voorkomen wanneer het ge- bruik van apparatuur of apparaten absoluut ver- eist is. Voorzichtigheid is echter geboden, omdat apparaten en apparatuur in gebruik kunnen zijn, zelfs als ze onbeheerd zijn of beeldschermen gedu- rende langere tijd niet worden bekeken.</th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Plaatsen en beschermen van apparatuur

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging #Beheer_van_be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Apparatuur behoort veilig te worden geplaatst en beschermd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De risico's op fysieke en omgevingsdreigingen en op toegang door onbevoegden en schade beper- ken.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Om apparatuur te beschermen behoren de vol- gende richtlijnen in overweging te worden geno- men:</p>
<ol type="a">
<li><p>apparatuur op een dusdanige locatie plaatsen dat onnodige toegang tot werkgebieden tot het minimum wordt beperkt en toegang door on- bevoegden wordt vermeden;</p></li>
<li><p>de plaats van informatieverwerkende facilitei- ten die gevoelige gegevens verwerken, zorgvul- dig bepalen om het risico te beperken dat infor- matie tijdens het gebruik van die faciliteiten wordt bekeken door onbevoegden;</p></li>
<li><p>beheersmaatregelen invoeren om het risico op potentiële fysieke en omgevingsdreigingen [bijv. diefstal, brand, explosie, rook, waterover- last (of uitval van watervoorziening), stof, tril- ling, chemische reacties, storing in de elektrici- teitsvoorziening of in communicatievoorzienin- gen, elektromagnetische straling en vanda- lisme] zo laag mogelijk te houden;</p></li>
<li><p>richtlijnen voor eten, drinken en roken in de nabijheid van informatieverwerkende facilitei- ten vaststellen;</p></li>
<li><p>omgevingsomstandigheden zoals temperatuur en vochtigheid monitoren en controleren op omstandigheden die de werking van informa- tieverwerkende faciliteiten negatief kunnen beïnvloeden;</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>ICT-apparatuur en medische apparaten die wor- den gebruikt om gegevens te registreren, verwer- ken of rapporteren kunnen speciale overwegingen betreffende beveiliging vereisen met betrekking tot de omgeving waarin ze worden gebruikt en de elektromagnetische emissies die zich tijdens het gebruik ervan voordoen. Gezondheidszorgorgani- saties, met name ziekenhuizen, behoren te waar- borgen dat de plaatsing en bescherming van deze apparatuur de blootstelling aan dergelijke emis- sies tot het minimum beperkt.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="6" type="a">
<li><p>bliksembeveiliging toepassen op alle gebouwen en bliksembeveiligingsfilters installeren op alle inkomende stroom- en communicatieleidingen;</p></li>
<li><p>de toepassing van speciale beschermingsmid- delen zoals toetsenbordfolie overwegen voor apparatuur in industriële omgevingen;</p></li>
<li><p>apparatuur die vertrouwelijke informatie ver- werkt beschermen om het risico op weglekken van informatie door elektromagnetische ema- natie zo laag mogelijk te houden;</p></li>
<li><p>informatieverwerkende faciliteiten die worden beheerd door de organisatie fysiek scheiden van informatieverwerkende faciliteiten die niet door de organisatie worden beheerd.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Beveiligen van bedrijfsmiddelen buiten het terrein

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging #Beheer_van_be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Bedrijfsmiddelen buiten het gebouw en/of terrein behoren te worden beschermd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Verlies, schade, diefstal of compromittering van bedrijfsmiddelen buiten het gebouw en/of terrein en onderbreking van de bedrijfsvoering van de organisatie voorkomen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Het is nodig apparatuur die buiten het gebouw en/of terrein van de organisatie wordt gebruikt en waarop informatie wordt opgeslagen of verwerkt (bijv. een mobiel apparaat), met inbegrip van ap- paraten die eigendom zijn van de organisatie en apparaten die particulier eigendom zijn en ge- bruikt worden namens de organisatie [‘bring your own device (BYOD)’], te beschermen. Het gebruik van deze apparaten behoort door het management te worden goedgekeurd.</p>
<p>Met de volgende richtlijnen behoort rekening te worden gehouden voor het beschermen van appa- ratuur die buiten het gebouw en/of terrein van de</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Organisaties behoren te waarborgen dat er autori- satie is gegeven voor het eventuele gebruik, buiten hun terrein, van medische apparaten die gegevens registreren, verwerken of rapporteren. Dit strekt zich uit tot apparatuur die door medewerkers op afstand wordt gebruikt, zelfs indien dit gebruik voor onbepaalde tijd is (d.w.z. waar het een kern- aspect is van de rol van de medewerker, zoals het geval is bij ambulancepersoneel, therapeuten etc.), en tot apparatuur die door zorgontvangers wordt gebruikt.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>organisatie wordt gebruikt en waarop informatie wordt opgeslagen of verwerkt:</p>
<ol type="a">
<li><p>apparatuur en opslagmedia die buiten het ge- bouw en/of terrein worden gebracht niet onbe- waakt op openbare en niet-beveiligde plekken achterlaten;</p></li>
<li><p>voorschriften van de fabrikant voor het be- schermen van de apparatuur te allen tijde in acht nemen (bijv. bescherming tegen blootstel- ling aan sterke elektromagnetische velden, wa- ter, hitte, vocht, stof);</p></li>
<li><p>als apparatuur buiten het gebouw en/of terrein tussen verschillende personen of belangheb- benden wordt overgedragen, een overzicht bij- houden dat de bewakingsketen voor de appara- tuur definieert, met daarin opgenomen ten minste de namen en organisaties die voor de apparatuur verantwoordelijk zijn. Informatie die niet samen met het bedrijfsmiddel hoeft te worden overgedragen, behoort op beveiligde wijze te worden gewist voorafgaand aan de overdracht;</p></li>
<li><p>indien nodig en haalbaar, goedkeuring vereisen om apparatuur en media buiten het gebouw en/of terrein van de organisatie te brengen en een registratie van dergelijke verplaatsingen bijhouden om een audittraject te onderhouden (zie 5.14);</p></li>
<li><p>bescherming bieden tegen het bekijken van in- formatie op een apparaat (bijv. een mobiele te- lefoon of laptop in het openbaar vervoer, en de risico's die verbonden zijn aan meekijken);</p></li>
<li><p>locatiebepaling voor apparaten en de mogelijk- heid om apparaten op afstand schoon te vegen implementeren.</p></li>
</ol>
<p>Voor permanent buiten het gebouw of terrein van de organisatie geïnstalleerde apparatuur (zoals antennes of geldautomaten) kan het risico op schade, diefstal of afluisteren groter zijn. Deze ri- sico’s kunnen van locatie tot locatie sterk variëren en behoren bij het vaststellen van de meest ge- schikte maatregelen in overweging te worden ge- nomen. Met de volgende richtlijnen behoort reke- ning te worden gehouden bij het bepalen van de locaties van deze apparatuur buiten het gebouw en/of terrein van de organisatie:</p>
<ol type="a">
<li><p>fysiek monitoren van de beveiliging (zie 7.4);</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="2" type="a">
<li><p>beschermen tegen fysieke dreigingen en drei- gingen van buitenaf (zie 7.5);</p></li>
<li><p>fysieke toegangsbeveiligingsmaatregelen en beheersmaatregelen om manipuleren tegen te gaan;</p></li>
<li><p>logische toegangsbeveiligingsmaatregelen.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Meer informatie over andere aspecten van de be- scherming van apparatuur waarop informatie wordt opgeslagen en verwerkt, en ‘endpoint devi- ces’ van gebruikers is te vinden in 8.1 en 6.7.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Opslagmedia

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging #Beheer_van_be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Opslagmedia behoren te worden beheerd gedu- rende hun volledige levenscyclus van aanschaf, ge- bruik, transport en verwijdering overeenkomstig het classificatieschema en de hanteringseisen van de organisatie.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Alle persoonlijke gezondheidsinformatie die op verwijderbare media wordt opgeslagen, behoort te worden versleuteld.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Uitsluitend geoorloofde openbaarmaking, wijzi- ging, verwijdering of vernietiging van informatie op opslagmedia bewerkstelligen.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>Voorkomen van misbruik van persoonlijke ge- zondheidsinformatie, waaronder ongeautori- seerde toegang, onthulling of wijziging.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Verwijderbare opslagmedia</u></p>
<p>Voor het beheren van verwijderbare opslagmedia behoren de volgende richtlijnen te worden over- wogen:</p>
<ol type="a">
<li><p>onderwerpspecifiek beleid inzake het beheer van verwijderbare opslagmedia vaststellen en dit onderwerpspecifieke beleid communiceren aan iedereen die verwijderbare opslagmedia gebruikt of hanteert;</p></li>
<li><p>indien nodig en haalbaar, goedkeuring vereisen om opslagmedia uit de organisatie te verwijde- ren en een registratie van dergelijke verwijde- ringen bijhouden om een audittraject te onder- houden;</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>De meest bekende typen verwijderbare opslagme- dia zijn Secure Digital (SD)-kaarten en Universal Serial Bus (USB-)drives.</p>
<p>Subscriber Identity Module (SIM)-kaarten zijn in veel gevallen ook verwijderbaar en bevatten vaak vertrouwelijke informatie. Naast mobiele tele- foons kunnen apparaten zoals tablets en laptops SIM's bevatten. SIM's worden in veel andere om- standigheden gebruikt, waaronder bijvoorbeeld systemen voor externe bewaking voor gebouw- en faciliteitenbeheer, beveiligingsalarmen van gebou- wen en motorvoertuigen.</p>
<p>Veel apparatuur kan ingebouwde opslag bevatten, waaronder harde schijven, solid state drives (SSD's) en niet-vluchtig geheugen. De aanwezig- heid van dergelijke opslag is echter niet altijd</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="3" type="a">
<li><p>alle opslagmedia opslaan in een veilige, bevei- ligde omgeving overeenkomstig de desbetref- fende informatieclassificatie en beschermen te- gen dreigingen van buitenaf (zoals warmte, vocht, luchtvochtigheid, elektronische velden of veroudering), overeenkomstig de specificaties van de fabrikant;</p></li>
<li><p>indien vertrouwelijkheid of integriteit van in- formatie belangrijke overwegingen zijn, crypto- grafische technieken gebruiken om informatie op verwijderbare media te beschermen;</p></li>
<li><p>om het risico te verkleinen dat opslagmedia in kwaliteit achteruitgaan terwijl de opgeslagen informatie nog nodig is, de informatie op nieuwe opslagmedia overbrengen voordat deze onleesbaar wordt;</p></li>
<li><p>van waardevolle informatie meerdere kopieën op afzonderlijke opslagmedia opslaan om het risico op toevallige beschadiging of verlies van informatie verder te beperken;</p></li>
<li><p>verwijderbare opslagmedia registreren om de kans dat informatie verloren gaat, te beperken;</p></li>
<li><p>poorten voor verwijderbare opslagmedia (bijv. SD-kaartsleuven en USB-poorten) alleen in- schakelen indien er vanuit de organisatie een reden voor het gebruik ervan is;</p></li>
<li><p>als er behoefte is om verwijderbare opslagme- dia te gebruiken, de overdracht van informatie op dergelijke opslagmedia monitoren;</p></li>
<li><p>informatie kan tijdens fysiek transport gevoelig zijn voor onbevoegde toegang, misbruik of be- schadiging, bijvoorbeeld wanneer opslagmedia per post- of koeriersdienst worden verzonden.</p></li>
</ol>
<p>In deze beheersmaatregel worden onder media ook papieren documenten verstaan. Pas bij het transport van fysieke opslagmedia de beveili- gingsmaatregelen van 5.14 toe.</p>
<p><u>Beveiligd hergebruiken of verwijderen</u></p>
<p>Voor het beveiligd hergebruiken of verwijderen van opslagmedia behoren procedures te worden vastgesteld om het risico zo klein mogelijk te hou- den dat vertrouwelijke informatie bij onbevoegde personen terechtkomt. De procedures voor het be- veiligd hergebruiken of verwijderen van opslag- media die vertrouwelijke informatie bevatten,</p></th>
<th style="text-align: left;"><p>gedocumenteerd, evident of verwacht. Voorbeel- den hiervan zijn printers (met name die bedoeld zijn voor meer dan één computer of gebruiker en die in een netwerk zijn opgenomen), stand-alone kopieerapparaten en medische apparaten die ge- gevens registreren, verwerken of rapporteren.</p>
<p>Onderhoud, reparatie en verwijdering van appara- tuur met opslag vereist extra voorzorgsmaatrege- len.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>behoren in verhouding te staan tot de gevoelig- heid van die informatie. Met de volgende aspecten behoort rekening te worden gehouden:</p>
<ol type="a">
<li><p>indien het nodig is opslagmedia met vertrou- welijke informatie te hergebruiken binnen de organisatie: op beveiligde wijze voorafgaand aan het hergebruik gegevens wissen of opslag- media formatteren (zie 8.10);</p></li>
<li><p>opslagmedia met vertrouwelijke informatie op beveiligde wijze verwijderen als ze niet meer nodig zijn (bijv. door ze te vernietigen, versnip- peren of de inhoud ervan op beveiligde wijze te wissen);</p></li>
<li><p>procedures instellen om media te identificeren waarvan het nodig kan zijn ze veilig te verwij- deren;</p></li>
<li><p>veel organisaties bieden inzamelings- en ver- wijderingsdiensten aan voor opslagmedia. Een geschikte externe leverancier met toereikende beheersmaatregelen en ervaring behoort met zorg te worden gekozen;</p></li>
<li><p>de verwijdering van gevoelige zaken in een logbestand bijhouden om een audittraject te onderhouden;</p></li>
<li><p>bij het accumuleren van opslagmedia voor ver- wijdering rekening houden met het aggregatie- effect, waardoor een grote hoeveelheid niet-ge- voelige informatie gevoelig kan worden.</p></li>
</ol>
<p>Er behoort een risicobeoordeling te worden uitge- voerd van beschadigde apparatuur die gevoelige gegevens bevat om vast te stellen of de media fy- siek behoren te worden vernietigd in plaats van te worden gerepareerd of verwijderd (zie 7.14).</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Als vertrouwelijke informatie op opslagmedia niet versleuteld is, behoort aanvullende fysieke be- scherming van de opslagmedia te worden overwo- gen.</p></td>
<td><p><strong>Zorgspecifieke overige informatie</strong></p>
<p>Zie 7.13 voor onderhoud van apparatuur, 7.14 voor het veilig verwijderen of hergebruiken van apparatuur en 8.24 voor versleuteling.</p></td>
</tr>
</tbody>
</table>

##### Nutsvoorzieningen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Detectief</td>
<td>#Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen #Detecteren</td>
<td><blockquote>
<p>#Fysieke_beveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Informatieverwerkende faciliteiten behoren te worden beschermd tegen stroomuitval en andere verstoringen die worden veroorzaakt door storin- gen in nutsvoorzieningen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Verlies, schade of compromittering van informatie en andere gerelateerde bedrijfsmiddelen of onder- breking van de bedrijfsvoering van de organisatie vanwege verstoring en ontregeling van ondersteu- nende nutsvoorzieningen voorkomen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Organisaties zijn afhankelijk van nutsvoorzienin- gen (bijv. elektriciteit, telecommunicatie, water, gas, riolering, ventilatie en airconditioning) om hun informatieverwerkende faciliteiten te onder- steunen. Daarom behoort de organisatie:</p>
<ol type="a">
<li><p>te bewerkstelligen dat apparatuur die de nuts- voorzieningen ondersteunt, geconfigureerd, be- diend en onderhouden wordt volgens de speci- ficaties van de desbetreffende fabrikant;</p></li>
<li><p>te bewerkstelligen dat nutsvoorzieningen re- gelmatig worden onderzocht om te beoordelen of hun capaciteit toereikend is voor de groei van het bedrijf en de interactie met andere nutsvoorzieningen;</p></li>
<li><p>te bewerkstelligen dat apparatuur die de nuts- voorzieningen ondersteunt, regelmatig wordt geïnspecteerd en getest om te garanderen dat deze naar behoren functioneert;</p></li>
<li><p>zo nodig te voorzien in alarmmeldingen om disfunctioneren van nutsvoorzieningen te de- tecteren;</p></li>
<li><p>voor zover nodig, te bewerkstelligen dat nuts- voorzieningen over meervoudige aanvoer of voeding via verschillende fysieke routes be- schikken;</p></li>
<li><p>te bewerkstelligen dat apparatuur die de nuts- voorzieningen ondersteunt en met een netwerk is verbonden, met een ander netwerk is</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Voor veel aspecten van de gezondheidszorg is elektrische stroom essentieel en stroomuitval, vooral als dit bepaalde medische apparaten treft, kan ernstig letsel aan zorgontvangers veroorza- ken. Daarom hebben veel ziekenhuizen en andere gezondheidszorggebouwen noodstroomvoorzie- ningen die voeding blijven leveren (vaak via speciaal daarvoor bestemde contactdozen) bij een grote stroomstoring, aan essentiële medische of ICT-apparatuur en hulpmiddelen ingeval van een grote stroomuitval.</p>
<p>Noodstroomvoorzieningen lopen uiteen en zijn niet altijd van dezelfde kwaliteit in vergelijking met normale stroomvoorziening. Er kan bijvoor- beeld sprake zijn van spannings- en frequentie- schommelingen of -variaties, met name wanneer van de normale voeding wordt omgeschakeld naar de noodvoeding of andersom. Daarom kunnen er in bepaalde omstandigheden aanvullende maatre- gelen (zoals speciale UPS-noodvoedingen) nodig zijn, zelfs als apparatuur beschermd wordt door middel van een aansluiting op een noodvoeding.</p>
<p>Het is veelvuldig aangetoond dat noodstroom- voorzieningen, op het moment dat ze nodig zijn, niet altijd werken zoals zou moeten, bijvoorbeeld omdat generatoren of andere voorzieningen over- belast raken. Daarom behoort te worden nage- dacht over passende maatregelen voor dergelijke onvoorziene gebeurtenissen.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>verbonden dan de informatieverwerkende faci- liteiten;</p>
</blockquote>
<p>g) te bewerkstelligen dat apparatuur die de nuts- voorzieningen ondersteunt, uitsluitend op be- veiligde wijze en slechts wanneer dat nodig is met het internet wordt verbonden.</p>
<p>Noodverlichting en communicatiemiddelen beho- ren aanwezig te zijn. Nabij nooduitgangen of ruim- ten waar apparatuur aanwezig is, behoren nood- schakelaars en knoppen te zijn waarmee stroom, water, gas of andere voorzieningen kunnen wor- den uitgeschakeld. Contactgegevens voor noodge- vallen behoren te worden geregistreerd en bij uit- val ter beschikking van het personeel te staan.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Redundantie voor netwerkverbinding kan worden verkregen via meerdere routes vanaf meer dan één aanbieder.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Beveiligen van bekabeling

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Voedingskabels en kabels voor het versturen van gegevens of die informatiediensten ondersteunen, behoren te worden beschermd tegen onderschep- ping, interferentie of beschadiging.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Verlies, schade, diefstal of compromittering van informatie en andere gerelateerde bedrijfsmidde- len en onderbreking van de bedrijfsvoering van de organisatie in verband met voedings- en commu- nicatiekabels voorkomen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Met de volgende richtlijnen voor beveiligen van bekabeling behoort rekening te worden gehouden:</p>
<p>a) voedings- en telecommunicatieleidingen naar informatieverwerkende faciliteiten: waar mo- gelijk onder de grond of op een andere pas- sende wijze beschermd, zoals met een vloerka- belgoot en een nutspaal; ondergrondse kabels: beschermd tegen onopzettelijk doorsteken (bijv. met een mantel of detectiesignalen);</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Er behoren maatregelen te worden genomen om ongeautoriseerde toegang via netwerkstopcontac- ten in openbaar toegankelijke en andere gebieden te voorkomen. Het volgende behoort hierbij te worden overwogen:</p>
<blockquote>
<p>— poorten uitschakelen die niet in gebruik zijn (bijvoorbeeld fysiek bij patchpanelen of, in- dien beschikbaar, met geschikte netwerkbe- heertools);</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="2" type="a">
<li><p>voedingskabels van communicatiekabels schei- den om interferentie te voorkomen;</p></li>
<li><p>voor gevoelige of essentiële systemen kunnen de volgende aanvullende beheersmaatregelen worden overwogen:</p>
<ol type="1">
<li><p>de installatie van gewapende kabelgoten en afgesloten kamers of dozen en alarmen bij inspectie- en afsluitpunten;</p></li>
<li><p>het gebruik van elektromagnetische afscher- ming ter bescherming van de kabels;</p></li>
<li><p>periodieke technische schoonmaakbeurten en fysieke controles om aansluiting van niet-goedgekeurde apparaten op de kabels op te sporen;</p></li>
<li><p>beveiligde toegang tot schakelpanelen en kabelruimten (bijv. met mechanische sleu- tels of pincodes);</p></li>
<li><p>het gebruik van glasvezelkabels;</p></li>
</ol></li>
<li><p>kabels aan elk uiteinde voorzien van labels met voldoende informatie over de bron en de be- stemming om fysieke identificatie en inspectie van de kabel mogelijk te maken.</p></li>
</ol>
<p>Specialistisch advies behoort te worden ingewon- nen over het beheersen van risico's die voort- vloeien uit incidenten met of disfunctioneren van kabels.</p></th>
<th><ul>
<li><p>alle vormen van toegang uitschakelen (inclu- sief verkeersbewaking) tot apparaten die niet eerder zijn geautoriseerd;</p></li>
<li><p>gebruik van hulpmiddelen voor inbraakdetec- tie;</p></li>
<li><p>onverwachte fysieke ontkoppeling van appa- raten bewaken – dit kan erop duiden dat een netwerkkabel is losgekoppeld, zodat in plaats daarvan een ongeautoriseerd apparaat kan worden aangesloten.</p></li>
</ul>
<p>Netwerkstopcontacten zijn ook kwetsbaar voor fy- sieke schade. Kinderen en sommige volwassenen kunnen vernielzuchtig zijn, per ongeluk of opzet- telijk (denk aan verwarde personen). Er behoren voorzorgsmaatregelen te worden genomen om te voorkomen dat jonge kinderen voorwerpen of stoffen in stopcontacten steken, met name op spe- ciale afdelingen voor hen.</p></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Soms worden voedings- en telecommunicatieka- bels door meer dan één organisatie op één locatie gedeeld.</p></td>
<td><p><strong>Zorgspecifieke overige informatie</strong></p>
<p>Zie 7.1 voor overwegingen omtrent fysieke veilig- heid.</p></td>
</tr>
</tbody>
</table>

##### Onderhoud van apparatuur

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging #Beheer_van_be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Apparatuur behoort op de juiste wijze te worden onderhouden om de beschikbaarheid, integriteit en vertrouwelijkheid van informatie te garande- ren.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Doel</strong></p>
<p>Verlies, schade, diefstal of compromittering van informatie en andere gerelateerde bedrijfsmidde- len en onderbreking van de bedrijfsvoering van de organisatie door gebrekkig onderhoud voorko- men.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Richtlijn</strong></p>
<p>De volgende richtlijnen voor onderhoud van appa- ratuur behoren in aanmerking te worden geno- men:</p>
<ol type="a">
<li><p>apparatuur in overeenstemming met de door de leverancier aanbevolen frequentie voor ser- vicebeurten en voorschriften onderhouden;</p></li>
<li><p>het door de organisatie implementeren en mo- nitoren van een onderhoudsprogramma;</p></li>
<li><p>alleen bevoegd onderhoudspersoneel repara- ties en onderhoud aan apparatuur laten uitvoe- ren;</p></li>
<li><p>registraties bijhouden van alle vermeende en daadwerkelijke fouten, en van al het preven- tieve en corrigerende onderhoud;</p></li>
<li><p>passende beheersmaatregelen implementeren wanneer onderhoud van apparatuur is gepland, rekening houdend met of dit onderhoud wordt uitgevoerd door personeel ter plaatse of door extern personeel, waarbij het onderhoudsper- soneel gehouden is aan een passende geheim- houdingsovereenkomst;</p></li>
<li><p>toezicht houden op onderhoudspersoneel tij- dens het uitvoeren van onderhoud ter plaatse;</p></li>
<li><p>toegang voor onderhoud op afstand op basis van autorisatie toestaan en beveiligen;</p></li>
<li><p>beveiligingsmaatregelen voor bedrijfsmiddelen buiten het gebouw en/of terrein (zie 7.9) toe- passen indien apparatuur die informatie bevat, voor onderhoud buiten het gebouw en/of ter- rein wordt gebracht;</p></li>
<li><p>voldoen aan alle door de verzekering opge- legde onderhoudseisen;</p></li>
<li><p>voordat apparatuur na onderhoud weer in be- drijf wordt gesteld, een inspectie uitvoeren om te waarborgen dat er niet is geknoeid met de apparatuur en dat deze naar behoren functio- neert;</p></li>
<li><p>maatregelen toepassen voor het veilig verwij- deren of hergebruiken van apparatuur (zie 7.14) indien wordt vastgesteld dat het nodig is apparatuur te verwijderen.</p></li>
</ol></td>
<td><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Zowel tijdens het voorbereiden op als het uitvoe- ren van alle onderhoudsactiviteiten aan appara- tuur behoort rekening te worden gehouden met de veiligheid van patiënten.</p>
<p>Er behoort beleid te zijn ingesteld voor veilig en beveiligd onderhoud van apparatuur. Er behoort een onderhoudsplan, met inbegrip van een actuele risicobeoordeling en voorzieningen voor onvoor- ziene gebeurtenissen, te worden ontwikkeld, over- eenkomstig relevant beleid. Voordat onderhoud plaatsvindt, behoort het afgeronde plan schrifte- lijk door de directie te worden goedgekeurd.</p>
<p>In alle gevallen behoren er stappen te worden ge- nomen om te waarborgen dat er geen onver- wachte gebeurtenissen, met name uitval (zoals uitval van netwerkconnectiviteit), optreden die van invloed zijn op systemen en apparaten die af- hankelijk zijn van de apparatuur waaraan onder- houd wordt uitgevoerd. Er is speciale zorg nodig wanneer onderhoud op afstand of door een derde wordt uitgevoerd.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Overige informatie</strong></p>
<p>Apparatuur omvat technische componenten van informatieverwerkende faciliteiten, UPS, batte- rijen en accu’s, stroomgeneratoren, wisselstroom- generatoren en vermogensomzetters, fysieke in- braakdetectiesystemen en -alarmen, rookmelders, brandblussers, airconditioning en liften.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Veilig verwijderen of hergebruiken van apparatuur

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Fysieke_beveili- ging #Beheer_van_be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Onderdelen van de apparatuur die opslagmedia bevatten, behoren te worden gecontroleerd om te waarborgen dat gevoelige gegevens en gelicenti- eerde software zijn verwijderd of veilig zijn over- schreven voordat ze worden verwijderd of herge- bruikt.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Het lekken van informatie via af te voeren of te hergebruiken apparatuur voorkomen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Voorafgaand aan verwijdering of hergebruik be- hoort te worden gecontroleerd of apparatuur op- slagmedia bevat.</p>
<p>Opslagmedia die vertrouwelijke of door auteurs- recht beschermde informatie bevatten, behoren, in plaats van met de standaard ‘delete’-functie te worden gewist, fysiek te worden vernietigd of de informatie behoort te worden vernietigd, verwij- derd of overschreven met gebruikmaking van technieken die het onmogelijk maken de oor- spronkelijke informatie terug te halen. Zie 7.10 voor gedetailleerde richtlijnen over het veilig ver- wijderen van opslagmedia en 8.10 voor richtlijnen over het wissen van informatie.</p>
<p>Labels en markeringen waarmee de organisatie wordt geïdentificeerd of die de classificatie, de ei- genaar, het systeem of het netwerk aangeven, be- horen voorafgaand aan het verwijderen, waaron- der begrepen doorverkopen of aan een goed doel schenken, van de opslagmedia te worden verwij- derd.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Vrijwel alle digitale apparatuur kent een bepaalde vorm van niet-vluchtige opslag, al dan niet op in- terne (solid-state of harde) schijven of via poorten voor verwijderbare opslagmedia. Dit geldt ook voor medische apparaten die gegevens registre- ren, verwerken of rapporteren. Het is ook mogelijk dat niet-medische apparaten zoals printers, en netwerkapparatuur een logbestand bijhouden van gezondheids- of andere vertrouwelijke informatie (zoals netwerkconfiguraties) of deze opslaan.</p>
<p>Er kunnen speciale verwijderingsprotocollen gel- den voor medische hulpmiddelen en apparatuur. Ontsmetting en andere processen kunnen bijvoor- beeld vereist zijn om latere gezondheidsrisico's te vermijden. Organisaties behoren te waarborgen dat regelingen voor het verwijderen van medische hulpmiddelen en apparatuur controles op eventu- ele opslagmedia omvatten.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>De organisatie behoort te overwegen beveiligings- beheersmaatregelen zoals toegangsbeveiligings- maatregelen of bewakingsapparatuur aan het einde van de huurovereenkomst of bij verhuizing uit het gebouw te verwijderen. Dit is afhankelijk van factoren zoals:</p>
<ol type="a">
<li><p>de huurovereenkomst om de faciliteit in de oorspronkelijke staat terug te brengen;</p></li>
<li><p>het minimaliseren van het risico dat systemen met gevoelige informatie erop worden achter- gelaten voor de volgende huurder (bijv. lijsten van welke gebruikers toegang hebben gehad, video- of beeldbestanden);</p></li>
<li><p>de mogelijkheid om de beheersmaatregelen in de volgende faciliteit opnieuw te gebruiken.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Voor beschadigde apparatuur die opslagmedia be- vat, kan een risicobeoordeling nodig zijn om vast te stellen of het desbetreffende onderdeel van de apparatuur fysiek behoort te worden vernietigd in plaats van te worden gerepareerd of verwijderd. Informatie kan worden gecompromitteerd door onzorgvuldige verwijdering of door hergebruik van apparatuur.</p>
<p>Naast zorgvuldig wissen van de schijf vermindert codering van de volledige schijf het risico op open- baarmaking van vertrouwelijke informatie als de apparatuur van de hand wordt gedaan of opnieuw wordt ingezet, mits:</p>
<ol type="a">
<li><p>de codering voldoende sterk is en de gehele schijf omvat (met inbegrip van ‘slack space’, swap-bestanden);</p></li>
<li><p>de cryptografische sleutels lang genoeg zijn om met grove middelen uitgevoerde aanvallen te weerstaan;</p></li>
<li><p>de cryptografische sleutels vertrouwelijk wor- den behandeld (bijv. nooit op dezelfde schijf worden bewaard).</p></li>
</ol>
<p>Zie voor verder advies over cryptografie 8.24. De technieken voor het op beveiligde wijze over-</p>
<p>schrijven van opslagmedia verschillen afhankelijk van de opslagmediatechnologie en het classifica- tieniveau van de informatie op de opslagmedia.</p>
<p>Overschrijvingsinstrumenten behoren te worden beoordeeld om er zeker van te zijn dat ze geschikt zijn voor de technologie van het opslagmedium.</p>
<p>Zie ISO/IEC 27040 voor nadere informatie over methoden om opslagmedia leeg te maken.</p></td>
<td><p><strong>Zorgspecifiek overige informatie</strong></p>
<p>Zie 7.10 voor verdere informatie omtrent opslag- media.</p></td>
</tr>
</tbody>
</table>

### Technologische beheersmaatregelen

##### ‘User endpoint devices’

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Beheer_van_be- drijfsmiddelen #Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Informatie die is opgeslagen op, wordt verwerkt door of toegankelijk is via ‘user endpoint devices’ behoort te worden beschermd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Informatie beschermen tegen de risico's als gevolg van het gebruik van ‘user endpoint devices’.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>De organisatie behoort onderwerpspecifiek beleid vast te stellen inzake beveiligde configuratie en beveiligd gebruik van ‘user endpoint devices’. Het onderwerpspecifieke beleid behoort aan al het re- levante personeel te worden gecommuniceerd en het volgende in aanmerking te nemen:</p>
<ol type="a">
<li><p>het soort informatie en het classificatieniveau waarmee de ‘user endpoint devices’ kunnen omgaan of dat ze kunnen verwerken, opslaan of ondersteunen;</p></li>
<li><p>registratie van ‘user endpoint devices’;</p></li>
<li><p>eisen voor fysieke bescherming;</p></li>
<li><p>beperking van de installatie van software (bijv. op afstand beheerst door systeembeheerders);</p></li>
<li><p>eisen voor software (met inbegrip van soft- wareversies) van de ‘user endpoint devices’ en voor het toepassen van updates (bijv. actief au- tomatisch updaten);</p></li>
<li><p>regels voor de verbinding met informatiedien- sten, publieke netwerken of andere netwerken buiten het gebouw of terrein (bijv. het gebruik van een persoonlijke firewall vereisen);</p></li>
</ol></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="7" type="a">
<li><p>toegangsbeveiliging;</p></li>
<li><p>versleuteling van opslagapparaten;</p></li>
<li><p>bescherming tegen malware;</p></li>
<li><p>het op afstand onbruikbaar maken, wissen, uit- sluiten;</p></li>
<li><p>back-ups;</p></li>
<li><p>het gebruik van internetdiensten en -toepassin- gen;</p></li>
<li><p>analyse van het gedrag van de eindgebruiker (zie 8.16);</p></li>
<li><p>het gebruik van verwijderbare apparaten, met inbegrip van verwijderbare geheugenappara- ten, en de mogelijkheid om fysieke poorten (bijv. USB-poorten) uit te schakelen;</p></li>
<li><p>het gebruik van partitioneringsmogelijkheden, indien ondersteund door de ‘user endpoint de- vices’, waarmee de informatie en andere gere- lateerde bedrijfsmiddelen (bijv. software) van de organisatie veilig kunnen worden geseg- menteerd van andere informatie en andere ge- relateerde bedrijfsmiddelen op het apparaat.</p></li>
</ol>
<p>Er behoort te worden overwogen of bepaalde in- formatie zo gevoelig is dat er via ‘user endpoint devices’ slechts toegang toe kan worden gemaakt, maar de informatie niet op die apparaten mag worden opgeslagen. In dergelijke gevallen kunnen aanvullende technische beveiligingen op het appa- raat vereist zijn. Bijvoorbeeld, ervoor zorgen dat het downloaden van bestanden voor offline wer- ken is uitgeschakeld en dat lokale opslag zoals SD- kaarten is uitgeschakeld.</p>
<blockquote>
<p>De aanbevelingen met betrekking tot deze be- heersmaatregel behoren voor zover mogelijk te worden afgedwongen via configuratiebeheer (zie 8.9) of geautomatiseerde instrumenten.</p>
<p><u>Gebruikersverantwoordelijkheid</u></p>
</blockquote>
<p>Alle gebruikers behoren op de hoogte te worden gebracht van de beveiligingseisen en de procedu- res voor het beschermen van ‘user endpoint devi- ces’ en van hun verantwoordelijkheden voor het implementeren van dergelijke beschermingsmaat- regelen. Gebruikers behoren het advies te krijgen:</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol type="a">
<li><p>uit te loggen uit actieve sessies en diensten af- sluiten die niet langer nodig zijn;</p></li>
<li><p>‘user endpoint devices’ terwijl deze niet in ge- bruik zijn met een fysieke beheersmaatregel (bijv. een sleutelslot of speciale sloten) en logi- sche beheersmaatregel (bijv. toegang met wachtwoorden) te beschermen tegen gebruik door onbevoegden; geen apparaten met be- langrijke, gevoelige of essentiële bedrijfsinfor- matie onbewaakt achter te laten;</p></li>
<li><p>apparaten extra zorgvuldig te gebruiken in openbare ruimten, open kantoren, vergader- ruimten en andere onbeschermde gebieden (bijv. bij voorkeur geen vertrouwelijke infor- matie lezen als mensen van achteren kunnen meelezen, schermfilters gebruiken met het oog op privacy);</p></li>
<li><p>‘user endpoint devices’ fysiek te beveiligen tegen diefstal (bijv. in een auto of andere ver- voermiddelen, in hotelkamers, conferentie- en ontmoetingscentra).</p></li>
</ol>
<p>Er behoort een speciale procedure te worden vast- gesteld voor diefstal of verlies van ‘user endpoint devices’ waarin rekening is gehouden met wette- lijke, statutaire, regelgevende, contractuele (met inbegrip van verzekerings-) en andere veiligheids- eisen die in de organisatie gelden.</p>
<p><u>Het gebruik van persoonlijke apparaten</u></p>
<p>Indien de organisatie het gebruik van persoonlijke apparaten toestaat (dit wordt soms aangeduid als BYOD), behoort, in aanvulling op de richtlijnen die in deze beheersmaatregel worden gegeven, ook het volgende te worden overwogen:</p>
<ol type="a">
<li><p>scheiding van persoonlijk en zakelijk gebruik van de apparatuur, met inbegrip van het ge- bruik van software ter ondersteuning van een dergelijke scheiding en ter bescherming van bedrijfsgegevens op een privéapparaat;</p></li>
<li><p>verschaffen van toegang tot bedrijfsinformatie alleen nadat gebruikers hun verplichtingen hebben bevestigd (fysieke beveiliging, updaten van software enz.), afstand doen van eigendom van bedrijfsgegevens, toestaan dat de organisa- tie op afstand gegevens wist in geval van dief- stal of verlies van het apparaat of indien zij niet langer bevoegd zijn. In dergelijke gevallen be- hoort rekening te worden gehouden met wet- geving inzake de bescherming van persoonsge- gevens;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="3" type="a">
<li><p>onderwerpspecifieke beleidsregels en procedu- res ter voorkoming van geschillen over rechten van intellectuele eigendom die is ontwikkeld op privéapparatuur;</p></li>
<li><p>toegang tot privéapparatuur (om de veiligheid van het apparaat vast te stellen of tijdens een onderzoek), wat wetgeving kan verhinderen;</p></li>
<li><p>softwarelicentiecontracten waardoor de orga- nisatie aansprakelijk kan worden gesteld voor de licenties van clientsoftware op ‘user end- point devices’ die privébezit zijn van personeel of van externe gebruikers.</p></li>
</ol>
<p><u>Draadloze verbindingen</u></p>
<p>De organisatie behoort procedures vast te stellen voor:</p>
<ol type="a">
<li><p>het configureren van draadloze verbindingen op apparaten (bijv. kwetsbare protocollen uit- schakelen);</p></li>
<li><p>het gebruik van draadloze of bedrade verbin- dingen met passende bandbreedte overeen- komstig relevante onderwerpspecifieke be- leidsregels (bijv. omdat back-ups of software- updates nodig zijn).</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Beheersmaatregelen voor het beschermen van in- formatie op ‘user endpoint devices’ zijn afhanke- lijk van of het ‘endpoint device’ van de gebruiker alleen binnen het beveiligde gebouw en terrein en de beveiligde netwerkverbindingen van de organi- satie wordt gebruikt of dat het wordt blootgesteld aan meer fysieke en netwerkgerelateerde dreigin- gen buiten de organisatie.</p>
<p>De draadloze verbindingen van ‘user endpoint de- vices’ zijn gelijksoortig aan andere vormen van netwerkverbindingen, maar hebben belangrijke verschillen waar rekening mee behoort te worden gehouden bij het identificeren van beheersmaatre- gelen. Er kan met name soms iets fout gaan bij het maken van back-ups van informatie die op ‘user endpoint devices’ is opgeslagen indien de band- breedte van het netwerk beperkt is of ‘user end- point devices’ niet zijn aangesloten op de tijden waarop de back-ups zijn gepland.</p>
<p>Voor bepaalde USB-poorten, zoals USB-C, is het niet mogelijk de USB-poort uit te schakelen, omdat deze voor andere doelen (bijv. voeding of als uit- gang voor een weergavescherm) in gebruik is.</p></td>
<td><p><strong>Zorgspecifiek overige informatie</strong></p>
<p>‘User endpoint devices’ kunnen onder andere mobiele apparaten zoals smartphones, draagbare medische hulpmiddelen (zie NEN-EN-ISO 13485) en 'wearables' zijn.</p></td>
</tr>
</tbody>
</table>

##### Speciale toegangsrechten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Het toewijzen en het gebruik van speciale toe- gangsrechten behoren te worden beperkt en be- heerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat alleen bevoegde gebruikers, softwarecomponenten en diensten speciale toe- gangsrechten krijgen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Het toewijzen van speciale toegangsrechten be- hoort te worden beheerst door een autorisatiepro- cedure die in overeenstemming is met het rele- vante onderwerpspecifieke beleid inzake toe- gangsbeveiliging (zie 5.15). Het volgende behoort te worden overwogen:</p>
<ol type="a">
<li><p>het identificeren van gebruikers die speciale toegangsrechten nodig hebben voor elk sys- teem of proces (bijv. besturingssystemen, data- basebeheersystemen en toepassingen);</p></li>
<li><p>het toekennen van speciale toegangsrechten aan gebruikers waar nodig en van gebeurtenis tot gebeurtenis, overeenkomstig het onder- werpspecifieke beleid inzake toegangsbeveili- ging (zie 5.15) (d.w.z. alleen aan personen met de nodige competentie om de activiteiten uit te voeren die speciale toegang vereisen en op ba- sis van de minimumeis voor hun functionele rol);</p></li>
<li><p>een autorisatieproces in stand houden (d.w.z. bepalen wie speciale toegangsrechten kan goedkeuren, of speciale toegangsrechten pas toekennen als het autorisatieproces is afge- rond) en een registratie van alle toegewezen rechten bijhouden;</p></li>
<li><p>het definiëren en implementeren van eisen voor het vervallen van speciale toegangsrech- ten;</p></li>
<li><p>het treffen van maatregelen om te bewerkstelli- gen dat de gebruikers zich bewust zijn van hun</p></li>
</ol></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>speciale toegangsrechten en wanneer zij zich in de speciale toegangsmodus bevinden. Moge- lijke maatregelen zijn onder andere het gebruik van specifieke gebruikersidentiteiten, gebrui- kersinterface-instellingen of zelfs specifieke ap- paratuur;</p>
</blockquote>
<ol start="6" type="a">
<li><p>de authenticatie-eisen voor speciale toegangs- rechten kunnen hoger zijn dan de eisen voor normale toegangsrechten. Herauthenticeren of het aanscherpen van het authenticeren kan no- dig zijn voordat er werk met speciale toegangs- rechten kan worden uitgevoerd;</p></li>
<li><p>het regelmatig en na elke organisatiewijziging beoordelen van de gebruikers die met speciale toegangsrechten werken om te verifiëren of ze op grond van hun taken, rollen, verantwoorde- lijkheden en competentie nog altijd in aanmer- king komen voor het werken met speciale toe- gangsrechten (zie 5.18);</p></li>
<li><p>het vaststellen van specifieke regels om het ge- bruik van generieke gebruikersidentificaties voor beheer (zoals ‘root’) te vermijden, afhan- kelijk van de configuratiemogelijkheden van de systemen. Het beheren en beschermen van de authenticatie-informatie van dergelijke identi- teiten (zie 5.17);</p></li>
<li><p>tijdelijke speciale toegangsrechten slechts ver- lenen voor het tijdsvenster dat nodig is om goedgekeurde veranderingen of activiteiten te implementeren (bijv. voor onderhoudsactivi- teiten of bepaalde essentiële veranderingen), in plaats van speciale toegangsrechten permanent te verlenen. Dit wordt vaak aangeduid als een procedure voor noodtoegang, en wordt vaak geautomatiseerd door technologieën voor het beheer van speciale toegangsrechten;</p></li>
<li><p>het registreren van alle speciale toegang tot systemen voor auditdoeleinden;</p></li>
<li><p>identiteiten met speciale toegangsrechten niet met meerdere personen delen of aan meerdere personen koppelen, maar aan elke persoon een afzonderlijke identiteit toekennen waarmee specifieke speciale toegangsrechten kunnen worden toegekend. Identiteiten kunnen wor- den gegroepeerd (bijv. door een beheerders- groep te definiëren) om het beheer van speci- ale toegangsrechten te vereenvoudigen;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>l) het gebruik van identiteiten met speciale toe- gangsrechten beperken tot het uitvoeren van beheerfuncties en deze identiteiten niet gebrui- ken voor de dagelijkse algemene taken [d.w.z.</p>
<blockquote>
<p>e-mail bekijken, toegang tot internet (gebrui- kers behoren voor deze activiteiten een afzon- derlijke normale netwerkidentiteit te hebben)].</p>
</blockquote></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Speciale toegangsrechten zijn toegangsrechten die aan een identiteit, rol of proces worden verleend om activiteiten te kunnen uitvoeren die gewone gebruikers of processen niet kunnen uitvoeren.</p>
<p>Systeembeheerdersrollen vereisen meestal speci- ale toegangsrechten.</p>
<p>Ongepast gebruik van speciale systeembeheer- dersrechten (elke functie of faciliteit van een in- formatiesysteem die de gebruiker in staat stelt systeem- of toepassingsbeheersmaatregelen op te heffen) is een factor die in grote mate bijdraagt aan storingen van of inbreuken op het systeem.</p>
<p>Meer informatie over toegangsbeheer en het be- veiligde beheer van de toegang tot informatie en informatie- en communicatietechnologiemiddelen is te vinden in ISO/IEC 29146.</p></td>
<td><p><strong>Zorgspecifiek overige informatie</strong></p>
<p>Aanvullende richtlijnen over rechtenbeheer in de gezondheidszorg zijn te vinden in de</p>
<p>ISO 22600-reeks.</p></td>
</tr>
</tbody>
</table>

##### Beperking toegang tot informatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De toegang tot informatie en andere gerelateerde bedrijfsmiddelen behoort te worden beperkt over- eenkomstig het vastgestelde onderwerpspecifieke beleid inzake toegangsbeveiliging.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Uitsluitend bevoegde toegang bewerkstelligen en onbevoegde toegang tot informatie en andere ge- relateerde bedrijfsmiddelen voorkomen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De toegang tot informatie en andere gerelateerde bedrijfsmiddelen behoort te worden beperkt over- eenkomstig de vastgestelde onderwerpspecifieke beleidsregels. De volgende aspecten behoren in</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>aanmerking te worden genomen om de eisen voor toegangsbeperking te ondersteunen:</p>
<ol type="a">
<li><p>toegang tot gevoelige informatie niet anoniem of aan onbekende gebruikersidentiteiten toe- staan. Openbare of anonieme toegang behoort uitsluitend te worden verleend tot opslagloca- ties waar zich geen gevoelige informatie be- vindt;</p></li>
<li><p>voorzien in configuratiemechanismen voor toe- gangsbeveiliging van informatie in systemen, toepassingen en diensten;</p></li>
<li><p>beheersen welke gegevens voor een bepaalde gebruiker toegankelijk zijn;</p></li>
<li><p>beheersen welke identiteiten of groep identi- teiten bepaalde toegangsrechten hebben, zoals lezen, schrijven, wissen en uitvoeren;</p></li>
<li><p>zorgen voor fysieke of logische toegangsbevei- ligingsmaatregelen voor het isoleren van ge- voelige toepassingen, toepassingsgegevens of systemen;</p></li>
</ol>
<p>Verder behoren dynamische technieken en pro- cessen voor het beschermen van gevoelige infor- matie die van hoge waarde is voor de organisatie, in overweging te worden genomen als de organi- satie:</p>
<ol type="a">
<li><p>granulaire beveiliging nodig heeft met betrek- king tot wie, gedurende welke periode en vol- gens welke wijze toegang kan krijgen tot derge- lijke informatie;</p></li>
<li><p>zulke informatie wil delen met mensen buiten de organisatie en de controle wil behouden over wie er toegang toe heeft;</p></li>
<li><p>het gebruik en de verspreiding van die infor- matie dynamisch en in real time wil beheren;</p></li>
<li><p>dergelijke informatie wil beschermen tegen on- geautoriseerde wijzigingen, kopiëren en ver- spreiding (met inbegrip van afdrukken);</p></li>
<li><p>het gebruik van de informatie wil monitoren;</p></li>
<li><p>wijzigingen aan deze informatie wil registreren voor het geval onderzoek in de toekomst ver- eist is.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>Technieken voor het beheer van dynamische toe- gang behoren informatie gedurende de hele le- venscyclus ervan te beschermen (d.w.z. het aan- maken, verwerken, opslaan, overdragen en verwij- deren), met inbegrip van:</p>
<ol type="a">
<li><p>het vaststellen van regels voor het beheer van dynamische toegang op basis van specifieke usecases, waarbij het volgende in overweging wordt genomen:</p>
<ol type="1">
<li><p>toegangsrechten verlenen op basis van iden- titeit, apparaat, locatie of toepassing;</p></li>
<li><p>het classificatieschema inzetten om vast te stellen welke informatie met technieken voor het beheer van dynamische toegang moet worden beschermd;</p></li>
</ol></li>
<li><p>operationele, monitoring- en meldingsproces- sen opstellen en ondersteunende technische in- frastructuur inrichten.</p></li>
</ol>
<p>Systemen voor het beheer van dynamische toe- gang behoren informatie te beschermen door:</p>
<ol type="a">
<li><p>authenticatie, passende toegangsgegevens of een certificaat te vereisen voor toegang tot in- formatie;</p></li>
<li><p>de toegang te beperken, bijvoorbeeld tot een bepaald tijdsbestek (bijvoorbeeld na een be- paalde datum of tot een bepaalde datum);</p></li>
<li><p>versleuteling te gebruiken om informatie te be- schermen;</p></li>
<li><p>de afdrukrechten voor de informatie te defini- eren;</p></li>
<li><p>te registreren wie zich toegang verschaft tot de informatie en hoe de informatie wordt ge- bruikt;</p></li>
<li><p>waarschuwingen te geven indien er pogingen om de informatie te misbruiken worden waar- genomen.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Indien traditionele toegangscontroles niet kunnen worden afgedwongen, kunnen technieken voor het beheer van dynamische toegang en andere technieken voor dynamische informatiebeveili- ging de bescherming van informatie ondersteu- nen, zelfs wanneer gegevens buiten de organisatie</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>van herkomst worden gedeeld. Dit kan worden toegepast op documenten, e-mails of andere be- standen met informatie, om te beperken wie er toegang kan krijgen tot de inhoud en hoe men deze kan krijgen. Dit kan op granulair niveau zijn en worden aangepast gedurende de levenscyclus van de informatie.</p>
<p>Technieken voor het beheer van dynamische toe- gang zijn geen vervangers van klassiek toegangs- beheer [bijv. het gebruik van lijsten voor toe- gangsbeheer (ACL’s)], maar ze kunnen meer facto- ren toevoegen voor conditionaliteit, realtime-eva- luatie, just-in-timedatabeperking en andere verbe- teringen die nuttig kunnen zijn voor de meest ge- voelige informatie. Dit biedt een manier om toe- gang buiten de omgeving van de organisatie te be- veiligen. Incidentrespons kan worden onder- steund door technieken voor het beheer van dyna- mische toegang aangezien rechten te allen tijde kunnen worden gewijzigd of ingetrokken.</p>
<p>Aanvullende informatie over een kader voor toe- gangsbeheer wordt gegeven in ISO/IEC 29146.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Toegangsbeveiliging op broncode

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Identiteits-</p>
</blockquote>
<p>_en_toegangsbe- heer #Toepassingsbe- veiliging #Veilige_configura- tie</p></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Lees- en schrijftoegang tot broncode, ontwikkelin- strumenten en softwarebibliotheken behoort op passende wijze te worden beheerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Voorkomen dat er ongeoorloofde functionaliteit wordt geïntroduceerd, vermijden dat onbedoelde of kwaadwillige wijzigingen plaatsvinden en de vertrouwelijkheid behouden van waardevol intel- lectueel eigendom.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Toegang tot broncode en gerelateerde zaken (zo- als ontwerpen, specificaties, verificatieplannen en validatieplannen) en ontwikkelinstrumenten (bijv. compilers, builders, integratie-instrumenten,</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>testplatformen en -omgevingen) behoort streng te worden beheerst.</p>
<p>Met betrekking tot broncode kan dit worden be- reikt door de code gecontroleerd centraal op te slaan, bij voorkeur in een broncodebeheersys- teem.</p>
<p>Lees- en schrijftoegang tot broncode kan verschil- len op basis van de rol van het personeel. Zo kan leestoegang tot broncode binnen de organisatie breed worden aangeboden, maar schrijftoegang tot broncode worden voorbehouden aan speciaal personeel of aangewezen eigenaren. Indien code- componenten door verschillende ontwikkelaars binnen een organisatie worden hergebruikt, be- hoort leestoegang tot een gecentraliseerde bron- codebibliotheek te worden geïmplementeerd. Bo- vendien kan, indien binnen een organisatie open broncode of codecomponenten van derden wor- den gebruikt, de leestoegang tot dergelijke externe broncodebibliotheken ook breed worden aange- boden. De schrijftoegang behoort echter nog steeds te worden beperkt.</p>
<p>De volgende richtlijnen behoren te worden over- wogen om de toegang tot broncodebibliotheken te beheersen en zo de kans op corruptie van compu- terprogramma’s te verkleinen:</p>
<ol type="a">
<li><p>de toegang tot programmabroncode en de pro- grammabronbibliotheken volgens vastgestelde procedures beheren;</p></li>
<li><p>lees- en schrijftoegang tot broncode op basis van de bedrijfsbehoeften verlenen, dusdanig beheerd dat de risico's op wijziging of misbruik worden opgepakt en volgens vastgestelde pro- cedures;</p></li>
<li><p>de procedures voor wijzigingsbeheer (zie 8.32) toepassen op het bijwerken van broncode en gerelateerde zaken en het verlenen van toe- gang tot broncode en dit pas uitvoeren nadat de passende autorisatie is ontvangen;</p></li>
<li><p>ontwikkelaars geen rechtstreekse toegang tot de broncodebibliotheek verlenen, maar via ont- wikkelinstrumenten die activiteiten en autori- saties met betrekking tot de broncode beheer- sen;</p></li>
<li><p>lijsten van programma's in een beveiligde om- geving bewaren waar lees- en schrijftoegang op passende wijze behoort te worden beheerd en toegewezen;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>f) een auditlogbestand bijhouden van alle toe- gangsinstanties en van alle wijzigingen aan de broncode.</p>
<p>Indien het de bedoeling is dat de programmabron- code wordt gepubliceerd, behoren aanvullende beheersmaatregelen die de integriteit ervan waar- borgen (bijv. een digitale handtekening), te wor- den overwogen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Indien de toegang tot broncode niet naar behoren wordt beveiligd, kunnen onbevoegden broncode aanpassen of bepaalde gegevens in de ontwikkel- omgeving (bijv. kopieën van productiegegevens, configuratiedetails) opvragen.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Beveiligde authenticatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoren beveiligde authenticatietechnologieën en -procedures te worden geïmplementeerd op basis van beperkingen van de toegang tot informa- tie en het onderwerpspecifieke beleid inzake toe- gangsbeveiliging.</p></td>
<td colspan="3" style="text-align: left;"><p><strong>Zorgspecifieke beheersmaatregel (aanvullend)</strong></p>
<p>Er behoort ten minste tweefactorauthenticatie te worden gebruikt voor systemen die persoonlijke gezondheidsinformatie verwerken.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat een gebruiker of een entiteit veilig wordt geauthenticeerd wanneer toegang tot systemen, toepassingen en diensten wordt ver- leend.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel (aanvullend)</strong></p>
<p>Betere beveiliging waarborgen voor toegang tot persoonlijke gezondheidsinformatie.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Om de geclaimde identiteit van een gebruiker, software, berichten en andere entiteiten te bewij- zen behoort een passende authenticatietechniek te worden gekozen.</p>
<p>De sterkte van authenticatie behoort passend te zijn voor de classificatie van de informatie waar- toe toegang wordt verleend. Ingeval krachtige ve- rificatie en authenticatie van de identiteit is ver- eist, behoren andere authenticatiemethoden dan wachtwoorden te worden gebruikt, zoals digitale certificaten, chipkaarten, tokens of biometrische middelen.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Er behoort speciale aandacht te worden besteed aan de technische maatregelen waarmee de iden- titeit van zorgontvangers op beveiligde wijze wordt vastgesteld als zij toegang maken tot (een deel van) hun eigen informatie (in die gezond- heidsinformatiesystemen die zulke toegang toe- staan).</p>
<p>Er behoort ook aandacht te worden besteed aan het gebruiksgemak van dergelijke maatregelen, toegang door cliënten met bepaalde aandoeningen of beperkingen. Aanvullend behoort aandacht te worden geschonken aan gevolmachtigden van zorgontvangers.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>Authenticatie-informatie behoort vergezeld te gaan van aanvullende authenticatiefactoren voor toegang tot essentiële informatiesystemen (ook bekend als multifactorauthenticatie). Het gebruik van een combinatie van meerdere authenticatie- factoren, zoals wat je weet, wat je hebt en wat je bent, beperkt de mogelijkheid van onbevoegde toegang. Multifactorauthenticatie kan worden ge- combineerd met andere technieken die aanvul- lende factoren onder specifieke omstandigheden vereisen, op basis van vooraf gedefinieerde regels en patronen, zoals toegang vanaf een ongebruike- lijke locatie, een ongebruikelijk apparaat of op een ongebruikelijk tijdstip.</p>
<p>Biometrische authenticatie-informatie behoort ongeldig te worden gemaakt als deze ooit wordt gecompromitteerd. Het is mogelijk dat biometri- sche authenticatie niet beschikbaar is, afhankelijk van de gebruiksomstandigheden (bijv. vocht of veroudering). Om hierop voorbereid te zijn, be- hoort biometrische authenticatie van ten minste één alternatieve authenticatietechniek vergezeld te gaan.</p>
<p>De procedure om in een systeem in te loggen, be- hoort zo te worden ontworpen dat het risico op onbevoegde toegang zo klein mogelijk wordt ge- maakt. Er behoren inlogprocedures en -technolo- gieën te worden geïmplementeerd waarbij het vol- gende in overweging wordt genomen:</p>
<ol type="a">
<li><p>gevoelige systeem- of toepassingsinformatie pas tonen nadat het inlogproces op geslaagde wijze is afgerond om zo te vermijden dat een onbevoegde onnodig wordt geholpen;</p></li>
<li><p>een algemene waarschuwing tonen dat het sys- teem of de toepassing of dienst alleen toegan- kelijk is voor bevoegde gebruikers;</p></li>
<li><p>geen hulpmeldingen geven tijdens de aanmeld- procedure die een onbevoegde gebruiker zou- den helpen (bijv. als er zich een fout voordoet, behoort het systeem niet aan te geven welk ge- deelte van de gegevens correct of niet correct is);</p></li>
<li><p>de inloginformatie pas na invoer van alle gege- vens valideren;</p></li>
<li><p>bescherming bieden tegen bruut geweld bij aanmeldpogingen met gebruikersnamen en wachtwoorden (bijv. door gebruik te maken van CAPTCHA, te eisen dat een wachtwoord op- nieuw wordt ingesteld na een vooraf bepaald</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>aantal mislukte pogingen of de gebruiker na een maximumaantal fouten te blokkeren);</p>
</blockquote>
<ol start="6" type="a">
<li><p>niet-succesvolle en succesvolle pogingen regi- streren;</p></li>
<li><p>een beveiligingsgebeurtenis genereren wan- neer een potentiële poging tot of succesvolle in- breuk op aanmeldbeheersmaatregelen wordt gedetecteerd (bijv. een waarschuwing naar de gebruiker en de systeembeheerders van de or- ganisatie sturen wanneer een bepaald aantal verkeerde wachtwoordpogingen is bereikt);</p></li>
<li><p>de volgende informatie op een apart kanaal to- nen of verzenden nadat het inloggen met suc- ces is voltooid:</p>
<ol type="1">
<li><p>datum en tijdstip waarop de vorige keer met succes is ingelogd;</p></li>
<li><p>details van niet-succesvolle pogingen om in te loggen sinds de vorige succesvolle poging om in te loggen;</p></li>
</ol></li>
<li><p>een wachtwoord terwijl het wordt ingevoerd niet als leesbare tekst tonen; in bepaalde geval- len kan het nodig zijn deze functionaliteit uit te schakelen om de gebruiker te laten inloggen (bijv. vanwege toegankelijkheidsredenen of om te vermijden dat gebruikers worden geblok- keerd doordat ze meermaals fouten hebben ge- maakt);</p></li>
<li><p>wachtwoorden niet als onversleutelde tekst via een netwerk verzenden om zo te voorkomen dat zij door een snifferprogramma op het net- werk worden onderschept;</p></li>
<li><p>inactieve sessies na een bepaalde tijd van inac- tiviteit beëindigen, vooral op locaties met een hoog risico, zoals openbare of externe locaties die buiten het beveiligingsbeheer van de orga- nisatie vallen, of op ‘endpoint devices’ van ge- bruikers;</p></li>
<li><p>de verbindingsduur beperken om extra beveili- ging te bieden voor toepassingen met een hoog risico en de mogelijkheden voor onbevoegde toegang te verkleinen.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Aanvullende informatie over de borging van de authenticatie van entiteiten is te vinden in ISO/IEC 29115.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Capaciteitsbeheer

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2" style="text-align: left;"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Detectief</td>
<td>#Integriteit #Beschikbaarheid</td>
<td colspan="2" style="text-align: left;">#Identificeren #Beschermen #Detecteren</td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem #Bescher- ming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Het gebruik van middelen behoort te worden ge- monitord en aangepast overeenkomstig de hui- dige en verwachte capaciteitseisen.</p></td>
<td colspan="3" style="text-align: left;"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De vereiste capaciteit van informatieverwerkende faciliteiten, personeel, kantoren en andere facili- teiten waarborgen.</p></td>
<td colspan="3" style="text-align: left;"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Capaciteitseisen voor informatieverwerkende faci- liteiten, personeel, kantoren en andere faciliteiten behoren te worden gedefinieerd, rekening hou- dend met het belang van de betrokken systemen en processen voor de organisatie.</p>
<p>Het systeem behoort te worden afgestemd en ge- monitord om de beschikbaarheid en doelmatig- heid van systemen te waarborgen en zo nodig te verbeteren.</p>
<p>De organisatie behoort stresstests van systemen en diensten uit te voeren om te bevestigen dat er voldoende systeemcapaciteit beschikbaar is om aan eisen voor piekprestaties te voldoen.</p>
<p>Om problemen vroegtijdig vast te stellen behoren detectiemaatregelen te worden genomen.</p>
<p>Prognoses voor toekomstige capaciteitseisen be- horen rekening te houden met nieuwe bedrijfs- en systeemeisen en de huidige en verwachte trends in de informatieverwerkende capaciteiten van de organisatie.</p>
<p>Er behoort met name aandacht te worden besteed aan middelen met lange verwervingsdoorlooptij- den of hoge kosten. Daarom behoren managers en de eigenaren van een dienst of product het ge- bruik van belangrijke systeemmiddelen te monito- ren.</p>
<p>Beheerders behoren deze capaciteitsinformatie te gebruiken voor het signaleren en vermijden van potentiële beperkingen aan middelen en</p></td>
<td colspan="3" style="text-align: left;"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Het percentage medische apparaten dat (draad- loos of via een kabel) op een netwerk kan of moet worden aangesloten, neemt snel toe en capaci- teitsbeheer behoort hier rekening mee te houden. Andere factoren om te overwegen zijn de potenti- eel hoge en stijgende vraag naar zowel patiënt- entertainmentsystemen als gastnetwerken.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>afhankelijkheid van belangrijk personeel, wat een dreiging kan vormen voor de systeembeveiliging en diensten, en behoren passende actie te plan- nen.</p>
<p>Voldoende capaciteit kan worden verkregen door de capaciteit te verhogen of door de vraag te ver- lagen. Om de capaciteit te verhogen behoort het volgende in overweging te worden genomen:</p>
<ol type="a">
<li><p>nieuw personeel aantrekken;</p></li>
<li><p>nieuwe faciliteiten of ruimte verkrijgen;</p></li>
<li><p>krachtigere verwerkingssystemen, geheugen en opslag verkrijgen;</p></li>
<li><p>gebruikmaken van cloudcomputing, hetgeen inherente kenmerken heeft die rechtstreeks ca- paciteitskwesties oppakken. Cloudcomputing heeft elasticiteit en schaalbaarheid waardoor snelle uitbreiding en inkrimping van middelen op vraag beschikbaar is voor specifieke toepas- singen en diensten.</p></li>
</ol>
<p>Om het beslag op de middelen van de organisatie te verminderen, behoort het volgende te worden overwogen:</p>
<ol type="a">
<li><p>verouderde gegevens verwijderen (schijf- ruimte);</p></li>
<li><p>registraties op papier waarvan de bewaarter- mijn is verstreken, verwijderen (schapruimte vrijmaken);</p></li>
<li><p>toepassingen, systemen, databases of omgevin- gen buiten gebruik stellen;</p></li>
<li><p>batchprocessen en -schema’s optimaliseren;</p></li>
<li><p>toepassingscode of databasevragen optimalise- ren;</p></li>
<li><p>de bandbreedte voor diensten die veel energie verbruiken, weigeren of beperken als deze niet van overwegend belang zijn (bijv. videostrea- ming).</p></li>
</ol>
<p>Voor systemen die belangrijk zijn voor de missie, behoort voor de capaciteit een gedocumenteerd beheersplan te worden overwogen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Meer informatie over de elasticiteit en schaalbaar- heid van cloudcomputing is te vinden in</p>
<p>ISO/IEC TS 23167.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Bescherming tegen malware

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Detectief #Corrigerend</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen #Detecteren</td>
<td><blockquote>
<p>#Systeem-_en_net- werkbeveiliging #Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Bescherming tegen malware behoort te worden geïmplementeerd en ondersteund door een pas- send gebruikersbewustzijn.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Waarborgen dat informatie en andere gerela- teerde bedrijfsmiddelen beschermd zijn tegen malware.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Bescherming tegen malware behoort te zijn geba- seerd op software die malware detecteert en op herstelsoftware, bewustwording ten aanzien van informatiebeveiliging, passende beheersmaatrege- len met betrekking tot systeemtoegang en wijzi- gingsbeheer. Het gebruik van software voor het detecteren en herstellen van malware op zich is meestal niet afdoende. De volgende richtlijnen be- horen te worden overwogen:</p>
<ol type="a">
<li><p>regels en beheersmaatregelen implementeren die het gebruik van niet-geautoriseerde soft- ware voorkomen of detecteren [bijv. een lijst maken van toegestane toepassingen (‘allowlis- ting’)] (zie 8.19 en 8.32);</p></li>
<li><p>beheersmaatregelen implementeren die het ge- bruik van bekende of verdachte kwaadaardige websites voorkomen of detecteren [bijv. een blokkeerlijst opstellen (‘blocklisting’)];</p></li>
<li><p>kwetsbaarheden verminderen die kunnen wor- den geëxploiteerd door malware [bijv. via be- heer van technische kwetsbaarheden (zie 8.8 en 8.19)];</p></li>
<li><p>regelmatig geautomatiseerde validatie uitvoe- ren van de software en gegevensinhoud van systemen, met name voor systemen die kriti- sche bedrijfsprocessen ondersteunen; de aan- wezigheid van niet-goedgekeurde bestanden of ongeautoriseerde wijzigingen onderzoeken;</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Indien het mogelijk is software die bescherming biedt tegen malware te installeren in medische ap- paraten die gegevens registreren, verwerken of rapporteren, is het mogelijk dat die anti-mal- waresoftware de veilige werking van die appara- ten verstoort. Software die bescherming biedt te- gen malware behoort alleen volgens de instructies van de fabrikanten en lokaal beleid te worden geïnstalleerd en/of geüpdatet.</p>
<p>Indien het gebruik van anti-malwaresoftware niet mogelijk is, behoren waar nodig compenserende beheersmaatregelen, op basis van een risicobeoor- deling, te worden geïmplementeerd.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="5" type="a">
<li><p>beschermende maatregelen vaststellen tegen de risico's die verbonden zijn met het verkrij- gen van bestanden en software van of via ex- terne netwerken of op een ander medium;</p></li>
<li><p>software voor het detecteren en herstellen van malware installeren en regelmatig bijwerken om computers en elektronische opslagmedia te scannen; reguliere scans uitvoeren die het vol- gende omvatten:</p>
<ol type="1">
<li><p>alle gegevens die via netwerken of via welke vorm van elektronische opslagmedia dan ook worden ontvangen, vóór gebruik op malware scannen;</p></li>
<li><p>bijlagen bij e-mail en instantmessagingsys- temen en downloads voorafgaand aan ge- bruik op malware scannen. Deze scan op verschillende plekken (bijv. op mailservers, pc's) en bij binnenkomst in het netwerk van de organisatie uitvoeren;</p></li>
<li><p>webpagina's op malware scannen wanneer er toegang toe wordt gemaakt;</p></li>
</ol></li>
<li><p>de plaatsing en configuratie van hulpmiddelen voor het detecteren van malware en het herstel naar aanleiding daarvan vaststellen, op basis van de resultaten van de risicobeoordeling en rekening houdend met:</p>
<ol type="1">
<li><p>principes voor ‘defence in depth’ waar deze het doeltreffendst zouden zijn. Dit kan bij- voorbeeld leiden tot de detectie van mal- ware in een netwerkgateway (in verschil- lende toepassingsprotocollen zoals e-mail, bestandsoverdracht en internet) en in ‘end- point devices’ van gebruikers en servers;</p></li>
<li><p>de ontwijkingstechnieken van aanvallers (bijv. het gebruik van versleutelde bestan- den) om malware af te leveren of het ge- bruik van versleutelingsprotocollen om mal- ware te verzenden;</p></li>
</ol></li>
<li><p>ervoor zorgen dat er bescherming is tegen het introduceren van malware tijdens onderhouds- en noodprocedures, die de normale beheers- maatregelen tegen malware kan omzeilen;</p></li>
<li><p>een proces implementeren om tijdelijk of per- manent autorisatie te verlenen om bepaalde of alle maatregelen tegen malware uit te schake- len, waaronder bevoegdheden om in uitzonde- ringsgevallen goedkeuring te verlenen, gedocu- menteerde onderbouwing en de</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>beoordelingsdatum. Dit kan nodig zijn wanneer de bescherming tegen malware een verstoring van de normale bedrijfsvoering veroorzaakt;</p>
</blockquote>
<ol start="10" type="a">
<li><p>passende bedrijfscontinuïteitsplannen voorbe- reiden voor het herstel na malwareaanvallen, met inbegrip van alle nodige maatregelen voor het back-uppen van gegevens en software (waaronder zowel online als offline back-up) en het herstellen ervan (zie 8.13);</p></li>
<li><p>omgevingen isoleren waar zich catastrofale ge- volgen kunnen voordoen;</p></li>
<li><p>procedures en verantwoordelijkheden vaststel- len voor hoe om te gaan met bescherming te- gen malware op systemen, met inbegrip van training in het gebruik ervan, het melden en herstellen van malwareaanvallen;</p></li>
<li><p>alle gebruikers bewustmaken of trainen (zie 6.3) hoe zij de ontvangst, verzending of instal- latie van met malware geïnfecteerde e-mails, bestanden of programma's kunnen herkennen en mogelijk kunnen tegengaan [de onder n) en</p></li>
</ol>
<blockquote>
<p>o) verzamelde informatie kan worden gebruikt om te bewerkstelligen dat bewustwording en training actueel blijven];</p>
</blockquote>
<ol start="14" type="a">
<li><p>procedures toepassen om regelmatig informa- tie over nieuwe malware te verzamelen, zoals abonnementen nemen op mailinglijsten of rele- vante websites bekijken;</p></li>
<li><p>verifiëren dat informatie met betrekking tot malware, zoals waarschuwingsbulletins, af- komstig is van gekwalificeerde en gerenom- meerde bronnen (bijv. betrouwbare internetsi- tes of leveranciers van malwaredetectiesoft- ware), juist is en informatie biedt.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Het is niet altijd mogelijk om op bepaalde sys- temen (bijv. bepaalde industriële besturingssys- temen) software te installeren die tegen malware beschermt. Bepaalde vormen van malware infec- teren computerbesturingssystemen en computer- firmware dusdanig dat gewone malwarebeheers- maatregelen het systeem niet kunnen opschonen en het nodig is de software voor het besturings- systeem en soms de computerfirmware vanaf een imagebestand volledig te herstellen om weer een veilige situatie te bereiken.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Beheer van technische kwetsbaarheden

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren #Beschermen</td>
<td><blockquote>
<p>#Beheer_van_ dreigingen_en_ kwetsbaarheden</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_Ecosys- teem</p>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoort informatie te worden verkregen over technische kwetsbaarheden van in gebruik zijnde informatiesystemen, de blootstelling van de orga- nisatie aan dergelijke kwetsbaarheden behoort te worden geëvalueerd en er behorende passende maatregelen te worden getroffen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Misbruik van technische kwetsbaarheden voorko- men.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Technische kwetsbaarheden identificeren</u></p>
<p>De organisatie behoort te beschikken over een nauwkeurige inventarislijst van bedrijfsmiddelen (zie 5.9 t/m 5.14) als voorwaarde voor een doel- treffend beheer van technische kwetsbaarheden; in de inventarislijst behoren de leverancier en naam van de software, versienummers, de huidige toepassingsstatus (bijv. welke software is geïnstal- leerd op welke systemen) en de binnen de organi- satie voor de software verantwoordelijke persoon of personen te worden opgenomen.</p>
<p>Om technische kwetsbaarheden te identificeren behoort de organisatie het volgende in aanmer- king te nemen:</p>
<ol type="a">
<li><p>het definiëren en vaststellen van de rollen en verantwoordelijkheden in samenhang met het beheer van technische kwetsbaarheden, met inbegrip van het monitoren van de kwetsbaar- heden, een risicobeoordeling van de kwets- baarheden, updaten, het traceren van bedrijfs- middelen en de vereiste coördinatieverant- woordelijkheden;</p></li>
<li><p>voor software en andere technologieën (op ba- sis van de inventarislijst van bedrijfsmiddelen, zie 5.9), informatiemiddelen identificeren die worden gebruikt om relevante technische kwetsbaarheden te identificeren en de bewust- wording ervan in stand te houden. De lijst met</p></li>
</ol></td>
<td colspan="3" style="text-align: left;"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>In grootschalige omgevingen kunnen er veel gege- vens binnen en tussen organisaties worden uitge- wisseld. Deze uitwisseling kan plaatsvinden via al- lerlei verschillende interfaces en tussen grote aan- tallen systemen en apparaten. Hiervoor kunnen al- lerlei verschillende technieken worden gebruikt.</p>
<p>Er behoort gedetailleerd aandacht te worden be- steed aan technische kwetsbaarheden die uit deze interfaces voortkomen.</p>
<p>Voor bepaalde medische apparaten die gegevens registreren, verwerken of rapporteren is het hele- maal niet mogelijk of om klinische veiligheidsre- denen niet passend om op dezelfde manier als bij standaard ICT-apparatuur maatregelen te treffen zoals het updaten van software of het toepassen van patches. Indien het updaten van software of het toepassen van patches niet mogelijk is, beho- ren waar nodig compenserende beheersmaatrege- len, op basis van een risicobeoordeling, te worden geïmplementeerd. Zie bijlage C voor verdere infor- matie.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>informatiemiddelen bijwerken op basis van veranderingen in de inventarislijst of wanneer er andere nieuwe of nuttige middelen worden gevonden;</p>
</blockquote>
<ol start="3" type="a">
<li><p>verlangen dat leveranciers van informatiesys- temen (met inbegrip van hun componenten) het melden, afhandelen en bekendmaken van kwetsbaarheden garanderen; met inbegrip van de eisen in desbetreffende contracten (zie 5.20);</p></li>
<li><p>gebruikmaken van instrumenten om op kwets- baarheden te scannen die geschikt zijn voor de gebruikte technologieën om kwetsbaarheden te identificeren en nagaan of het patchen van kwetsbaarheden geslaagd is;</p></li>
<li><p>competente en bevoegde personen geplande, gedocumenteerde en herhaalbare penetratie- tests of kwetsbaarheidsbeoordelingen laten uitvoeren ter ondersteuning van het identifice- ren van kwetsbaarheden. Zorg betrachten aan- gezien zulke activiteiten de beveiliging van het systeem in het gedrang kunnen brengen;</p></li>
<li><p>het gebruik van bibliotheken en broncode van derden met het oog op kwetsbaarheden trace- ren. Dit behoort te worden opgenomen in be- veiligde codering (zie 8.28).</p></li>
</ol>
<p>De organisatie behoort procedures en capaciteiten te ontwikkelen om:</p>
<ol type="a">
<li><p>het bestaan te detecteren van kwetsbaarheden in haar producten en diensten, met inbegrip van alle externe componenten die in deze pro- ducten en diensten worden gebruikt;</p></li>
<li><p>meldingen over kwetsbaarheden van interne of externe bronnen te ontvangen;</p></li>
</ol>
<p>De organisatie behoort te voorzien in een open- baar contactpunt als onderdeel van onderwerp- specifiek beleid inzake het bekendmaken van kwetsbaarheden, zodat onderzoekers en anderen in staat zijn problemen te melden. De organisatie behoort procedures voor het melden van kwets- baarheden op te stellen, online meldformulieren in te richten en gebruik te maken van passende fora voor het delen van informatie en analyses over dreigingen of andere informatie. De organisa- tie behoort ook na te denken over bug bounty-</p>
<p>programma’s, waarbij beloningen worden aange- boden als stimulans om organisaties te helpen</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>kwetsbaarheden te identificeren om deze naar be- horen te verhelpen. De organisatie behoort ook in- formatie met bevoegde vertegenwoordigers van het bedrijfsleven of andere belanghebbenden te delen.</p>
<p><u>Technische kwetsbaarheden evalueren</u></p>
<p>Om geïdentificeerde technische kwetsbaarheden te evalueren behoren de volgende richtlijnen te worden overwogen:</p>
<ol type="a">
<li><p>meldingen analyseren en verifiëren om te be- palen welke respons- en herstelmaatregelen nodig zijn;</p></li>
<li><p>als er een mogelijke technische kwetsbaarheid is geïdentificeerd, de gerelateerde risico's en te treffen maatregelen identificeren. Het bijwer- ken van kwetsbare systemen of het toepassen van andere beheersmaatregelen kan onderdeel zijn van die maatregelen.</p></li>
</ol>
<p><u>Passende maatregelen treffen om technische</u> <u>kwetsbaarheden op te pakken</u></p>
<p>Er behoort een beheerprocedure voor het updaten van software te worden geïmplementeerd om te bewerkstelligen dat de meest recente goedge- keurde patches en toepassingsupdates bij alle goedgekeurde software zijn geïnstalleerd. Indien de veranderingen noodzakelijk zijn, behoort de originele software te worden bewaard en behoren de veranderingen aan een speciaal daarvoor be- stemde kopie te worden aangebracht. Alle veran- deringen behoren volledig te worden getest en ge- documenteerd zodat ze zo nodig opnieuw kunnen worden toegepast bij toekomstige software-up- grades. Indien vereist behoren de wijzigingen door een onafhankelijke beoordelingsinstantie te worden getest en gevalideerd.</p>
<p>De volgende richtlijnen behoren in overweging te worden genomen om technische kwetsbaarheden aan te pakken:</p>
<ol type="a">
<li><p>tijdig passende maatregelen treffen als reactie op geïdentificeerde mogelijke technische kwetsbaarheden; een tijdsbestek definiëren waarin moet worden gereageerd op meldingen van mogelijk relevante technische kwetsbaar- heden;</p></li>
<li><p>afhankelijk van hoe urgent een technische kwetsbaarheid moet worden aangepakt, de ac- tie ondernemen in overeenstemming met de</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>beheersmaatregelen in verband met wijzigings- beheer (zie 8.32) of door reactieprocedures voor informatiebeveiligingsincidenten te vol- gen (zie 5.26);</p>
</blockquote>
<ol start="3" type="a">
<li><p>alleen updates gebruiken die afkomstig zijn van legitieme bronnen (dit kunnen interne bronnen binnen de organisatie of externe bronnen bui- ten de organisatie zijn);</p></li>
<li><p>updates testen en evalueren alvorens ze te in- stalleren om te garanderen dat ze doeltreffend zijn en geen neveneffecten met zich meebren- gen die niet kunnen worden getolereerd [d.w.z. indien een update beschikbaar is, de risico's in verband met het installeren van de update be- oordelen (de risico's als gevolg van de kwets- baarheid behoren te worden vergeleken met het risico dat het installeren van de update met zich meebrengt)];</p></li>
<li><p>systemen met een hoog risico als eerste aan- pakken;</p></li>
<li><p>herstelmaatregelen ontwikkelen (meestal soft- ware-updates of patches);</p></li>
<li><p>testen om te bevestigen dat de herstel- of be- perkende maatregel doeltreffend is;</p></li>
<li><p>voorzien in mechanismen om de authenticiteit van herstelmaatregelen te verifiëren;</p></li>
<li><p>indien er geen update beschikbaar is of de up- date niet kan worden geïnstalleerd, andere be- heersmaatregelen overwegen, zoals:</p>
<ol type="1">
<li><p>een door de softwareleverancier of andere relevante bronnen voorgesteld alternatief toepassen;</p></li>
<li><p>diensten of capaciteiten in verband met de kwetsbaarheid uitschakelen;</p></li>
<li><p>toegangsbeveiligingsmaatregelen aanpassen of toevoegen (bijv. firewalls) rond de gren- zen van netwerken (zie 8.20 t/m 8.22);</p></li>
<li><p>kwetsbare systemen, apparaten of toepas- singen afschermen tegen aanvallen door passende verkeersfilters toe te passen (soms aangeduid als virtueel patchen);</p></li>
<li><p>intensiever monitoren om werkelijke aan- vallen te detecteren;</p></li>
</ol></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>6) bewustwording omtrent de kwetsbaarheid kweken;</p>
</blockquote>
<p>Voor aangekochte software geldt dat indien de le- veranciers regelmatig informatie over beveili- gingsupdates voor hun software vrijgeven en een faciliteit bieden om dergelijke updates automa- tisch te installeren, de organisatie behoort te be- slissen of zij al dan niet gebruikmaakt van de auto- matische update.</p>
<p><u>Overige overwegingen</u></p>
<p>Over alle stappen die in het kader van het beheer van technische kwetsbaarheden zijn ondernomen, behoort een auditlogbestand te worden bijgehou- den.</p>
<p>Het beheerproces met betrekking tot de techni- sche kwetsbaarheid behoort regelmatig te worden gemonitord en geëvalueerd om de doeltreffend- heid en doelmatigheid ervan te waarborgen.</p>
<p>Om gegevens over kwetsbaarheden te communi- ceren aan de functie die de verantwoordelijkheid heeft te reageren op het incident en om te voor- zien in uit te voeren technische procedures indien zich een incident voordoet, behoort een doeltref- fend beheerproces met betrekking tot de techni- sche kwetsbaarheid te worden afgestemd op inci- dentbeheeractiviteiten.</p>
<p>Indien de organisatie gebruikmaakt van een door een derde aanbieder van clouddiensten beschik- baar gestelde clouddienst, behoort het beheer van de technische kwetsbaarheden van de middelen van de aanbieder van clouddiensten door deze aanbieder te worden gegarandeerd. De verant- woordelijkheden van de aanbieder van de cloud- diensten voor het beheer van technische kwets- baarheden behoort deel uit te maken van de clouddienstverleningsovereenkomst en dit be- hoort processen te omvatten voor het melden van maatregelen van de aanbieder van de clouddien- sten met betrekking tot technische kwetsbaarhe- den (zie 5.23). Voor bepaalde clouddiensten zijn er verantwoordelijkheden respectievelijk voor de aanbieder van de clouddienst en voor de afnemer van de clouddienst. Zo is de afnemer van de cloud- dienst bijvoorbeeld verantwoordelijk voor het be- heer van kwetsbaarheden van de eigen bedrijfs- middelen die voor de clouddiensten worden ge- bruikt.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Overige informatie</strong></p>
<p>Het beheer van technische kwetsbaarheid kan worden beschouwd als een subfunctie van wijzi- gingsbeheer en kan als zodanig profiteren van de processen en procedures van wijzigingsbeheer (zie 8.32).</p>
<p>Er is een mogelijkheid dat een update het pro- bleem ontoereikend aanpakt en negatieve bijwer- kingen heeft. Ook is het in bepaalde gevallen niet gemakkelijk een update na toepassing te de-instal- leren.</p>
<p>Indien het niet mogelijk is de updates in vol- doende mate te testen (bijv. vanwege de kosten of door een gebrek aan middelen), kan worden over- wogen het uitvoeren van een update uit te stellen om de samenhangende risico’s te evalueren, op basis van de ervaringen die door andere gebrui- kers worden gemeld. Het kan nuttig zijn om ISO/IEC 27031 te raadplegen.</p>
<p>Indien er softwarepatches of -updates worden ge- produceerd, kan de organisatie overwegen in een geautomatiseerd updateproces te voorzien waar- bij deze updates op de betrokken systemen of pro- ducten worden geïnstalleerd zonder dat de klant of de gebruiker iets hoeft te doen. Indien een geau- tomatiseerd updateproces wordt aangeboden, kan dit de klant of gebruiker een optie bieden om de automatische update uit te schakelen of controle te hebben over het tijdstip waarop de update wordt geïnstalleerd.</p>
<p>Indien de verkoper een geautomatiseerd update- proces aanbiedt en de updates op getroffen sys- temen of producten kunnen worden geïnstalleerd zonder dat interventie nodig is, bepaalt de organi- satie of zij het geautomatiseerde proces al dan niet toepast. Een reden om niet voor geautomatiseerde updates te kiezen is dat men zelf de controle wil behouden over wanneer de update wordt uitge- voerd. Een update van software die voor een be- drijfsactiviteit wordt gebruikt, kan bijvoorbeeld pas worden uitgevoerd als de activiteit is afge- rond.</p>
<p>Een zwak punt van het scannen op kwetsbaarhe- den is dat het mogelijk is dat daarbij niet volledig rekening wordt gehouden met ‘defence in depth’: als tegenmaatregelen altijd na elkaar worden inge- roepen, kunnen kwetsbaarheden in de ene tegen- maatregel aan het oog worden onttrokken door sterke punten van de andere. De samengestelde</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>tegenmaatregel is niet kwetsbaar, terwijl een in- strument dat wordt gebruikt om op kwetsbaarhe- den te scannen kan melden dat beide componen- ten kwetsbaar zijn. De organisatie behoort der- halve zorgvuldig te werk te gaan bij het beoorde- len van en het nemen van maatregelen naar aan- leiding van gemelde kwetsbaarheden.</p>
<p>Veel organisaties leveren software, systemen, pro- ducten en diensten niet alleen binnen de organisa- tie, maar ook aan belanghebbenden zoals klanten, partners of andere gebruikers. Deze software, sys- temen, producten en diensten kunnen gepaard gaan met informatiebeveiligingskwetsbaarheden die van invloed zijn op de veiligheid van gebrui- kers.</p>
<p>Organisaties kunnen herstelmaatregelen vrijgeven en informatie over kwetsbaarheden bekendmaken aan gebruikers (doorgaans via een openbaar in- formatiebericht) en passende informatie verstrek- ken voor databasediensten voor softwarekwets- baarheden.</p>
<p>Meer informatie over het beheer van technische kwetsbaarheden bij het gebruik van cloudcompu- ting is te vinden in de ISO/IEC 19086-reeks en ISO/IEC 27017.</p>
<p>ISO/IEC 29147 geeft gedetailleerde informatie over het ontvangen van meldingen van kwetsbaar- heden en het publiceren van adviezen met betrek- king tot kwetsbaarheden. ISO/IEC 30111 geeft ge- detailleerde informatie over het omgaan met en oplossen van gemelde kwetsbaarheden.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Configuratiebeheer

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Veilige_configura- tie</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Configuraties, met inbegrip van beveiligingsconfi- guraties, van hardware, software, diensten en net- werken behoren te worden vastgesteld, gedocu- menteerd, geïmplementeerd, gemonitord en be- oordeeld.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Doel</strong></p>
<p>Garanderen dat hardware, software, diensten en netwerken correct met de vereiste beveiligingsin- stellingen functioneren en de configuratie niet door ongeautoriseerde of onjuiste wijzigingen wordt gewijzigd.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>De organisatie behoort processen en instrumen- ten te definiëren en te implementeren om de voor zowel nieuw geïnstalleerde systemen als be- staande operationele systemen gedefinieerde con- figuraties (met inbegrip van beveiligingsconfigu- raties) voor hardware, software, diensten (bijv. clouddiensten) en netwerken gedurende de le- vensduur ervan af te dwingen.</p>
<p>Rollen, verantwoordelijkheden en procedures be- horen te worden vastgelegd om afdoende beheer- sing van alle veranderingen aan configuraties te waarborgen.</p>
<p><u>Standaardsjablonen</u></p>
<p>Er behoren standaardsjablonen voor de beveiligde configuratie van hardware, software, diensten en netwerken te worden gedefinieerd:</p>
<ol type="a">
<li><p>met behulp van openbaar beschikbare richtlij- nen (bijv. vooraf gedefinieerde sjablonen van verkopers en van onafhankelijke beveiligings- organisaties);</p></li>
<li><p>met inachtneming van het beveiligingsniveau dat nodig is om een afdoende beveiligingsni- veau vast te stellen;</p></li>
<li><p>die het informatiebeveiligingsbeleid van de or- ganisatie, onderwerpspecifieke beleidsregels, normen en andere beveiligingseisen van de or- ganisatie ondersteunen;</p></li>
<li><p>waarbij de haalbaarheid en toepasselijkheid van beveiligingsconfiguraties in de context van de organisatie in overweging worden genomen.</p></li>
</ol>
<p>De sjablonen behoren regelmatig te worden be- oordeeld en bijgewerkt wanneer nieuwe dreigin- gen of kwetsbaarheden moeten worden aange- pakt, of wanneer er nieuwe software- of hardwa- reversies worden geïntroduceerd.</p></td>
<td><p><strong>Zorgspecifieke richtlijn</strong></p>
<p><u>Configuratie van verbindingen</u></p>
<p>Zorgsystemen die met andere systemen binnen en buiten de organisatie samenwerken om een inter- operabele elektronische gezondheidsregistratie mogelijk te maken, worden in eerste instantie zo geconfigureerd dat ze voldoen aan de voorge- stelde richtlijnen. Zij moeten ook worden onder- houden om de vastgestelde standaarden ook te blijven handhaven als de parameters van de des- betreffende verbindingen veranderen, ongeacht of die veranderingen het gevolg zijn van wijzigingen aan systemen onder de invloedssfeer van de orga- nisatie of van veranderingen van buitenaf.</p>
<p><u>Medische apparaten configureren</u></p>
<p>Omwille van de veiligheid van patiënten is het vaak een wettelijke eis of een eis van lokaal beleid dat medische apparaten door gekwalificeerde kli- nisch technici/wetenschappers of door klinisch technici/wetenschappers met de juiste licentie worden geconfigureerd en onderhouden.</p>
<p>Veel medische apparaten die gegevens registre- ren, verwerken of rapporteren kunnen informatie uitwisselen met andere apparaten of zorgsys- temen. Deze uitwisseling van informatie kan plaatsvinden via vaste of tijdelijke netwerkverbin- dingen of via andere middelen zoals een directe aansluiting. De relevante interfaces zijn meestal de verantwoordelijkheid van ICT-professionals die, in bepaalde gevallen, ook besturingssystemen, sys- teemhulpmiddelen, databasesoftware en anti-mal- waresoftware op bepaalde medische apparaten ondersteunen.</p>
<p>Bijgevolg kunnen zowel klinisch technici/weten- schappers als ICT-professionals verantwoordelijk- heden hebben voor (verschillende of overlap- pende) aspecten van dezelfde apparaten. Bij het configuratiebeheer behoort hiermee rekening te worden gehouden.</p>
<p>Vergelijkbare overwegingen zijn van toepassing op andere vlakken dan medische apparaten. Be- paalde apparaten voor de toediening van</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>Voor het vaststellen van standaardsjablonen voor de beveiligde configuratie van hardware, software, diensten en netwerken behoort het volgende in overweging te worden genomen:</p>
<ol type="a">
<li><p>het aantal identiteiten met toegangsrechten op speciaal of beheerdersniveau minimaliseren;</p></li>
<li><p>onnodige, ongebruikte of onbeveiligde identi- teiten uitschakelen;</p></li>
<li><p>onnodige functies en diensten uitschakelen of beperken;</p></li>
<li><p>de toegang tot krachtige systeemhulpmiddelen en hostparameterinstellingen beperken;</p></li>
<li><p>klokken synchroniseren;</p></li>
<li><p>de standaard authenticatie-informatie van de leverancier, zoals standaardwachtwoorden on- middellijk na de installatie wijzigen en andere belangrijke standaardparameters in verband met de beveiliging beoordelen;</p></li>
<li><p>time-outvoorzieningen in werking stellen die computerapparatuur na een vooraf vastge- stelde inactiviteitsduur automatisch afmelden;</p></li>
<li><p>verifiëren dat aan licentie-eisen is voldaan (zie 5.32).</p></li>
</ol>
<p><u>Configuraties beheren</u></p>
<p>Vastgestelde configuraties van hardware, soft- ware, diensten en netwerken behoren te worden geregistreerd en er behoort een logbestand te worden bijgehouden van alle configuratiewijzigin- gen. Deze registraties behoren veilig te worden opgeslagen. Dit kan op verschillende manieren worden bereikt, bijvoorbeeld met configuratieda- tabases of configuratiesjablonen.</p>
<p>Wijzigingen aan configuraties behoren het wijzi- gingsbeheerproces te volgen (zie 8.32).</p>
<p>Configuratieregistraties kunnen het volgende, in- dien relevant, bevatten:</p>
<ol type="a">
<li><p>up-to-date informatie over de eigenaar of het contactpunt voor het bedrijfsmiddel;</p></li>
<li><p>de datum van de laatste wijziging van de confi- guratie;</p></li>
</ol></th>
<th><p>medische gassen, oproepsystemen voor gebruik door zorgontvangers evenals gebouwbeheer- en facility-managementsystemen zijn vaak via net- werken verbonden, maar vallen onder de verant- woordelijkheid van gekwalificeerd technici of technici met de juiste licentie. De technici met ver- antwoordelijkheid zijn vaak geen klinisch techni- cus/wetenschapper.</p>
<p>Zie ook 5.9 en 5.22.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="3" type="a">
<li><p>de versie van de configuratiesjabloon;</p></li>
<li><p>de relatie tot configuraties van andere bedrijfs- middelen.</p></li>
</ol>
<p><u>Configuraties monitoren</u></p>
<p>Configuraties behoren te worden gemonitord met een uitgebreide verzameling instrumenten voor systeembeheer (bijvoorbeeld onderhoudssys- teemhulpmiddelen, ondersteuning op afstand, in- strumenten voor bedrijfsbeheer en back-up- en herstelsoftware) en behoren regelmatig te worden beoordeeld om de configuratie-instellingen te ve- rifiëren, de sterkte van wachtwoorden te evalue- ren en de uitgevoerde activiteiten te beoordelen. De daadwerkelijke configuraties kunnen worden vergeleken met de gedefinieerde doelsjablonen.</p>
<p>Eventuele afwijkingen behoren te worden aange- pakt, door middel van het automatisch afdwingen van de gedefinieerde doelconfiguratie of door handmatige analyse van de afwijking gevolgd door corrigerende maatregelen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>In documentatie voor systemen worden vaak de- tails vastgelegd over de configuratie van zowel hardware als software.</p>
<p>Systeemhardening is een typisch onderdeel van configuratiebeheer.</p>
<p>Configuratiebeheer kan worden geïntegreerd met processen voor het beheer van bedrijfsmiddelen en de bijbehorende instrumenten.</p>
<p>Automatisering is meestal doeltreffender voor het beheren van de beveiligingsconfiguratie (bijv. door gebruik te maken van infrastructuur als code).</p>
<p>Configuratiesjablonen en -doelen kunnen vertrou- welijke informatie zijn en behoren dienovereen- komstig te worden beschermd tegen toegang door onbevoegden.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Wissen van informatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Informatiebe- scherming #Juri-</p>
<p>disch_en_compli- ance</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>In informatiesystemen, apparaten of andere op- slagmedia opgeslagen informatie behoort te wor- den gewist als deze niet langer vereist is.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Onnodige openbaarmaking van gevoelige informa- tie voorkomen en aan de eisen van wet- en regel- geving, statutaire en contractuele eisen voor het wissen van informatie voldoen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>Om het risico op ongewenste openbaarmaking te beperken behoort gevoelige informatie niet langer te worden bewaard dan nodig is.</p>
<p>Bij het wissen van informatie van systemen, toe- passingen en diensten behoort het volgende in overweging te worden genomen:</p>
<ol type="a">
<li><p>een wismethode (bijv. elektronisch overschrij- ven of cryptografisch wissen) selecteren over- eenkomstig de bedrijfseisen en met inachtne- ming van de relevante wet- en regelgeving;</p></li>
<li><p>de resultaten van het wissen als bewijsmateri- aal registreren;</p></li>
<li><p>wanneer gebruik wordt gemaakt van dienst- verleners voor het wissen van informatie, be- wijs van het wissen van informatie van hen verkrijgen.</p></li>
</ol>
<p>Indien derden de informatie van de organisatie namens de organisatie opslaan, behoort de organi- satie te overwegen in de overeenkomsten met derden eisen inzake het wissen van informatie op te nemen, die tijdens en bij beëindiging van derge- lijke diensten worden afgedwongen.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Er behoort rekening te worden gehouden met si- tuaties waar informatie (tijdelijk) wordt opgesla- gen op apparaten die niet door de organisatie worden beheerd. Voorbeelden van dergelijke situ- aties zijn situaties waar gebruikers hun eigen ap- paraten meebrengen en situaties waar via particu- liere pc's toegang wordt gemaakt tot informatie.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><u>Wismethoden</u></p>
<p>In overeenstemming met het onderwerpspecifieke beleid van de organisatie inzake het bewaren van gegevens en met inachtneming van de desbetref- fende wet- en regelgeving, behoort gevoelige in- formatie te worden gewist wanneer zij niet langer nodig is, door:</p>
<ol type="a">
<li><p>systemen dusdanig te configureren dat infor- matie op een beveiligde manier wordt vernie- tigd wanneer zij niet langer nodig is (bijv. na een gedefinieerde periode afhankelijk van het onderwerpspecifieke beleid inzake het bewa- ren van gegevens of op grond van een verzoek om toegang van een betrokkene);</p></li>
<li><p>verouderde versies, kopieën en tijdelijke be- standen te wissen, ongeacht waar deze zich be- vinden;</p></li>
<li><p>gebruik te maken van goedgekeurde, veilige software voor het wissen waardoor informatie blijvend wordt gewist en wordt gegarandeerd dat de informatie niet met behulp van gespecia- liseerde herstel- of forensische instrumenten kan worden hersteld;</p></li>
<li><p>gebruik te maken van erkende, gecertificeerde aanbieders van beveiligde verwijderingsdien- sten;</p></li>
<li><p>gebruik te maken van verwijderingsmechanis- men die geschikt zijn voor het type opslagme- dia dat wordt verwijderd (bijv. door vaste schijven en andere magnetische opslagmedia te degaussen).</p></li>
</ol>
<p>Indien gebruik wordt gemaakt van clouddiensten, behoort de organisatie na te gaan of de door de aanbieder van de clouddienst geboden wisme- thode aanvaardbaar is en indien dit het geval is, behoort de organisatie deze te gebruiken, of de aanbieder van de clouddienst te verzoeken de in- formatie te wissen. Deze wisprocessen behoren te worden geautomatiseerd overeenkomstig onder- werpspecifieke beleidsregels, indien die beschik- baar en van toepassing zijn. Afhankelijk van de ge- voeligheid van de gewiste informatie kan met log- bestanden worden getraceerd of geverifieerd dat deze wisprocessen hebben plaatsgevonden.</p>
<p>Om onbedoelde openbaarmaking van gevoelige in- formatie te voorkomen wanneer apparatuur naar leveranciers wordt teruggestuurd, behoort</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>gevoelige informatie te worden beschermd door hulpopslagfaciliteiten (bijv. vaste schijven) en ge- heugen te verwijderen voordat de apparatuur het gebouw en/of terrein van de organisatie verlaat.</p>
<p>Aangezien bepaalde apparaten (bijv. smartpho- nes) alleen veilig kunnen worden gewist door ze te vernietigen of door de in deze apparaten inge- bouwde functies te gebruiken (bijv. ‘fabrieksin- stellingen herstellen’), behoort de organisatie de geschikte methode te kiezen op basis van de clas- sificatie van de informatie die door dergelijke ap- paraten wordt verwerkt.</p>
<p>De in 7.14 beschreven beheersmaatregelen beho- ren te worden toegepast om het opslagapparaat fysiek te vernietigen en tegelijkertijd de informa- tie erop te wissen.</p>
<p>Een officiële registratie van het wissen van infor- matie is nuttig om de oorzaak van een mogelijk lek van informatie te analyseren.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Informatie over het wissen van gebruikersgege- vens in clouddiensten is te vinden in</p>
<p>ISO/IEC 27017.</p>
<p>Informatie over het wissen van persoonsgegevens is te vinden in ISO/IEC 27555.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Maskeren van gegevens

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Gegevens behoren te worden gemaskeerd over- eenkomstig het onderwerpspecifieke beleid in- zake toegangsbeveiliging en andere gerelateerde onderwerpspecifieke beleidsregels, en bedrijfsei- sen van de organisatie, rekening houdend met de toepasselijke wetgeving.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De openbaarmaking van gevoelige informatie met inbegrip van persoonsgegevens beperken en aan de eisen van wet- en regelgeving, statutaire en contractuele eisen voldoen.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Richtlijn</strong></p>
<p>Indien de bescherming van gevoelige gegevens (bijv. persoonsgegevens) een punt van zorg is, be- hoort de organisatie te overwegen dergelijke ge- gevens te verbergen door gebruik te maken van technieken als het maskeren, pseudonimiseren of anonimiseren van gegevens.</p>
<p>Met pseudonimiserings- of anonimiseringstech- nieken kunnen persoonsgegevens worden verbor- gen, de ware identiteit van de betrokkenen bij per- soonsgegevens of andere gevoelige informatie worden verhuld, en het verband tussen persoons- gegevens en de identiteit van de betrokkene of het verband tussen andere gevoelige informatie wor- den verbroken.</p>
<p>Bij gebruik van pseudonimiserings- of anonimise- ringstechnieken behoort te worden nagegaan of de gegevens afdoende zijn gepseudonimiseerd of geanonimiseerd. Om doeltreffend te zijn behoren bij het anonimiseren van gegevens alle elementen van de gevoelige informatie in aanmerking te wor- den genomen, anders kan bijvoorbeeld een per- soon worden geïdentificeerd, zelfs als de gegevens waarmee die persoon direct kan worden geïdenti- ficeerd zijn geanonimiseerd, doordat er andere gegevens aanwezig zijn aan de hand waarvan de persoon indirect kan worden geïdentificeerd.</p>
<p>Aanvullende technieken voor het maskeren van gegevens zijn onder andere:</p>
<ol type="a">
<li><p>versleuteling (zodat bevoegde gebruikers al- leen met een sleutel toegang hebben);</p></li>
<li><p>tekens weghalen of wissen (waarmee wordt voorkomen dat onbevoegde gebruikers volle- dige berichten zien);</p></li>
<li><p>wisselen van getallen en data;</p></li>
<li><p>substitutie (een waarde door een andere ver- vangen om gevoelige gegevens te verbergen);</p></li>
<li><p>waarden door de desbetreffende hash vervan- gen.</p></li>
</ol>
<p>Het volgende behoort te worden overwogen bij het implementeren van technieken voor het mas- keren van gegevens:</p>
<ol type="a">
<li><p>niet alle gebruikers toegang tot alle gegevens geven, en daarom query's en maskers zo</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>ontwerpen dat alleen de minimaal vereiste gegevens zichtbaar zijn voor de gebruiker;</p>
</blockquote>
<p>b) eventuele eisen van wet- en regelgeving (bijv. vereisen dat informatie van betaalkaarten tij- dens de verwerking of opslag wordt gemas- keerd).</p>
<p>Het volgende behoort te worden overwogen bij het maskeren, pseudonimiseren of anonimiseren van gegevens:</p>
<ol type="a">
<li><p>de mate van sterkte van gegevensmaskering, pseudonimisering of anonimisering gezien het gebruik van de verwerkte gegevens;</p></li>
<li><p>beveiliging van de toegang tot de verwerkte ge- gevens;</p></li>
<li><p>afspraken of beperkingen met betrekking tot het gebruik van de verwerkte gegevens;</p></li>
<li><p>verbieden dat de verwerkte gegevens worden samengevoegd met andere informatie om de betrokkene te identificeren;</p></li>
<li><p>de verstrekking en ontvangst van de verwerkte gegevens bijhouden.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Door anonimisering worden persoonsgegevens dusdanig onomkeerbaar gewijzigd dat de betrok- kene niet langer rechtstreeks of indirect kan wor- den geïdentificeerd.</p>
<p>Bij pseudonimisering wordt de identificerende in- formatie door een alias vervangen. Kennis van het algoritme (soms ‘aanvullende informatie’ ge- noemd) dat wordt gebruikt om de pseudonimise- ring uit te voeren, maakt in ieder geval een be- paalde vorm van identificatie van de betrokkene mogelijk. Dergelijke ‘aanvullende informatie’ be- hoort daarom apart te worden gehouden en te worden beschermd.</p>
<p>Hoewel pseudonimisering dus zwakker is dan anonimisering, kunnen gepseudonimiseerde gege- vensverzamelingen nuttiger zijn voor statistisch onderzoek.</p>
<p>Het maskeren van gegevens is een verzameling technieken waarmee gevoelige gegevens worden</p>
<p>verborgen, vervangen of versluierd. Het maskeren van gegevens kan statisch zijn (als gegevens in de</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Zie 5.34. Zie ook ISO 25237 voor informatie over pseudonimiseren.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>oorspronkelijke database worden gemaskeerd), dynamisch (waarbij automatisering en regels wor- den gebruikt om gegevens in real time te beveili- gen) of ‘on-the-fly’ (waarbij gegevens in het ge- heugen van een toepassing worden gemaskeerd).</p>
<p>Hashfuncties kunnen worden gebruikt om per- soonsgegevens te anonimiseren. Om enumeratie- aanvallen te voorkomen, behoren ze altijd te wor- den gecombineerd met een ‘salt’-functie, waarbij willekeurige gegevens worden toegevoegd.</p>
<p>Persoonsgegevens in identificatiecodes van mid- delen en de bijbehorende attributen [bijv. be- standsnamen, uniform resource locators (URL’s)] behoren te worden vermeden of op passende wijze te worden geanonimiseerd.</p>
<p>Aanvullende beheersmaatregelen met betrekking tot de bescherming van persoonsgegevens in pu- blieke clouds worden gegeven in ISO/IEC 27018.</p>
<p>Aanvullende informatie over de-identificatietech- nieken is te vinden in ISO/IEC 20889.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Voorkomen van gegevenslekken (data leakage prevention)

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Detectief</td>
<td>#Vertrouwelijkheid</td>
<td colspan="2">#Beschermen #Detecteren</td>
<td><blockquote>
<p>#Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Maatregelen om gegevenslekken te voorkomen behoren te worden toegepast in systemen, net- werken en andere apparaten waarop of waarmee gevoelige informatie wordt verwerkt, opgeslagen of getransporteerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Om de ongeoorloofde openbaarmaking en extrac- tie van informatie door personen of systemen te detecteren en te voorkomen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort het volgende te overwegen om het risico op gegevenslekken te beperken:</p>
<p>a) informatie identificeren en classificeren als be- scherming tegen lekken (bijv. persoonsinfor- matie, prijsbepalingsmodellen en productont- werpen);</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="2" type="a">
<li><p>kanalen waarlangs gegevens kunnen lekken, monitoren (bijv. e-mail, bestandsoverdracht, mobiele apparaten en draagbare opslagappara- tuur);</p></li>
<li><p>actie ondernemen om te voorkomen dat infor- matie weglekt (bijv. e-mails met gevoelige in- formatie in quarantaine plaatsen).</p></li>
</ol>
<p>Er behoren hulpmiddelen voor het voorkomen van gegevenslekken te worden gebruikt om:</p>
<ol type="a">
<li><p>te identificeren welke gevoelige informatie blootstaat aan het risico op ongeoorloofde openbaarmaking (bijv. in niet-gestructureerde gegevens op het systeem van een gebruiker) en dit te monitoren;</p></li>
<li><p>de openbaarmaking van gevoelige informatie te detecteren (bijv. wanneer informatie wordt geüpload naar niet-vertrouwde clouddiensten van derden of via e-mail wordt verzonden);</p></li>
<li><p>handelingen van gebruikers of netwerktrans- missies waardoor gevoelige informatie bekend wordt, te blokkeren (bijv. voorkomen dat data- basegegevens naar een spreadsheet worden gekopieerd).</p></li>
</ol>
<p>De organisatie behoort vast te stellen of het nodig is de mogelijkheid te beperken dat gebruikers ge- gevens kopiëren en plakken en deze naar dien- sten, apparaten en opslagmedia buiten de organi- satie uploaden. In dat geval behoort de organisatie technologie te implementeren zoals instrumenten ter voorkoming van gegevenslekken of bestaande instrumenten dusdanig te configureren dat ge- bruikers gegevens op afstand kunnen bekijken en manipuleren, waarbij kopiëren en plakken waarop de organisatie geen controle heeft, wordt voorko- men.</p>
<p>Als het exporteren van gegevens vereist is, be- hoort de eigenaar van de gegevens in staat te zijn dit goed te keuren en gebruikers verantwoordelijk te stellen voor hun daden.</p>
<p>Voor het maken van schermafbeeldingen of foto's van het scherm behoren gebruiksvoorwaarden te worden opgesteld en hieraan behoort in trainin- gen en audits aandacht te worden besteed.</p>
<p>Indien er een back-up van gegevens wordt ge- maakt, behoort ervoor te worden gezorgd dat</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th style="text-align: left;"><p>gevoelige informatie wordt beschermd door maat- regelen zoals encryptie, toegangsbeveiliging en fy- sieke bescherming van de opslagmedia waarop de back-up staat.</p>
<p>Het voorkomen van gegevenslekken behoort ook te worden beschouwd als een vorm van bescher- ming tegen de acties van tegenstanders om ver- trouwelijke of geheime informatie (geopolitieke, menselijke, financiële, commerciële, wetenschap- pelijke of andere informatie) te verkrijgen die van belang kan zijn voor spionage of essentieel kan zijn voor de gemeenschap. De maatregelen ter voorkoming van het lekken van gegevens behoren erop gericht te zijn verwarring te zaaien wat be- treft de beslissingen van de tegenstander, bijvoor- beeld door authentieke informatie te vervangen door valse informatie, hetzij als een eigen maatre- gel, hetzij als reactie op de acties van de tegen- stander om informatie te verzamelen. Voorbeel- den van dergelijke maatregelen zijn omgekeerde ‘social engineering’ of het gebruik van ‘honeypots’ om aanvallers te lokken.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Hulpmiddelen om gegevenslekken te voorkomen, zijn ervoor ontworpen om gegevens te identifice- ren, het gebruik en de verplaatsing van gegevens te monitoren, en maatregelen te nemen om gege- venslekken te voorkomen (bijv. gebruikers waar- schuwen voor hun risicogedrag en de overdracht van gegevens naar draagbare opslagapparatuur blokkeren).</p>
<p>Een inherent element van het voorkomen van ge- gevenslekken is toezicht op de communicatie en de online activiteiten van het personeel en, in het verlengde daarvan, op de berichten van externe partijen, hetgeen aanleiding kan geven tot juridi- sche aspecten die behoren te worden overwogen voordat instrumenten om gegevenslekken te voor- komen worden ingezet. Allerlei wetgeving op het gebied van privacy, gegevensbescherming, werk- gelegenheid, het onderscheppen van gegevens en telecommunicatie is van toepassing op monitoren en gegevensverwerking in het kader van het voor- komen van gegevenslekken.</p>
<p>Het voorkomen van gegevenslekken kan worden ondersteund door standaardbeheersmaatregelen voor informatiebeveiliging, zoals onderwerpspeci- fiek beleid inzake toegangscontrole en veilig docu- mentenbeheer (zie 5.12 en 5.15).</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Back-up van informatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Corrigerend</td>
<td>#Integriteit #Beschikbaarheid</td>
<td colspan="2">#Herstellen</td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Back-ups van informatie, software en systemen behoren te worden bewaard en regelmatig te wor- den getest overeenkomstig het overeengekomen onderwerpspecifieke beleid inzake back-ups.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel</strong></p>
<p>Back-ups van persoonlijke gezondheidsinformatie behoren te worden versleuteld.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Herstel mogelijk maken na verlies van gegevens of systemen.</p></td>
<td colspan="3"><p><strong>Zorgspecifiek doel</strong></p>
<p>De vertrouwelijkheid van persoonlijke gezond- heidsinformatie beschermen.</p></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Er behoort een onderwerpspecifiek beleid inzake back-ups te worden opgesteld met het oog op de eisen van de organisatie wat betreft het bewaren van gegevens en informatiebeveiliging.</p>
<p>Er behoort te worden voorzien in afdoende back- upfaciliteiten om te waarborgen dat alle essentiële informatie en software na een incident of na falen of verlies van opslagmedia kan worden hersteld.</p>
<p>Er behoren plannen te worden ontwikkeld en ge- implementeerd voor hoe de organisatie back-ups gaat maken van informatie, software en systemen, met het oog op het onderwerpspecifieke beleid in- zake back-ups.</p>
<p>Bij het opstellen van een back-upplan, behoren de volgende punten in overweging te worden geno- men:</p>
<ol type="a">
<li><p>nauwkeurige en volledige registers van de back-upkopieën en gedocumenteerde herstel- procedures produceren;</p></li>
<li><p>de bedrijfseisen van de organisatie (bijv. de RPO’s, zie 5.30), de beveiligingseisen van de be- trokken informatie en het belang van de infor- matie voor de voortzetting van de bedrijfsuit- voering van de organisatie behoren te worden weerspiegeld in de omvang (bijv. volledige of gedifferentieerde back-up) en de frequentie van back-ups;</p></li>
<li><p>de back-ups in een veilige en beveiligde afgele- gen locatie bewaren, op een voldoende afstand</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Als algemene voorzorgsmaatregel en met name om aanvallen door gijzelsoftware af te wenden, behoort te worden nagedacht over maatregelen zoals het offline opslaan van back-upgegevens of gebruikmaken van een onveranderlijke back-up- techniek.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>om niet te worden beschadigd door een calami- teit op de hoofdlocatie;</p>
</blockquote>
<ol start="4" type="a">
<li><p>aan back-upinformatie een passend niveau van fysieke en omgevingsbescherming geven (zie hoofdstuk 7 en 8.1), consistent met de normen die op de hoofdlocatie worden toegepast;</p></li>
<li><p>back-upmedia regelmatig testen om te garan- deren dat men er wanneer nodig voor gebruik in noodgevallen op kan vertrouwen. Op een testsysteem testen of de back-upgegevens kun- nen worden hersteld en dit niet testen door de originele opslagmedia te overschrijven, aange- zien het back-up- of herstelproces kan misluk- ken en onherstelbare schade aan of verlies van gegevens kan veroorzaken;</p></li>
<li><p>back-ups door middel van encryptie bescher- men, naargelang de geïdentificeerde risico's (bijv. in situaties waar vertrouwelijkheid van belang is);</p></li>
<li><p>ervoor zorgen dat wordt gegarandeerd dat on- opzettelijk gegevensverlies wordt opgespoord voordat een back-up wordt gemaakt.</p></li>
</ol>
<p>Bedieningsprocedures behoren de uitvoering van back-ups te monitoren en fouten in geplande back-ups aan te pakken om de volledigheid van back-ups in overeenstemming met het onder- werpspecifieke beleid inzake back-ups te waar- borgen.</p>
<p>Back-upmaatregelen voor individuele systemen en diensten behoren regelmatig te worden getest om te waarborgen dat ze voldoen aan de doelstel- lingen van incidentrespons- en bedrijfscontinuï- teitsplannen (zie 5.30). Dit behoort te worden ge- combineerd met een test van de herstelprocedu- res en te worden gecontroleerd aan de hand van de volgens het bedrijfscontinuïteitsplan vereiste hersteltijd. In het geval van kritische systemen en diensten behoren back-upmaatregelen betrekking te hebben op de informatie, toepassingen en gege- vens van alle systemen die nodig zijn om het ge- hele systeem na een calamiteit te herstellen.</p>
<p>Wanneer de organisatie gebruikmaakt van een clouddienst, behoren er back-ups van de informa- tie, toepassingen en systemen van de organisatie in de clouddienstomgeving te worden gemaakt. De organisatie behoort vast te stellen of en hoe aan de eisen voor het back-uppen wordt voldaan bij</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th style="text-align: left;"><p>het gebruik van de in het kader van de clouddienst aangeboden dienst voor het back-uppen van infor- matie.</p>
<p>Voor belangrijke bedrijfsinformatie behoort de bewaartermijn te worden vastgesteld, rekening houdend met eisen voor het bewaren van archief- kopieën. De organisatie behoort na te denken over het wissen van informatie (zie 8.10) in of op op- slagmedia zodra de bewaartermijn van de infor- matie verstrijkt en behoort hierbij de wet- en re- gelgeving in aanmerking te nemen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Zie voor verdere informatie over beveiligde op- slag, met inbegrip van bewaarspecifieke overwe- gingen, ISO/IEC 27040.</p></td>
<td><p><strong>Zorgspecifieke overige informatie</strong></p>
<p>Zie 8.24 met betrekking tot het gebruik van cryp- tografie.</p></td>
</tr>
</tbody>
</table>

##### Redundantie van informatieverwerkende faciliteiten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Continuïteit #Beheer_van_be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Informatieverwerkende faciliteiten behoren met voldoende redundantie te worden geïmplemen- teerd om aan beschikbaarheidseisen te voldoen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De ononderbroken werking van informatiever- werkende faciliteiten waarborgen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort eisen te identificeren voor de beschikbaarheid van zakelijke diensten en in- formatiesystemen. De organisatie behoort een sys- teemarchitectuur te ontwerpen en implementeren met passende redundantie om aan deze eisen te voldoen.</p>
<p>Redundantie kan worden geïntroduceerd door in- formatieverwerkende faciliteiten deels of geheel te dupliceren (d.w.z. reservecomponenten of twee van alles hebben). De organisatie behoort proce- dures te plannen en te implementeren voor het ac- tiveren van de redundante componenten en ver- werkende faciliteiten. In de procedures behoort te worden vastgesteld of de redundante componen-</p>
<p>ten en verwerkende activiteiten altijd zijn geacti- veerd of, in een noodgeval, automatisch of</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>handmatig worden geactiveerd. De redundante componenten en informatieverwerkende facilitei- ten behoren hetzelfde beveiligingsniveau te garan- deren als hun primaire tegenhangers.</p>
<p>Er behoren mechanismen te zijn om de organisa- tie te waarschuwen voor een storing in de infor- matieverwerkende faciliteiten, zodat de geplande procedure kan worden uitgevoerd en de beschik- baarheid in stand blijft terwijl de informatiever- werkende faciliteiten worden gerepareerd of ver- vangen.</p>
<p>De organisatie behoort het volgende te overwegen bij het implementeren van redundante systemen:</p>
<ol type="a">
<li><p>overeenkomsten met twee of meer leveran- ciers van netwerkdiensten en diensten voor het verwerken van essentiële informatie, zoals aan- bieders van internetdiensten, aangaan;</p></li>
<li><p>gebruikmaken van redundante netwerken;</p></li>
<li><p>gebruikmaken van twee geografisch geschei- den datacentra met gespiegelde systemen;</p></li>
<li><p>gebruikmaken van fysiek redundante voedin- gen of stroombronnen;</p></li>
<li><p>gebruikmaken van meerdere parallelle instan- ties van softwarecomponenten, met automati- sche onderlinge ‘loadbalancing’ (tussen instan- ties in hetzelfde datacentrum of in verschil- lende datacentra);</p></li>
<li><p>beschikken over gedupliceerde componenten in systemen (bijv. CPU, vaste schijven, geheu- gens) of in netwerken (bijv. firewalls, routers, switches).</p></li>
</ol>
<p>Indien van toepassing, bij voorkeur in productie- bedrijf, behoren redundante informatiesystemen te worden getest om te waarborgen dat de auto- matische omschakeling van de ene op de andere component bij storing werkt zoals voorzien.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Er bestaat een sterk verband tussen redundantie en de gereedheid van ICT voor bedrijfscontinuïteit (zie 5.30), vooral indien korte hersteltijden vereist zijn. Veel van de redundantiemaatregelen kunnen deel uitmaken van de strategieën en oplossingen voor ICT-continuïteit.</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>Het implementeren van redundantie kan risico's met zich meebrengen voor de integriteit (bijv. pro- cessen waarbij gegevens naar gedupliceerde com- ponenten gekopieerd worden, kunnen fouten met zich meebrengen) of vertrouwelijkheid (bijv. een zwakke beveiligingsbeheersmaatregel voor gedu- pliceerde componenten kan tot compromittering leiden) van informatie en informatiesystemen. Het is nodig om dit in aanmerking te nemen bij het ontwerpen van informatiesystemen.</p>
<p>Redundantie in informatieverwerkende facilitei- ten gaat meestal niet in op het niet-beschikbaar zijn van een toepassing als gevolg van fouten in de toepassing.</p>
<p>Met het gebruik van ‘public cloud computing’ is het mogelijk om meerdere liveversies van infor- matieverwerkende faciliteiten te hebben, die zich op meerdere afzonderlijke fysieke locaties bevin- den met automatische omschakeling bij storingen en onderlinge loadbalancing.</p>
<p>Een aantal technologieën en technieken voor het voorzien in redundantie en automatische omscha- keling bij storingen in de context van clouddien- sten wordt besproken in ISO/IEC TS 23167.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Logging

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Detectief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Detecteren</td>
<td><blockquote>
<p>#Beheer_van_in- formatiebeveili- gingsgebeurtenis- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoren logbestanden waarin activiteiten, uit- zonderingen, fouten en andere relevante gebeur- tenissen worden geregistreerd, te worden gepro- duceerd, opgeslagen, beschermd en geanalyseerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Gebeurtenissen registreren, bewijs genereren, de integriteit van informatie in logbestanden waar- borgen, onbevoegde toegang voorkomen, informa- tiebeveiligingsgebeurtenissen identificeren die tot een informatiebeveiligingsincident kunnen leiden en onderzoeken ondersteunen.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>De organisatie behoort het doel vast te stellen waarvoor logbestanden worden aangemaakt, welke gegevens worden verzameld en in het log- bestand worden geregistreerd en welke logbe- standspecifieke eisen er zijn voor het beschermen en behandelen van de gegevens in het logbestand. Dit behoort te worden gedocumenteerd in onder- werpspecifiek registratiebeleid.</p>
<p>Logbestanden van gebeurtenissen behoren het volgende voor elke gebeurtenis te bevatten, al naargelang van toepassing is:</p>
<ol type="a">
<li><p>gebruikersidentificaties;</p></li>
<li><p>systeemactiviteiten;</p></li>
<li><p>data, tijdstippen en details van relevante ge- beurtenissen (bijv. in- en uitloggen);</p></li>
<li><p>de identiteit van apparaten, identificatie van systemen en hun locatie;</p></li>
<li><p>netwerkadressen en -protocollen.</p></li>
</ol>
<p>Het behoort te worden overwogen de volgende gebeurtenissen in logbestanden vast te leggen:</p>
<ol type="a">
<li><p>geslaagde en geweigerde pogingen om toegang te verkrijgen tot het systeem;</p></li>
<li><p>goedgekeurde en geweigerde gegevens en ove- rige pogingen om toegang te verkrijgen tot bronnen van informatie;</p></li>
<li><p>systeemconfiguratieveranderingen;</p></li>
<li><p>het gebruik van speciale bevoegdheden;</p></li>
<li><p>het gebruik van systeemhulpmiddelen en -toe- passingen;</p></li>
<li><p>de bestanden waartoe toegang is gemaakt en de soort toegang. met inbegrip van het wissen van belangrijke gegevensbestanden;</p></li>
<li><p>alarmen die worden afgegeven door het toe- gangsbeveiligingssysteem;</p></li>
</ol></th>
<th><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Regels omtrent het loggen van toegang tot cliënt- gegevens zijn beschreven in NEN 7513.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="8" type="a">
<li><p>activering en deactivering van beveiligingssys- temen, zoals antivirussystemen en inbraakde- tectiesystemen;</p></li>
<li><p>het aanmaken, wijzigen of wissen van identitei- ten;</p></li>
<li><p>transacties die door gebruikers in toepassingen zijn uitgevoerd. In sommige gevallen zijn de toepassingen een door een derde verleend(e), geleverd(e) of verzorgd(e) dienst of product.</p></li>
</ol>
<p>Het is belangrijk dat alle systemen gesynchroni- seerde tijdsbronnen hebben (zie 8.17), aangezien dit het mogelijk maakt logbestanden van verschil- lende systemen met elkaar te correleren voor analyse, alarmering en voor het onderzoeken van incidenten.</p>
<p><u>Logbestanden beschermen</u></p>
<p>Gebruikers, ook die met speciale toegangsrechten, behoren geen toestemming te hebben om logbe- standen van hun eigen activiteiten te verwijderen of te deactiveren. Zij kunnen mogelijk de logbe- standen over informatieverwerkende faciliteiten waarover zij het directe bestuur hebben, manipu- leren. Daarom is het nodig de logbestanden te be- schermen en te beoordelen om de verantwoorde- lijkheid voor de gebruikers met speciale rechten in stand te houden.</p>
<p>Beheersmaatregelen behoren gericht te zijn op het beschermen van informatie in logbestanden tegen onbevoegde veranderingen en tegen operationele problemen met de logvoorziening, met inbegrip van:</p>
<ol type="a">
<li><p>veranderingen aan de soorten berichten die worden vastgelegd;</p></li>
<li><p>bewerken of verwijderen van logbestanden;</p></li>
<li><p>het niet-registreren van gebeurtenissen of het overschrijven van eerder geregistreerde ge- beurtenissen indien de capaciteit van opslag- media met een logbestand wordt overschreden.</p></li>
</ol>
<p>Ter bescherming van logbestanden behoort het gebruik van de volgende technieken te worden overwogen: cryptografisch hashen, registratie in een bestand waar alleen toevoegen of alleen lezen mogelijk is, registratie in een openbaar transpa- rant bestand.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>Voor bepaalde auditlogbestanden kan het vereist zijn dat ze worden gearchiveerd vanwege eisen met betrekking tot het bewaren van gegevens of eisen met betrekking tot het verzamelen en bewa- ren van bewijsmateriaal (zie 5.28).</p>
<p>Indien de organisatie logbestanden inzake sys- temen of toepassingen naar een leverancier moet sturen om te helpen bij het detecteren of oplossen van fouten of storingen, behoren de logbestanden waar mogelijk te worden gede-identificeerd door gebruik te maken van technieken voor het maske- ren van gegevens (zie 8.11) voor informatie zoals gebruikersnamen, IP-adressen, hostnamen of de naam van de organisatie, alvorens ze naar de leve- rancier te sturen.</p>
<p>Logbestanden van gebeurtenissen kunnen gevoe- lige gegevens en persoonsgegevens bevatten. Ter bescherming van de privacy behoren passende maatregelen te worden genomen (zie 5.34).</p>
<p><u>Analyse van logbestanden</u></p>
<p>De analyse van logbestanden behoort te bestaan uit het analyseren en interpreteren van informa- tiebeveiligingsgebeurtenissen om ongebruikelijke activiteiten of afwijkend gedrag, hetgeen moge- lijke indicatoren van compromittering zijn, te hel- pen identificeren.</p>
<p>Bij het analyseren van gebeurtenissen behoort rekening te worden gehouden met:</p>
<ol type="a">
<li><p>de noodzakelijke vaardigheden van de deskun- digen die de analyse uitvoeren;</p></li>
<li><p>het vaststellen van de procedure voor het ana- lyseren van logbestanden;</p></li>
<li><p>de vereiste attributen van elke beveiligingsge- relateerde gebeurtenis;</p></li>
<li><p>uitzonderingen die zijn geïdentificeerd door het gebruik van vooraf vastgestelde regels (bijv. SIEM- of firewallregels, en IDS- of malwa- rehandtekeningen);</p></li>
<li><p>bekende gedragspatronen en standaardnet- werkverkeer in vergelijking met afwijkend(e) activiteiten en gedrag (analyse van het gedrag van gebruikers en entiteiten - UEBA);</p></li>
<li><p>resultaten van de analyse van trends of patro- nen (bijv. als gevolg van het gebruik van</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>gegevensanalyse, bigdatatechnieken en gespe- cialiseerde analyse-instrumenten);</p>
</blockquote>
<p>g) beschikbare informatie en analyses over drei- gingen.</p>
<p>De analyse van logbestanden behoort te worden ondersteund door specifieke monitoringactivitei- ten om afwijkend gedrag te helpen identificeren en analyseren, waaronder:</p>
<ol type="a">
<li><p>het beoordelen van geslaagde en mislukte po- gingen om toegang te krijgen tot beschermde bronnen (bijv. DNS-servers, webportals en be- standsshares);</p></li>
<li><p>het controleren van DNS-logbestanden om uitgaande netwerkverbindingen met kwaad- aardige servers te identificeren, zoals verbin- dingen die in verband worden gebracht met ‘command-and-controlservers van botnets;</p></li>
<li><p>het onderzoeken van gebruiksverslagen van dienstverleners (bijv. facturen of verslagen van de geleverde diensten) op ongebruikelijke acti- viteit binnen systemen en netwerken (bijvoor- beeld door activiteitenpatronen te beoorde- len);</p></li>
<li><p>het opnemen van gebeurtenislogbestanden van fysieke monitoring, zoals in- en uitgang, met het oog op een nauwkeurigere detectie en ana- lyse van incidenten;</p></li>
<li><p>het correleren van logbestanden om doelma- tige en zeer nauwkeurige analyse mogelijk te maken.</p></li>
</ol>
<p>Vermeende en daadwerkelijke informatiebeveili- gingsincidenten behoren te worden geïdentifi- ceerd (bijv. besmetting met malware of het uitpei- len van firewalls) en nader te worden onderzocht (bijv. in het kader van een proces voor het beheer van informatiebeveiligingsincidenten, zie 5.25).</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Systeemlogbestanden bevatten vaak een grote hoeveelheid informatie, waarvan een groot deel ir- relevant is voor het monitoren van informatiebe- veiliging. Om belangrijke gebeurtenissen voor het monitoren in het kader van informatiebeveiliging</p>
<p>te helpen identificeren, kan het gebruik van ge- schikte systeemhulpmiddelen of</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>auditinstrumenten voor het bevragen van bestan- den worden overwogen.</p>
<p>Logbestanden van gebeurtenissen vormen de ba- sis van geautomatiseerde monitorsystemen (zie 8.16) die geconsolideerde rapporten en waarschu- wingen over systeembeveiliging kunnen verzame- len.</p>
<p>Er kan een hulpmiddel voor het beheer van bevei- ligingsinformatie en -gebeurtenissen (SIEM) of een gelijkwaardige dienst worden gebruikt om lo- ginformatie op te slaan, te correleren, normalise- ren en analyseren en waarschuwingsmeldingen te genereren. Meestal is het nodig SIEM-hulpmidde- len zorgvuldig te configureren om de voordelen ervan te optimaliseren. Configuraties die in aan- merking behoren te worden genomen, omvatten het identificeren en selecteren van passende bron- nen voor logbestanden, het afstemmen en testen van regels, en het ontwikkelen van usecases.</p>
<p>Er worden openbaar transparante bestanden ge- bruikt voor het registreren van logbestanden, bij- voorbeeld in systemen voor de transparantie van certificaten. Dergelijke bestanden kunnen een ex- tra detectiemechanisme bieden dat nuttig is ter bescherming tegen manipulatie van logbestanden.</p>
<p>In cloudomgevingen kunnen de afnemer en de leverancier van de clouddienst de verantwoorde- lijkheden voor het beheer van logbestanden met elkaar delen. De verantwoordelijkheden variëren afhankelijk van de soort clouddienst die wordt gebruikt. Verdere richtlijnen zijn te vinden in ISO/IEC 27017.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Monitoren van activiteiten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Detectief #Corrigerend</td>
<td>#Vertrouwelijkheid #Integriteit #Beschik- baarheid</td>
<td colspan="2">#Detecteren #Reageren</td>
<td><blockquote>
<p>#Beheer_van_in- formatiebeveili- gingsgebeurtenis- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Netwerken, systemen en toepassingen behoren te worden gemonitord op afwijkend gedrag en er be- horen passende maatregelen te worden getroffen om potentiële informatiebeveiligingsincidenten te evalueren.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Doel</strong></p>
<p>Afwijkend gedrag en potentiële informatiebeveili- gingsincidenten detecteren.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Richtlijn</strong></p>
<p>De reikwijdte en het niveau van de monitoring behoren te worden bepaald overeenkomstig de bedrijfs- en informatiebeveiligingseisen en met inachtneming van de relevante wet- en regelge- ving. Er behoren registraties van de monitoring te worden bijgehouden gedurende gedefinieerde be- waartermijnen.</p>
<p>Het behoort te worden overwogen het volgende in het monitoringsysteem op te nemen:</p>
<ol type="a">
<li><p>uitgaand en inkomend netwerk-, systeem- en toepassingsverkeer;</p></li>
<li><p>toegang tot systemen, servers, netwerkappara- tuur, monitoringsysteem, essentiële toepassin- gen enz.;</p></li>
<li><p>systeem- en netwerkconfiguratiebestanden op essentieel of beheerdersniveau;</p></li>
<li><p>logbestanden van beveiligingsinstrumenten [bijv. antivirus, IDS, inbraakpreventiesysteem (IPS), webfilters, firewalls, voorkoming van ge- gevenslekken];</p></li>
<li><p>logbestanden van gebeurtenissen met betrek- king tot systeem- en netwerkactiviteit;</p></li>
<li><p>controle of de code die wordt uitgevoerd, in het systeem mag worden uitgevoerd en of deze niet is gemanipuleerd (bijv. door hercompile- ren om extra ongewenste code toe te voegen);</p></li>
<li><p>gebruik van de middelen (bijvoorbeeld CPU, vaste schijven, geheugen, bandbreedte) en de prestaties daarvan.</p></li>
</ol>
<p>De organisatie behoort een nullijn voor normaal gedrag vast te stellen en aan de hand van deze nul- lijn op afwijkingen te monitoren. Bij het vaststel- len van de nullijn behoort het volgende te worden overwogen:</p>
<ol type="a">
<li><p>het gebruik van de systemen in normale en piekperiodes beoordelen;</p></li>
<li><p>het gebruikelijke tijdstip van toegang, de ge- bruikelijke plaats van toegang en de</p></li>
</ol></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>gebruikelijke frequentie van toegang voor elke gebruiker of gebruikersgroep.</p>
</blockquote>
<p>Het monitoringsysteem behoort te worden gecon- figureerd aan de hand van de vastgestelde nullijn om afwijkend gedrag te identificeren, zoals:</p>
<ol type="a">
<li><p>ongeplande beëindiging van processen of toe- passingen;</p></li>
<li><p>activiteiten die meestal verband houden met malware of verkeer dat afkomstig is van be- kende kwaadaardige IP-adressen of netwerk- domeinen (bijv. die verband houden met com- mand-and-controlservers van botnets);</p></li>
<li><p>bekende aanvalskenmerken (bijv. ‘denial of service’ en bufferoverflows);</p></li>
<li><p>ongebruikelijk systeemgedrag (bijv. het regi- streren van toetsaanslagen, procesinjectie en afwijkingen in het gebruik van standaardproto- collen);</p></li>
<li><p>knelpunten en overbelasting (bijv. netwerk- wachtrijen, latentieniveaus en netwerkjitter);</p></li>
<li><p>(daadwerkelijke of pogingen tot) toegang door onbevoegden tot systemen of informatie;</p></li>
<li><p>het ongeoorloofd scannen van bedrijfstoepas- singen, -systemen en -netwerken;</p></li>
<li><p>geslaagde en mislukte pogingen om toegang te krijgen tot beschermde bronnen (bijv. DNS-ser- vers, webportals en bestandssystemen);</p></li>
<li><p>ongebruikelijk gebruikers- en systeemgedrag in vergelijking met het verwachte gedrag.</p></li>
</ol>
<p>Er behoort gebruik te worden gemaakt van conti- nue monitoring via een monitoringinstrument.</p>
<p>Monitoring behoort realtime of met regelmatige tussenpozen te gebeuren, afhankelijk van de be- hoefte en mogelijkheden van de organisatie. Moni- toringinstrumenten behoren geschikt te zijn voor grote hoeveelheden gegevens, zich aan te passen aan een voortdurend veranderend landschap van dreigingen en realtimemeldingen mogelijk te ma- ken. De instrumenten behoren ook specifieke handtekeningen en gegevens of netwerk- of toe- passingsgedragspatronen te kunnen herkennen.</p>
<p>Geautomatiseerde monitoringsoftware behoort dusdanig te worden geconfigureerd dat deze</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>meldingen geeft (bijv. via beheerconsoles, e-mails of instantmessagingsystemen) op basis van vooraf gedefinieerde drempels. Het waarschuwingssys- teem behoort op basis van de nullijn van de orga- nisatie te worden afgestemd en getraind om vals- positieven tot een minimum te beperken. Perso- neel behoort erop gericht te zijn om op waarschu- wingen te reageren en naar behoren getraind te zijn om potentiële incidenten accuraat te interpre- teren. Er behoren redundante systemen en pro- cessen aanwezig te zijn om waarschuwingsmel- dingen te ontvangen en erop te reageren.</p>
<p>Abnormale gebeurtenissen behoren aan relevante partijen te worden meegedeeld, zodat de volgende activiteiten kunnen worden verbeterd: auditen, evaluatie van de beveiliging, scannen op kwets- baarheden en monitoren (zie 5.25). Er behoren procedures te zijn ingevoerd om tijdig te reageren op positieve indicatoren van het monitoringsys- teem teneinde het effect van nadelige gebeurtenis- sen op informatiebeveiliging tot het minimum te beperken (zie 5.26). Er behoren ook procedures te worden vastgesteld om valspositieven te identifi- ceren en aan te pakken, waaronder het afstemmen van de monitoringsoftware om het toekomstige aantal valspositieven te beperken.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Beveiligingsmonitoring kan worden verbeterd door:</p>
<ol type="a">
<li><p>gebruik te maken van systemen voor informa- tie en analyses over dreigingen (zie 5.7);</p></li>
<li><p>gebruik te maken van de mogelijkheden van machinelearning en kunstmatige intelligentie;</p></li>
<li><p>blokkeringslijsten of toestemmingslijsten te ge- bruiken;</p></li>
<li><p>allerlei technische beveiligingsbeoordelingen (bijv. beoordelen op kwetsbaarheden, penetra- tietests, simulaties van cyberaanvallen en cy- berresponsoefeningen) uit te voeren, en de re- sultaten van deze beoordelingen te gebruiken om de nullijnen of aanvaardbaar gedrag te hel- pen vaststellen;</p></li>
<li><p>gebruik te maken van systemen voor het moni- toren van prestaties om afwijkend gedrag te helpen vaststellen en detecteren;</p></li>
</ol></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>f) gebruik te maken van logbestanden in combi- natie met monitoringsystemen.</p>
<p>Monitoringactiviteiten worden vaak uitgevoerd met behulp van gespecialiseerde software, zoals inbraakdetectiesystemen. Deze kunnen worden geconfigureerd aan de hand van een nullijn van normale, aanvaardbare en verwachte systeem- en netwerkactiviteiten.</p>
<p>Op afwijkende communicatie monitoren helpt bij het identificeren van botnets (d.w.z. een verzame- ling apparaten onder de kwaadwillige controle van de botneteigenaar, die meestal wordt gebruikt voor het uitvoeren van gedistribueerde denial-of- serviceaanvallen op andere computers van andere organisaties). Indien de computer door een extern apparaat wordt bestuurd, is er communicatie tus- sen het besmette en het besturende apparaat. De organisatie behoort daarom technologieën in te zetten om afwijkende communicatie te monitoren en zo nodig maatregelen te nemen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Kloksynchronisatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Detectief</td>
<td>#Integriteit</td>
<td colspan="2">#Beschermen #Detecteren</td>
<td><blockquote>
<p>#Beheer_van_in- formatiebeveili- gingsgebeurtenis- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De klokken van informatieverwerkende systemen die door de organisatie worden gebruikt, behoren te worden gesynchroniseerd met goedgekeurde tijdsbronnen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De correlatie en analyse van beveiligingsgerela- teerde gebeurtenissen en andere geregistreerde gegevens mogelijk maken en onderzoeken bij in- formatiebeveiligingsincidenten ondersteunen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Externe en interne eisen voor weergave, betrouw- bare synchronisatie en nauwkeurigheid van tijd behoren te worden gedocumenteerd en geïmple- menteerd. Zulke eisen kunnen voortvloeien uit wet- en regelgeving, statuten, overeenkomsten,</p>
<p>normen en uit interne monitoringbehoeften. Er behoort een standaardreferentietijd voor gebruik</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>binnen de organisatie te worden gedefinieerd en in aanmerking te worden genomen voor alle sys- temen, met inbegrip van gebouwbeheersystemen, in- en uitgangssystemen en andere systemen die ter ondersteuning van onderzoeken kunnen wor- den gebruikt.</p>
<p>Een aan een nationale atoomklok die radiogolven uitzendt of aan gps (wereldwijd positioneringssys- teem) gekoppelde klok behoort te worden ge- bruikt als referentieklok voor logsystemen; een consistente, vertrouwde bron voor de datum en tijd om nauwkeurige tijdstempels te garanderen. Protocollen zoals netwerktijdprotocol (NTP) of ‘precision time protocol’ (PTP) behoren te worden gebruikt om klokken in een computernetwerk ge- synchroniseerd te houden met een referentieklok.</p>
<p>De organisatie kan twee externe tijdsbronnen te- gelijk gebruiken om de betrouwbaarheid van ex- terne klokken te verbeteren en naar behoren om te gaan met eventuele afwijkingen.</p>
<p>Klokken kunnen lastig te synchroniseren zijn wan- neer meerdere clouddiensten worden gebruikt of wanneer zowel cloud- als op locatie gehoste dien- sten worden gebruikt. In dat geval behoort de klok van elke dienst te worden gecontroleerd en het verschil te worden geregistreerd om risico's als gevolg van verschillen te verkleinen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>De correcte instelling van computerklokken is be- langrijk om de nauwkeurigheid van logbestanden van gebeurtenissen te waarborgen. Dit kan nodig zijn voor onderzoeken of als bewijs in juridische en disciplinaire zaken. Onnauwkeurige auditlog- bestanden kunnen dergelijke onderzoeken belem- meren en de geloofwaardigheid van het bewijs schaden.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Gebruik van speciale systeemhulpmiddelen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Systeem-_en_net- werkbeveiliging #Veilige_configura- tie</p>
<p>#Toepassingsbe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Het gebruik van systeemhulpmiddelen die in staat kunnen zijn om beheersmaatregelen voor sys- temen en toepassingen te omzeilen, behoort te worden beperkt en nauwkeurig te worden gecon- troleerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat het gebruik van systeemhulp- middelen geen schade toebrengt aan systeem- en toepassingsbeheersmaatregelen voor informatie- beveiliging.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Voor het gebruik van systeemhulpmiddelen die in staat kunnen zijn om beheersmaatregelen voor systemen en toepassingen te omzeilen, behoren de volgende richtlijnen te worden overwogen:</p>
<ol type="a">
<li><p>beperking van het gebruik van systeemhulp- middelen tot het laagste aantal betrouwbare bevoegde gebruikers dat praktisch haalbaar is (zie 8.2);</p></li>
<li><p>het gebruik van identificatie-, authenticatie- en autorisatieprocedures voor systeemhulpmid- delen, met inbegrip van de unieke identificatie van de persoon die het systeemhulpmiddel ge- bruikt;</p></li>
<li><p>het definiëren en documenteren van autorisa- tieniveaus voor systeemhulpmiddelen;</p></li>
<li><p>autorisatie voor ad-hoc gebruik van systeem- hulpmiddelen;</p></li>
<li><p>het niet beschikbaar stellen van systeemhulp- middelen aan gebruikers die toegang hebben tot toepassingen op systemen waarbij segmen- tatie van functies vereist is;</p></li>
<li><p>het verwijderen of onbruikbaar maken van alle onnodige systeemhulpmiddelen;</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Zoals in 8.9 is uitgelegd, kunnen professionals of beroepsbeoefenaren uit verschillende disciplines (verschillende of overlappende) verantwoorde- lijkheden hebben voor aspecten van specifieke ap- paratuur. In beleid en procedures voor het gebruik van speciale systeemhulpmiddelen behoort hier- mee rekening te worden gehouden.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="7" type="a">
<li><p>ten minste een logische segmentatie tussen systeemhulpmiddelen en toepassingssoftware. Indien mogelijk, de netwerkcommunicatie voor dergelijke systeemhulpmiddelen van het toe- passingenverkeer scheiden;</p></li>
<li><p>beperking van de beschikbaarheid van sys- teemhulpmiddelen (bijv. voor de duur van een geautoriseerde wijziging);</p></li>
<li><p>registreren van alle gebruik van systeemhulp- middelen.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>De meeste informatiesystemen hebben een of meer systeemhulpmiddelen die systeem- en toe- passingsbeheersmaatregelen kunnen omzeilen, bijvoorbeeld diagnose-, patching-, antivirus-, schijfdefragmentatie-, probleemdetectie- en pro- bleemoplossings-, back-up- en netwerkhulpmid- delen.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Installeren van software op operationele systemen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Veilige_configura- tie</p>
<p>#Toepassingsbe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoren procedures en maatregelen te worden geïmplementeerd om het installeren van software op operationele systemen op veilige wijze te behe- ren.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De integriteit van operationele systemen garande- ren en voorkomen dat misbruik wordt gemaakt van technische kwetsbaarheden.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De volgende richtlijnen behoren in overweging te worden genomen om wijzigingen en de installatie van software op operationele systemen op bevei- ligde wijze te beheren:</p>
<ol type="a">
<li><p>updates van operationele software alleen laten uitvoeren door daartoe opgeleide beheerders met passende beheerdersrechten (zie 8.5);</p></li>
<li><p>garanderen dat er alleen goedgekeurde uit- voerbare code, en geen ontwikkelcode of</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>De verlening van zorg in een gezondheidszorgor- ganisatie kan gepaard gaan met het installeren van hardware en software die voor veilige werking ge- certificeerd zijn en zeer specifieke configuratiepa- rameters hebben. In bepaalde gevallen kan de cer- tificering verbieden dat er iets aan de softwarest- ack wordt veranderd, met inbegrip van het uitvoe- ren van beveiligingspatches. In dergelijke gevallen behoort de organisatie bekende kwetsbaarheden in operationele systemen en de oplossingen die zijn toegepast om het voortdurende veilige</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>compilers, op operationele systemen wordt ge- installeerd;</p>
</blockquote>
<ol start="3" type="a">
<li><p>software pas installeren en updaten na uitge- breide en geslaagde tests (zie 8.29 en 8.31);</p></li>
<li><p>alle bijbehorende programmabronbibliotheken updaten;</p></li>
<li><p>een configuratiebeheerssysteem gebruiken om alle operationele software en systeemdocu- mentatie te beheersen;</p></li>
<li><p>een roll-backstrategie definiëren alvorens wij- zigingen te implementeren;</p></li>
<li><p>een auditlogbestand bijhouden van alle upda- tes van operationele software;</p></li>
<li><p>oude versies van software, samen met alle ver- eiste informatie en parameters, procedures, configuratiedetails archiveren en software als noodmaatregel ondersteunen zolang de soft- ware nodig is om gearchiveerde gegevens te le- zen of te verwerken.</p></li>
</ol>
<p>Bij beslissingen om te upgraden naar een nieuwe versie behoort rekening te worden gehouden met de bedrijfseisen die gelden voor de verandering en de veiligheid van de versie (bijv. de introductie van nieuwe informatiebeveiligingsfunctionaliteit of het aantal en de ernst van kwetsbaarheden in de informatiebeveiliging die zich bij de huidige versie voordoen). Softwarepatches behoren te worden toegepast als ze kunnen bijdragen aan het verwijderen of verminderen van kwetsbaarheden in de informatiebeveiliging (zie 8.8 en 8.19).</p>
<p>Computersoftware kan gebruikmaken van extern geleverde software en pakketten (bijv. software- programma's met modules die op externe locaties worden gehost). Deze behoren te worden gemoni- tord en beheerst om ongeautoriseerde wijzigingen te vermijden omdat ze tot kwetsbaarheden in de informatiebeveiliging kunnen leiden.</p>
<p>Software van leveranciers die in productiesys- temen wordt gebruikt, behoort te worden onder- houden op een niveau dat door de leverancier wordt ondersteund. Na verloop van tijd zullen softwareleveranciers stoppen met het ondersteu- nen van oudere softwareversies. De organisatie behoort de risico’s van het gebruiken van niet-on- dersteunde software te overwegen. In</p></th>
<th>gebruik van die systemen mogelijk te maken, te registreren.</th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>operationele systemen toegepaste opensourcesoftware behoort op de stand van de meest recente geschikte uitgave van de software te worden onderhouden. Het is mogelijk dat opensourcecode na verloop van tijd niet meer wordt onderhouden, maar nog steeds beschikbaar is in een opensourcesoftwarebewaarplaats. De or- ganisatie behoort ook rekening te houden met de risico's van het in operationele systemen gebrui- ken van opensourcesoftware die niet meer wordt onderhouden.</p>
<p>Wanneer leveranciers betrokken zijn bij het in- stalleren of updaten van software, behoort fysieke of logische toegang alleen te worden verleend wanneer dat nodig is en met passende autorisatie. De activiteiten van de leverancier behoren te wor- den gemonitord (zie 5.22).</p>
<p>De organisatie behoort strikte regels te definiëren en ten uitvoer te brengen met betrekking tot de soorten software die gebruikers kunnen installe- ren.</p>
<p>Het beginsel van het ‘least privilege’ (minste voor- rechten) behoort te worden toegepast op de in- stallatie van software op operationele systemen. De organisatie behoort vast te leggen welke soor- ten software mogen worden geïnstalleerd (bijv. updates en beveiligingspatches voor bestaande software) en welke verboden zijn (bijv. software uitsluitend voor persoonlijk gebruik en software waarvan de herkomst met betrekking tot de po- tentiële kwaadaardigheid onbekend of verdacht is). Deze voorrechten behoren te worden verleend op basis van de rollen van de betrokken gebrui- kers.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Geen overige informatie.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Beveiliging netwerkcomponenten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Detectief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen #Detecteren</td>
<td><blockquote>
<p>#Systeem-_en_net- werkbeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Netwerken en netwerkapparaten behoren te wor- den beveiligd, beheerd en beheerst om informatie in systemen en toepassingen te beschermen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Informatie in netwerken en de ondersteunende in- formatieverwerkingsfaciliteiten beschermen te- gen compromittering via het netwerk.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Er behoren beheersmaatregelen te worden geïm- plementeerd om de veiligheid van informatie in netwerken te waarborgen en aangesloten dien- sten tegen onbevoegde toegang te beschermen. In het bijzonder behoort met de volgende aspecten rekening te worden gehouden:</p>
<ol type="a">
<li><p>het soort informatie dat het netwerk kan on- dersteunen en het classificatieniveau ervan;</p></li>
<li><p>verantwoordelijkheden en procedures voor het beheer van netwerkapparatuur en apparaten vaststellen;</p></li>
<li><p>actuele documentatie onderhouden, waaronder netwerkschema's en configuratiebestanden van apparatuur (bijv. routers, switches);</p></li>
<li><p>de operationele verantwoordelijkheid voor netwerken scheiden van de operationele activi- teiten met de ICT-systemen, al naargelang de situatie (zie 5.3);</p></li>
<li><p>beheersmaatregelen vaststellen om de vertrou- welijkheid en integriteit van gegevens die via openbare netwerken of draadloze netwerken circuleren te waarborgen en om de aangesloten systemen en toepassingen te beschermen (zie 5.22, 8.24, 5.14 en 6.6). Er kunnen ook aanvul- lende beheersmaatregelen vereist zijn om de beschikbaarheid van de netwerkdiensten en aan het netwerk aangesloten computers in stand te houden;</p></li>
</ol></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="6" type="a">
<li><p>op passende wijze logbestanden bijhouden en monitoring uitvoeren om het registreren en de- tecteren van acties die van invloed kunnen zijn op of relevant zijn voor informatiebeveiliging, mogelijk te maken (zie 8.16 en 8.15);</p></li>
<li><p>netwerkbeheeractiviteiten nauwgezet coördi- neren, zowel om de dienstverlening voor de or- ganisatie te optimaliseren als om te waarbor- gen dat beheersmaatregelen consistent in de hele informatieverwerkende infrastructuur worden toegepast;</p></li>
<li><p>systemen op het netwerk authenticeren;</p></li>
<li><p>de verbinding van systemen met het netwerk beperken en filteren (bijv. door gebruik te ma- ken van firewalls);</p></li>
<li><p>de verbinding van apparatuur en apparaten met het netwerk detecteren, beperken en au- thenticeren;</p></li>
<li><p>hardening van netwerkapparatuur;</p></li>
<li><p>netwerkbeheerkanalen van ander netwerkver- keer scheiden;</p></li>
<li><p>kritieke subnetwerken tijdelijk isoleren (bijv. met ‘drawbridges’ (ophaalbruggen)) als het netwerk wordt aangevallen;</p></li>
<li><p>kwetsbare netwerkprotocollen uitschakelen.</p></li>
</ol>
<p>De organisatie behoort te garanderen dat pas- sende beveiligingsbeheersmaatregelen worden toegepast op het gebruik van gevirtualiseerde net- werken. Onder gevirtualiseerde netwerken vallen ook softwaregedefinieerde netwerken (SDN, SD- WAN). Vanuit beveiligingsoogpunt kunnen ge- virtualiseerde netwerken wenselijk zijn, omdat ze een logische segmentatie mogelijk maken van de communicatie die over fysieke netwerken plaats- vindt, met name voor systemen en toepassingen die met behulp van ‘distributed computing’ (gedis- tribueerd rekenen) worden geïmplementeerd.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Aanvullende informatie over netwerkbeveiliging is te vinden in de ISO/IEC 27033-reeks.</p>
<p>Meer informatie over gevirtualiseerde netwerken is te vinden in ISO/IEC TS 23167.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Beveiliging van netwerkdiensten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Systeem-_en_net- werkbeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Beveiligingsmechanismen, dienstverleningsni- veaus en dienstverleningseisen voor alle netwerk- diensten behoren te worden geïdentificeerd, geïm- plementeerd en gemonitord.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De beveiliging bij het gebruik van netwerkdien- sten waarborgen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De beveiligingsmaatregelen die nodig zijn voor bepaalde diensten, zoals beveiligingskenmerken, dienstverleningsniveaus en -eisen, behoren te worden vastgesteld en geïmplementeerd (door interne of externe aanbieders van netwerkdien- sten). De organisatie behoort ervoor te zorgen dat aanbieders van netwerkdiensten deze maatrege- len implementeren.</p>
<p>De kundigheid van de aanbieder van de netwerk- dienst om de overeengekomen diensten veilig te beheren, behoort te worden vastgesteld en regel- matig te worden gemonitord. Het recht om een au- dit uit te voeren behoort te worden overeengeko- men tussen de organisatie en de aanbieder. De or- ganisatie behoort ook door dienstverleners ver- strekte attesten van derden in aanmerking te ne- men om aan te tonen dat zij passende beveili- gingsmaatregelen handhaven.</p>
<p>Er behoren regels over het gebruik van netwerken en netwerkdiensten te worden opgesteld en geïm- plementeerd. Deze behoren het volgende af te dekken:</p>
<ol type="a">
<li><p>de netwerken en netwerkdiensten waartoe toe- gang wordt verleend;</p></li>
<li><p>eisen voor authenticatie voor de toegang tot de verschillende netwerkdiensten;</p></li>
<li><p>autorisatieprocedures om vast te stellen wie toegang krijgt tot welk netwerk en welke net- werkdiensten;</p></li>
</ol></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Er behoort ook rekening te worden gehouden met de impact van uitval van beschikbaarheid van net- werkdiensten van de (klinische) praktijk. Zie ook 5.29.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="4" type="a">
<li><p>netwerkbeheer- en technologische beheers- maatregelen en -procedures om de toegang tot netwerkverbindingen en -diensten te bescher- men;</p></li>
<li><p>de middelen die worden gebruikt om toegang te krijgen tot netwerken en netwerkdiensten [bijv. het gebruik van een virtueel privénet- werk (VPN) of draadloos netwerk];</p></li>
<li><p>tijdstip, locatie en andere attributen van de ge- bruiker op het tijdstip van de toegang;</p></li>
<li><p>monitoren van het gebruik van netwerkdien- sten.</p></li>
</ol>
<p>De volgende beveiligingskenmerken van netwerk- diensten behoren in overweging te worden geno- men:</p>
<ol type="a">
<li><p>technologie die wordt toegepast voor de bevei- liging van netwerkdiensten, zoals authenticatie, codering en beheersmaatregelen voor net- werkverbinding;</p></li>
<li><p>technische parameters die nodig zijn voor een veilige verbinding met de netwerkdiensten, in overeenstemming met de regels voor beveili- ging en netwerkverbinding;</p></li>
<li><p>‘caching’ (bijv. in een ‘content delivery net- work’) en de parameters daarvan die gebrui- kers in staat stellen het gebruik van ‘caching’ te kiezen overeenkomstig de prestatie-, beschik- baarheids- en vertrouwelijkheidseisen;</p></li>
<li><p>procedures voor het gebruik van netwerkdien- sten ter beperking van toegang tot netwerk- diensten of, voor zover noodzakelijk, -toepas- singen.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Tot netwerkdiensten behoren het leveren van aansluitingen, particuliere netwerkdiensten en be- heerde netwerkbeveiligingsoplossingen zoals fire- walls en inbraakdetectiesystemen. Deze diensten kunnen variëren van eenvoudige onbeheerde bandbreedte tot en met complexe aanbiedingen met toegevoegde waarde.</p>
<p>Verdere richtlijnen over een kader voor toegangs- beheer worden gegeven in ISO/IEC 29146.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Netwerksegmentatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Systeem-_en_net- werkbeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Groepen informatiediensten, gebruikers en infor- matiesystemen behoren in de netwerken van de organisatie te worden gesegmenteerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Het netwerk opsplitsen met beveiligingsgrenzen en het verkeer ertussen op basis van de bedrijfs- behoeften beheersen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort te overwegen de beveili- ging van grote netwerken te beheren door ze te verdelen in gesegmenteerde netwerkdomeinen en ze van het openbare netwerk (d.w.z. internet) te segmenteren. De domeinen kunnen worden geko- zen op basis van betrouwbaarheids-, kritikaliteits- en gevoeligheidsniveaus (bijv. openbaar toeganke- lijk domein, bureaubladdomein, serverdomein, systemen met laag of hoog risico), op basis van or- ganisatieafdelingen (bijv. personeelszaken, finan- ciën, marketing) of een combinatie ervan (bijv. serverdomein verbonden met meerdere afdelin- gen van de organisatie). De segmentering kan tot stand worden gebracht door hetzij fysiek verschil- lende netwerken, hetzij verschillende logische net- werken te gebruiken.</p>
<p>De buitengrenzen van elk domein behoren goed te worden gedefinieerd. Indien toegang tussen net- werkdomeinen is toegelaten, behoort dit bij de buitengrenzen te worden beheerst door een gate- way te gebruiken (bijv. een firewall, een filterende router). De criteria voor het segmenteren van net- werken in domeinen, en de toegang die via de ga- teways wordt toegestaan, behoren te worden ge- baseerd op een beoordeling van de beveiligingsei- sen voor elk domein. De beoordeling behoort in overeenstemming te zijn met het onderwerpspeci- fieke toegangsbeveiligingsbeleid (zie 5.15), de toe- gangseisen, waarde en classificatie van verwerkte informatie en behoort rekening te houden met de relatieve kosten en de gevolgen voor de prestaties van het integreren van gatewaytechnologie.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th>Draadloze netwerken vereisen een speciale be- handeling in verband met de slecht gedefinieerde buitengrenzen van het netwerk. Aanpassing van de radiodekking behoort te worden overwogen om draadloze netwerken te segmenteren. Voor ge- voelige omgevingen behoort te worden overwo- gen om elke draadloze toegang te behandelen als externe verbinding en om deze toegang te seg- menteren van interne netwerken totdat de toe- gang een gateway is gepasseerd, in overeenstem- ming met de netwerkbeheersmaatregelen (zie 8.20), alvorens toegang tot interne systemen wordt verleend. Draadloze toegangsnetwerken voor gasten behoren te worden gescheiden van die voor personeel, indien personeel alleen be- heerste ‘endpoint devices’ gebruikt die voldoen aan de onderwerpspecifieke beleidsregels van de organisatie. Voor wifi voor gasten behoren ten minste dezelfde beperkingen te gelden als voor wifi voor personeel; zo wordt het gebruik van wifi voor gasten door het personeel ontmoedigd.</th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Netwerken strekken zich vaak uit tot buiten de muren van de organisatie omdat bedrijfsmatige partnerschappen worden gevormd waarvoor on- derlinge verbinding of het delen van informatie- verwerkende en netwerkfaciliteiten vereist is.</p>
<p>Door dergelijke uitbreidingen kan het risico op on- bevoegde toegang tot de informatiesystemen van de organisatie die gebruikmaken van het netwerk toenemen, waarbij sommige gevoelige en essen- tiële informatiesystemen bescherming tegen an- dere netwerkgebruikers nodig hebben.</p></td>
<td><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Patchen, software- of firmware-upgrades en het gebruik van software die beschermt tegen mal- ware zijn allemaal technieken die helpen de bevei- liging te handhaven. In sommige gevallen (bijvoor- beeld bij bepaalde medische apparaten) is het ge- bruik van deze technieken beperkt (zie bijlage C) en zijn compenserende controles noodzakelijk.</p>
<p>Een dergelijke controle om anderszins kwetsbare middelen te beschermen, is netwerksegregatie.</p>
<p>Scheiding van patiëntentertainmentsystemen en apparatuur is vaak raadzaam.</p></td>
</tr>
</tbody>
</table>

##### Toepassen van webfilters

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Systeem-_en_net- werkbeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De toegang tot externe websites behoort te wor- den beheerd om de blootstelling aan kwaadaar- dige inhoud te beperken.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Doel</strong></p>
<p>Systemen beschermen om te voorkomen dat ze door malware worden gecompromitteerd en om toegang tot ongeoorloofde internetbronnen te voorkomen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Richtlijn</strong></p>
<p>De organisatie behoort de risico's te beperken dat haar personeel toegang krijgt tot websites die ille- gale informatie bevatten of waarvan bekend is dat ze virussen of phishingmateriaal bevatten. Een techniek om dit te bereiken is het IP-adres of het domein van de desbetreffende website(s) te blok- keren. Bepaalde browsers en antimalwaretechno- logieën doen dit automatisch of kunnen hiervoor worden geconfigureerd.</p>
<p>De organisatie behoort te identificeren tot welke soorten websites haar personeel wel of niet toe- gang behoort te hebben. De organisatie behoort te overwegen de toegang tot de volgende soorten websites te blokkeren:</p>
<ol type="a">
<li><p>websites met een functie voor het uploaden van informatie, tenzij dit om geldige zakelijke redenen is toegestaan;</p></li>
<li><p>websites waarvan bekend is of die ervan ver- dacht worden kwaadaardig te zijn (bijvoor- beeld websites die malware of phishinginhoud verspreiden);</p></li>
<li><p>command-and-controlservers;</p></li>
<li><p>websites die volgens informatie en analyses over dreigingen kwaadaardig zijn (zie 5.7);</p></li>
<li><p>websites die illegale inhoud delen.</p></li>
</ol>
<p>Alvorens deze beheersmaatregel in te zetten, be- hoort de organisatie regels op te stellen voor veilig en gepast gebruik van online bronnen, met inbe- grip van een eventuele beperking van ongewenste of ongepaste websites en internetgebaseerde toe- passingen. De regels behoren actueel te worden gehouden.</p>
<p>Het personeel behoort training te krijgen over het beveiligde en passende gebruik van online midde- len, met inbegrip van toegang tot internet. De trai- ning behoort onder andere in te gaan op de regels van de organisatie, het contactpunt voor het mel-</p>
<p>den van veiligheidskwesties en de uitzonderings- procedure wanneer toegang tot online middelen</p></td>
<td><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Er behoort beleid te zijn ingevoerd om onjuiste blokkering van voor de gezondheidszorg relevante content te vermijden. Dit beleid behoort op pas- sende wijze het omgaan met fout-positieven af te dekken.</p>
<p>Standaard blokkeren web- of internetfiltersys- temen vaak tekst, afbeeldingen, tekeningen, video en andere soorten content die volledig passend zijn voor de gezondheidszorg, maar in veel andere contexten niet aanvaardbaar zijn. Deze content is heel breed. In aanvulling op anatomische termen en afbeeldingen zijn voorbeelden onder andere content met betrekking tot: druggebruik, de resul- taten van geweld en zelfbeschadiging, misbruik van kinderen en kwetsbare volwassenen.</p>
<p>Fout-positieven kunnen van negatieve invloed zijn op de verlening van gezondheidszorg en behoren onmiddellijk te worden beoordeeld. In het ver- lengde hiervan zijn er risico's dat het mogelijk is dat ongepast materiaal wordt geopend, onder het voorwendsel dat dit voor legitieme gezondheids- zorgdoelen gebeurt en behoren er stappen te wor- den ondernomen om dit te monitoren.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th>waarvoor beperkingen gelden om legitieme zake- lijke redenen nodig is. Er behoort ook training aan het personeel te worden gegeven om te garande- ren dat ze browsermeldingen die aangeven dat een website niet veilig is, maar waarbij de gebrui- ker wel kan doorgaan, niet in de wind slaan.</th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Allerlei technieken kunnen worden gebruikt om webfilters toe te passen, zoals onder andere hand- tekeningen, heuristiek, een lijst van aanvaardbare websites of domeinen, een lijst van verboden web- sites of domeinen en configuratie op maat om te helpen voorkomen dat kwaadaardige software en andere kwaadaardige activiteiten het netwerk en de systemen van de organisatie aanvallen.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Gebruik van cryptografie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Veilige_configura- tie</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Regels voor het doeltreffende gebruik van crypto- grafie, met inbegrip van het beheer van cryptogra- fische sleutels, behoren te worden gedefinieerd en geïmplementeerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Correct en doeltreffend gebruik bewerkstelligen van cryptografie om de vertrouwelijkheid, authen- ticiteit of integriteit van informatie overeenkom- stig de bedrijfs- en informatiebeveiligingseisen te beschermen en met inachtneming van de eisen van wet- en regelgeving, statutaire en contractuele eisen met betrekking tot cryptografie.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>Het volgende behoort te worden overwogen bij het gebruik van cryptografie:</p>
<p>a) het door de organisatie gedefinieerde onder- werpspecifieke beleid inzake cryptografie, met inbegrip van de algemene principes voor de be- scherming van informatie. Een onderwerpspe- cifiek beleid voor het gebruik van cryptografie</p>
<blockquote>
<p>is nodig om de voordelen van het gebruik van cryptografische technieken zo groot mogelijk</p>
</blockquote></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>en de risico’s zo klein mogelijk te maken en om ongepast en onjuist gebruik te voorkomen;</p>
</blockquote>
<ol start="2" type="a">
<li><p>het vereiste beschermingsniveau en de classifi- catie van de informatie identificeren en vervol- gens het vereiste type cryptografische algorit- men en de vereiste sterkte en kwaliteit ervan vaststellen;</p></li>
<li><p>het gebruik van cryptografie voor het bescher- men van informatie op mobiele ‘endpoint devi- ces’ van gebruikers of opslagmedia en van in- formatie die via netwerken naar dergelijke ap- paraten of opslagmedia wordt verzonden;</p></li>
<li><p>de aanpak van sleutelbeheer, waaronder me- thoden voor het genereren en beschermen van cryptografische sleutels en het herstel van ver- sleutelde informatie in geval sleutels verloren gaan of gecompromitteerd of beschadigd ra- ken;</p></li>
<li><p>rollen en verantwoordelijkheden voor:</p>
<ol type="1">
<li><p>het implementeren van de regels voor doel- treffend gebruik van cryptografie;</p></li>
<li><p>het sleutelbeheer, waaronder het aanmaken van sleutels (zie 8.24);</p></li>
</ol></li>
<li><p>de toe te passen normen, evenals cryptografi- sche algoritmen, de sterkte van code, crypto- grafische oplossingen en gebruikspraktijken die zijn goedgekeurd of vereist voor gebruik in de organisatie;</p></li>
<li><p>de impact van het gebruik van versleutelde in- formatie op beheersmaatregelen die zijn geba- seerd op controle van de inhoud (bijv. detectie van malware of het filteren van inhoud).</p></li>
</ol>
<p>Bij het implementeren van de regels van de orga- nisatie voor het doeltreffende gebruik van crypto- grafie behoort rekening te worden gehouden met de regelgeving en nationale beperkingen die van toepassing kunnen zijn op het gebruik van crypto- grafische technieken in verschillende delen van de wereld, evenals met problemen met grensover- schrijdende stromen van versleutelde informatie (zie 5.31).</p>
<p>De inhoud van dienstverleningsovereenkomsten of contracten met externe leveranciers van crypto- grafische diensten (bijv. met een certificerende in- stantie) behoort aansprakelijkheid,</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>betrouwbaarheid van dienstverlening en respons- tijden voor dienstverlening te omvatten (zie 5.22).</p>
<p><u>Sleutelbeheer</u></p>
<p>Passend sleutelbeheer vereist nauwkeurige proce- dures voor het aanmaken, bewaren, archiveren, terugvinden, distribueren, terugtrekken en vernie- tigen van cryptografische sleutels.</p>
<p>Een sleutelbeheersysteem behoort te zijn geba- seerd op een overeengekomen pakket van nor- men, procedures en beveiligingsmethoden voor:</p>
<ol type="a">
<li><p>het aanmaken van sleutels voor verschillende cryptografische systemen en verschillende toe- passingen;</p></li>
<li><p>het verstrekken en verkrijgen van openbare sleutelcertificaten;</p></li>
<li><p>het verspreiden van sleutels onder de beoogde entiteiten en een instructie hoe de sleutels na ontvangst kunnen worden geactiveerd;</p></li>
<li><p>het opslaan van sleutels en de wijze waarop be- voegde gebruikers toegang tot sleutels krijgen;</p></li>
<li><p>het wijzigen of updaten van sleutels, met inbe- grip van regels over wanneer en hoe sleutels behoren te worden gewijzigd;</p></li>
<li><p>het omgaan met gecompromitteerde sleutels;</p></li>
<li><p>het intrekken van sleutels, met inbegrip van hoe men sleutels kan terugtrekken of deactive- ren [bijv. als sleutels zijn gecompromitteerd of als een gebruiker de organisatie verlaat (in welk geval sleutels ook behoren te worden ge- archiveerd)];</p></li>
<li><p>het herstellen van sleutels die verloren of ge- corrumpeerd zijn;</p></li>
<li><p>het back-uppen of archiveren van sleutels;</p></li>
<li><p>het vernietigen van sleutels;</p></li>
<li><p>het registreren en auditen van aan sleutelbe- heer gerelateerde activiteiten;</p></li>
<li><p>het instellen van activerings- en deactiverings- tijdstippen voor sleutels zodat de sleutels al- leen kunnen worden gebruikt voor de tijdsduur overeenkomstig de regels voor sleutelbeheer van de organisatie;</p></li>
<li><p>het omgaan met rechtsverzoeken om toegang tot cryptografische sleutels (er kan bijvoor- beeld worden geëist dat versleutelde</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>informatie in onversleutelde vorm beschikbaar wordt gesteld als bewijs in een rechtszaak).</p>
</blockquote>
<p>Alle cryptografische sleutels behoren te worden beschermd tegen aanpassing en verlies. Boven- dien hebben geheime en particuliere sleutels be- scherming nodig tegen onbevoegd gebruik en te- gen openbaarmaking. Apparatuur die wordt ge- bruikt om sleutels aan te maken, op te slaan en te archiveren, behoort fysiek te worden beschermd.</p>
<p>Naast integriteit behoort voor veel usecases aan- dacht te worden besteed aan de authenticiteit van openbare sleutels.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Voor de authenticiteit van openbare sleutels wor- den er meestal processen voor het beheer van openbare sleutels toegepast die gebruikmaken van certificaatinstanties en openbare-sleutelcerti- ficaten, maar het is ook mogelijk om hiervoor ge- bruik te maken van technologieën zoals het toe- passen van handmatige processen voor een klein aantal sleutels.</p>
<p>Cryptografie kan worden gebruikt voor verschil- lende informatiebeveiligingsdoelstellingen, bij- voorbeeld:</p>
<ol type="a">
<li><p>vertrouwelijkheid: codering van informatie ge- bruiken om gevoelige of essentiële informatie, tijdens opslag of verzending, te beschermen;</p></li>
<li><p>integriteit of authenticiteit: digitale handteke- ningen of authenticatiecodes voor berichten gebruiken om de authenticiteit of integriteit van gevoelige of essentiële informatie tijdens opslag of verzending te verifiëren. Gebruikma- ken van algoritmen om de integriteit van be- standen te controleren;</p></li>
<li><p>onweerlegbaarheid: cryptografische tech- nieken gebruiken om bewijs te verkrijgen van het al dan niet plaatsvinden van een gebeurte- nis of actie;</p></li>
<li><p>authenticatie: cryptografische technieken ge- bruiken ter authenticatie van gebruikers en an- dere systeementiteiten die toegang vragen tot of die verrichtingen doen met systeemgebrui- kers, -entiteiten en -bronnen.</p></li>
</ol>
<p>De ISO/IEC 11770-reeks geeft verdere informatie over sleutelbeheer.</p></td>
<td><p><strong>Zorgspecifieke overige informatie</strong></p>
<p>Richtlijnen over beleid voor het uitgeven en ge- bruiken van digitale certificaten in de gezond- heidszorg en over het sleutelbeheer zijn te vinden in ISO 17090-3.</p></td>
</tr>
</tbody>
</table>

##### Beveiligen tijdens de ontwikkelcyclus

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td>#Toepassingsbe- veiliging #Systeem-_en_net- werkbeveiliging</td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Voor het veilig ontwikkelen van software en sys- temen behoren regels te worden vastgesteld en toegepast.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Bewerkstelligen dat informatiebeveiliging binnen de veilige ontwikkelcyclus van software en sys- temen wordt ontworpen en geïmplementeerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Beveiligd ontwikkelen is een eis voor het opbou- wen van een beveiligde dienstverlening, architec- tuur, software en een beveiligd systeem. Om dit te bereiken behoort met de volgende aspecten reke- ning te worden gehouden:</p>
<ol type="a">
<li><p>scheiding van ontwikkel-, test- en productie- omgevingen (zie 8.31);</p></li>
<li><p>richtlijnen betreffende beveiliging in de levens- cyclus van systeemontwikkeling:</p>
<ol type="1">
<li><p>beveiliging in de softwareontwikkelmetho- diek (zie 8.28 en 8.27);</p></li>
<li><p>richtlijnen voor beveiligde codering voor elke programmeertaal die wordt gebruikt (zie 8.28);</p></li>
</ol></li>
<li><p>beveiligingseisen tijdens de specificatie- en ontwerpfase (zie 5.8);</p></li>
<li><p>beveiligingscontrolepunten in projecten (zie 5.8);</p></li>
<li><p>het testen van de systemen en de beveiliging, zoals regressietests, codescan- en penetratie- tests (zie 8.29);</p></li>
<li><p>beveiligde bewaarplaatsen voor broncode en configuratie (zie 8.4 en 8.9);</p></li>
<li><p>beveiliging in het versiebeheer (zie 8.32);</p></li>
</ol></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="8" type="a">
<li><p>de vereiste kennis van en opleiding in de bevei- liging van toepassingen (zie 8.28);</p></li>
<li><p>het vermogen van de ontwikkelaar om kwets- baarheden te voorkomen, te vinden en te repa- reren (zie 8.28);</p></li>
<li><p>licentie-eisen en alternatieven om kosteneffec- tieve oplossingen te bewerkstelligen en tegelij- kertijd toekomstige licentieproblemen te voor- komen (zie 5.32).</p></li>
</ol>
<p>Indien ontwikkelactiviteiten worden uitbesteed, behoort de organisatie zich ervan te vergewissen dat de leverancier voldoet aan de regels van de or- ganisatie voor veilig ontwikkelen (zie 8.30).</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Ook binnen toepassingen kan ontwikkeling plaats- vinden, zoals binnen kantoortoepassingen, scrip- ting, browsers en databases.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Toepassingsbeveiligingseisen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td>#Toepassingsbe- veiliging #Systeem-_en_net- werkbeveiliging</td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoren eisen aan de informatiebeveiliging te worden geïdentificeerd, gespecificeerd en goedge- keurd bij het ontwikkelen of aanschaffen van toe- passingen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Garanderen dat alle informatiebeveiligingseisen zijn geïdentificeerd en meegenomen bij het ont- wikkelen of aanschaffen van toepassingen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>Beveiligingseisen voor toepassingen behoren te worden geïdentificeerd en gespecificeerd. Deze ei- sen worden gewoonlijk aan de hand van een risi- cobeoordeling vastgesteld. De eisen behoren met ondersteuning van informatiebeveiligingsspecia- listen te worden ontwikkeld.</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Het is van belang aandacht te schenken aan per- soonlijke gezondheidsinformatie die niet direct als zodanig wordt herkend, zoals betalingsinformatie of informatie over vergoedingsmogelijkheden. In het bijzonder zijn van belang omstandigheden waarbij persoonlijke gezondheidsinformatie kan worden afgeleid, zoals metadata in relatie tot com- municatie over cliënten en hun gegevens.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>Toepassingsbeveiligingseisen kunnen allerlei on- derwerpen betreffen, afhankelijk van het doel van de toepassing.</p>
<p>Toepassingsbeveiligingseisen behoren het vol- gende te omvatten, al naargelang de situatie:</p>
<ol type="a">
<li><p>het niveau van vertrouwen in de identiteit van entiteiten [bijv. via authenticatie (zie 5.17, 8.2 en 8.5)];</p></li>
<li><p>het identificeren van het door de toepassing te verwerken soort informatie en het classificatie- niveau ervan;</p></li>
<li><p>de noodzaak van segmentatie van toegang en het niveau van toegang tot gegevens en functies in de toepassing;</p></li>
<li><p>weerstand tegen kwaadaardige aanvallen of onbedoelde verstoringen [bijv. bescherming te- gen bufferoverflow of SQL-injecties];</p></li>
<li><p>wettelijke, statutaire en regelgevende eisen in het rechtsgebied waar de transactie wordt ge- genereerd, verwerkt, voltooid of opgeslagen;</p></li>
<li><p>de noodzaak van privacy met betrekking tot alle betrokken partijen;</p></li>
<li><p>de eisen ten aanzien van bescherming van ver- trouwelijke informatie;</p></li>
<li><p>bescherming van gegevens tijdens de verwer- king, tijdens het transport en in ruste;</p></li>
<li><p>de noodzaak om communicatie tussen alle be- trokken partijen op beveiligde wijze te versleu- telen;</p></li>
<li><p>inputbeheersmaatregelen, waaronder integri- teitscontroles en validatie van de invoer;</p></li>
<li><p>geautomatiseerde beheersmaatregelen (bijv. goedkeuringslimieten of dubbele goedkeuring);</p></li>
<li><p>outputbeheersmaatregelen, waarbij ook wordt nagedacht over wie er toegang kan hebben tot output en de autorisatie ervoor;</p></li>
<li><p>beperkingen met betrekking tot de inhoud van ‘vrije tekstvelden’, aangezien deze kunnen lei- den tot ongecontroleerde opslag van vertrou- welijke gegevens (bijv. persoonsgegevens);</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="14" type="a">
<li><p>eisen die zijn afgeleid van het bedrijfsproces, zoals registreren en monitoren van transacties, eisen voor onweerlegbaarheid;</p></li>
<li><p>eisen die verplicht zijn gesteld door andere be- heersmaatregelen met betrekking tot beveili- ging (bijv. interfaces voor het registreren en monitoren of systemen voor het detecteren van lekken van gegevens);</p></li>
<li><p>het afhandelen van foutmeldingen.</p></li>
</ol>
<p><u>Transactionele diensten</u></p>
<p>In aanvulling hierop behoort voor toepassingen die transactionele diensten tussen de organisatie en een partner aanbieden, het volgende in aan- merking te worden genomen bij het identificeren van informatiebeveiligingseisen:</p>
<ol type="a">
<li><p>de mate van vertrouwen die beide partijen ei- sen van elkaars beweerde identiteit;</p></li>
<li><p>de vereiste mate van vertrouwen in de integri- teit van informatie die wordt uitgewisseld of verwerkt en de mechanismen voor het identifi- ceren van integriteitsgebreken (bijv. cyclische redundantiecontrole, hashing, digitale handte- keningen);</p></li>
<li><p>autorisatieprocedures voor wie de inhoud van belangrijke transactiedocumenten kan goed- keuren, belangrijke transactiedocumenten in circulatie kan brengen of kan ondertekenen;</p></li>
<li><p>vertrouwelijkheid, integriteit, bewijs van ver- zending en ontvangst van belangrijke docu- menten en de onweerlegbaarheid (bijv. con- tracten in samenhang met inschrijvings- en contractprocedures);</p></li>
<li><p>de vertrouwelijkheid en integriteit van transac- ties (bijv. orders, gegevens betreffende afleve- ringsadressen en ontvangstbevestigingen);</p></li>
<li><p>eisen ten aanzien van hoelang een transactie vertrouwelijk moet blijven;</p></li>
<li><p>verzekerings- en andere contractuele eisen.</p></li>
</ol>
<p><u>Toepassingen voor elektronisch bestellen en beta-</u> <u>len</u></p>
<p>In aanvulling hierop behoort het volgende in aan- merking te worden genomen voor toepassingen</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>waarbij er sprake is van elektronisch bestellen en betalen:</p>
<ol type="a">
<li><p>eisen om de vertrouwelijkheid en integriteit van orderinformatie in stand te houden;</p></li>
<li><p>de mate van verificatie die passend is voor con- trole van betalingsinformatie die door een klant is verstrekt;</p></li>
<li><p>verlies of vermenigvuldiging van transactie-in- formatie vermijden;</p></li>
<li><p>transactiegegevens buiten een publiek toegan- kelijke omgeving opslaan (bijv. op een opslag- platform op het intranet van de organisatie, in plaats van deze te bewaren en te tonen op di- rect vanuit internet toegankelijke elektronische opslagmedia);</p></li>
<li><p>als een vertrouwde instantie wordt gebruikt (bijv. voor het uitgeven en onderhouden van di- gitale handtekeningen of digitale certificaten), beveiliging integreren en inbedden in het ge- hele beheerproces van certificaten of handteke- ningen.</p></li>
</ol>
<p>Een aantal van de bovengenoemde aspecten kan worden opgepakt door toepassing van cryptogra- fie (zie 8.24), waarbij wettelijke eisen in aanmer- king worden genomen (zie 5.31 t/m 5.36, zie in het bijzonder 5.31 voor wetgeving betreffende cryptografie).</p></th>
<th style="text-align: left;"></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Toepassingen die toegankelijk zijn via netwerken, staan bloot aan een reeks netwerkgerelateerde dreigingen zoals frauduleuze activiteiten, geschil- len over contracten of openbaarmaking van infor- matie; onvolledige verzending, foutieve routering, ongeautoriseerd(e) wijziging, vermenigvuldiging of afspelen van berichten. Daarom zijn gedetail- leerde risicobeoordelingen en zorgvuldige vast- stelling van beheersmaatregelen onmisbaar. Ver- eiste beheersmaatregelen behelzen vaak crypto- grafische methoden voor het authenticeren en be- veiligen van gegevensoverdracht.</p>
<p>Verdere informatie over de beveiliging van toe- passingen is te vinden in de ISO/IEC 27034-reeks.</p></td>
<td style="text-align: left;"><p><strong>Overige zorgspecifieke informatie</strong></p>
<p>Bijlage D kan worden gebruikt voor het beoorde- len van beveiligingseisen tijdens het ontwikkelen of aanschaffen van toepassingen.</p></td>
</tr>
</tbody>
</table>

##### Veilige systeemarchitectuur en technische uitgangspunten

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td>#Toepassingsbe- veiliging #Systeem-_en_net- werkbeveiliging</td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Uitgangspunten voor het ontwerpen van bevei- ligde systemen behoren te worden vastgesteld, gedocumenteerd, onderhouden en toegepast voor alle activiteiten betreffende het ontwikkelen van informatiesystemen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Waarborgen dat informatiesystemen veilig wor- den ontworpen, geïmplementeerd en beheerd binnen de ontwikkelingslevenscyclus.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Er behoren uitgangspunten voor het ontwerpen van beveiligde systemen te worden vastgesteld, gedocumenteerd en toegepast voor ontwerpactivi- teiten voor informatiesystemen. Bij alle architec- tuurlagen (bedrijf, gegevens, toepassingen en technologie) behoort beveiliging deel uit te maken van het ontwerp. Nieuwe technologie behoort te worden geanalyseerd op veiligheidsrisico’s en het ontwerp behoort te worden beoordeeld aan de hand van bekende aanvalspatronen.</p>
<p>Uitgangspunten voor veilig ontwerpen bieden richtlijnen voor manipulatietechnieken, beheer van beveiligde sessies en gegevensvalidatie en op- schoning.</p>
<p>Uitgangspunten voor het ontwerpen van bevei- ligde systemen behoren een analyse te omvatten van:</p>
<ol type="a">
<li><p>het volledige spectrum van beheersmaatrege- len voor beveiliging dat vereist is om informa- tie en systemen tegen geïdentificeerde dreigin- gen te beschermen;</p></li>
<li><p>de capaciteit van beveiligingsbeheersmaatrege- len om beveiligingsgebeurtenissen te voorko- men, te detecteren of erop te reageren;</p></li>
<li><p>specifieke beveiligingsbeheersmaatregelen die worden vereist door bepaalde bedrijfsproces- sen (bijv. het versleutelen van gevoelige</p></li>
</ol></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>informatie, integriteitscontrole en digitale on- dertekening van informatie);</p>
</blockquote>
<ol start="4" type="a">
<li><p>waar en hoe beveiligingsbeheersmaatregelen behoren te worden toegepast (bijv. door ze te integreren met een beveiligingsarchitectuur en de technische infrastructuur);</p></li>
<li><p>hoe individuele beveiligingsbeheersmaatrege- len (handmatige en geautomatiseerde) samen- werken om een geïntegreerde verzameling be- heersmaatregelen tot stand te brengen.</p></li>
</ol>
<p>In de uitgangspunten voor het ontwerpen van be- veiligde systemen behoort rekening te worden ge- houden met:</p>
<ol type="a">
<li><p>de noodzaak van integratie met een beveili- gingsarchitectuur;</p></li>
<li><p>technische beveiligingsinfrastructuur [bijvoor- beeld openbaresleutelinfrastructuur (PKI), identiteits- en toegangsbeheer (IAM), voorko- ming van het lekken van gegevens en dyna- misch toegangsbeheer];</p></li>
<li><p>de capaciteit van de organisatie om de gekozen technologie te ontwikkelen en te ondersteunen;</p></li>
<li><p>de kosten, tijd en complexiteit van het voldoen aan de beveiligingseisen;</p></li>
<li><p>‘best practices’.</p></li>
</ol>
<p>Het ontwerp van beveiligde systemen behoort ge- paard te gaan met:</p>
<ol type="a">
<li><p>het gebruik van uitgangspunten voor beveili- gingsarchitectuur zoals ‘security by design’ (beveiliging door ontwerp), ‘defence in depth’, ‘security by default’, ‘default deny’ (standaard weigeren), ‘fail securely’, ‘distrust input from external applications’ (input van externe toe- passingen wantrouwen), ‘security in deploy- ment’ (beveiliging tijdens implementatie), ‘as- sume breach’ (uitgaan van inbreuk), ‘least pri- vilege’ (minimaal benodigde rechten), ‘usability and manageability’ (bruikbaarheid en beheer- baarheid) en ‘least functionality’ (minimale be- nodigde functionaliteit);</p></li>
<li><p>een beveiligingsgerichte beoordeling van het ontwerp om kwetsbaarheden op het gebied van informatiebeveiliging te helpen detecteren, ervoor te zorgen dat beveiligingsbeheersmaat- regelen zijn gespecificeerd en aan de beveili- gingseisen te voldoen;</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="3" type="a">
<li><p>documentatie en formele erkenning van bevei- ligingsbeheersmaatregelen die niet volledig aan de eisen voldoen (bijv. vanwege dwingende veiligheidseisen);</p></li>
<li><p>hardening van systemen.</p></li>
</ol>
<p>De organisatie behoort ‘zero trust’-beginselen te overwegen zoals:</p>
<ol type="a">
<li><p>ervan uitgaan dat er al sprake is van een in- breuk op de informatiesystemen van de organi- satie en er daarom niet alleen kan worden ver- trouwd op beveiliging van de buitengrenzen van netwerken;</p></li>
<li><p>een benadering van ‘nooit vertrouwen, altijd verifiëren’ hanteren voor toegang tot informa- tiesystemen;</p></li>
<li><p>bewerkstelligen dat verzoeken aan informatie- systemen van begin tot eind versleuteld zijn;</p></li>
<li><p>elk verzoek aan een informatiesysteem contro- leren alsof dit afkomstig is van een open, extern netwerk, zelfs als deze verzoeken intern uit de organisatie afkomstig zijn (d.w.z. niets binnen of buiten de buitengrenzen van de organisatie automatisch vertrouwen);</p></li>
<li><p>gebruikmaken van ‘least privilege’ (minste rechten) en dynamische toegangsbeveiligings- technieken (zie 5.15, 5.18 en 8.2). Dit omvat het authenticeren en autoriseren van verzoeken om informatie of aan systemen op basis van contextuele informatie zoals authenticatie-in- formatie (zie 5.17), gebruikersidentiteiten (zie 5.16), gegevens over het ‘endpoint device’ van de gebruiker, en gegevensclassificatie (zie 5.12);</p></li>
<li><p>personen die verzoeken indienen altijd authen- ticeren en autorisatieverzoeken aan informa- tiesystemen altijd valideren op basis van infor- matie, waaronder authenticatie-informatie (zie 5.17) en gebruikersidentiteiten (5.16), gege- vens over het ‘endpoint device’ van de gebrui- ker, en gegevensclassificatie (zie 5.12), bijvoor- beeld krachtige authenticatie (bijv. multifactor, zie 8.5) afdwingen.</p></li>
</ol>
<p>De vastgestelde uitgangspunten voor het ontwer- pen van beveiligde systemen en systeemarchitec- turen behoren indien van toepassing te worden toegepast op de uitbestede ontwikkeling van in- formatiesystemen via de contracten en andere bindende overeenkomsten tussen de organisatie</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>en de leverancier aan wie de organisatie uitbe- steedt. De organisatie behoort ervoor te zorgen dat de praktijken van leveranciers voor het ont- werpen van beveiligde systemen aansluiten op de behoeften van de organisatie.</p>
<p>De uitgangspunten voor het ontwerpen van bevei- ligde systemen en de vastgestelde ontwerpproce- dures behoren regelmatig te worden beoordeeld om te waarborgen dat ze doelmatig bijdragen aan verbeterde normen voor beveiliging binnen het ontwerpproces. Ze behoren ook regelmatig te worden beoordeeld om ervoor te zorgen dat ze ac- tueel blijven in de zin dat ze nieuwe potentiële dreigingen afwenden en toepasbaar blijven bij verbeteringen die worden toegepast in de techno- logieën en oplossingen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Uitgangspunten voor het ontwerpen van bevei- ligde systemen kunnen worden toegepast op het ontwerp of de configuratie van allerlei technieken, zoals:</p>
<ul>
<li><p>storingstolerantie en andere technieken met het oog op veerkracht;</p></li>
<li><p>segmentatie (bijv. door virtualisatie of contai- nerisatie);</p></li>
<li><p>bestendigheid tegen manipulatie.</p></li>
</ul>
<p>Er kunnen technieken voor beveiligde virtualisatie worden gebruikt om interferentie te voorkomen tussen toepassingen die op hetzelfde fysieke appa- raat draaien. Als een virtuele instantie van een toepassing door een aanvaller wordt gecompro- mitteerd, wordt alleen die instantie getroffen. De aanval heeft geen effect op andere toepassingen of gegevens.</p>
<p>Technieken voor weerstand tegen manipulatie kunnen worden gebruikt om manipulatie van in- formatiecontainers te detecteren, hetzij fysiek (bijv. een inbraakalarm), hetzij logisch (bijv. een gegevensbestand). Een kenmerk van dergelijke technieken is dat de poging om de container te manipuleren, wordt geregistreerd. Bovendien kan de beheersmaatregel voorkomen dat gegevens met succes worden geëxtraheerd door ze te ver- nietigen (het geheugen van het apparaat kan bij- voorbeeld worden gewist).</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Veilig coderen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td>#Toepassingsbe- veiliging #Systeem-_en_net- werkbeveiliging</td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Er behoren principes voor veilig coderen te wor- den toegepast op softwareontwikkeling.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Waarborgen dat veilige software wordt geschre- ven waardoor het aantal potentiële informatiebe- veiligingskwetsbaarheden in de software wordt beperkt.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p><u>Algemeen</u></p>
<p>De organisatie behoort organisatiebrede proces- sen op te stellen om te voorzien in goede gover- nance voor veilig coderen. Er behoort een mini- male nullijn wat betreft beveiliging te worden vastgesteld en toegepast. In aanvulling hierop be- horen dergelijke processen en governance te wor- den uitgebreid tot softwarecomponenten van der- den en opensourcesoftware.</p>
<p>De organisatie behoort te monitoren op dreigin- gen in de echte wereld en actueel advies en actu- ele informatie over kwetsbaarheden in software als richtlijn om de principes voor veilig coderen van de organisatie door middel van continue ver- betering en voortdurend leren te sturen. Dit kan bijdragen aan het garanderen dat er doeltreffende praktijken voor veilig coderen worden geïmple- menteerd als tegenhanger tegen het snel verande- rende dreigingslandschap.</p>
<p><u>Planning en voorafgaand aan het coderen</u></p>
<p>Principes voor veilig coderen behoren zowel voor nieuwe ontwikkelingen als bij hergebruikscena- rio's te worden gebruikt. Deze principes behoren te worden toegepast op ontwikkelingsactiviteiten binnen de organisatie en voor producten en dien- sten die de organisatie aan anderen levert. De planning en de voorwaarden voorafgaand aan het coderen behoren het volgende te omvatten:</p>
<p>a) organisatiespecifieke verwachtingen en goed- gekeurde principes voor veilig coderen die</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>zowel voor interne als voor uitbestede code- ontwikkelingen behoren te worden gebruikt;</p>
</blockquote>
<ol start="2" type="a">
<li><p>gebruikelijke en historische codeerpraktijken en -gebreken die tot kwetsbaarheden in de in- formatiebeveiliging leiden;</p></li>
<li><p>ontwikkelinstrumenten, zoals geïntegreerde ontwikkelomgevingen (IDE's), configureren om te helpen het maken van veilige code af te dwingen;</p></li>
<li><p>richtlijnen volgen die door de aanbieders van ontwikkelinstrumenten en uitvoeringsomge- vingen worden gegeven, al naargelang de situa- tie;</p></li>
<li><p>onderhoud en gebruik van actuele ontwikkelin- strumenten (bijv. compilers);</p></li>
<li><p>de kwalificatie van ontwikkelaars voor het schrijven van veilige code;</p></li>
<li><p>veilig ontwerp en veilige architectuur, met in- begrip van het opstellen van dreigingsmodel- len;</p></li>
<li><p>normen voor veilig coderen en waar relevant het gebruik ervan verplicht stellen;</p></li>
<li><p>het gebruik van beheerste omgevingen voor ontwikkeling.</p></li>
</ol>
<p><u>Tijdens het coderen</u></p>
<p>Overwegingen tijdens het coderen behoren te zijn:</p>
<ol type="a">
<li><p>veilige coderingspraktijken die specifiek zijn voor de programmeertalen en -technieken die worden gebruikt;</p></li>
<li><p>veilige programmeertechnieken gebruiken zo- als ‘pair programming’ (programmeren in duo's), ‘refactoring’ (code herstructureren), ‘peer review’ (beoordeling door collega's), be- veiligingsiteraties en testgestuurde ontwikke- ling;</p></li>
<li><p>gestructureerde programmeertechnieken ge- bruiken;</p></li>
<li><p>code documenteren en programmeerfouten verwijderen die anders misbruik van</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>kwetsbaarheden in de informatiebeveiliging mogelijk kunnen maken;</p>
</blockquote>
<p>e) het gebruik van onveilige ontwerptechnieken (bijvoorbeeld het gebruik van hardgecodeerde wachtwoorden, niet-goedgekeurde codesam- ples en niet-geauthenticeerde webdiensten) verbieden.</p>
<p>Er behoort tijdens en na het ontwikkelen te wor- den getest (zie 8.29). Met procedures voor het sta- tisch testen van de beveiliging van toepassingen (SAST) kunnen beveiligingslekken in software worden geïdentificeerd.</p>
<p>Alvorens software operationeel te maken, be- hoort:</p>
<ol type="a">
<li><p>het aanvalsoppervlak en het beginsel van het ‘least privilege’ (minste voorrechten) te wor- den geëvalueerd;</p></li>
<li><p>een analyse te worden uitgevoerd op de meest voorkomende programmeerfouten en te wor- den gedocumenteerd dat deze zijn hersteld.</p></li>
</ol>
<p><u>Beoordeling en onderhoud</u></p>
<p>Nadat de code operationeel is gemaakt:</p>
<ol type="a">
<li><p>behoren updates op beveiligde wijze te worden verpakt en ingezet;</p></li>
<li><p>behoren gemelde kwetsbaarheden in de infor- matiebeveiliging te worden opgepakt (zie 8.8);</p></li>
<li><p>behoren logbestanden te worden bijgehouden van fouten en vermeende aanvallen en behoren de logbestanden regelmatig te worden beoor- deeld om de code zo nodig aan te passen;</p></li>
<li><p>behoort de broncode te worden beschermd te- gen toegang en manipulatie door onbevoegden (bijv. door gebruik te maken van configuratie- beheerinstrumenten, die meestal functies als toegangsbeveiliging en versiebeheer bieden).</p></li>
</ol>
<p>Als er gebruikgemaakt wordt van externe instru- menten en bibliotheken, behoort de organisatie na te denken over:</p>
<ol type="a">
<li><p>het bewerkstelligen dat externe bibliotheken worden beheerd (bijv. door een inventarislijst bij te houden van bibliotheken die worden</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p>gebruikt en de desbetreffende versies) en re- gelmatig worden bijgewerkt met releasecycli;</p>
</blockquote>
<ol start="2" type="a">
<li><p>het selecteren, autoriseren en hergebruiken van goed gecontroleerde componenten, met name authenticatie- en cryptografische compo- nenten;</p></li>
<li><p>de licentie, beveiliging en historie van externe componenten;</p></li>
<li><p>het bewerkstelligen dat software kan worden onderhouden, wordt getraceerd en afkomstig is van beproefde, gerenommeerde bronnen;</p></li>
<li><p>het op voldoende lange termijn beschikbaar zijn van ontwikkelmiddelen en artefacten.</p></li>
</ol>
<p>Als het nodig is een softwarepakket te wijzigen, behoren de volgende punten in overweging te worden genomen:</p>
<ol type="a">
<li><p>het risico dat ingebouwde beheersmaatregelen en integriteitsprocessen gecompromitteerd ra- ken;</p></li>
<li><p>of het al dan niet nodig is toestemming van de leverancier te verkrijgen;</p></li>
<li><p>de mogelijkheid om de vereiste wijzigingen van de aanbieder als standaard programma-upda- tes te verkrijgen;</p></li>
<li><p>de impact als de organisatie verantwoordelijk wordt gehouden voor het toekomstig onder- houd van de software als gevolg van de veran- deringen;</p></li>
<li><p>compatibiliteit met andere software die in ge- bruik is.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Een leidend principe is bewerkstelligen dat bevei- ligingsrelevante code wordt aangeroepen wan- neer dat nodig is en deze bestand is tegen manipu- latie. Programma's die worden geïnstalleerd op basis van gecompileerde binaire code hebben deze eigenschappen ook, maar alleen voor gegevens die binnen de toepassing worden bewaard. Voor geïn- terpreteerde talen werkt het concept alleen wan- neer de code wordt uitgevoerd op een server waartoe de gebruikers en de processen die er ge-</p>
<p>bruik van maken verder geen toegang hebben en de gegevens ervan in een op vergelijkbare wijze</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>beschermde database worden bewaard. De geïn- terpreteerde code kan bijvoorbeeld worden uitge- voerd op een clouddienst waar beheerdersrechten vereist zijn voor toegang tot de code op zich. Der- gelijke toegang door een beheerder behoort te worden beschermd door beveiligingsmechanis- men zoals just-in-timebeheerprincipes en krach- tige authenticatie. Indien de eigenaar van een toe- passing op afstand via de server toegang kan ma- ken tot scripts, kan een aanvaller dat in principe ook. Webservers behoren dusdanig te worden ge- configureerd dat het doorzoeken van directory's in dergelijke gevallen niet mogelijk is.</p>
<p>Het is het beste om er bij het ontwerpen van een toepassingscode vanuit te gaan dat deze code al- tijd het doelwit is van aanvallen, als gevolg van fouten of door kwaadwillige opzet. Bovendien kunnen kritische toepassingen zo worden ontwor- pen dat ze bestand zijn tegen interne fouten of sto- ringen. Zo kan bijvoorbeeld de output van een complex algoritme worden gecontroleerd om te garanderen dat deze binnen veilige grenzen ligt voordat de gegevens worden gebruikt in een toe- passing zoals een veiligheids- of financieel kriti- sche toepassing. De code die de grenscontroles uitvoert, is eenvoudig en daarom veel gemakkelij- ker om de juistheid ermee aan te tonen.</p>
<p>Bepaalde internettoepassingen zijn gevoelig voor allerlei kwetsbaarheden die worden veroorzaakt door slecht ontwerp en slecht coderen, zoals injec- tieaanvallen op databases en ‘cross-site scripting’- aanvallen. Bij deze aanvallen kunnen verzoeken worden gemanipuleerd om misbruik te maken van de webserverfunctionaliteit.</p>
<p>Meer informatie over het evalueren van ICT-bevei- liging is te vinden in de ISO/IEC 15408-reeks.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Testen van de beveiliging tijdens ontwikkeling en acceptatie

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Identificeren</td>
<td><p>#Toepassingsbe- veiliging #Borging_van_in- formatiebeveili- ging</p>
<p>#Systeem-_en_net- werkbeveiliging</p></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Processen voor het testen van de beveiliging beho- ren te worden gedefinieerd en geïmplementeerd in de ontwikkelcyclus.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Valideren of aan de informatiebeveiligingseisen wordt voldaan wanneer toepassingen of code in de productieomgeving worden uitgerold.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Nieuwe informatiesystemen, upgrades en nieuwe versies behoren tijdens de ontwikkelingsproces- sen grondig te worden getest en geverifieerd. Het testen van de beveiliging behoort een integraal onderdeel te zijn van het testen voor systemen of componenten.</p>
<p>Het testen van de beveiliging behoort te worden uitgevoerd aan de hand van een verzameling eisen die als functioneel of niet-functioneel kunnen wor- den uitgedrukt. Het testen van de beveiliging be- hoort het testen te omvatten van:</p>
<ol type="a">
<li><p>beveiligingsfuncties [bijv. authenticatie van ge- bruikers (zie 8.5), toegangsbeperking (zie 8.3) en het gebruik van cryptografie (zie 8.24)];</p></li>
<li><p>veilig coderen (zie 8.28);</p></li>
<li><p>beveiligde configuraties (zie 8.9, 8.20 en 8.22) waaronder die van besturingssystemen, fire- walls en andere beveiligingscomponenten.</p></li>
</ol>
<p>Testplannen behoren met behulp van een verza- meling criteria te worden vastgesteld. De omvang van de tests behoort in verhouding te staan tot het belang, de aard van het systeem en de mogelijke impact van de verandering die wordt ingevoerd.</p>
<p>Het testplan behoort het volgende te omvatten:</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Er behoren acceptatiecriteria te worden vastge- steld voor geplande nieuwe informatiesystemen, upgrades en nieuwe versies. Geschikte tests van deze systemen, upgrades en versies behoren voor- afgaand aan acceptatie te worden uitgevoerd.</p>
<p>Klinische gebruikers behoren te worden betrok- ken bij het testen van klinisch relevante systeem- functies.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol type="a">
<li><p>een gedetailleerd schema van de activiteiten en tests;</p></li>
<li><p>input en verwachte output onder allerlei om- standigheden;</p></li>
<li><p>criteria om de resultaten te evalueren;</p></li>
<li><p>een besluit over verdere acties naarmate nodig is.</p></li>
</ol>
<p>De organisatie kan geautomatiseerde instrumen- ten inzetten zoals instrumenten om codes te ana- lyseren of om op kwetsbaarheden te scannen, en behoort het herstel van beveiligingsgerelateerde tekortkomingen te verifiëren.</p>
<p>Voor interne ontwikkelactiviteiten behoren derge- lijke tests in eerste instantie te worden uitgevoerd door het ontwikkelteam. Vervolgens behoren on- afhankelijke tests te worden uitgevoerd om te be- werkstelligen dat het systeem uitsluitend werkt zoals voorzien (zie 5.8). Het volgende behoort te worden overwogen:</p>
<ol type="a">
<li><p>het uitvoeren van activiteiten om code te be- oordelen als relevant element voor het testen op zwakke plekken in de beveiliging, met inbe- grip van onvoorziene inputs en omstandighe- den;</p></li>
<li><p>het scannen op kwetsbaarheden om onveilige configuraties en kwetsbaarheden in systemen te identificeren;</p></li>
<li><p>het uitvoeren van penetratietests om onveilige code en ontwerpen te identificeren.</p></li>
</ol>
<p>Voor uitbestede ontwikkeling en het inkopen van componenten behoort een verwervingsprocedure te worden gevolgd. In de contracten met de leve- rancier behoren de vastgestelde beveiligingseisen te zijn opgenomen (zie 5.20). Voordat producten en diensten worden gekocht, behoren ze te wor- den geëvalueerd tegen deze criteria.</p>
<p>Tests behoren te worden uitgevoerd in een test- omgeving die zo nauwkeurig mogelijk overeen- komt met de doelproductieomgeving om te be- werkstelligen dat het systeem geen kwetsbaarhe- den introduceert in de omgeving van de organisa- tie en dat de tests betrouwbaar zijn (zie 8.31).</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Overige informatie</strong></p>
<p>Er kunnen meer testomgevingen worden opgezet die gebruikt kunnen worden voor verschillende soorten tests (bijv. functionele en prestatietests). Deze verschillende omgevingen kunnen virtueel zijn, met individuele configuraties om allerlei ver- schillende bedrijfsomgevingen te simuleren.</p>
<p>Het testen en monitoren van testomgevingen, -in- strumenten en -technologieën behoort ook te wor- den overwogen om doeltreffend testen te bewerk- stelligen. Dezelfde overwegingen gelden voor het monitoren van de monitoringsystemen die wor- den ingezet in ontwikkel-, test- en productieomge- vingen. Aan de hand van de gevoeligheid van de systemen en gegevens behoort te worden beoor- deeld hoeveel lagen metatests zinvol zijn.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Uitbestede systeemontwikkeling

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2" style="text-align: left;"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief #Detectief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2" style="text-align: left;">#Identificeren #Beschermen #Detecteren</td>
<td><blockquote>
<p>#Systeem-_en_net- werkbeveiliging #Toepassingsbe- veiliging #Beveiliging_in_le- veranciersrelaties</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem #Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>De organisatie behoort de activiteiten in verband met uitbestede systeemontwikkeling te sturen, be- waken en beoordelen.</p></td>
<td colspan="3" style="text-align: left;"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Garanderen dat de door de organisatie vereiste in- formatiebeveiligingsmaatregelen bij uitbestede systeemontwikkeling worden geïmplementeerd.</p></td>
<td colspan="3" style="text-align: left;"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Als systeemontwikkeling wordt uitbesteed, be- hoort de organisatie eisen en verwachtingen te communiceren en overeen te komen en voortdu- rend te monitoren, en te beoordelen of de levering van uitbesteed werk aan deze verwachtingen vol- doet. De volgende punten behoren in de gehele ex- terne toeleveringsketen van de organisatie in overweging te worden genomen:</p>
<p>a) licentieovereenkomsten, eigendom van de broncode en intellectuele-eigendomsrechten in verband met de uitbestede inhoud (zie 5.32);</p></td>
<td colspan="3" style="text-align: left;"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="2" type="a">
<li><p>contractuele eisen voor beveiligde ontwikkel-, coderings- en testpraktijken (zie 8.25 t/m 8.29);</p></li>
<li><p>het door externe ontwikkelaars in aanmerking te nemen dreigingsmodel aanleveren;</p></li>
<li><p>acceptatietests voor de kwaliteit en nauwkeu- righeid van de leveringen (zie 8.29);</p></li>
<li><p>bewijs leveren dat de beveiligings- en privacy- capaciteiten aan een minimaal aanvaardbaar niveau voldoen (bijv. borgingsverslagen);</p></li>
<li><p>bewijs leveren dat voldoende tests zijn uitge- voerd om te waken voor de (zowel opzettelijke als onbedoelde) aanwezigheid van kwaadaar- dige inhoud op het tijdstip van levering;</p></li>
<li><p>bewijs leveren dat voldoende tests zijn uitge- voerd om te waken voor de aanwezigheid van bekende kwetsbaarheden;</p></li>
<li><p>escrowovereenkomsten voor de broncode van het systeem (bijv. indien de leverancier failliet gaat);</p></li>
<li><p>contractueel recht om ontwikkelprocessen en beheersmaatregelen te auditen;</p></li>
<li><p>beveiligingseisen voor de ontwikkelomgeving (zie 8.31);</p></li>
<li><p>rekening houden met toepasselijke wetgeving (bijv. inzake de bescherming van persoonsge- gevens).</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Verdere informatie over leveranciersrelaties is te vinden in de ISO/IEC 27036-reeks.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Scheiding van ontwikkel-, test- en productieomgevingen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td>#Toepassingsbe- veiliging #Systeem-_en_net- werkbeveiliging</td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Ontwikkel-, test- en productieomgevingen beho- ren te worden gescheiden en beveiligd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De productieomgeving en de gegevens bescher- men tegen compromittering door ontwikkel- en testactiviteiten.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Richtlijn</strong></p>
<p>Het scheidingsniveau tussen productie-, test- en ontwikkelomgevingen dat nodig is om operatio- nele problemen te voorkomen, behoort te worden geïdentificeerd en geïmplementeerd.</p>
<p>Met de volgende aspecten behoort rekening te worden gehouden:</p>
<ol type="a">
<li><p>ontwikkel- en productiesystemen in afdoende mate van elkaar scheiden en ze in verschillende domeinen uitvoeren (bijv. in gescheiden virtu- ele of fysieke omgevingen);</p></li>
<li><p>regels en autorisaties definiëren, documente- ren en implementeren voor het inzetten van software vanuit de ontwikkel- naar de produc- tiestatus;</p></li>
<li><p>veranderingen aan productiesystemen en toe- passingen in een test- of gefaseerde omgeving testen voordat ze in productiesystemen wor- den toegepast (zie 8.29);</p></li>
<li><p>niet testen in productieomgevingen behalve in gedefinieerde en goedgekeurde omstandighe- den;</p></li>
<li><p>compilers, editors en andere ontwikkelinstru- menten of systeemhulpmiddelen behoren, in- dien ze niet nodig zijn, niet toegankelijk te zijn vanuit productiesystemen;</p></li>
<li><p>passende milieu-identificatielabels in menu's tonen om het risico op fouten te beperken;</p></li>
<li><p>geen gevoelige informatie naar de ontwikkel- en testsysteemomgevingen kopiëren tenzij er wordt voorzien in gelijkwaardige beheersmaat- regelen voor de ontwikkel- en testsystemen.</p></li>
</ol>
<p>In alle gevallen behoren de ontwikkel- en testom- gevingen te worden beschermd, waarbij het vol- gende in aanmerking behoort te worden geno- men:</p>
<ol type="a">
<li><p>het patchen en bijwerken van alle ontwikke- lings-, integratie- en testinstrumenten (met in- begrip van builders, integratie-instrumenten, compilers, configuratiesystemen en bibliothe- ken);</p></li>
</ol></th>
<th><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Ontwikkel- en testomgevingen voor systemen die gezondheidsinformatie verwerken, evenals trai- ningsomgevingen, behoren te worden gescheiden van productieomgevingen die die gezondheidsin- formatiesystemen hosten.</p>
<p>Er behoren regels voor de inzet van software van de ontwikkel- naar een operationele status te wor- den gedefinieerd, gedocumenteerd en geïmple- menteerd.</p>
<p>Tests behoren niet in productieomgevingen plaats te vinden en niet op persoonlijke gezondheidsin- formatie te worden uitgevoerd.</p></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol start="2" type="a">
<li><p>beveiligde configuratie van systemen en soft- ware;</p></li>
<li><p>toegangsbeveiliging voor de omgevingen;</p></li>
<li><p>monitoren van veranderingen aan de omgeving en de daarin opgeslagen codes;</p></li>
<li><p>beveiligde monitoring van de omgevingen;</p></li>
<li><p>back-ups maken van de omgevingen.</p></li>
</ol>
<p>Het behoort niet mogelijk te zijn dat één persoon zonder voorafgaande beoordeling en goedkeuring veranderingen aan zowel de ontwikkeling als de productie kan doorvoeren. Dit kan bijvoorbeeld worden bereikt door toegangsrechten te scheiden of door middel van regels die worden gemonitord. In uitzonderingssituaties behoren aanvullende maatregelen zoals het bijhouden van gedetail- leerde logbestanden en realtimemonitoring te worden geïmplementeerd om veranderingen door onbevoegden te detecteren en er actie op te on- dernemen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Zonder afdoende maatregelen en procedures kun- nen ontwikkelaars en testers die toegang hebben tot productiesystemen, aanmerkelijke risico's in- troduceren (bijv. ongewenste wijziging van be- standen of de systeemomgeving, systeemstorin- gen, niet-goedgekeurde en niet-geteste code in productiesystemen uitvoeren, openbaarmaking van vertrouwelijke gegevens, en problemen met de integriteit en beschikbaarheid van gegevens). Het is nodig een bekende en stabiele omgeving te onderhouden voor het uitvoeren van zinvolle tests en om ongepaste toegang van de ontwikkelaar tot de productieomgeving te voorkomen.</p>
<p>Maatregelen en procedures omvatten zorgvuldig ontworpen rollen in combinatie met het imple- menteren van eisen met betrekking tot de seg- mentatie van functies en het beschikken over af- doende monitoringprocessen.</p>
<p>Medewerkers die worden ingezet voor ontwikke- ling en testen, vormen ook een dreiging voor de vertrouwelijkheid van bedrijfsinformatie. Ontwik- kel- en testactiviteiten kunnen onbedoelde veran- deringen aan software of informatie veroorzaken als ze dezelfde informatieverwerkende omgeving</p>
<p>delen. Het is daarom wenselijk om ontwikkel-, test- en productieomgevingen te scheiden, om het</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>risico op onbedoelde verandering of onbevoegde toegang tot productiesoftware en bedrijfsgege- vens te verlagen (zie 8.33 voor het beschermen van testinformatie).</p>
<p>In bepaalde gevallen kan het onderscheid tussen ontwikkel-, test- en productieomgevingen opzette- lijk worden vervaagd en kan het testen worden uitgevoerd in een ontwikkelomgeving of door middel van een beheerste uitrol naar livegebrui- kers of -servers (bijv. een kleine groep proefge- bruikers). In bepaalde gevallen kan het product worden getest door het livegebruik van het pro- duct binnen de organisatie. Daarnaast, om uitval van live-implementaties te beperken, kunnen twee identieke productieomgevingen worden onder- steund, waarvan er altijd slechts één live is.</p>
<p>Er zijn ondersteunende processen nodig voor het gebruik van productiegegevens in ontwikkel- en testomgevingen (8.33).</p>
<p>Organisaties kunnen ook de hier gegeven richtlij- nen voor trainingsomgevingen bij het trainen van eindgebruikers in aanmerking nemen.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Wijzigingsbeheer

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td>#Toepassingsbe- veiliging #Systeem-_en_net- werkbeveiliging</td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Wijzigingen in informatieverwerkende faciliteiten en informatiesystemen moeten onderworpen zijn aan procedures voor wijzigingsbeheer.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De informatiebeveiliging behouden tijdens het uit- voeren van wijzigingen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Nieuwe systemen en belangrijke wijzigingen aan bestaande systemen behoren volgens overeenge- komen regels en een formeel proces van docu- mentatie, specificatie, testen, kwaliteitscontrole en beheerde implementatie te worden geïntrodu-</p>
<p>ceerd. Verantwoordelijkheden en procedures voor beheer behoren te worden vastgelegd om</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Ongepaste, niet afdoende beproefde of onjuiste veranderingen aan het verwerken van persoon- lijke gezondheidsinformatie kunnen nadelige ge- volgen hebben voor de verlening van zorg en de veiligheid van patiënten.</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>afdoende beheersing van alle veranderingen te waarborgen.</p>
<p>Procedures voor wijzigingsbeheer behoren te worden gedocumenteerd en gehandhaafd om de vertrouwelijkheid, integriteit en beschikbaarheid van informatie in informatieverwerkende facilitei- ten en informatiesystemen te garanderen gedu- rende de gehele ontwikkelcyclus van systemen, vanaf het begin van de ontwerpfase tot en met alle daaropvolgende onderhoudsinspanningen.</p>
<p>Waar mogelijk behoren de procedures voor wijzi- gingsbeheer voor ICT-infrastructuur en -software te worden geïntegreerd.</p>
<p>De procedures voor wijzigingsbeheer behoren het volgende te omvatten:</p>
<ol type="a">
<li><p>het plannen en beoordelen van de potentiële impact van wijzigingen, waarbij alle afhanke- lijkheden in aanmerking worden genomen;</p></li>
<li><p>autorisatie van veranderingen;</p></li>
<li><p>veranderingen aan relevante belanghebbenden communiceren;</p></li>
<li><p>tests en de aanvaarding van tests voor de ver- anderingen (zie 8.29);</p></li>
<li><p>implementatie van veranderingen met inbegrip van inzetplannen;</p></li>
<li><p>nood- en voorzorgsoverwegingen, met inbegrip van vangnetprocedures;</p></li>
<li><p>registraties onderhouden van veranderingen waarin alle bovenstaande punten worden op- genomen;</p></li>
<li><p>waarborgen dat bedieningsdocumentatie (zie 5.37) en gebruikersprocedures indien nodig worden gewijzigd om ze toepasbaar te houden;</p></li>
<li><p>bewerkstelligen dat de plannen voor ICT-conti- nuïteit en de respons- en herstelprocedures (zie 5.30) worden gewijzigd naarmate nodig is om passend te blijven.</p></li>
</ol></th>
<th style="text-align: left;">Het veranderingsproces behoort de risico's van de verandering expliciet te registreren, te beoordelen en te beheersen.</th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Onvoldoende beheersing van veranderingen aan informatieverwerkende faciliteiten en informatie- systemen is een algemene oorzaak van systeem- of beveiligingsfouten. Veranderingen aan de produc- tieomgeving, in het bijzonder als software wordt</p>
<p>gemuteerd van de ontwikkelings- naar de</p></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p>uitvoeringsomgeving, kunnen van invloed zijn op de integriteit en beschikbaarheid van toepassin- gen.</p>
<p>Het wijzigen van software kan van invloed zijn op de productieomgeving en vice versa.</p>
<p>Bij een goede werkwijze wordt het testen van ICT- componenten uitgevoerd in een omgeving die zowel gescheiden is van de productie- als van de ontwikkelomgevingen (zie 8.31). Hierdoor wordt het mogelijk om controle te hebben over nieuwe software en om extra bescherming te bieden voor uitvoeringsinformatie die wordt gebruikt voor testdoeleinden. Dit behoort te gelden voor pat- ches, servicepacks en andere updates.</p>
<p>De productieomgeving omvat besturingssys- temen, databases en middlewareplatforms. De controle behoort te worden toegepast voor veran- deringen van toepassingen en infrastructuren.</p></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

##### Testgegevens

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Testgegevens behoren op passende wijze te wor- den geselecteerd, beschermd en beheerd.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De relevantie van het testen en de bescherming van operationele gegevens die voor het testen worden gebruikt, waarborgen.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Richtlijn</strong></p>
<p>Testgegevens behoren dusdanig te worden gese- lecteerd dat de betrouwbaarheid van testresulta- ten en de vertrouwelijkheid van de relevante ope- rationele gegevens gegarandeerd worden. Er be- horen geen gevoelige gegevens (met inbegrip van persoonsgegevens) in de ontwikkel- en testomge- vingen te worden gekopieerd (zie 8.31).</p>
<p>De volgende richtlijnen behoren te worden toege- past om de exemplaren of kopieën van operatio- nele gegevens, wanneer deze worden gebruikt voor testdoeleinden, te beschermen, ongeacht of de testomgeving lokaal is gebouwd of zich op een clouddienst bevindt:</p></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>Er behoort geen daadwerkelijke persoonlijke ge- zondheidsinformatie te worden gebruikt als test- gegevens, maar er behoren stappen te worden ge- nomen om te waarborgen dat de testgegevens rea- listisch zijn (zie bijvoorbeeld 8.11).</p></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><ol type="a">
<li><p>de toegangsbeveiligingsprocedures die worden toegepast op operationele omgevingen, ook op testomgevingen toepassen;</p></li>
<li><p>voor elke keer dat besturingsgegevens naar een testomgeving worden gekopieerd, een afzon- derlijke autorisatie verkrijgen;</p></li>
<li><p>logbestanden van het kopiëren en gebruiken van besturingsgegevens bijhouden om in een audittraject te voorzien;</p></li>
<li><p>gevoelige gegevens beschermen door deze te verwijderen of te maskeren (zie 8.11) bij ge- bruik voor testen;</p></li>
<li><p>operationele gegevens naar behoren uit een testomgeving wissen (zie 8.10) onmiddellijk nadat het testen is afgerond om zo gebruik van testgegevens door onbevoegden te voorkomen.</p></li>
</ol>
<p>Testgegevens behoren veilig te worden opgesla- gen (om manipulatie te voorkomen, die anders tot ongeldige resultaten kan leiden) en alleen voor testdoeleinden te worden gebruikt.</p></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Systeem- en acceptatietests kunnen substantiële hoeveelheden testgegevens vereisen die een zo getrouw mogelijke weergave zijn van operationele gegevens.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### Bescherming van informatiesystemen tijdens audits

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid #Integriteit #Beschikbaarheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Systeem-_en_net- werkbeveiliging #Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Governance_en_ Ecosysteem #Bescher- ming</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"><p><strong>Beheersmaatregel</strong></p>
<p>Audittests en andere auditactiviteiten waarbij operationele systemen worden beoordeeld, beho- ren te worden gepland en overeengekomen tussen de tester en het verantwoordelijke management.</p></td>
<td colspan="3"></td>
</tr>
<tr>
<td colspan="3"><p><strong>Doel</strong></p>
<p>De impact van audittests en andere auditactivitei- ten op operationele systemen en bedrijfsproces- sen tot een minimum beperken.</p></td>
<td colspan="3"></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 49%" />
<col style="width: 50%" />
</colgroup>
<thead>
<tr>
<th><p><strong>Richtlijn</strong></p>
<p>De volgende richtlijnen behoren te worden over- wogen:</p>
<ol type="a">
<li><p>verzoeken voor toegang tot systemen en gege- vens in het kader van audits met de juiste ma- nagers overeenkomen;</p></li>
<li><p>de reikwijdte van de technische audittests overeenkomen en beheersen;</p></li>
<li><p>audittests beperken tot alleen-lezentoegang tot software en gegevens. Indien er geen alleen-le- zentoegang beschikbaar is om de nodige infor- matie te verkrijgen, de test laten uitvoeren door een ervaren beheerder die namens de au- ditor over de nodige toegangsrechten beschikt;</p></li>
<li><p>indien toegang wordt verleend, de beveiligings- eisen (bijv. antivirus en patching) voor de ap- paratuur die wordt gebruikt voor toegang tot de systemen (bijv. laptops of tablets), vaststel- len en verifiëren voordat toegang wordt ver- leend;</p></li>
<li><p>toegang anders dan ‘alleen lezen’ alleen toela- ten voor geïsoleerde kopieën van systeembe- standen, deze wissen als de audit is uitgevoerd of ze voldoende beschermen indien het ver- plicht is deze bestanden bij de vereiste auditdo- cumenten te bewaren;</p></li>
<li><p>verzoeken om speciale of extra verwerking, zo- als het gebruik van auditinstrumenten, identifi- ceren en hierover overeenstemming bereiken;</p></li>
<li><p>audittests die de beschikbaarheid van sys- temen kunnen beïnvloeden, buiten werkuren laten plaatsvinden;</p></li>
<li><p>alle toegang voor audit- en testdoeleinden monitoren en in logbestanden registreren.</p></li>
</ol></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td><p><strong>Overige informatie</strong></p>
<p>Audittests en andere auditactiviteiten kunnen ook plaatsvinden op ontwikkel- en testsystemen, waarbij deze tests bijvoorbeeld gevolgen kunnen hebben voor de integriteit van code of ertoe kun- nen leiden dat in die omgevingen bewaarde ge- voelige informatie openbaar wordt gemaakt.</p></td>
<td></td>
</tr>
</tbody>
</table>

##### HLT – Zero trust-beginselen

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 24%" />
<col style="width: 7%" />
<col style="width: 8%" />
<col style="width: 17%" />
<col style="width: 23%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Informatiebeveiligings- eigenschappen</strong></p>
</blockquote></th>
<th colspan="2"><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligingsdomeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td>#Preventief</td>
<td>#Vertrouwelijkheid</td>
<td colspan="2">#Beschermen</td>
<td><blockquote>
<p>#Informatiebe- scherming, #Sys- teem-_en_net- werkbeveiliging, #Identiteits-</p>
<p>_en_toegangsbe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming, #Verde- diging</p>
</blockquote></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke beheersmaatregel</strong></p>
<p>Aan een netwerksegment toegewezen groepen in- formatiediensten, gebruikers en informatiesys- temen behoren zo klein mogelijk te worden ge- houden en behoren slechts toegang tot een ander netwerksegment te hebben nadat beide betrokken segmenten elkaar hebben geauthentiseerd.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Doel</strong></p>
<p>Waarborgen dat met een netwerk verbonden enti- teiten niet standaard worden vertrouwd.</p></td>
</tr>
<tr>
<td colspan="3"></td>
<td colspan="3"><p><strong>Zorgspecifieke richtlijn</strong></p>
<p>De zero-trust-beveiliging staat ook bekend als be- veiliging zonder grenzen. Het hoofdconcept is "vertrouw nooit op iets, maar controleer altijd", hetgeen betekent dat informatiediensten, gebrui- kers en informatiesystemen niet standaard ver- trouwd behoren te worden.</p>
<p>Zero-trust wordt geïmplementeerd door:</p>
<ol type="a">
<li><p>krachtige identiteitsverificatie in te richten;</p></li>
<li><p>te valideren dat apparaten aan de eisen vol- doen alvorens toegang te verlenen;</p></li>
<li><p>toegang met de laagste rechten tot alleen expli- ciet geautoriseerde middelen te waarborgen;</p></li>
<li><p>wederzijdse authenticatie uit te voeren, met in- begrip van het controleren van de identiteit en integriteit van gebruikers en apparaten zonder rekening te houden met locatie, en</p></li>
<li><p>toegang tot informatiesystemen en informatie- diensten te verlenen op basis van de identiteit van een systeem/apparaat en de beveiligings- status ervan, in combinatie met passende au- thenticatie.</p></li>
</ol>
<p>Zie 8.22.</p></td>
</tr>
</tbody>
</table>

## Bijlage A

(informatief)

## Attributen gebruiken

#### Algemeen

> Deze bijlage geeft een tabel die laat zien hoe attributen kunnen worden gebruikt om verschillende overzichten van de beheersmaatregelen te realiseren. De vijf voorbeelden van het gebruik van deze attributen zijn (zie 4.2):

1)  Typen beheersmaatregel (#Preventief, \#Detectief, \#Corrigerend)

2)  Informatiebeveiligingseigenschappen (#Vertrouwelijkheid, \#Integriteit, \#Beschikbaarheid)

3)  Cybersecurityconcepten (#Identificeren, \#Beschermen, \#Detecteren, \#Reageren, \#Herstellen)

4)  Operationele capaciteiten (#Governance, \#Beheer_van_bedrijfsmiddelen, \#Informatiebescherming, \#Personeelsbeveiliging, \#Fysieke_beveiliging, \#Systeem-\_en_netwerkbeveiliging, \#Toepassingsbe- veiliging, \#Veilige_configuratie, \#Identiteits-\_en_toegangsbeheer, \#Beheer_van_dreigin- gen_en_kwetsbaarheden, \#Continuïteit, \#Beveiliging_in_leveranciersrelaties, \#Juridisch_en_compli- ance, \#Beheer_van_informatiebeveiligingsgebeurtenissen, \#Borging_van_informatiebeveiliging)

5)  Beveiligingsdomeinen (#Governance_en_Ecosysteem, \#Bescherming, \#Verdediging, \#Veerkracht)

> Tabel A.1 bevat een matrix van alle beheersmaatregelen in dit document met de bijbehorende attribuutwaarden.
>
> De matrix kan worden gefilterd of gesorteerd met behulp van een hulpmiddel zoals een eenvoudige spreadsheet of een database, die nog meer informatie kan bevatten zoals teksten voor beheersmaatregelen, richtlijnen, organisatiespecifieke richtlijnen of attributen (zie A.2).

###### Tabel A.1 — Matrix van beheersmaatregelen en attribuutwaarden

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.1</p>
</blockquote></td>
<td><blockquote>
<p>Beleidsregels voor informatie- beveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Governance</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem #Veer- kracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.2</p>
</blockquote></td>
<td><blockquote>
<p>Rollen en ver- antwoordelijk- heden bij infor- matiebeveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Governance</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.3</p>
</blockquote></td>
<td><blockquote>
<p>Functieschei- ding</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance #Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.4</p>
</blockquote></td>
<td><blockquote>
<p>Management- verantwoorde- lijkheden</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Governance</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.5</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Contact met overheidsin- stanties</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Beschermen #Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.6</p>
</blockquote></td>
<td><blockquote>
<p>Contact met speciale belan- gengroepen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance</p>
</blockquote></td>
<td style="text-align: center;">#Verdediging</td>
</tr>
<tr>
<td><blockquote>
<p>5.7</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Informatie en analyses over dreigingen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Detectief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Detecteren #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ dreigingen_en_ kwetsbaarhe- den</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.8</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebe- veiliging in pro- jectmanagement</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.9</p>
</blockquote></td>
<td><blockquote>
<p>Inventarisatie van informatie en andere gere- lateerde be- drijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ bedrijfsmidde- len</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.10</p>
</blockquote></td>
<td><blockquote>
<p>Aanvaardbaar gebruik van in- formatie en an- dere gerela- teerde bedrijfs- middelen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Be-</p>
<p>heer_van_be- drijfsmiddelen #Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.11</p>
</blockquote></td>
<td><blockquote>
<p>Retourneren van bedrijfsmid- delen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ bedrijfsmidde- len</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>5.12</p>
</blockquote></td>
<td><blockquote>
<p>Classificeren van informatie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.13</p>
</blockquote></td>
<td><blockquote>
<p>Labelen van in- formatie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging #Bescherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.14</p>
</blockquote></td>
<td><blockquote>
<p>Overdragen van informatie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ bedrijfsmidde- len #Informatie- bescherming</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th style="text-align: center;"><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.15</p>
</blockquote></td>
<td><blockquote>
<p>Toegangsbevei- liging</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>5.16</p>
</blockquote></td>
<td><blockquote>
<p>Identiteitsbe- heer</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>5.17</p>
</blockquote></td>
<td><blockquote>
<p>Beheren van au- thenticatie-in- formatie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>5.18</p>
</blockquote></td>
<td><blockquote>
<p>Toegangsrech- ten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>5.19</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebe- veiliging in leve- ranciersrelaties</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Beveili- ging_in_leveran- ciersrelaties</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.20</p>
</blockquote></td>
<td><blockquote>
<p>Adresseren van informatiebe- veiliging in leve- ranciersover- eenkomsten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Beveili- ging_in_leveran- ciersrelaties</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.21</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Beheren van in- formatiebeveili- ging in de</p>
<p>ICT-keten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Beveili- ging_in_leveran- ciersrelaties</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.22</p>
</blockquote></td>
<td><blockquote>
<p>Monitoren, be- oordelen en het beheren van wijzigingen van leveranciers- diensten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Beveili- ging_in_leveran- ciersrelaties #Borging_van_ informatiebe- veiliging</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.23</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebe- veiliging voor het gebruik van clouddiensten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Beveili- ging_in_leveran- ciersrelaties</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.24</p>
</blockquote></td>
<td><blockquote>
<p>Plannen en voorbereiden van het beheer van informatie- beveiligingsinci- denten</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance #Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td style="text-align: center;">#Verdediging</td>
</tr>
<tr>
<td><blockquote>
<p>5.25</p>
</blockquote></td>
<td><blockquote>
<p>Beoordelen van en besluiten over informatie- beveiligingsge- beurtenissen</p>
</blockquote></td>
<td><blockquote>
<p>#Detectief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Detecteren #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td style="text-align: center;">#Verdediging</td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th style="text-align: center;"><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.26</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Reageren op in- formatiebeveili- gingsincidenten</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td style="text-align: center;">#Verdediging</td>
</tr>
<tr>
<td><blockquote>
<p>5.27</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Leren van infor- matiebeveili- gingsincidenten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td style="text-align: center;">#Verdediging</td>
</tr>
<tr>
<td><blockquote>
<p>5.28</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Verzamelen van bewijsmateriaal</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Detecteren #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td style="text-align: center;">#Verdediging</td>
</tr>
<tr>
<td><blockquote>
<p>5.29</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Informatiebe- veiliging tijdens een verstoring</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Bescherming #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.30</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>ICT-gereedheid voor bedrijfs- continuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td style="text-align: center;">#Veerkracht</td>
</tr>
<tr>
<td><blockquote>
<p>5.31</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Wettelijke, sta- tutaire, regelge- vende en con- tractuele eisen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Juridisch_en_ compliance</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.32</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Intellectuele-ei- gendomsrech- ten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Juridisch_en_ compliance</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.33</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Beschermen van registraties</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Juridisch_en_ compliance #Beheer_van_ bedrijfsmidde- len #Informatie- bescherming</p>
</blockquote></td>
<td style="text-align: center;">#Verdediging</td>
</tr>
<tr>
<td><blockquote>
<p>5.34</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Privacy en be- scherming van persoonsgege- vens</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming #Ju- ridisch_en_ compliance</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>5.35</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Onafhankelijke beoordeling van informatiebe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Borging_van_ informatiebe- veiliging</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.36</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Naleving van beleid, regels en normen voor in- formatiebeveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Juridisch_en_ compliance #Borging_van_ informatiebe- veiliging</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.37</p>
</blockquote></td>
<td><blockquote>
<p>Gedocumen- teerde bedie- ningsprocedu- res</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ bedrijfsmidde- len #Fysieke_ beveiliging #Systeem-_en_ netwerkbeveili- ging #Toepas- singsbeveiliging #Veilige_confi- guratie #Identi- teits-_en_toe- gangsbeheer #Beheer_van_ dreigingen_en_ kwetsbaarhe- den #Continuï- teit #Beheer_ van_informatie- beveiligingsge- beurtenissen</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.38</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Analyse en specificatie van informatie- beveiligingsei- sen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming #Sys- teem-_en_net- werkbeveiliging #Applicatiebe- veiliging, #Be- veiligde_confi- guratie, #Identi- teits-_en_toe- gangsbeveili- ging #Conti- nuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.39</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Zorgont- vangers op unieke wijze identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit</p>
<p>#Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming #Sys- teem-_en_net- werkbeveiliging #Applicatiebe- veiliging #Be- veiligde_confi- guratie #Identi- teits-_en_toe- gangsbeveili- ging #Conti- nuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.40</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Validatie van getoonde/ geprinte gege- vens</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit</p>
<p>#Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming #Sys- teem-_en_net- werkbeveiliging #Applicatiebe- veiliging #Be- veiligde_confi- guratie #Identi- teits-_en_toe- gangsbeveili- ging #Conti- nuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.41</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>HLT – Openbaar beschikbare ge- zondheidsinfor- matie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Integriteit</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance #Bedrijfsmidde- lenbeheer #Be- scher- ming_van_infor- matie, #Juridi- sche_za- ken_en_naleving</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.42</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>HLT – Commu- nicatie in nood- situaties</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance #Informatiebe- scherming, #HR_beveili- ging, #Bedrei- gingen-</p>
<p>_en_kwetsbaar- heidsbeheer #Continuïteit #Beveili- ging_van_rela- ties_met_leve- ranciers, #Ma- nage- ment_van_infor- matiebeveili- gingsgebeurte- nissen #Bor- ging_van_infor- matiebeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.43</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>HLT – Inciden- ten extern mel- den</p>
</blockquote></td>
<td><blockquote>
<p>#Detectief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Governance #Bedreigingen-</p>
<p>_en_kwetsbaar- heidsbeheer #Beveili- ging_van_rela- ties_met_leve- ranciers #Juridi- sche_za- ken_en_naleving</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.1</p>
</blockquote></td>
<td><blockquote>
<p>Screening</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Personeelsbe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>6.2</p>
</blockquote></td>
<td><blockquote>
<p>Arbeidsover- eenkomst</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Personeelsbe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.3</p>
</blockquote></td>
<td><blockquote>
<p>Bewustwording van, opleiding en training in informatiebe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Personeelsbe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.4</p>
</blockquote></td>
<td><blockquote>
<p>Disciplinaire procedure</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Personeelsbe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.5</p>
</blockquote></td>
<td><blockquote>
<p>Verantwoorde- lijkheden na be- eindiging of wij- ziging van het dienstverband</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Personeelsbe- veiliging #Be- heer_van_ bedrijfsmidde- len</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.6</p>
</blockquote></td>
<td><blockquote>
<p>Vertrouwelijk- heids- of ge- heimhoudings- overeenkom- sten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Personeelsbe- veiliging #Infor- matiebescher- ming #Leveran- ciersrelaties</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.7</p>
</blockquote></td>
<td><blockquote>
<p>Werken op af- stand</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ bedrijfsmidde- len #Informatie- bescherming #Fysieke_bevei- liging #Sys- teem-_en_net- werkbeveiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>6.8</p>
</blockquote></td>
<td><blockquote>
<p>Melden van in- formatiebeveili- gingsgebeurte- nissen</p>
</blockquote></td>
<td><blockquote>
<p>#Detectief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td style="text-align: center;">#Verdediging</td>
</tr>
<tr>
<td><blockquote>
<p>6.9</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Manage- menttraining</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance #Juridische_za- ken_en_naleving #Bor- ging_van_infor- matiebeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.1</p>
</blockquote></td>
<td><blockquote>
<p>Fysieke beveili- gingszones</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>7.2</p>
</blockquote></td>
<td><blockquote>
<p>Fysieke toe- gangsbeveili- ging</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging #Identi- teits-_en_toe- gangsbeheer</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th style="text-align: center;"><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>7.3</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligen van kantoren, ruim- ten en facilitei- ten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging #Beheer_ van_bedrijfs- middelen</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>7.4</p>
</blockquote></td>
<td><blockquote>
<p>Monitoren van de fysieke be- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Detectief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.5</p>
</blockquote></td>
<td><blockquote>
<p>Beschermen te- gen fysieke en omgevingsdrei- gingen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>7.6</p>
</blockquote></td>
<td><blockquote>
<p>Werken in be- veiligde zones</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>7.7</p>
</blockquote></td>
<td><blockquote>
<p>‘Clear desk’ en ‘clear screen’</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>7.8</p>
</blockquote></td>
<td><blockquote>
<p>Plaatsen en be- schermen van apparatuur</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging #Beheer_ van_bedrijfs- middelen</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>7.9</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligen van bedrijfsmidde- len buiten het terrein</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging #Beheer_ van_bedrijfs- middelen</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>7.10</p>
</blockquote></td>
<td><blockquote>
<p>Opslagmedia</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging #Beheer_ van_bedrijfs- middelen</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>7.11</p>
</blockquote></td>
<td><blockquote>
<p>Nutsvoorzie- ningen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Detectief</p>
</blockquote></td>
<td><blockquote>
<p>#Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>7.12</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligen van bekabeling</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Beschik- baarheid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>7.13</p>
</blockquote></td>
<td><blockquote>
<p>Onderhoud van apparatuur</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging #Beheer_ van_bedrijfs- middelen</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Bescherming #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.14</p>
</blockquote></td>
<td><blockquote>
<p>Veilig verwijde- ren of herge- bruiken van ap- paratuur</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Fysieke_bevei- liging #Beheer_ van_bedrijfs- middelen</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.1</p>
</blockquote></td>
<td><blockquote>
<p>‘User endpoint devices’</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ bedrijfsmidde- len #Informatie- bescherming</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th style="text-align: center;"><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>8.2</p>
</blockquote></td>
<td><blockquote>
<p>Speciale toe- gangsrechten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.3</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Beperking toe- gang tot infor- matie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.4</p>
</blockquote></td>
<td><blockquote>
<p>Toegangsbevei- liging op bron- code</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer #Toepas- singsbeveiliging #Veilige_confi- guratie</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.5</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligde au- thenticatie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Identiteits-</p>
<p>_en_toegangsbe- heer</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.6</p>
</blockquote></td>
<td><blockquote>
<p>Capaciteitsbe- heer</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Detectief</p>
</blockquote></td>
<td><blockquote>
<p>#Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>#Identificeren #Beschermen #Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.7</p>
</blockquote></td>
<td><blockquote>
<p>Bescherming te- gen malware</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Detectief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Systeem-</p>
<p>_en_netwerkbe- veiliging #Infor- matiebescher- ming</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.8</p>
</blockquote></td>
<td><blockquote>
<p>Beheer van technische kwetsbaarhe- den</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ dreigingen_en_ kwetsbaarhe- den</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.9</p>
</blockquote></td>
<td><blockquote>
<p>Configuratiebe- heer</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Veilige_confi- guratie</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.10</p>
</blockquote></td>
<td><blockquote>
<p>Wissen van in- formatie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming #Ju- ridisch_en_ compliance</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.11</p>
</blockquote></td>
<td><blockquote>
<p>Maskeren van gegevens</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.12</p>
</blockquote></td>
<td><blockquote>
<p>Voorkomen van gegevenslekken (data leakage prevention)</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Detectief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.13</p>
</blockquote></td>
<td><blockquote>
<p>Back-up van in- formatie</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>8.14</p>
</blockquote></td>
<td><blockquote>
<p>Redundantie van informatie- verwerkende fa- ciliteiten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Continuïteit #Beheer_van_ bedrijfsmidde- len</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.15</p>
</blockquote></td>
<td><blockquote>
<p>Logging</p>
</blockquote></td>
<td><blockquote>
<p>#Detectief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.16</p>
</blockquote></td>
<td><blockquote>
<p>Monitoren van activiteiten</p>
</blockquote></td>
<td><blockquote>
<p>#Detectief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Detecteren #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td style="text-align: center;">#Verdediging</td>
</tr>
<tr>
<td><blockquote>
<p>8.17</p>
</blockquote></td>
<td><blockquote>
<p>Kloksynchroni- satie</p>
</blockquote></td>
<td><blockquote>
<p>#Detectief</p>
</blockquote></td>
<td><blockquote>
<p>#Integriteit</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.18</p>
</blockquote></td>
<td><blockquote>
<p>Gebruik van speciale sys- teemhulpmid- delen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Systeem-</p>
<p>_en_netwerkbe- veiliging #Vei- lige_configuratie #Toepassings- beveiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.19</p>
</blockquote></td>
<td><blockquote>
<p>Installeren van software op operationele systemen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Veilige_confi- guratie #Toe- passingsbeveili- ging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.20</p>
</blockquote></td>
<td><blockquote>
<p>Beveiliging net- werkcomponen- ten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Detectief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Systeem-</p>
<p>_en_netwerkbe- veiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.21</p>
</blockquote></td>
<td><blockquote>
<p>Beveiliging van netwerkdien- sten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Systeem-</p>
<p>_en_netwerkbe- veiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.22</p>
</blockquote></td>
<td><blockquote>
<p>Netwerkseg- mentatie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Systeem-</p>
<p>_en_netwerkbe- veiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.23</p>
</blockquote></td>
<td><blockquote>
<p>Toepassen van webfilters</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Systeem-</p>
<p>_en_netwerkbe- veiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.24</p>
</blockquote></td>
<td><blockquote>
<p>Gebruik van cryptografie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Veilige_confi- guratie</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th style="text-align: center;"><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>8.25</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligen tij- dens de ontwik- kelcyclus</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Toepassings- beveiliging #Systeem-</p>
<p>_en_netwerkbe- veiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.26</p>
</blockquote></td>
<td><blockquote>
<p>Toepassingsbe- veiligingseisen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Toepassings- beveiliging #Systeem-</p>
<p>_en_netwerkbe- veiliging</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.27</p>
</blockquote></td>
<td><blockquote>
<p>Veilige systeem- architectuur en technische uit- gangspunten</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Toepassings- beveiliging #Systeem-</p>
<p>_en_netwerkbe- veiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.28</p>
</blockquote></td>
<td><blockquote>
<p>Veilig coderen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Toepassings- beveiliging #Systeem-</p>
<p>_en_netwerkbe- veiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.29</p>
</blockquote></td>
<td><blockquote>
<p>Testen van de beveiliging tij- dens ontwikke- ling en accepta- tie</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren</p>
</blockquote></td>
<td><blockquote>
<p>#Toepassings- beveiliging #Borging_van_ informatiebe- veiliging #Sys- teem-_en_net- werkbeveiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.30</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Uitbestede sys- teemontwikke- ling</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Detectief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>#Identificeren #Beschermen #Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Systeem-</p>
<p>_en_netwerkbe- veiliging #Toe- passingsbeveili- ging #Beveili- ging_in_leveran- ciersrelaties</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.31</p>
</blockquote></td>
<td><blockquote>
<p>Scheiding van ontwikkel-, test- en productie- omgevingen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Toepassings- beveiliging #Systeem-</p>
<p>_en_netwerkbe- veiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.32</p>
</blockquote></td>
<td><blockquote>
<p>Wijzigingsbe- heer</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Toepassings- beveiliging #Systeem-</p>
<p>_en_netwerkbe- veiliging</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.33</p>
</blockquote></td>
<td><blockquote>
<p>Testgegevens</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.34</p>
</blockquote></td>
<td><blockquote>
<p>Bescherming van informatie- systemen tij- dens audits</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Systeem-</p>
<p>_en_netwerkbe- veiliging #Infor- matiebescher- ming</p>
</blockquote></td>
<td style="text-align: center;"><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>8.35</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Zero trust-beginselen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Informatiebe- scherming #Sys- teem-_en_net- werkbeveiliging #Identiteits-</p>
<p>_en_toegangsbe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
</tbody>
</table>

> In tabel A.2 is een voorbeeld te zien van hoe een overzicht kan worden aangemaakt door te filteren op een bepaalde attribuutwaarde, in dit geval \#Corrigerend.
>
> **Tabel A.2 — Overzicht van \#Corrigerende beheersmaatregelen**

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.5</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Contact met overheidsin- stanties</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Beschermen #Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.6</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Contact met speciale belan- gengroepen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.7</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Informatie en analyses over dreigingen</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Detectief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Detecteren #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ dreigingen_en_ kwetsbaarhe- den</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.24</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Plannen en voorbereiden van het beheer van informatie- beveiligingsinci- denten</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance #Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.26</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Reageren op in- formatiebeveili- gingsincidenten</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.28</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Verzamelen van bewijsmateriaal</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Detecteren #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td><blockquote>
<p>#Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.29</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>Informatiebe- veiliging tijdens een verstoring</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.30</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>ICT-gereedheid voor bedrijfs- continuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td><blockquote>
<p>#Veerkracht</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.35</p>
</blockquote></td>
<td><blockquote>
<p>Onafhankelijke beoordeling van informatiebe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Identificeren #Beschermen</p>
</blockquote></td>
<td><blockquote>
<p>#Borging_van_ informatiebe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.37</p>
</blockquote></td>
<td><blockquote>
<p>Gedocumen- teerde bedie- ningsprocedu- res</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ bedrijfsmidde- len #Fysieke_ beveiliging #Systeem-_en_ netwerkbeveili- ging #Toepas- singsbeveiliging #Veilige_confi- guratie #Identi- teits-_en_toe- gangsbeheer #Beheer_van_ dreigingen_en_ kwetsbaarhe- den #Continuï- teit #Beheer_ van_informatie- beveiligingsge- beurtenissen</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem #Be- scherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.42</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>HLT – Commu- nicatie in nood- situaties</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance #Informatiebe- scherming #HR_beveiliging #Bedreigingen-</p>
<p>_en_kwetsbaar- heidsbeheer #Continuïteit #Beveili- ging_van_rela- ties_met_leve- ranciers #Manage- ment_van_infor- matiebeveili- gingsgebeurte- nissen</p>
<p>#Bor- ging_van_infor- matiebeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.43</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>HLT – Inciden- ten extern mel- den</p>
</blockquote></td>
<td><blockquote>
<p>#Detectief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Governance #Bedreigingen-</p>
<p>_en_kwetsbaar- heidsbeheer #Beveili- ging_van_rela- ties_met_leve- ranciers #Juridi- sche_za- ken_en_naleving</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_eco- systeem</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
<col style="width: 14%" />
</colgroup>
<thead>
<tr>
<th style="text-align: center;"><blockquote>
<p><strong>Identificatie- code beheers- maatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheers- maatregel</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Type beheers- maatregel</strong></p>
</blockquote></th>
<th style="text-align: left;"><blockquote>
<p><strong>Informatie- beveiligings- eigenschappen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Cybersecurity- concepten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Operationele capaciteiten</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- domeinen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>6.4</p>
</blockquote></td>
<td><blockquote>
<p>Disciplinaire procedure</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Personeelsbe- veiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.9</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Manage- menttraining</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Reageren #Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Governance #Juridische_za- ken_en_naleving #Bor- ging_van_infor- matiebeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>#Gover- nance_en_Eco- systeem #Bescherming #Verdediging #Veerkracht</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.7</p>
</blockquote></td>
<td><blockquote>
<p>Bescherming te- gen malware</p>
</blockquote></td>
<td><blockquote>
<p>#Preventief #Detectief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Beschermen #Detecteren</p>
</blockquote></td>
<td><blockquote>
<p>#Systeem-</p>
<p>_en_netwerkbe- veiliging #Infor- matiebescher- ming</p>
</blockquote></td>
<td><blockquote>
<p>#Bescherming #Verdediging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.13</p>
</blockquote></td>
<td><blockquote>
<p>Back-up van in- formatie</p>
</blockquote></td>
<td><blockquote>
<p>#Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Herstellen</p>
</blockquote></td>
<td><blockquote>
<p>#Continuïteit</p>
</blockquote></td>
<td style="text-align: center;">#Bescherming</td>
</tr>
<tr>
<td><blockquote>
<p>8.16</p>
</blockquote></td>
<td><blockquote>
<p>Monitoren van activiteiten</p>
</blockquote></td>
<td><blockquote>
<p>#Detectief #Corrigerend</p>
</blockquote></td>
<td><blockquote>
<p>#Vertrouwelijk- heid #Integriteit #Beschikbaar- heid</p>
</blockquote></td>
<td><blockquote>
<p>#Detecteren #Reageren</p>
</blockquote></td>
<td><blockquote>
<p>#Beheer_van_ informatiebe- veiligingsge- beurtenissen</p>
</blockquote></td>
<td style="text-align: center;">#Verdediging</td>
</tr>
</tbody>
</table>

#### Organisatieoverzichten

> Aangezien attributen worden gebruikt om verschillende overzichten van beheersmaatregelen te creëren, kunnen organisaties de voorbeelden van attributen die in dit document worden voorgesteld, verwijderen en hun eigen attributen met verschillende waarden creëren om in te gaan op specifieke behoeften in de organisatie. Daarnaast kunnen de waarden die aan elk attribuut worden toegekend, verschillen tussen organisaties, aangezien organisaties verschillende opvattingen kunnen hebben over het gebruik of de toepasbaarheid van de beheersmaatregel of van de waarden die aan het attribuut zijn gekoppeld (wanneer de waarden specifiek zijn voor de context van de organisatie). De eerste stap is inzicht verwerven in waarom een organisatiespecifiek attribuut wenselijk is. Als een organisatie bijvoorbeeld haar plannen voor risicobehandeling - zie NEN 7510-1:2024, 6.1.3 e) - op basis van gebeurtenissen heeft opgebouwd, wil zij mogelijk aan elke beheersmaatregel in dit document een risicoscenarioattribuut koppelen.
>
> Het voordeel van zo'n attribuut is dat hiermee sneller aan de eis van NEN 7510-1 met betrekking tot risicobehandeling kan worden voldaan. Dit betreft het vergelijken van de via het proces van risicobehandeling vastgestelde beheersmaatregelen (die worden aangeduid als ‘noodzakelijke’ beheersmaatregelen) met de beheersmaatregelen in NEN 7510-1:2024, bijlage A (die de basis vormen voor de beheersmaatregelen in dit document) om te garanderen dat er geen noodzakelijke beheersmaatregel over het hoofd is gezien.
>
> Zodra het doel en de voordelen bekend zijn, is het vaststellen van de attribuutwaarden de volgende stap. De organisatie zou bijvoorbeeld negen gebeurtenissen kunnen identificeren:

1)  verlies of diefstal van een mobiel apparaat;

2)  verlies of diefstal in het gebouw en/of op het terrein van de organisatie;

3)  overmacht, vandalisme en terrorisme;

4)  storingen in software, hardware, voeding, internet en communicatie;

5)  fraude;

6)  hacken;

7)  openbaarmaking;

8)  overtreding van de wet;

9)  ‘social engineering’.

> De tweede stap kan dan worden verwezenlijkt door aan elke gebeurtenis een identificatiecode toe te kennen (bijv. E1, E2, ..., E9).
>
> De derde stap is het naar een spreadsheet of database kopiëren van de identificatiecodes en de namen van de beheersmaatregelen uit dit document en de attribuutwaarden met elke beheersmaatregel koppelen, in het besef dat elke beheersmaatregel meer dan één attribuutwaarde kan hebben.
>
> De laatste stap is het sorteren van de spreadsheet of het doorzoeken van de database om de vereiste informatie te extraheren.
>
> Andere voorbeelden van organisatiespecifieke attributen (en mogelijke waarden) zijn onder andere:

1)  volwassenheid (waarden uit de ISO/IEC 33000-reeks of andere modellen voor volwassenheid);

2)  staat van implementatie (nog te doen, in uitvoering, deels geïmplementeerd, volledig geïmplementeerd);

3)  prioriteit (1, 2, 3 enz.);

4)  betrokken gebieden van de organisatie (beveiliging, ICT, personeelszaken, \[topmanagement\] enz.);

5)  gebeurtenissen;

6)  betrokken bedrijfsmiddelen;

> e)[\*)][1] bouwen en uitvoeren, om onderscheid te maken tussen de beheersmaatregelen die in de verschillende stappen van de levenscyclus van de dienst worden gebruikt;

7)  overige kaders waarmee de organisatie werkt of van waaruit zij kan overstappen.

> <span id="_bookmark118" class="anchor"></span>\*) Nederlandse voetnoot: Nummering als in de brontekst.

## Bijlage B

(informatief)

## Overeenstemming van NEN 7510-2:2024 (dit document) met NEN 7510-2:2017

> Het doel van deze bijlage is om achterwaartse compatibiliteit met NEN 7510-2:2017 te bieden aan organisaties die momenteel die norm gebruiken en nu naar de editie van 2024 willen overstappen.
>
> Tabel B.1 laat zien hoe de zorgspecifieke beheersmaatregelen in hoofdstukken 5 t/m 8 van NEN 7510-2:2017 corresponderen met de beheersmaatregelen in NEN 7510-2:2024.

###### Tabel B.1 — Overeenstemming tussen de beheersmaatregelen in dit document en de beheers- maatregelen in NEN 75102-2:2017

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 18%" />
<col style="width: 62%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel in NEN 7510-2:2024</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.1</p>
</blockquote></td>
<td><blockquote>
<p>5.1.1, 5.1.2</p>
</blockquote></td>
<td><blockquote>
<p>Beleidsregels voor informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.2</p>
</blockquote></td>
<td><blockquote>
<p>6.1.1</p>
</blockquote></td>
<td><blockquote>
<p>Rollen en verantwoordelijkheden bij informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.3</p>
</blockquote></td>
<td><blockquote>
<p>6.1.2</p>
</blockquote></td>
<td><blockquote>
<p>Functiescheiding</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.4</p>
</blockquote></td>
<td><blockquote>
<p>7.2.1</p>
</blockquote></td>
<td><blockquote>
<p>Managementverantwoordelijkheden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.5</p>
</blockquote></td>
<td><blockquote>
<p>6.1.3</p>
</blockquote></td>
<td><blockquote>
<p>Contact met overheidsinstanties</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.6</p>
</blockquote></td>
<td><blockquote>
<p>6.1.4</p>
</blockquote></td>
<td><blockquote>
<p>Contact met speciale belangengroepen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.7</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>Informatie en analyses over dreigingen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.8</p>
</blockquote></td>
<td><blockquote>
<p>6.1.5, 14.1.1</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebeveiliging in projectmanagement</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.9</p>
</blockquote></td>
<td><blockquote>
<p>8.1.1, 8.1.2</p>
</blockquote></td>
<td><blockquote>
<p>Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.10</p>
</blockquote></td>
<td><blockquote>
<p>8.1.3, 8.2.3</p>
</blockquote></td>
<td><blockquote>
<p>Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfs- middelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.11</p>
</blockquote></td>
<td><blockquote>
<p>8.1.4</p>
</blockquote></td>
<td><blockquote>
<p>Retourneren van bedrijfsmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.12</p>
</blockquote></td>
<td><blockquote>
<p>8.2.1</p>
</blockquote></td>
<td><blockquote>
<p>Classificeren van informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.13</p>
</blockquote></td>
<td><blockquote>
<p>8.2.2</p>
</blockquote></td>
<td><blockquote>
<p>Labelen van informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.14</p>
</blockquote></td>
<td><blockquote>
<p>13.2.1, 13.2.2, 13.2.3</p>
</blockquote></td>
<td><blockquote>
<p>Overdragen van informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.15</p>
</blockquote></td>
<td><blockquote>
<p>9.1.1, 9.1.2</p>
</blockquote></td>
<td><blockquote>
<p>Toegangsbeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.16</p>
</blockquote></td>
<td><blockquote>
<p>9.2.1</p>
</blockquote></td>
<td><blockquote>
<p>Identiteitsbeheer</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.17</p>
</blockquote></td>
<td><blockquote>
<p>9.2.4, 9.3.1, 9.4.3</p>
</blockquote></td>
<td><blockquote>
<p>Authenticatie-informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.18</p>
</blockquote></td>
<td><blockquote>
<p>9.2.2, 9.2.5, 9.2.6</p>
</blockquote></td>
<td><blockquote>
<p>Toegangsrechten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.19</p>
</blockquote></td>
<td><blockquote>
<p>15.1.1</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebeveiliging in leveranciersrelaties</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.20</p>
</blockquote></td>
<td><blockquote>
<p>15.1.2</p>
</blockquote></td>
<td><blockquote>
<p>Adresseren van informatiebeveiliging in leveranciersovereenkomsten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.21</p>
</blockquote></td>
<td><blockquote>
<p>15.1.3</p>
</blockquote></td>
<td><blockquote>
<p>Beheren van informatiebeveiliging in de ICT-toeleveringsketen</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 18%" />
<col style="width: 62%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel in NEN 7510-2:2024</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.22</p>
</blockquote></td>
<td><blockquote>
<p>15.2.1, 15.2.2</p>
</blockquote></td>
<td><blockquote>
<p>Monitoren, beoordelen en het beheren van wijzigingen van leveranciers- diensten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.23</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebeveiliging voor het gebruik van clouddiensten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.24</p>
</blockquote></td>
<td><blockquote>
<p>16.1.1</p>
</blockquote></td>
<td><blockquote>
<p>Plannen en voorbereiden van het beheer van informatiebeveiligingsinci- denten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.25</p>
</blockquote></td>
<td><blockquote>
<p>16.1.4</p>
</blockquote></td>
<td><blockquote>
<p>Beoordelen van en besluiten over informatiebeveiligingsgebeurtenissen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.26</p>
</blockquote></td>
<td><blockquote>
<p>16.1.5</p>
</blockquote></td>
<td><blockquote>
<p>Reageren op informatiebeveiligingsincidenten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.27</p>
</blockquote></td>
<td><blockquote>
<p>16.1.6</p>
</blockquote></td>
<td><blockquote>
<p>Leren van informatiebeveiligingsincidenten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.28</p>
</blockquote></td>
<td><blockquote>
<p>16.1.7</p>
</blockquote></td>
<td><blockquote>
<p>Verzamelen van bewijsmateriaal</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.29</p>
</blockquote></td>
<td><blockquote>
<p>17.1.1, 17.1.2, 17.1.3</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebeveiliging tijdens een verstoring</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.30</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>ICT-gereedheid voor bedrijfscontinuïteit</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.31</p>
</blockquote></td>
<td><blockquote>
<p>18.1.1, 18.1.5</p>
</blockquote></td>
<td><blockquote>
<p>Wettelijke, statutaire, regelgevende en contractuele eisen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.32</p>
</blockquote></td>
<td><blockquote>
<p>18.1.2</p>
</blockquote></td>
<td><blockquote>
<p>Intellectuele-eigendomsrechten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.33</p>
</blockquote></td>
<td><blockquote>
<p>18.1.3</p>
</blockquote></td>
<td><blockquote>
<p>Beschermen van registraties</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.34</p>
</blockquote></td>
<td><blockquote>
<p>18.1.4</p>
</blockquote></td>
<td><blockquote>
<p>Privacy en bescherming van persoonsgegevens</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.35</p>
</blockquote></td>
<td><blockquote>
<p>18.2.1</p>
</blockquote></td>
<td><blockquote>
<p>Onafhankelijke beoordeling van informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.36</p>
</blockquote></td>
<td><blockquote>
<p>18.2.2, 18.2.3</p>
</blockquote></td>
<td><blockquote>
<p>Naleving van beleid, regels en normen voor informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.37</p>
</blockquote></td>
<td><blockquote>
<p>12.1.1</p>
</blockquote></td>
<td><blockquote>
<p>Gedocumenteerde bedieningsprocedures</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.38</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Analyse en specificatie van informatiebeveiligingseisen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.39</p>
</blockquote></td>
<td><blockquote>
<p>14.1.1.1</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Zorgontvangers op unieke wijze identificeren</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.40</p>
</blockquote></td>
<td><blockquote>
<p>14.1.1.2</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Validatie van getoonde/geprinte gegevens</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.41</p>
</blockquote></td>
<td><blockquote>
<p>14.1.3.1</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Openbaar beschikbare gezondheidsinformatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.42</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Communicatie in noodsituaties</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.43</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Incidenten extern melden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.1</p>
</blockquote></td>
<td><blockquote>
<p>7.1.1</p>
</blockquote></td>
<td><blockquote>
<p>Screening</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.2</p>
</blockquote></td>
<td><blockquote>
<p>7.1.2</p>
</blockquote></td>
<td><blockquote>
<p>Arbeidsovereenkomst</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.3</p>
</blockquote></td>
<td><blockquote>
<p>7.2.2</p>
</blockquote></td>
<td><blockquote>
<p>Bewustwording van, opleiding en training in informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.4</p>
</blockquote></td>
<td><blockquote>
<p>7.2.3</p>
</blockquote></td>
<td><blockquote>
<p>Disciplinaire procedure</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.5</p>
</blockquote></td>
<td><blockquote>
<p>7.3.1</p>
</blockquote></td>
<td><blockquote>
<p>Verantwoordelijkheden na beëindiging of wijziging van het dienstver- band</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.6</p>
</blockquote></td>
<td><blockquote>
<p>13.2.4</p>
</blockquote></td>
<td><blockquote>
<p>Vertrouwelijkheids- of geheimhoudingsovereenkomsten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.7</p>
</blockquote></td>
<td><blockquote>
<p>6.2.2</p>
</blockquote></td>
<td><blockquote>
<p>Werken op afstand</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.8</p>
</blockquote></td>
<td><blockquote>
<p>16.1.2, 16.1.3</p>
</blockquote></td>
<td><blockquote>
<p>Melden van informatiebeveiligingsgebeurtenissen</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 18%" />
<col style="width: 62%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel in NEN 7510-2:2024</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>6.9</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Managementtraining</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.1</p>
</blockquote></td>
<td><blockquote>
<p>11.1.1</p>
</blockquote></td>
<td><blockquote>
<p>Fysieke beveiligingszones</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.2</p>
</blockquote></td>
<td><blockquote>
<p>11.1.2, 11.1.6</p>
</blockquote></td>
<td><blockquote>
<p>Fysieke toegangsbeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.3</p>
</blockquote></td>
<td><blockquote>
<p>11.1.3</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligen van kantoren, ruimten en faciliteiten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.4</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>Monitoren van de fysieke beveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.5</p>
</blockquote></td>
<td><blockquote>
<p>11.1.4</p>
</blockquote></td>
<td><blockquote>
<p>Beschermen tegen fysieke en omgevingsdreigingen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.6</p>
</blockquote></td>
<td><blockquote>
<p>11.1.5</p>
</blockquote></td>
<td><blockquote>
<p>Werken in beveiligde zones</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.7</p>
</blockquote></td>
<td><blockquote>
<p>11.2.9</p>
</blockquote></td>
<td><blockquote>
<p>‘Clear desk’ en ‘clear screen’</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.8</p>
</blockquote></td>
<td><blockquote>
<p>11.2.1</p>
</blockquote></td>
<td><blockquote>
<p>Plaatsen en beschermen van apparatuur</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.9</p>
</blockquote></td>
<td><blockquote>
<p>11.2.6</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligen van bedrijfsmiddelen buiten het terrein</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.10</p>
</blockquote></td>
<td><blockquote>
<p>8.3.1, 8.3.2, 8.3.3,</p>
<p>11.2.5</p>
</blockquote></td>
<td><blockquote>
<p>Opslagmedia</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.11</p>
</blockquote></td>
<td><blockquote>
<p>11.2.2</p>
</blockquote></td>
<td><blockquote>
<p>Nutsvoorzieningen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.12</p>
</blockquote></td>
<td><blockquote>
<p>11.2.3</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligen van bekabeling</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.13</p>
</blockquote></td>
<td><blockquote>
<p>11.2.4</p>
</blockquote></td>
<td><blockquote>
<p>Onderhoud van apparatuur</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.14</p>
</blockquote></td>
<td><blockquote>
<p>11.2.7</p>
</blockquote></td>
<td><blockquote>
<p>Veilig verwijderen of hergebruiken van apparatuur</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.1</p>
</blockquote></td>
<td><blockquote>
<p>6.2.1, 11.2.8</p>
</blockquote></td>
<td><blockquote>
<p>‘User endpoint devices’</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.2</p>
</blockquote></td>
<td><blockquote>
<p>9.2.3</p>
</blockquote></td>
<td><blockquote>
<p>Speciale toegangsrechten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.3</p>
</blockquote></td>
<td><blockquote>
<p>9.4.1</p>
</blockquote></td>
<td><blockquote>
<p>Beperking toegang tot informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.4</p>
</blockquote></td>
<td><blockquote>
<p>9.4.5</p>
</blockquote></td>
<td><blockquote>
<p>Toegangsbeveiliging op broncode</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.5</p>
</blockquote></td>
<td><blockquote>
<p>9.4.2</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligde authenticatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.6</p>
</blockquote></td>
<td><blockquote>
<p>12.1.3</p>
</blockquote></td>
<td><blockquote>
<p>Capaciteitsbeheer</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.7</p>
</blockquote></td>
<td><blockquote>
<p>12.2.1</p>
</blockquote></td>
<td><blockquote>
<p>Bescherming tegen malware</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.8</p>
</blockquote></td>
<td><blockquote>
<p>12.6.1, 18.2.3</p>
</blockquote></td>
<td><blockquote>
<p>Beheer van technische kwetsbaarheden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.9</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>Configuratiebeheer</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.10</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>Wissen van informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.11</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>Maskeren van gegevens</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.12</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>Voorkomen van gegevenslekken (data leakage prevention)</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.13</p>
</blockquote></td>
<td><blockquote>
<p>12.3.1</p>
</blockquote></td>
<td><blockquote>
<p>Back-up van informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.14</p>
</blockquote></td>
<td><blockquote>
<p>17.2.1</p>
</blockquote></td>
<td><blockquote>
<p>Redundantie van informatieverwerkende faciliteiten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.15</p>
</blockquote></td>
<td><blockquote>
<p>12.4.1, 12.4.2, 12.4.3</p>
</blockquote></td>
<td><blockquote>
<p>Logging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.16</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>Monitoren van activiteiten</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 18%" />
<col style="width: 62%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel in NEN 7510-2:2024</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>8.17</p>
</blockquote></td>
<td><blockquote>
<p>12.4.4</p>
</blockquote></td>
<td><blockquote>
<p>Kloksynchronisatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.18</p>
</blockquote></td>
<td><blockquote>
<p>9.4.4</p>
</blockquote></td>
<td><blockquote>
<p>Gebruik van speciale systeemhulpmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.19</p>
</blockquote></td>
<td><blockquote>
<p>12.5.1, 12.6.2</p>
</blockquote></td>
<td><blockquote>
<p>Installeren van software op operationele systemen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.20</p>
</blockquote></td>
<td><blockquote>
<p>13.1.1</p>
</blockquote></td>
<td><blockquote>
<p>Beveiliging netwerkcomponenten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.21</p>
</blockquote></td>
<td><blockquote>
<p>13.1.2</p>
</blockquote></td>
<td><blockquote>
<p>Beveiliging van netwerkdiensten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.22</p>
</blockquote></td>
<td><blockquote>
<p>13.1.3</p>
</blockquote></td>
<td><blockquote>
<p>Netwerksegmentatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.23</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>Toepassen van webfilters</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.24</p>
</blockquote></td>
<td><blockquote>
<p>10.1.1, 10.1.2</p>
</blockquote></td>
<td><blockquote>
<p>Gebruik van cryptografie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.25</p>
</blockquote></td>
<td><blockquote>
<p>14.2.1</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligen tijdens de ontwikkelcyclus</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.26</p>
</blockquote></td>
<td><blockquote>
<p>14.1.2, 14.1.3</p>
</blockquote></td>
<td><blockquote>
<p>Toepassingsbeveiligingseisen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.27</p>
</blockquote></td>
<td><blockquote>
<p>14.2.5</p>
</blockquote></td>
<td><blockquote>
<p>Veilige systeemarchitectuur en technische uitgangspunten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.28</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>Veilig coderen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.29</p>
</blockquote></td>
<td><blockquote>
<p>14.2.8, 14.2.9</p>
</blockquote></td>
<td><blockquote>
<p>Testen van de beveiliging tijdens ontwikkeling en acceptatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.30</p>
</blockquote></td>
<td><blockquote>
<p>14.2.7</p>
</blockquote></td>
<td><blockquote>
<p>Uitbestede systeemontwikkeling</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.31</p>
</blockquote></td>
<td><blockquote>
<p>12.1.4, 14.2.6</p>
</blockquote></td>
<td><blockquote>
<p>Scheiding van ontwikkel-, test- en productieomgevingen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.32</p>
</blockquote></td>
<td><blockquote>
<p>12.1.2, 14.2.2,</p>
<p>14.2.3, 14.2.4</p>
</blockquote></td>
<td><blockquote>
<p>Wijzigingsbeheer</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.33</p>
</blockquote></td>
<td><blockquote>
<p>14.3.1</p>
</blockquote></td>
<td><blockquote>
<p>Testgegevens</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.34</p>
</blockquote></td>
<td><blockquote>
<p>12.7.1</p>
</blockquote></td>
<td><blockquote>
<p>Bescherming van informatiesystemen tijdens audits</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.35</p>
</blockquote></td>
<td><blockquote>
<p>Nieuw</p>
</blockquote></td>
<td><blockquote>
<p>HLT – Zero trust-beginselen</p>
</blockquote></td>
</tr>
</tbody>
</table>

> Tabel B.2 toont de overeenstemming tussen de in NEN 7510-2:2017 en in dit document gespecificeerde beheersmaatregelen. Merk op dat nieuwe beheersmaatregelen hierin niet zijn opgenomen.
>
> **Tabel B.2 — Overeenstemming tussen de beheersmaatregelen in NEN 7510-2:2017 en de beheersmaatregelen in dit document**

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 19%" />
<col style="width: 61%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel volgens NEN 7510:2017</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Informatiebeveiligingsbeleid</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Aansturing door de directie van de informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.1</p>
</blockquote></td>
<td><blockquote>
<p>Beleidsregels voor informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.1.2</p>
</blockquote></td>
<td><blockquote>
<p>5.1</p>
</blockquote></td>
<td><blockquote>
<p>Beoordeling van het informatiebeveiligingsbeleid</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 19%" />
<col style="width: 61%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel volgens NEN 7510:2017</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>6</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Organiseren van informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Interne organisatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.2</p>
</blockquote></td>
<td><blockquote>
<p>Rollen en verantwoordelijkheden bij informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.1.2</p>
</blockquote></td>
<td><blockquote>
<p>5.3</p>
</blockquote></td>
<td><blockquote>
<p>Scheiding van taken</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.1.3</p>
</blockquote></td>
<td><blockquote>
<p>5.5</p>
</blockquote></td>
<td><blockquote>
<p>Contact met overheidsinstanties</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.1.4</p>
</blockquote></td>
<td><blockquote>
<p>5.6</p>
</blockquote></td>
<td><blockquote>
<p>Contact met speciale belangengroepen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.1.5</p>
</blockquote></td>
<td><blockquote>
<p>5.8</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebeveiliging in projectbeheer</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Mobiele apparatuur en telewerken</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.2.1</p>
</blockquote></td>
<td><blockquote>
<p>8.1</p>
</blockquote></td>
<td><blockquote>
<p>Beleid voor mobiele apparatuur</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.2.2</p>
</blockquote></td>
<td><blockquote>
<p>6.7</p>
</blockquote></td>
<td><blockquote>
<p>Telewerken</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Veilig personeel</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Voorafgaand aan het dienstverband</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.1.1</p>
</blockquote></td>
<td><blockquote>
<p>6.1</p>
</blockquote></td>
<td><blockquote>
<p>Screening</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.1.2</p>
</blockquote></td>
<td><blockquote>
<p>6.2</p>
</blockquote></td>
<td><blockquote>
<p>Arbeidsvoorwaarden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Tijdens het dienstverband</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.2.1</p>
</blockquote></td>
<td><blockquote>
<p>5.4</p>
</blockquote></td>
<td><blockquote>
<p>Directieverantwoordelijkheden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.2.2</p>
</blockquote></td>
<td><blockquote>
<p>6.3</p>
</blockquote></td>
<td><blockquote>
<p>Bewustzijn, opleiding en training ten aanzien van informatiebeveili- ging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.2.3</p>
</blockquote></td>
<td><blockquote>
<p>6.4</p>
</blockquote></td>
<td><blockquote>
<p>Disciplinaire procedure</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.3</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beëindiging en wijziging van dienstverband</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>7.3.1</p>
</blockquote></td>
<td><blockquote>
<p>6.5</p>
</blockquote></td>
<td><blockquote>
<p>Beëindiging of wijziging van verantwoordelijkheden van het dienstver- band</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beheer van bedrijfsmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Verantwoordelijkheid voor bedrijfsmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.9</p>
</blockquote></td>
<td><blockquote>
<p>Inventariseren van bedrijfsmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.1.2</p>
</blockquote></td>
<td><blockquote>
<p>5.9</p>
</blockquote></td>
<td><blockquote>
<p>Eigendom van bedrijfsmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.1.3</p>
</blockquote></td>
<td><blockquote>
<p>5.10</p>
</blockquote></td>
<td><blockquote>
<p>Aanvaardbaar gebruik van bedrijfsmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.1.4</p>
</blockquote></td>
<td><blockquote>
<p>5.11</p>
</blockquote></td>
<td><blockquote>
<p>Teruggeven van bedrijfsmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Informatieclassificatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.2.1</p>
</blockquote></td>
<td><blockquote>
<p>5.12</p>
</blockquote></td>
<td><blockquote>
<p>Classificatie van informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.2.2</p>
</blockquote></td>
<td><blockquote>
<p>5.13</p>
</blockquote></td>
<td><blockquote>
<p>Informatie labelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.2.3</p>
</blockquote></td>
<td><blockquote>
<p>5.10</p>
</blockquote></td>
<td><blockquote>
<p>Behandelen van bedrijfsmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.3</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Behandelen van media</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 19%" />
<col style="width: 61%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel volgens NEN 7510:2017</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>8.3.1</p>
</blockquote></td>
<td><blockquote>
<p>7.10</p>
</blockquote></td>
<td><blockquote>
<p>Beheer van verwijderbare media</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.3.2</p>
</blockquote></td>
<td><blockquote>
<p>7.10</p>
</blockquote></td>
<td><blockquote>
<p>Verwijderen van media</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.3.3</p>
</blockquote></td>
<td><blockquote>
<p>7.10</p>
</blockquote></td>
<td><blockquote>
<p>Media fysiek overdragen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Toegangsbeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Bedrijfseisen voor toegangsbeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.15</p>
</blockquote></td>
<td><blockquote>
<p>Beleid voor toegangsbeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.1.2</p>
</blockquote></td>
<td><blockquote>
<p>5.15</p>
</blockquote></td>
<td><blockquote>
<p>Toegang tot netwerken en netwerkdiensten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beheer van toegangsrechten van gebruikers</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.2.1</p>
</blockquote></td>
<td><blockquote>
<p>5.16</p>
</blockquote></td>
<td><blockquote>
<p>Registratie en afmelden van gebruikers</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.2.2</p>
</blockquote></td>
<td><blockquote>
<p>5.18</p>
</blockquote></td>
<td><blockquote>
<p>Gebruikers toegang verlenen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.2.3</p>
</blockquote></td>
<td><blockquote>
<p>8.2</p>
</blockquote></td>
<td><blockquote>
<p>Beheren van speciale toegangsrechten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.2.4</p>
</blockquote></td>
<td><blockquote>
<p>5.17</p>
</blockquote></td>
<td><blockquote>
<p>Beheer van geheime authenticatie-informatie van gebruikers</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.2.5</p>
</blockquote></td>
<td><blockquote>
<p>5.18</p>
</blockquote></td>
<td><blockquote>
<p>Beoordeling van toegangsrechten van gebruikers</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.2.6</p>
</blockquote></td>
<td><blockquote>
<p>5.18</p>
</blockquote></td>
<td><blockquote>
<p>Toegangsrechten intrekken of aanpassen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.3</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Verantwoordelijkheden van gebruikers</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.3.1</p>
</blockquote></td>
<td><blockquote>
<p>5.17</p>
</blockquote></td>
<td><blockquote>
<p>Geheime authenticatie-informatie gebruiken</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.4</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Toegangsbeveiliging van systeem en toepassing</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.4.1</p>
</blockquote></td>
<td><blockquote>
<p>8.3</p>
</blockquote></td>
<td><blockquote>
<p>Beperking toegang tot informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.4.2</p>
</blockquote></td>
<td><blockquote>
<p>8.5</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligde inlogprocedures</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.4.3</p>
</blockquote></td>
<td><blockquote>
<p>5.17</p>
</blockquote></td>
<td><blockquote>
<p>Systeem voor wachtwoordbeheer</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.4.4</p>
</blockquote></td>
<td><blockquote>
<p>8.18</p>
</blockquote></td>
<td><blockquote>
<p>Speciale systeemhulpmiddelen gebruiken</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>9.4.5</p>
</blockquote></td>
<td><blockquote>
<p>8.4</p>
</blockquote></td>
<td><blockquote>
<p>Toegangsbeveiliging op programmabroncode</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>10</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Cryptografie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>10.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Cryptografische beheersmaatregelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>10.1.1</p>
</blockquote></td>
<td><blockquote>
<p>8.24</p>
</blockquote></td>
<td><blockquote>
<p>Beleid inzake het gebruik van cryptografische beheersmaatregelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>10.1.2</p>
</blockquote></td>
<td><blockquote>
<p>8.24</p>
</blockquote></td>
<td><blockquote>
<p>Sleutelbeheer</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Fysieke beveiliging en beveiliging van de omgeving</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beveiligde gebieden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.1.1</p>
</blockquote></td>
<td><blockquote>
<p>7.1</p>
</blockquote></td>
<td><blockquote>
<p>Fysieke beveiligingszone</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.1.2</p>
</blockquote></td>
<td><blockquote>
<p>7.2</p>
</blockquote></td>
<td><blockquote>
<p>Fysieke toegangsbeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.1.3</p>
</blockquote></td>
<td><blockquote>
<p>7.3</p>
</blockquote></td>
<td><blockquote>
<p>Kantoren, ruimten en faciliteiten beveiligen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.1.4</p>
</blockquote></td>
<td><blockquote>
<p>7.5</p>
</blockquote></td>
<td><blockquote>
<p>Beschermen tegen bedreigingen van buitenaf</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 19%" />
<col style="width: 61%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel volgens NEN 7510:2017</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>11.1.5</p>
</blockquote></td>
<td><blockquote>
<p>7.6</p>
</blockquote></td>
<td><blockquote>
<p>Werken in beveiligde gebieden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.1.6</p>
</blockquote></td>
<td><blockquote>
<p>7.2</p>
</blockquote></td>
<td><blockquote>
<p>Laad- en loslocatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Apparatuur</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.2.1</p>
</blockquote></td>
<td><blockquote>
<p>7.8</p>
</blockquote></td>
<td><blockquote>
<p>Plaatsing en bescherming van apparatuur</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.2.2</p>
</blockquote></td>
<td><blockquote>
<p>7.11</p>
</blockquote></td>
<td><blockquote>
<p>Nutsvoorzieningen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.2.3</p>
</blockquote></td>
<td><blockquote>
<p>7.12</p>
</blockquote></td>
<td><blockquote>
<p>Beveiliging van bekabeling</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.2.4</p>
</blockquote></td>
<td><blockquote>
<p>7.13</p>
</blockquote></td>
<td><blockquote>
<p>Onderhoud van apparatuur</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.2.5</p>
</blockquote></td>
<td><blockquote>
<p>7.10</p>
</blockquote></td>
<td><blockquote>
<p>Verwijdering van bedrijfsmiddelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.2.6</p>
</blockquote></td>
<td><blockquote>
<p>7.9</p>
</blockquote></td>
<td><blockquote>
<p>Beveiliging van apparatuur en bedrijfsmiddelen buiten het terrein</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.2.7</p>
</blockquote></td>
<td><blockquote>
<p>7.14</p>
</blockquote></td>
<td><blockquote>
<p>Veilig verwijderen of hergebruiken van apparatuur</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.2.8</p>
</blockquote></td>
<td><blockquote>
<p>8.1</p>
</blockquote></td>
<td><blockquote>
<p>Onbeheerde gebruikersapparatuur</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>11.2.9</p>
</blockquote></td>
<td><blockquote>
<p>7.7</p>
</blockquote></td>
<td><blockquote>
<p>‘Clear desk’- en ‘clear screen’-beleid</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beveiliging bedrijfsvoering</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Bedieningsprocedures en verantwoordelijkheden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.37</p>
</blockquote></td>
<td><blockquote>
<p>Gedocumenteerde bedieningsprocedures</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.1.2</p>
</blockquote></td>
<td><blockquote>
<p>8.32</p>
</blockquote></td>
<td><blockquote>
<p>Wijzigingsbeheer</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.1.3</p>
</blockquote></td>
<td><blockquote>
<p>8.6</p>
</blockquote></td>
<td><blockquote>
<p>Capaciteitsbeheer</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.1.4</p>
</blockquote></td>
<td><blockquote>
<p>8.31</p>
</blockquote></td>
<td><blockquote>
<p>Scheiding van ontwikkel-, test- en productieomgevingen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Bescherming tegen malware</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.2.1</p>
</blockquote></td>
<td><blockquote>
<p>8.7</p>
</blockquote></td>
<td><blockquote>
<p>Beheersmaatregelen tegen malware</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.3</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Back-up</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.3.1</p>
</blockquote></td>
<td><blockquote>
<p>8.13</p>
</blockquote></td>
<td><blockquote>
<p>Back-up van informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.4</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Verslaglegging en monitoren</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.4.1</p>
</blockquote></td>
<td><blockquote>
<p>8.15</p>
</blockquote></td>
<td><blockquote>
<p>Gebeurtenissen registreren</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.4.2</p>
</blockquote></td>
<td><blockquote>
<p>8.15</p>
</blockquote></td>
<td><blockquote>
<p>Beschermen van informatie in logbestanden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.4.3</p>
</blockquote></td>
<td><blockquote>
<p>8.15</p>
</blockquote></td>
<td><blockquote>
<p>Logbestanden van beheerders en operators</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.4.4</p>
</blockquote></td>
<td><blockquote>
<p>8.17</p>
</blockquote></td>
<td><blockquote>
<p>Kloksynchronisatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.5</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beheersing van operationele software</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.5.1</p>
</blockquote></td>
<td><blockquote>
<p>8.19</p>
</blockquote></td>
<td><blockquote>
<p>Software installeren op operationele systemen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.6</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beheer van technische kwetsbaarheden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.6.1</p>
</blockquote></td>
<td><blockquote>
<p>8.8</p>
</blockquote></td>
<td><blockquote>
<p>Beheer van technische kwetsbaarheden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.6.2</p>
</blockquote></td>
<td><blockquote>
<p>8.19</p>
</blockquote></td>
<td><blockquote>
<p>Beperkingen voor het installeren van software</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 19%" />
<col style="width: 61%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel volgens NEN 7510:2017</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>12.7</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Overwegingen betreffende audits van informatiesystemen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>12.7.1</p>
</blockquote></td>
<td><blockquote>
<p>8.34</p>
</blockquote></td>
<td><blockquote>
<p>Beheersmaatregelen betreffende audits van informatiesystemen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>13</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Communicatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>13.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beheer van netwerkbeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>13.1.1</p>
</blockquote></td>
<td><blockquote>
<p>8.20</p>
</blockquote></td>
<td><blockquote>
<p>Beheersmaatregelen voor netwerken</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>13.1.2</p>
</blockquote></td>
<td><blockquote>
<p>8.21</p>
</blockquote></td>
<td><blockquote>
<p>Beveiliging van netwerkdiensten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>13.1.3</p>
</blockquote></td>
<td><blockquote>
<p>8.22</p>
</blockquote></td>
<td><blockquote>
<p>Scheiding in netwerken</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>13.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Informatietransport</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>13.2.1</p>
</blockquote></td>
<td><blockquote>
<p>5.14</p>
</blockquote></td>
<td><blockquote>
<p>Beleid en procedures voor informatietransport</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>13.2.2</p>
</blockquote></td>
<td><blockquote>
<p>5.14</p>
</blockquote></td>
<td><blockquote>
<p>Overeenkomsten over informatietransport</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>13.2.3</p>
</blockquote></td>
<td><blockquote>
<p>5.14</p>
</blockquote></td>
<td><blockquote>
<p>Elektronische berichten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>13.2.4</p>
</blockquote></td>
<td><blockquote>
<p>6.6</p>
</blockquote></td>
<td><blockquote>
<p>Vertrouwelijkheids- of geheimhoudingsovereenkomst</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Acquisitie, ontwikkeling en onderhoud van informatiesystemen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beveiligingseisen voor informatiesystemen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.8</p>
</blockquote></td>
<td><blockquote>
<p>Analyse en specificatie van informatiebeveiligingseisen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.1.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.39</p>
</blockquote></td>
<td><blockquote>
<p>Zorgontvangers op unieke wijze identificeren</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.1.1.2</p>
</blockquote></td>
<td><blockquote>
<p>5.40</p>
</blockquote></td>
<td><blockquote>
<p>Validatie van outputgegevens</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.1.2</p>
</blockquote></td>
<td><blockquote>
<p>8.26</p>
</blockquote></td>
<td><blockquote>
<p>Toepassingen op openbare netwerken beveiligen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.1.3</p>
</blockquote></td>
<td><blockquote>
<p>8.26</p>
</blockquote></td>
<td><blockquote>
<p>Transacties van toepassingen beschermen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.1.3.1</p>
</blockquote></td>
<td><blockquote>
<p>5.41</p>
</blockquote></td>
<td><blockquote>
<p>Openbaar beschikbare gezondheidsinformatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beveiliging in ontwikkelings- en ondersteunende processen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.2.1</p>
</blockquote></td>
<td><blockquote>
<p>8.25</p>
</blockquote></td>
<td><blockquote>
<p>Beleid voor beveiligd ontwikkelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.2.2</p>
</blockquote></td>
<td><blockquote>
<p>8.32</p>
</blockquote></td>
<td><blockquote>
<p>Procedures voor wijzigingsbeheer met betrekking tot systemen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.2.3</p>
</blockquote></td>
<td><blockquote>
<p>8.32</p>
</blockquote></td>
<td><blockquote>
<p>Technische beoordeling van toepassingen na wijzigingen besturings- platform</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.2.4</p>
</blockquote></td>
<td><blockquote>
<p>8.32</p>
</blockquote></td>
<td><blockquote>
<p>Beperkingen op wijzigingen aan softwarepakketten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.2.5</p>
</blockquote></td>
<td><blockquote>
<p>8.27</p>
</blockquote></td>
<td><blockquote>
<p>Principes voor engineering van beveiligde systemen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.2.6</p>
</blockquote></td>
<td><blockquote>
<p>8.31</p>
</blockquote></td>
<td><blockquote>
<p>Beveiligde ontwikkelomgeving</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.2.7</p>
</blockquote></td>
<td><blockquote>
<p>8.30</p>
</blockquote></td>
<td><blockquote>
<p>Uitbestede systeemontwikkeling</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.2.8</p>
</blockquote></td>
<td><blockquote>
<p>8.29</p>
</blockquote></td>
<td><blockquote>
<p>Testen van systeembeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.2.9</p>
</blockquote></td>
<td><blockquote>
<p>8.29</p>
</blockquote></td>
<td><blockquote>
<p>Systeemacceptatietests</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>14.3</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Testgegevens</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 19%" />
<col style="width: 61%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel volgens NEN 7510:2017</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>14.3.1</p>
</blockquote></td>
<td><blockquote>
<p>8.33</p>
</blockquote></td>
<td><blockquote>
<p>Bescherming van testgegevens</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>15</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Leveranciersrelaties</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>15.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Informatiebeveiliging in leveranciersrelaties</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>15.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.19</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebeveiligingsbeleid voor leveranciersrelaties</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>15.1.2</p>
</blockquote></td>
<td><blockquote>
<p>5.20</p>
</blockquote></td>
<td><blockquote>
<p>Opnemen van beveiligingsaspecten in leveranciersovereenkomsten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>15.1.3</p>
</blockquote></td>
<td><blockquote>
<p>5.21</p>
</blockquote></td>
<td><blockquote>
<p>Toeleveringsketen van informatie- en communicatietechnologie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>15.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beheer van dienstverlening van leveranciers</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>15.2.1</p>
</blockquote></td>
<td><blockquote>
<p>5.22</p>
</blockquote></td>
<td><blockquote>
<p>Monitoring en beoordeling van dienstverlening van leveranciers</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>15.2.2</p>
</blockquote></td>
<td><blockquote>
<p>5.22</p>
</blockquote></td>
<td><blockquote>
<p>Beheer van veranderingen in dienstverlening van leveranciers</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>16</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beheer van informatiebeveiligingsincidenten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>16.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Beheer van informatiebeveiligingsincidenten en -verbeteringen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>16.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.24</p>
</blockquote></td>
<td><blockquote>
<p>Verantwoordelijkheden en procedures</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>16.1.2</p>
</blockquote></td>
<td><blockquote>
<p>6.8</p>
</blockquote></td>
<td><blockquote>
<p>Rapportage van informatiebeveiligingsgebeurtenissen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>16.1.3</p>
</blockquote></td>
<td><blockquote>
<p>6.8</p>
</blockquote></td>
<td><blockquote>
<p>Rapportage van zwakke plekken in de informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>16.1.4</p>
</blockquote></td>
<td><blockquote>
<p>5.25</p>
</blockquote></td>
<td><blockquote>
<p>Beoordeling van en besluitvorming over informatiebeveiligingsgebeur- tenissen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>16.1.5</p>
</blockquote></td>
<td><blockquote>
<p>5.26</p>
</blockquote></td>
<td><blockquote>
<p>Respons op informatiebeveiligingsincidenten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>16.1.6</p>
</blockquote></td>
<td><blockquote>
<p>5.27</p>
</blockquote></td>
<td><blockquote>
<p>Lering uit informatiebeveiligingsincidenten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>16.1.7</p>
</blockquote></td>
<td><blockquote>
<p>5.28</p>
</blockquote></td>
<td><blockquote>
<p>Verzamelen van bewijsmateriaal</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>17</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>17.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Informatiebeveiligingscontinuïteit</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>17.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.29</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebeveiligingscontinuïteit plannen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>17.1.2</p>
</blockquote></td>
<td><blockquote>
<p>5.29</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebeveiligingscontinuïteit implementeren</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>17.1.3</p>
</blockquote></td>
<td><blockquote>
<p>5.29</p>
</blockquote></td>
<td><blockquote>
<p>Informatiebeveiligingscontinuïteit verifiëren, beoordelen en evalueren</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>17.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Redundante componenten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>17.2.1</p>
</blockquote></td>
<td><blockquote>
<p>8.14</p>
</blockquote></td>
<td><blockquote>
<p>Beschikbaarheid van informatieverwerkende faciliteiten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>18</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Naleving</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>18.1</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Naleving van wettelijke en contractuele eisen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>18.1.1</p>
</blockquote></td>
<td><blockquote>
<p>5.31</p>
</blockquote></td>
<td><blockquote>
<p>Vaststellen van toepasselijke wetgeving en contractuele eisen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>18.1.2</p>
</blockquote></td>
<td><blockquote>
<p>5.32</p>
</blockquote></td>
<td><blockquote>
<p>Intellectuele-eigendomsrechten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>18.1.3</p>
</blockquote></td>
<td><blockquote>
<p>5.33</p>
</blockquote></td>
<td><blockquote>
<p>Beschermen van registraties</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>18.1.4</p>
</blockquote></td>
<td><blockquote>
<p>5.34</p>
</blockquote></td>
<td><blockquote>
<p>Privacy en bescherming van persoonsgegevens</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 18%" />
<col style="width: 19%" />
<col style="width: 61%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2017</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Identificatiecode beheersmaatregel NEN 7510-2:2024</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Naam beheersmaatregel volgens NEN 7510:2017</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>18.1.5</p>
</blockquote></td>
<td><blockquote>
<p>5.31</p>
</blockquote></td>
<td><blockquote>
<p>Voorschriften voor het gebruik van cryptografische beheersmaatrege- len</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>18.2</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>Informatiebeveiligingsbeoordelingen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>18.2.1</p>
</blockquote></td>
<td><blockquote>
<p>5.35</p>
</blockquote></td>
<td><blockquote>
<p>Onafhankelijke beoordeling van informatiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>18.2.2</p>
</blockquote></td>
<td><blockquote>
<p>5.36</p>
</blockquote></td>
<td><blockquote>
<p>Naleving van beveiligingsbeleid en -normen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>18.2.3</p>
</blockquote></td>
<td><blockquote>
<p>5.36, 8.8</p>
</blockquote></td>
<td><blockquote>
<p>Beoordeling van technische naleving</p>
</blockquote></td>
</tr>
</tbody>
</table>

## Bijlage C

(informatief)

## Informatiebeveiliging in gezondheidsorganisaties

#### Inleiding

> Deze bijlage geeft een overzicht van bepaalde aandachtspunten voor informatiebeveiliging binnen de gezondheidszorg. Deze bijlage is vooral bedoeld voor:

- informatiebeveiligingsexperts waaronder penetratietesters en andere professionals, zoals audito- ren, met ICT-expertise die niet bekend zijn met het gezondheidsdomein;

- professionals op het gebied van medische hulpmiddelen, techniek en ICT die binnen gezondheids- organisaties werken en als zodanig verantwoordelijkheden kunnen hebben voor apparatuur, sys- temen of diensten waarvoor digitale techniek nodig is.

> De inleiding bij dit document gaat kort in op het belangrijke thema onderlinge afhankelijkheid tussen beveiliging, veiligheid en doeltreffendheid gedurende de volledige levenscyclus van apparatuur en software. Dit wordt hier niet verder verkend, maar wordt uitgebreid besproken in ISO 81001-1 en aanverwante IEC-normen.
>
> In deze bijlage wordt de term digitale medische hulpmiddelen gebruikt voor medische hulpmiddelen die geprogrammeerd of programmeerbaar zijn. Deze digitale medische hulpmiddelen kunnen een of meer van het volgende bevatten: software, firmware en programmeerbare logische besturingen (PLC's).

#### Veiligheid van medische hulpmiddelen en apparatuur

##### <img src="media/image8.png" style="width:0.35197in;height:0.1175in" /> Context

> Medische hulpmiddelen en andere medische apparatuur die niet naar behoren functioneren, kunnen mogelijk patiënten of andere zorgontvangers schade of letsel toebrengen.
>
> Afhankelijk van de omstandigheden kan de schade of het letsel onmiddellijk duidelijk zijn of kan het enige tijd duren voordat dit duidelijk wordt. Bepaalde incidenten brengen aan één persoon schade of letsel toe, terwijl andere incidenten veel mensen kunnen treffen.
>
> In de ergste gevallen zijn incidenten dodelijk. Het kan voor de betroffen personen en anderen, zoals gezinsleden, echter vreselijk zijn als incidenten tot bijvoorbeeld onherstelbare gevolgen of levenslang lijden leiden. In aanvulling hierop zijn de financiële gevolgen enorm als de schade of het letsel ertoe leiden dat er 24 uur per dag zorg nodig is.
>
> Om het risico op schade of letsel tot het minimum te beperken, is de volledige levenscyclus van alle typen medische hulpmiddelen (waarvan er veel geen gebruikmaken van digitale techniek) en aanverwante apparatuur sterk genormaliseerd en streng gereguleerd.

##### <img src="media/image9.png" style="width:0.34947in;height:0.11536in" /> Beroepsmatige verantwoordelijkheid en rekenschap

> Bij toepassing in gezondheidsorganisaties hoort de veiligheid van alle soorten medische hulpmiddelen in stand te worden gehouden. Dit is meestal de verantwoordelijkheid van professionals zoals klinisch technici, klinisch wetenschappers, biotechnici of (met name wanneer er sprake is van ioniserende straling) klinisch fysici. De exacte benamingen en aard van deze rollen, evenals de verdeling van verantwoordelijkheden tussen de rollen, is afhankelijk van de apparaten in kwestie, rechtsgebied- specifieke eisen en lokaal beleid. De personen die de rollen uitvoeren worden hier echter collectief aangeduid als professionals op het gebied van medische hulpmiddelen.
>
> Op vergelijkbare wijze zijn gebouwfaciliteiten en gebouwbeheersystemen in gezondheidsorganisaties vaak de verantwoordelijkheid van technische professionals, vaak aangeduid als ziekenhuistechnici.
>
> Die term wordt hier ook gebruikt. In sommige gezondheidsorganisaties zijn ziekenhuistechnici ook verantwoordelijk voor alle medische hulpmiddelen.
>
> In veel sectoren buiten de gezondheidszorg zijn professionals in ICT- of vergelijkbare afdelingen verantwoordelijk voor bedrijfsmiddelen die afhankelijk zijn van digitale techniek en deze verantwoordelijkheid kan informatiebeveiliging omvatten.
>
> De verantwoordelijkheden van professionals op het gebied van medische hulpmiddelen en ziekenhuistechnici kan veel aspecten van informatiebeveiliging beslaan. Normaliter krijgen hun afdelingen instructies van de fabrikanten van bedrijfsmiddelen die afhankelijk zijn van digitale techniek over relevante informatiebeveiligingsmaatregelen en taken of activiteiten die moeten worden uitgevoerd.
>
> Afhankelijk van het type bedrijfsmiddel kunnen deze taken het volgende omvatten: het installeren van patches, het upgraden van software of firmware, configuratieveranderingen doorvoeren, software die tegen malware beschermt updaten enzovoorts. De bedrijfsmiddelen horen meestal buiten bedrijf te zijn of veilig buiten bedrijf te worden gesteld voordat deze taken kunnen worden uitgevoerd. Daarna horen de bedrijfsmiddelen weer in bedrijf te worden gesteld. Dit kan gepaard gaan met beproeven, herkalibreren of andere activiteiten die alleen de desbetreffende professionals mogen uitvoeren.
>
> Veel van de bedrijfsmiddelen die de verantwoordelijkheid zijn van professionals op het gebied van medische hulpmiddelen of ziekenhuistechnici maken gebruik van (bedrade of draadloze) netwerkfunctionaliteit of er wordt toegang toe gemaakt vanaf eindgebruikersapparatuur zoals pc's, laptops of andere mobiele apparaten. In aanvulling hierop kunnen fabrikanten van digitale medische hulpmiddelen eisen dat netwerken en apparatuur van eindgebruikers (met inbegrip van applicaties die erop draaien) op bepaalde manieren worden geconfigureerd om het gebruik van de medische hulpmiddelen te ondersteunen of omwille van informatiebeveiliging.
>
> De netwerk- en eindgebruikersapparatuur is echter vaak de verantwoordelijkheid van ICT- professionals. Het is dus mogelijk dat verantwoordelijkheden voor informatiebeveiliging elkaar overlappen en het is essentieel dat alle beroepsgroepen hun activiteiten op elkaar afstemmen. Deze afstemming is ook essentieel om voor bepaalde apparaten en systemen te waarborgen dat informatiebeveiligingsactiviteiten niet over het hoofd worden gezien vanuit de aanname dat een andere groep professionals zich ermee bezighoudt.

#### Eigendom van bedrijfsmiddelen en verplichtingen van de organisatie

##### <img src="media/image10.png" style="width:0.35197in;height:0.11532in" /> Algemeen

> Het is van essentieel belang dat alle bedrijfsmiddelen die gebruikmaken van digitale techniek en die een gezondheidsorganisatie gebruikt of waarvan zij afhankelijk is, zijn geïdentificeerd. Het is ook van essentieel belang dat verantwoordelijkheid en rekenschap worden vastgesteld voor alle bedrijfsmid- delen die gebruikmaken van digitale techniek.
>
> Met name binnen grote gezondheidsorganisaties kan het bijhouden van inventarisaties gecompliceerd zijn vanwege het grote aantal bedrijfsmiddelen en frequente verplaatsing of andere veranderingen.
>
> In C.3.2 en C.3.3 worden bepaalde factoren beschreven waarmee rekening behoort te worden gehouden.

##### <img src="media/image11.png" style="width:0.34947in;height:0.11536in" /> ICT en medische hulpmiddelen

###### Bronnen en verwerving van bedrijfsmiddelen

> Afhankelijk van de aard van de gezondheidsorganisatie kunnen bedrijfsmiddelen die gebruikmaken van digitale techniek de organisatie op verschillende manieren binnenkomen. Dit gaat niet altijd via een officiële weg.
>
> Bedrijfsmiddelen die gebruikmaken van digitale techniek en die in een gezondheidsorganisatie worden ingezet, kunnen:

- door de organisatie zijn aangekocht;

- door de organisatie zijn gehuurd of geleaset;

- in het kader van een uitbestede dienst aan de organisatie worden verstrekt;

- aan de organisatie zijn uitgeleend – bijvoorbeeld door fabrikanten van medische hulpmiddelen of farmaceutische bedrijven die artikelen verstrekken om ze direct te evalueren of ter ondersteuning van klinische proeven;

- aan de organisatie zijn gedoneerd – bijvoorbeeld door liefdadigheidsinstellingen;

- aan de organisatie zijn verplicht;

- binnen de organisatie zijn ontwikkeld, gebouwd of geconstrueerd;

- gedeeld zijn.

> Bovendien kunnen bepaalde onderdelen of eenheden van gezondheidsorganisaties veel autonomie hebben. Dit kan van toepassing zijn op organisaties met geografische spreiding. Het kan bijvoorbeeld ook van toepassing zijn op grote gezondheidsorganisaties waarin (groepen) afdelingen of klinische specialisaties bevoegd zijn in ieder geval bepaalde bedrijfsmiddelen die digitale techniek gebruiken te verwerven en te implementeren zonder dat daarvoor toestemming of toezicht nodig is van centrale of organisatiebrede functies in de organisatie.

###### Bedrijfsmiddelen delen en andere typen organisaties

> Een gezondheidsorganisatie kan gelieerd zijn aan andere gezondheidsgerelateerde organisaties (of afdelingen daarbinnen) waaronder:

- medische opleidingen en andere instanties die onderwijs en training aanbieden voor bestaande en kandidaat- (d.w.z. studenten, stagiairs enzovoorts) beroepsbeoefenaren in de gezondheidszorg;

- klinische onderzoeksunits en -instituten;

- andere academische instanties die klinisch, medisch of gezondheidsgerelateerd onderzoek uitvoeren;

- faculteiten van universiteiten (zoals werktuigbouwkunde, natuurkunde en computerwetenschappen) die onderzoek doen naar of zich bezighouden met de ontwikkeling van een of meer van de volgende onderwerpen: technieken, apparaten, uitrusting en software om digitale oplossingen voor gezondheid en geneeskunde te verbeteren.

> Bedrijfsmiddelen die digitale techniek gebruiken en eigendom zijn van of onder de invloedssfeer zijn van deze andere organisaties worden, in bepaalde omstandigheden, met de gezondheidsorganisatie gedeeld. In sommige gevallen worden die bedrijfsmiddelen uitsluitend door de gezondheidsorganisatie gebruikt.
>
> Ook is het mogelijk dat bepaalde bedrijfsmiddelen van de gezondheidsorganisatie die digitale techniek gebruiken met de andere organisaties of afdelingen van die andere organisaties worden gedeeld.
>
> In al deze situaties waar sprake is van delen is het van essentieel belang dat de informatiebeveiliging van de bedrijfsmiddelen in stand wordt gehouden en dat er geen twijfel bestaat over welke organisatie die verantwoordelijkheid behoudt.

###### Andere stromen van bedrijfsmiddelen

> Er kan sprake zijn van urgente overdracht van zorgontvangers tussen gezondheidsorganisaties, met name als de zorgontvangers meer specialistische zorg elders nodig hebben. Het is mogelijk dat bepaalde apparatuur, met inbegrip van digitale medische hulpmiddelen, in die omstandigheden samen met de zorgontvanger wordt overgedragen.
>
> In andere gevallen is het mogelijk dat zorgontvangers tijdelijk of blijvend de beschikking krijgen over digitale medische hulpmiddelen om deze te gebruiken als ze zich niet langer op de locatie van een gezondheidsorganisatie bevinden. Dit kan bijvoorbeeld van toepassing zijn op bewakingsapparatuur of geïmplanteerde apparaten.

###### Bedrijfsmiddelen die eigendom zijn van personeel of van zorgontvangers

> Bepaalde bedrijfsmiddelen die eigendom zijn van personeel of van zorgontvangers behoren te worden opgenomen in inventarisaties, afhankelijk van het gebruik van de bedrijfsmiddelen. Dit is bijvoorbeeld van toepassing indien het nodig is regels met betrekking tot softwarelicenties te handhaven of apparatuur op afstand schoon te kunnen vegen.

##### <img src="media/image12.png" style="width:0.34947in;height:0.11536in" /> Gebouwbeheer- en facility-managementsystemen

> Gezondheidsorganisaties kunnen op allerlei locaties actief zijn. Voor bepaalde locaties geldt dat ze eigendom zijn van de gezondheidsorganisaties die erin zijn gevestigd of dat die organisaties er de controle over hebben, maar dit is niet altijd het geval. Gezondheidsorganisaties kunnen bijvoorbeeld vanuit multifunctionele gebouwen (met daarin kantoren, detailhandel of beide) werken of een locatie, zoals poliklinieken, met andere gezondheidsorganisaties delen.
>
> Bij locaties waarover de gezondheidsorganisatie niet de volledige controle heeft, is het belangrijk te waarborgen dat de noodzakelijke informatiebeveiligingsactiviteiten voor de faciliteiten en de gebouwbeheersystemen worden uitgevoerd en dat wordt geïdentificeerd welke partijen verantwoordelijk zijn voor het toezicht erop of het uitvoeren ervan.
>
> Dit kan met name complex zijn op locaties waar een eigenaar of verhuurder het gebouwbeheer heeft uitbesteed aan een of meer derde partijen, die dit op hun beurt weer verder kunnen uitbesteden. Er kunnen zich ook complicaties voordoen als allerlei verschillende partijen, zoals eigenaar of verhuurder, beheerders, huurders of andere gebruikers, uitrusting in het gebouw hebben aangebracht.

#### Personeel

##### <img src="media/image13.png" style="width:0.35197in;height:0.11532in" /> Gebruikers van systemen en informatie

###### Algemeen

> Er behoort met een aantal factoren rekening te worden gehouden in verband met:

- identiteitsbeheer, authenticatie-informatie en op rollen gebaseerde toegangsbeveiliging;

- het ontwikkelen van beleid en procedures;

- het communiceren en handhaven van beleid en procedures;

- bewustwording, opleiding en training;

- risicobeoordeling en -management.

> In C.4.1.2 t/m C.4.1.4 worden bepaalde factoren beschreven.

###### Gezondheidspersoneel

> Er zijn veel rollen binnen het personeelsbestand van gezondheidsorganisaties, waaronder:

- artsen, tandartsen, apothekers, verpleegkundigen, verloskundigen, fysiotherapeuten, paramedici;

- zorgassistenten, technici, medisch secretaresses, klinisch codeerspecialisten;

- bestuursmedewerkers, financiële, administratieve en ondersteunende medewerkers;

- vrijwilligers, geestelijken, medewerkers van liefdadigheidsinstellingen. Mogelijke personeelsleden van een gezondheidsorganisatie zijn onder andere:

- managers of leidinggevenden;

- fulltime of parttime;

- in meer dan een rol (bijvoorbeeld als arts en, los daarvan, als academisch onderzoeker of docent);

- in dienst van of werkzaam binnen andere gezondheidsorganisaties (vaak op ad-hocbasis).

> Voorbeelden van de basis waarop personen deel kunnen uitmaken van het personeelsbestand zijn:

- vast contract;

- tijdelijk contract of contract voor korte duur;

- detachering;

- vervanger;

- uitzendkracht (door een externe organisatie geleverd);

- interne flexpool;

- bezoekend specialist of adviseur (soms om een 'second opinion' te geven).

> Voordat ze volledig gekwalificeerd zijn voor hun beroep, kunnen personen als student of stagiair deel uitmaken van het personeelsbestand.
>
> Bepaalde personen zullen alleen buiten de standaard kantooruren aan het werk zijn. Om onverwachte afwezigheid op te vangen, kan het gebeuren dat bepaalde personen slechts een paar diensten of zelfs slechts één dienst in een andere afdeling werken.
>
> Hoewel veel medewerkers in de gezondheidszorg alleen op vaste locaties zoals een ziekenhuis werken, werkt een groot aantal clinici binnen de gemeenschap waar ze zorg verlenen bij mensen thuis of in een andere omgeving, zoals een verpleeg- of verzorgingshuis waar ze verblijven.
>
> Al deze personeelsfactoren hebben meerdere implicaties, waaronder waarborgen dat:

- persoonlijke gezondheidsinformatie van personen alleen beschikbaar is voor die medewerkers voor wie er een legitieme noodzaak bestaat de informatie in te zien; en

- toegangsrechten tot systemen goed worden beheerd.

> Soms kan het nodig zijn concessies te doen om onbeheersbaar complexe benaderingen te vermijden.
>
> ISO 21398 gaat dieper in op enkele van deze factoren en geeft lijsten met gereguleerde beroepsrollen binnen de gezondheidszorg.

###### Zorgontvangers en hun gevolmachtigden

> Zorgontvangers (en hun gevolmachtigden) kunnen toegang krijgen tot hun persoonlijke gezondheidsinformatie. In bepaalde gevallen hebben gebruikers direct toegang tot gezondheidsinformatiesystemen, maar in andere gevallen verloopt de toegang tot hun persoonlijke gezondheidsinformatie via een applicatie.
>
> Dit zijn kwesties om rekening mee te houden:

- waarborgen dat opgevraagde of gedownloade informatie veilig blijft op het apparaat dat wordt ge- bruikt;

- implicaties van het aan gebruikers bieden van de mogelijkheid hun persoonlijke gezondheidsinfor- matie niet alleen bij te werken door informatie rechtstreeks in te voeren, maar ook door deze te uploaden vanaf:

  - gezondheids-, welzijns- of fitnessapparaten (die eigendom kunnen zijn van de gezondheidsorga- nisatie of de gebruiker) of -applicaties;

  - registraties van andere gezondheidsorganisaties waar de zorgontvanger is behandeld;

- zorgontvangers die: een kind zijn, toegankelijkheidsproblemen hebben of leerproblemen hebben;

- eventuele beperkingen ten aanzien van de informatie in hun eigen registraties die zorgontvangers mogen zien;

- beperkingen die zorgontvangers willen aanbrengen met betrekking tot waartoe hun eventuele ge- volmachtigden toegang hebben en hoe deze beperkingen worden beheerd;

- hoe de bevoegdheid van gevolmachtigden als gebruikers wordt beheerd en in welke mate dit, al dan niet, kan worden beheerst door de zorgontvangers.

###### Andere gebruikers

> Voorbeelden van andere gebruikers voor wie toegang tot persoonlijke gezondheids- of andere vertrouwelijke informatie, evenals tot systemen met die informatie, nodig is of die er recht op hebben, zijn onder andere personeel van regelgevende of inspectie-instanties, verzekeraars, accountants en auditoren, beroepsbeoefenaren in de gezondheidszorg en anderen die onderzoek doen naar klinische of andere incidenten. In het kader van strafrechtelijk onderzoek kan ook aan de politie of aan andere handhavingsorganisaties toegang tot persoonlijke gezondheidsinformatie worden verleend.
>
> Zelfs als deze andere typen gebruikers iets anders beweren, is het niet altijd gepast dat zij onbeperkte toegang krijgen tot informatie over specifieke zorgontvangers of andere personen (zoals personeelsleden).

##### <img src="media/image14.png" style="width:0.34947in;height:0.11532in" /> Adviesgroep inzake informatiebeveiliging

###### Doelen

> Omdat informatiebeveiliging zulke grootschalige implicaties heeft voor een gezondheidsorganisatie, kan het nuttig zijn over een adviesgroep inzake informatiebeveiliging te beschikken (zo'n groep kan bijvoorbeeld ook een raad, commissie of forum worden genoemd).
>
> Mogelijke doelen van de groep zijn onder andere:

- waarborgen dat er duidelijke sturing en zichtbare ondersteuning vanuit het management is voor het waarborgen van informatiebeveiliging;

- gebruikers op de hoogte houden van informatiebeveiligingsaangelegenheden waarvan zij zich be- wust moeten zijn (bijvoorbeeld nieuwe phishingtechnieken of bedreigingen door malware);

- lering trekken uit informatiebeveiligingsincidenten en bijna-incidenten zowel binnen de organisa- tie als elders;

- bewustwording, opleiding en training voor het personeel coördineren – dit behoort niet alleen voor nieuwkomers te zijn, maar ook een opfrisser voor anderen;

- raadpleging inzake voorgestelde wijzigingen die van invloed kunnen zijn op de klinische praktijk, bedrijfsprocessen of beide; bijvoorbeeld het inkorten van de tijd waarna een sessie bij inactiviteit automatisch wordt beëindigd of het resetten van grote aantallen wachtwoorden kan onbedoelde gevolgen hebben, zoals het voorkomen of vertragen van toegang tot systemen in klinische noodsi- tuaties of storingen van interfaces.

###### Lidmaatschap

> De directie en de informatiebeveiligingsexperts van de organisatie behoren altijd vertegenwoordigd te zijn in de groep. Welke stakeholders vertegenwoordigd kunnen worden, is afhankelijk van het type gezondheidsorganisatie en de omvang ervan. Voorbeelden zijn:

- clinici en andere personeelsleden die nauw betrokken zijn bij de directe zorg voor patiënten;

- academische, onderwijs- en onderzoeksmedewerkers;

- andere niet-klinische medewerkers die verschillende systemen gebruiken, meestal uit afdelingen zoals: financiën, personeelszaken, inkoop/bevoorrading, pers en communicatie.

> Er kunnen grote verschillen zijn in de klinische en bedrijfsprocessen en systemen die verschillende klinische specialismen gebruiken. In dit verband is het voor een evenwichtiger beeld in grote organisaties nuttig om deelnemers van verschillende klinische specialismen in de groep te hebben. Het kan ook nuttig zijn om junior medewerkers, stagiairs of studenten bij de groep te betrekken, aangezien hun ervaringen en hun blootstelling aan verschillende informatie en systemen sterk kan verschillen van die van senior medewerkers of de directie.

##### <img src="media/image15.png" style="width:0.34947in;height:0.11532in" /> Technische rollen en coördinatie

> Zoals al eerder opgemerkt kunnen professionals op het gebied van medische hulpmiddelen, ziekenhuistechniek en ICT de verantwoordelijkheid hebben voor allerlei aspecten van informatiebeveiliging en is het daarom nodig dat ze hun activiteiten afstemmen.
>
> Er kunnen echter in andere groepen of beroepen personen zijn met verantwoordelijkheden voor technische informatiebeveiliging, zoals het installeren van patches en het updaten van software. Deze personen zijn meestal systeemmanagers of systeembeheerders voor specialistische klinische of afdelingssystemen. Hun dagelijkse taken kunnen onder andere bestaan uit het autoriseren van gebruikers van de systemen, het uitvoeren van back-ups enzovoorts. Voorbeelden:

- Bij laboratoriumanalyse- en aanverwante apparatuur voor pathologie kan een laboratoriuminfor- matiesysteem worden meegeleverd. Meestal exporteren deze systemen resultaten via interfaces en hebben alleen laboratoriummedewerkers rechtstreeks toegang tot de systemen. De systeemmana- ger is meestal lid van de desbetreffende afdeling en zou een patholoog of het hoofd van een labora- torium kunnen zijn.

- Een persoon in een afdeling die fysieke beveiliging in een ziekenhuis waarborgt, kan verantwoorde- lijk zijn voor systemen zoals systemen voor identiteitskaarten en beveiligingspassen, deurcontrole- systemen, inbraakalarmen en toezicht.

> Het is daarom belangrijk dat er afstemming is tussen systeemmanagers van afdelingen of anderen die technische informatiebeveiligingstaken kunnen uitvoeren en de professionals die zich bezighouden met de algehele informatiebeveiliging van de organisatie.
>
> Een ander vlak dat van invloed is op ICT- en ziekenhuistechniekafdelingen, waarbij er sprake kan zijn van overlappende verantwoordelijkheden of juist (meestal onbedoelde) hiaten in de dekking, is de gebouwinfrastructuur die ICT ondersteunt. Deze infrastructuur omvat de netwerkbekabeling, patchpanels, netwerkcontactdozen, communicatie- en computerruimten en UPS-noodvoedingen.

#### Soorten en vormen van gebruik van bedrijfsmiddelen

##### <img src="media/image16.png" style="width:0.35197in;height:0.11949in" /> Algemeen

> In de volgende paragrafen worden voorbeelden gegeven van soorten bedrijfsmiddelen die gebruikmaken van digitale techniek. Omdat deze bedrijfsmiddelen zeer gevarieerd zijn, kunnen de voorbeelden niet alles afdekken. Het doel van de voorbeelden is globale checklists bieden en benadrukken dat een strenge benadering nodig is om te vermijden dat er bedrijfsmiddelen worden weggelaten uit inventarisaties.

##### <img src="media/image17.png" style="width:0.34947in;height:0.11949in" /> ICT en IoT

###### C.5.2.1 Generieke apparatuur en diensten

> Evenals in veel andere sectoren wordt er binnen de gezondheidszorg veel generieke ICT en steeds meer IoT- (Internet of Things) technologie gebruikt.
>
> Een vermeldenswaardig aspect zijn entertainmentsystemen waarmee patiënten vanuit hun bed over tv- en streamingdiensten beschikken. Deze systemen kunnen de netwerken in ziekenhuizen stelselmatig zeer hoog belasten. Deze belasting kan meer zijn dan die van al het andere netwerkverkeer samen. Bovendien kan er sprake zijn van een enorme piek in de vraag naar deze systemen als grote aantallen gebruikers allemaal tegelijk toegang willen tot dezelfde uitzending; dit kan zich voordoen bij belangrijk nieuws of grote sportevenementen.

##### <img src="media/image18.png" style="width:0.34947in;height:0.11949in" /> Medische hulpmiddelen

> Medische hulpmiddelen kunnen op veel verschillende manieren in klassen of categorieën worden ingedeeld. De indeling in groepen en de volgorde van de digitale medische hulpmiddelen in de onderstaande lijst heeft geen specifieke betekenis.

- implanteerbare apparaten zoals pacemakers en defibrillatoren;

- beeldvormingsapparatuur: digitale radiografie (DR) en andere op röntgenstralen gebaseerde appa- raten, CT- (Computed Tomography) scanners, MRI-scanners, echoapparaten, endoscopieappara- tuur;

- anaesthesieapparaten;

- apparaten voor hemodialyse;

- apparatuur voor radiotherapie;

- operatierobots;

- beademingsapparaten;

- uitwendige defibrillatoren;

- apparatuur voor laboratoriumanalyse;

- infuuspompen, spuitpompen;

- apparaten voor proeven op het punt waar zorg wordt verleend;

- bewakings- en diagnostische apparaten, onder andere voor: temperatuur, hartslag, ademhaling, bloeddruk, zuurstofsaturatie, bloedsuikerspiegel, elektrocardiografie, elektro-encefalografie.

> Veel van de vermelde apparaten bevinden zich normaal gesproken alleen in een gezondheidszorgspecifiek(e) gebouw of locatie (zoals een ziekenhuis, kliniek, diagnostisch centrum, hospice of verpleeghuis). Bepaalde digitale medische hulpmiddelen kunnen echter ook worden aangetroffen in mobiele aanhangers (dit geldt met name voor bepaalde soorten beeldvormingsapparatuur) en schepen. Ambulances en andere vervoersmiddelen (zoals helikopters) waarvan nooddiensten gebruikmaken, kunnen ook gebruikmaken van bepaalde digitale medische hulpmiddelen.

##### <img src="media/image19.png" style="width:0.3578in;height:0.12167in" /> Gebouwbeheer en facility management

###### Generieke apparatuur en diensten

> Locaties waar gezondheidsdiensten worden verleend beschikken meestal over systemen, installaties en machines die in allerlei soorten gebouwen worden ingezet en die generiek zijn. Deze generieke zaken zorgen bijvoorbeeld voor:

- verwarming, ventilatie en airconditioning en klimaatregeling;

- branddetectie en -bestrijding;

- verlichtingsbesturing, waaronder bijvoorbeeld detectie van de aanwezigheid van personen;

- energiebeheer;

- elektronische bewegwijzerings- en omroepvoorzieningen.

###### Fysieke beveiligingssystemen

> In gezondheidsgebouwen kunnen zich generieke beveiligingssystemen bevinden, zoals:

- toegangsbeveiligings- en deurcontrolesystemen;

- bewakingssystemen met inbegrip van beveiligingscamera's;

- toegangsdetectie- en alarmsystemen;

- persoonlijke alarmen en op het lichaam gedragen camera's voor personeelsleden.

###### Gezondheidsspecifieke apparatuur

> Gezondheidsspecifieke apparaten (soms ingedeeld als medische hulpmiddelen) en aanverwante systemen specifiek voor gezondheidsgebouwen zijn onder andere:

- medische gassen en vacuüm met inbegrip van bewakings- en alarmvoorzieningen;

- koeling en geconditioneerde opslag (van bloedproducten, medicijnen, monsters ten behoeve van pathologie enzovoorts);

- vast geïnstalleerde sterilisatieapparaten (ook bekend als autoclaven);

- verpleegoproep- en vergelijkbare alarmsystemen evenals andere voorzieningen bij het bed.

##### <img src="media/image20.png" style="width:0.35197in;height:0.11953in" /> Vormen van gebruik van persoonlijke gezondheidsinformatie

###### Algemeen

> Het beoordelen van alle manieren waarop persoonlijke gezondheidsinformatie in een gezondheidsorganisatie wordt gebruikt of verwerkt, kan bijdragen aan het identificeren van bedrijfsmiddelen die digitale techniek gebruiken, en aan het bevestigen dat inventarisaties compleet zijn.

###### Indeling van doelen voor het verwerken van persoonlijke gezondheidsinformatie

> ISO/TS 14265 geeft een gedetailleerde indeling van doelen voor het verwerken van persoonlijke gezondheidsinformatie. De belangrijkste doelen op het hoogste indelingsniveau zijn:

1)  persoonsgerichte zorg - verwerking die direct of indirect bijdraagt aan de gezondheid van en zorg voor een persoon;

2)  management en kwaliteitsborging van gezondheidsdiensten - verwerking die de persoonlijke gege- vens van een persoon gebruikt om de kwaliteit, veiligheid en redelijkheid en billijkheid van gezond- heids- en zorgverlening aan allerlei verschillende personen te bewaken en te verbeteren;

3)  bevolking en volksgezondheid - het verwerken van persoonlijke gezondheidsgegevens om punten van zorg met betrekking tot de volksgezondheid te volgen, volksgezondheidsrisico's voor individu- ele personen en populaties te managen en doeltreffende strategieën te ontwikkelen;

4)  klinisch onderzoek - het ontwerpen en uitvoeren van klinische onderzoeken, onderzoeken met praktijkgegevens en andere vormen van kennisverwerving die gepaard gaan met het verwerken van persoonlijke gezondheidsgegevens;

5)  opleiding en training - het verwerken van persoonlijke gezondheidsgegevens om opleidings- en trainingsmaterialen te ontwikkelen, onderwijs te geven of leerresultaten te evalueren;

6)  het voldoen aan wettelijke verplichtingen - het openbaar maken of verwerken van persoonlijke ge- gevens conform wetgeving of rechterlijke instructies.

###### Levenscyclusgebeurtenissen registreren

> Naast rekening houden met algemene doelen voor het verwerken van persoonlijke gezondheidsinformatie, kunnen mogelijke handelingen met betrekking tot registraties worden beoordeeld om bedrijfsmiddelen te identificeren die digitale techniek gebruiken en te bevestigen dat inventarisaties compleet zijn.
>
> ISO 21089 specificeert de volgende te registreren levenscyclusgebeurtenissen (Record Lifecycle Events): toegang maken/bekijken, informatie over wettelijke bewaarplicht toevoegen, aanpassen (bijwerken), archiveren, attesteren, ontsleutelen, de-identificeren (anonimiseren), afschrijven, vernietigen/wissen, openbaar maken, versleutelen, extraheren, koppelen, samenvoegen, doen ontstaan/bewaren, pseudonimiseren, heractiveren, ontvangen/bewaren, heridentificeren, wettelijke bewaarplicht verwijderen, rapporteren (uitvoer), herstellen, omvormen/vertalen, overdragen, ontkoppelen, samenvoeging ongedaan maken, verifiëren.
>
> Dit zijn ook de gebeurtenissen waarvan ISO 27789 aangeeft dat ze moeten worden opgenomen in auditlogbestanden.

##### <img src="media/image21.png" style="width:0.35531in;height:0.11953in" /> Gezondheids- en andere toepassingen

###### Gezondheidsorganisaties

> Ziekenhuizen en andere locaties waar gezondheidsdiensten worden verleend, kunnen over allerlei systemen (waarvan de namen kunnen verschillen) beschikken die voornamelijk directe zorgdoelen dienen, waaronder:

- systemen voor elektronische patiëntendossiers (EPD);

- patiëntadministratiesystemen (PAS);

- beeldarchiverings- en communicatiesystemen (PACS);

- laboratoriuminformatiemanagementsystemen;

- radiologie-informatiesysteem (RIS);

- apotheek-/verstrekkingssystemen;

- klinische systemen voor bepaalde specialismen (waarvan er veel kunnen zijn in grote organisaties), zoals verloskunde, cardiologie of oogheelkunde;

- systemen van afdelingen, bijvoorbeeld: zalen, steriele materialen of infectiebestrijding;

- interface-engines.

> Deze systemen kunnen in allerlei functies voorzien, waaronder: het bewaren van gezondheidsregistraties, ondersteuning van klinische beslissingen en het plannen en inboeken van: afspraken, consulten en operaties.
>
> Zoals kan worden afgeleid uit de indeling van doelen in ISO/TS 14265, kunnen er veel andere systemen zijn die persoonlijke gezondheidsinformatie verwerken. Er kunnen ook document- en contentmanagementsystemen, websites, intranetten enzovoort zijn, evenals systemen voor: administratieve en financiële doelen, personeelsplannings-, opleidings- en trainingsdoelen (met inbegrip van opleidingsmanagementsystemen en virtuele leeromgevingen), detailhandelsdoelen (bijvoorbeeld voor eten en drinken voor medewerkers en bezoekers) en andere doelen.
>
> De essentie is dat er, afhankelijk van de organisatie, een onverwacht groot aantal systemen en databases kan zijn, die vaak persoonlijke gezondheids- of andere vertrouwelijke informatie bevatten. Het is aangetoond dat dit met name in grote academische ziekenhuizen om honderden van die systemen en databases kan gaan.
>
> Voor de toekomst is een aanzienlijke toename van het gebruik van systemen die gebruikmaken van kunstmatige intelligentie (AI), genoominformatie of beide onvermijdelijk.

###### Bedrijfsmiddelen en personeel volgen

> Systemen om bedrijfsmiddelen te volgen en te monitoren die gebruikmaken van RFID-tags (radiofrequentie-identificatie-tags), barcodes of andere technieken kunnen voor allerlei doeleinden worden gebruikt, waaronder bepalen waar medische hulpmiddelen zich bevinden, het verstrekken van medicijnen en het beheren van voorraden verbruiksartikelen, bloedproducten of chirurgische instrumenten. Het gebruik van barcodes voor monsters ten behoeve van pathologie is zeer gangbaar.
>
> Bepaalde gezondheidsorganisaties volgen de locaties van bepaalde medewerkers. Dit kan om allerlei redenen gebeuren, waaronder bijvoorbeeld het analyseren en verbeteren van bedrijfsprocessen.
>
> Clinici die binnen de gemeenschap werken, kunnen met het oog op hun fysieke veiligheid worden gevolgd.
>
> Patiënten die in het ziekenhuis verblijven, hebben bandjes met daarop hun identiteitsgegevens. Deze kunnen van een barcode zijn voorzien. Bepaalde gezondheidsorganisaties gebruiken trackingtechnolo- gie voor bepaalde zorgontvangers. Voorbeelden daarvan zijn:

- personen die de weg kunnen kwijtraken of gedesoriënteerd kunnen raken omdat ze aan dementie of een andere aandoening lijden;

- pasgeboren baby's (als ze vanuit bepaalde zones worden verplaatst, klinkt er een alarm om ontvoe- ring te voorkomen).

###### Applicaties

> Gezondheids-, welzijns- en fitnessapplicaties worden steeds gangbaarder. Sommige daarvan worden specifiek ontwikkeld voor gebruik in combinatie met andere producten, zoals draagbare medische hulpmiddelen, apparatuur om fitheid te bewaken, 'wearables' en dergelijke.
>
> Bepaalde gezondheidsorganisaties ontwikkelen of verlenen licenties op applicaties voor zorgontvangers of voor hun eigen medewerkers. Veel gezondheidsgerelateerde applicaties worden echter op dezelfde manier verkregen (meestal via een 'app store') als andere soorten applicaties.
>
> Sommige gezondheidsgerelateerde applicaties kunnen nuttig zijn. Veel gezondheidsgerelateerde applicaties brengen echter veiligheids-, privacy- of beveiligingsrisico's, en vaak een combinatie daarvan, met zich mee.

##### <img src="media/image22.png" style="width:0.35229in;height:0.11949in" /> Interfaces

> Informatie over zorgontvangers wordt vaak in meerdere systemen en digitale medische hulpmiddelen vastgelegd of opgeslagen. Veel van deze informatie moet om zorg- of andere doeleinden worden gedeeld of uitgewisseld; meestal worden er interfaces gebruikt om de relevante gegevens over te dragen.
>
> Interfaces zowel binnen als tussen organisaties kunnen veel verschillende soorten beveiligings- en privacyrisico's met zich meebrengen. In dat kader is het van essentieel belang dat ze allemaal worden opgenomen in inventarisaties van bedrijfsmiddelen.
>
> Sommige interfaces gebruiken bedrijfseigen of eigendomsrechtelijk beschermde protocollen en gegevensformaten. Door de heterogene aard van gezondheids-IT-systemen en digitale medische hulpmiddelen is het echter zo dat interfaces, met name tussen producten van verschillende fabrikanten, vaak gebruikmaken van standaarden en normen voor het uitwisselen van gezondheidsinformatie.
>
> De meest gespecificeerde en gebruikte standaarden en normen voor het uitwisselen van gezondheidsinformatie zijn als volgt:

- HL7 Versie 2.5 zoals gespecificeerd in ISO/HL7 27931;

- HL7 FHIR (Fast Healthcare Interoperability Resources);

- DICOM (Digital Imaging and Communication in Medicine) zoals gespecificeerd in ISO 12052;

- De ISO/IEEE 11073-reeks.

> Door IHE (Integrating the Healthcare Enterprise) ontwikkelde profielen van DICOM en HL7-normen zijn ook gemeengoed.

## Bijlage D

(informatief)

### Voorbeelden van beveiligings- en privacy-eisen voor gezondheidsinformatiesystemen en de correlatie ervan met de beheersmaatregelen van NEN 7510-2 en de beveiligingsmogelijkheden van IEC/CD TS 81001-2-2

#### Doel

> Deze informatieve bijlage geeft voorbeelden van beveiligings- en privacy-eisen die:

- als informatie kunnen dienen voor het aankopen, verbeteren en beoordelen van gezondheidssoft- wareproducten en -informatiesystemen vanuit het oogpunt van beveiliging en privacy;

- organisaties die beheersmaatregelen en richtlijnen van NEN 7510-2 implementeren van dienst kunnen zijn bij het vormgeven van beleid, regels, richtlijnen, protocollen en procedures inzake de privacy en beveiliging van informatie;

- de implementatie van beveiligingsbeheersmaatregelen in de levenscyclus van IT-systemen voor de gezondheidszorg kunnen bevorderen.

> De organisatie die deze bijlage als basis voor haar eigen evaluatie gebruikt, kan de voorgestelde eisen aanpassen naar gelang nodig is voor de specifieke omstandigheden van het proces van de organisatie. In aanvulling hierop geeft bijlage D de relaties tussen deze voorbeelden van beveiligings -en privacy- eisen voor gezondheidsinformatiesystemen, ontleend aan de ingetrokken ISO 14441:2013 en de beheersmaatregelen van NEN 7510-2. Een correlatie met de beveiligingsmogelijkheden zoals geïdentificeerd in IEC/CD TS 81001-2-2:2024, *Health software and health IT systems safety, effectiveness and security – Part 2-2: Guidance for the implementation, disclosure and communication of security needs risks and controls* [1]) geeft een informatieve verzameling gangbare, met beveiliging op hoog niveau gerelateerde mogelijkheden en aanvullende aandachtspunten. Deze informatieve verzameling is bruikbaar gedurende de volledige levenscyclus van gezondheidssoftware (met inbegrip van software voor medische hulpmiddelen) en voor de uitwisseling van informatie tussen de fabrikanten van medische hulpmiddelen en van gezondheidssoftware, organisaties die gezondheidszorg leveren en/of andere stakeholders zoals gepresenteerd in tabel D.1 hieronder.
>
> <span id="_bookmark122" class="anchor"></span>1) IEC/CD TS 81001-2-2:2024 is een ontwerp dat voor commentaar is gepubliceerd, dus nog geen definitief do- cument. Dit ontwerp zal IEC/TR 80001-2-2:2012 en IEC/TR 80001-2-8:2016 vervangen.
>
> **Tabel D.1 — In hoofdstuk 5 van IEC/CD TS 81001-2-2:2024 beschreven beveiligingsmogelijkheden**

<table>
<colgroup>
<col style="width: 12%" />
<col style="width: 74%" />
<col style="width: 12%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Paragraaf</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Mogelijkheid</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Acroniem</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p><strong>5.2</strong></p>
</blockquote></td>
<td><blockquote>
<p>Automatisch uitloggen</p>
</blockquote></td>
<td><blockquote>
<p>ALOF</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.3</strong></p>
</blockquote></td>
<td><blockquote>
<p>Audit-beheersmaatregelen</p>
</blockquote></td>
<td><blockquote>
<p>AUDT</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.4</strong></p>
</blockquote></td>
<td><blockquote>
<p>Autorisatie</p>
</blockquote></td>
<td><blockquote>
<p>AUTH</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.5</strong></p>
</blockquote></td>
<td><blockquote>
<p>Upgrades van cybersecurity-producten</p>
</blockquote></td>
<td><blockquote>
<p>CSUP</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.6</strong></p>
</blockquote></td>
<td><blockquote>
<p>Gezondheidsgegevens de-identificeren</p>
</blockquote></td>
<td><blockquote>
<p>DIDT</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.7</strong></p>
</blockquote></td>
<td><blockquote>
<p>Back-up van gegevens en herstel bij calamiteiten</p>
</blockquote></td>
<td><blockquote>
<p>DTBK</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.8</strong></p>
</blockquote></td>
<td><blockquote>
<p>Toegang in noodsituaties</p>
</blockquote></td>
<td><blockquote>
<p>EMRG</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.9</strong></p>
</blockquote></td>
<td><blockquote>
<p>Integriteit en authenticiteit van gezondheidsgegevens</p>
</blockquote></td>
<td><blockquote>
<p>IGAU</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.10</strong></p>
</blockquote></td>
<td><blockquote>
<p>Malwaredetectie / bescherming tegen malware</p>
</blockquote></td>
<td><blockquote>
<p>MLDP</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.11</strong></p>
</blockquote></td>
<td><blockquote>
<p>Node-authenticatie</p>
</blockquote></td>
<td><blockquote>
<p>NAUT</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.12</strong></p>
</blockquote></td>
<td><blockquote>
<p>Authenticatie van personen</p>
</blockquote></td>
<td><blockquote>
<p>PAUT</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.13</strong></p>
</blockquote></td>
<td><blockquote>
<p>Fysieke sloten op producten</p>
</blockquote></td>
<td><blockquote>
<p>PLOK</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.14</strong></p>
</blockquote></td>
<td><blockquote>
<p>Componenten van derden in roadmaps van de levenscyclus van producten</p>
</blockquote></td>
<td><blockquote>
<p>RDMP</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.15</strong></p>
</blockquote></td>
<td><blockquote>
<p>'Hardening' van systemen en applicaties</p>
</blockquote></td>
<td><blockquote>
<p>SAHD</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.16</strong></p>
</blockquote></td>
<td><blockquote>
<p>Vertrouwelijkheid van de opslag van gezondheidsgegevens</p>
</blockquote></td>
<td><blockquote>
<p>STCF</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.17</strong></p>
</blockquote></td>
<td><blockquote>
<p>Vertrouwelijkheid van overdracht</p>
</blockquote></td>
<td><blockquote>
<p>TXCF</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>5.18</strong></p>
</blockquote></td>
<td><blockquote>
<p>Integriteit van overdracht</p>
</blockquote></td>
<td><blockquote>
<p>TXIG</p>
</blockquote></td>
</tr>
</tbody>
</table>

#### Doelgroep

> De doelgroep voor deze informatieve bijlage omvat organisaties en personen die:

- betrokken zijn bij het leveren, aankopen, configureren, integreren en implementeren van software en IT-systemen voor de gezondheidszorg;

- verantwoordelijk zijn voor het plannen, invoeren en testen van IT-systemen voor de gezondheidszorg, vanuit privacy- en beveiligingsoogpunt.

#### Verwijzingstabellen

> Bij de relaties tussen de voorbeeldbeveiligings- en privacy-eisen en de beheersmaatregelen van
>
> NEN 7510-2 is er sprake van veel-op-veel. Om het gebruik van de verwijzingstabel te vereenvoudigen zijn de relaties in twee tabellen weergegeven. Elk daarvan staat voor een aantal een-op-veel-relaties:

- Tabel D.2: Relaties tussen de beveiligings- en privacy-eisen en de beheersmaatregelen van NEN 7510-2 . De tabel bevat drie kolommen:

  - linker kolom – Beveiligings- en privacy-eisen;

  - middelste kolom – Toepasselijke beveiligingsmogelijkheden uit IEC/CD TS 81001-2-2:2024;

  - rechter kolom – Beheersmaatregelen NEN 7510-2.

- Tabel D.3: Relaties tussen de beheersmaatregelen van NEN 7510-2 en de beveiligings- en privacy- eisen. Deze bevat twee kolommen, in tegengestelde volgorde van de eerste tabel:

  - linker kolom – Beheersmaatregelen NEN 7510-2;

  - rechter kolom – Beveiligings- en privacy-eisen.

> De middelste kolom in tabel D.2 laat een aanvullende correlatie zien met de in
>
> IEC/CD TS 81001-2-2:2024 gepresenteerde beveiligingsmogelijkheden. Fabrikanten behoren ook de informatieve bijlage bij IEC/CD TS 81001-2-2, Annex A, *Sample scenario showing the exchange of secu- rity information*, en Annex A, Section A.2, *Manufacturer Disclosure Statement for medisch hulpmiddel Security (MDS2)*, te bekijken voor een voorbeeld van welke voordelen deze verwijzingstabel te bieden heeft voor een fabrikant van medische apparaten.
>
> **Tabel D.2 — Relaties tussen de beveiligings- en privacy-eisen, de beveiligingsmogelijkheden in hoofdstuk 5 van IEC/CD TS 81001-2-2:2024 en de beheersmaatregelen van NEN 7510-2**

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td></td>
<td></td>
<td></td>
</tr>
<tr>
<td colspan="3"><blockquote>
<p><strong>Toestemming van de betrokkene voor het verzamelen, gebruiken of openbaar maken van per-</strong></p>
<p><strong>soonlijke gezondheidsinformatie</strong></p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R1 Toestemming registreren:</strong> indien betrokkenen een wettelijk of door gewoonte ontstaan recht hebben om hun toestemming voor het verzamelen, gebruiken of openbaar maken van hun persoonlijke gezondheids- informatie te weigeren of in te trekken, moeten ge- zondheidsinformatiesystemen:</p>
</blockquote>
<ol type="a">
<li><p>voorzien in een mogelijkheid om de instructies van een betrokkene met betrekking tot toestemming te registreren, met inbegrip van het weigeren of intrek- ken van toestemming;</p></li>
<li><p>dit kunnen doen op een manier waardoor elke orga- nisatie aan haar eigen wettelijke of beleidseisen in- zake toestemming kan voldoen.</p></li>
</ol>
<blockquote>
<p><strong>R2 Minimaal geregistreerde gegevens:</strong> indien ge- zondheidsinformatiesystemen de toestemmingsin- structies van een betrokkene registreren, moeten de kenmerken van de instructie worden geregistreerd (bijvoorbeeld het weigeren van toestemming of het in- trekken van eerder gegeven toestemming) evenals de soort toestemming in die rechtsgebieden waar men twee of meer soorten toestemming kent (bijvoorbeeld stilzwijgende toestemming tegenover uitdrukkelijk ge- geven toestemming) en de datum waarop de instructie</p>
<p>is gegeven.</p>
</blockquote></td>
<td><blockquote>
<p>AUDT AUTH DIDT EMRG IGAU NAUT PAUT STCF TXCF TXIG</p>
</blockquote></td>
<td><ol type="1">
<li><p>Beleidsregels voor infor- matiebeveiliging</p></li>
<li><p>Rollen en verantwoorde- lijkheden bij informatie- beveiliging</p></li>
</ol>
<blockquote>
<p>5.15 Toegangsbeveiliging</p>
<p>5.20 Adresseren van informa- tiebeveiliging in leveran- ciersovereenkomsten</p>
</blockquote>
<ol start="33" type="1">
<li><p>Beschermen van regi- straties</p></li>
<li><p>Privacy en bescherming van persoonsgegevens</p></li>
</ol>
<ol start="15" type="1">
<li><p>Logging</p></li>
<li><p>Monitoren van activitei- ten</p></li>
</ol></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>R3 Instructies volgen de gegevens:</strong> indien betrokke- nen een wettelijk of door gewoonte ontstaan recht hebben om hun toestemming voor het verzamelen, ge- bruiken of openbaar maken van hun persoonlijke ge- zondheidsinformatie te weigeren of in te trekken, be- horen gezondheidsinformatiesystemen te voorzien in een mogelijkheid om beperkingen ten aanzien van ver- dere bekendmaking (d.w.z. verspreiding) samen met de openbaar gemaakte gegevens over te dragen indien de ontvanger(s) van de openbaar gemaakte gegevens niet anderszins op de hoogte zou(den) kunnen zijn van de toestemmingsinstructies van de betrokkene en deze wellicht niet zou(den) naleven. Het gezondheidsinfor- matiesysteem behoort dit dusdanig te kunnen waar- maken dat de verzendende en ontvangende rechtsge- bieden aan hun eigen wettelijke eisen of beleid inzake toestemming kunnen voldoen.</p>
<p><strong>R4 Toegang in noodsituaties:</strong> medische noodhulp (bijvoorbeeld hulp die wordt gegeven aan een zorgont- vanger die buiten bewustzijn is) of andere wettelijk of door beleid toegestane speciale situaties (zoals volks- gezondheidsonderzoeken bij uitbraken van overdraag- bare ziekten) kunnen toegang nodig maken tot in een gezondheidsinformatiesysteem opgeslagen patiëntre- gistraties met wettelijk of door beleid toegestane ge- deeltelijke naleving van eerder geregistreerde toe- stemmingsinstructies. Deze mogelijkheid van toegang in noodsituaties mag alleen worden geboden aan geau- toriseerde gebruikers en het gebruik ervan moet (sa- men met een reden waarom de gebruiker de instructie inzake toestemming negeert) worden geregistreerd in een auditlogbestand. Behalve indien het deels negeren van toestemmingsinstructies wettelijk of door beleid is toegestaan en om onzekerheid weg te nemen over of een gebruiker beoogde de toestemmingsinstructies van de zorgontvanger te negeren, behoort het systeem het mogelijk te maken dat de gebruiker uitdrukkelijk een beroep doet op toegang in noodsituaties of anders behoort het systeem de gebruiker die toegang maakt, alvorens toegang wordt verleend, ervan in kennis te stellen dat de toegang een geval van toegang in noodsi- tuaties zal vormen.</p>
<p><strong>R5 Toegang in noodsituaties in een logbestand re- gistreren:</strong> gezondheidsinformatiesystemen moeten:</p>
</blockquote></th>
<th></th>
<th></th>
</tr>
</thead>
<tbody>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><ol type="a">
<li><p>in een logbestand kunnen registreren wanneer de verwerking van toestemmingsinstructies de open- baarmaking van gegevens verbiedt;</p></li>
<li><p>in een logbestand de identiteit kunnen registreren van elke gebruiker die de toestemmingsinstructies van een betrokkene negeert, de reden voor de toe- gang in noodsituaties, een unieke identificatiecode die later kan worden gebruikt om de betrokkene te identificeren, de datum en tijd waarop de toegang in noodsituaties zich voordeed;</p></li>
<li><p>aan personen met rekenschap voor het mogelijk maken van het naleven van de privacy kennis kun- nen geven van toegang in noodsituaties.</p></li>
</ol>
<blockquote>
<p><strong>R6 Door een rechtens bevoegde vertegenwoordiger gegeven toestemming</strong>: indien een toestemmingsin- structie namens een zorgontvanger door een rechtens bevoegde vertegenwoordiger wordt gegeven, behoren de gezondheidsinformatiesystemen de identiteit van deze vertegenwoordiger en de relatie van de vertegen- woordiger met de zorgontvanger te kunnen registre- ren.</p>
<p><strong>R7 Veranderingen aan toestemming rapporteren</strong>: voor alle zorgontvangers moeten gezondheidsinforma- tiesystemen die toestemmingsinstructies registreren kunnen aangeven welke eventuele toestemmingsin- structies op een bepaald moment van kracht waren en wanneer er veranderingen zijn aangebracht.</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>Gebruik en openbaarmaking beperken</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R8 Alleen die gegevens waarvoor er een geïdentifi- ceerd doel voor het verzamelen, gebruiken of openbaar maken ervan bestaat registreren en op- slaan</strong>: persoonlijke gezondheidsinformatie behoort al- leen te worden gebruikt of openbaar gemaakt voor doelen die overeenkomen met de doelen waarvoor de informatie is verzameld.</p>
<p><strong>R9 De openbaarmaking van informatie van de be- trokkene beperken tot gezondheidszorgverleners met een relatie tot de betrokkene</strong>: dit behoort te worden geregistreerd (bijvoorbeeld het weigeren van toestemming of het intrekken van eerder gegeven toe-</p>
<p>stemming) evenals de aard van de toestemming in die</p>
</blockquote></td>
<td><blockquote>
<p>AUDT AUTH DIDT EMRG NAUT PAUT STCF TXCF TXIG</p>
</blockquote></td>
<td><blockquote>
<p>5.1 Beleidsregels voor infor- matiebeveiliging</p>
</blockquote>
<ol start="12" type="1">
<li><p>Classificeren van infor-</p></li>
</ol>
<blockquote>
<p>matie</p>
</blockquote>
<ol start="13" type="1">
<li><p>Labelen van informatie</p></li>
</ol>
<blockquote>
<p>5.15 Toegangsbeveiliging</p>
<p>5.20 Adresseren van infor- matiebeveiliging in leve- ranciersovereenkomsten</p>
<p>5.33 Beschermen van regi- straties</p>
<p>5.39 HLT - Zorgontvangers op</p>
<p>unieke wijze identifice-</p>
<p>ren</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>rechtsgebieden waar men twee of meer soorten toe- stemming kent (bijvoorbeeld stilzwijgende toestem- ming tegenover uitdrukkelijke toestemming) en de da- tum waarop de instructie is gegeven.</p>
<p><strong>R10 De uitvoer van gegevens beperken</strong>: de over- dracht van gegevens in elektronische of geprinte vorm tussen gezondheidsinformatiesystemen behoort alleen te worden toegestaan voor geı̈dentificeerde doelein- den zoals klinische zorg, het back-uppen van gegevens, of voor overdracht aan de betrokkene (of de gevol- machtigde van de betrokkene) op verzoek van de be- trokkene.</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td colspan="3"><blockquote>
<p><strong>Toegang door de betrokkene tot persoonlijke gezondheidsinformatie &amp; informatie corrigeren</strong></p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R11 Toegang door betrokkene</strong>: wanneer een betrok- kene de volledigheid of juistheid betwist van informa- tie in de registratie die de betrokkene betreft, en de or- ganisatie het niet eens is met het oordeel van de be- trokkene dat de informatie onvolledig of onjuist is, be- hoort het gezondheidsinformatiesysteem dit menings- verschil en/of de reden waarom geweigerd wordt de registratie bij te werken te kunnen registreren.</p>
<p><strong>R12 Toegankelijkheid</strong>: gezondheidsinformatiesys- temen behoren in staat te zijn persoonlijke gezond- heidsinformatie uit te voeren of weer te geven in for- maten die de zorgontvangers, waaronder zorgontvan- gers met een handicap, beperking of zintuiglijk verlies, kunnen lezen.</p>
</blockquote></td>
<td><blockquote>
<p>IGAU STCF</p>
</blockquote></td>
<td><ol start="12" type="1">
<li><p>Classificeren van infor-</p></li>
</ol>
<blockquote>
<p>matie</p>
</blockquote>
<ol start="13" type="1">
<li><p>Labelen van informatie</p></li>
</ol></td>
</tr>
<tr>
<td><blockquote>
<p><strong>Juistheid van gegevens</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R13 Juistheid</strong>: gezondheidsinformatiesystemen moe- ten maatregelen bevatten die waarborgen dat persoon- lijke gezondheidsinformatie juist en volledig is, naar- mate nodig is voor de doelen waarvoor de informatie bestemd is. Voorbeelden zijn onder andere het imple- menteren van beheersmaatregelen voor het valideren van de invoer van gegevens en het gebruik van integri- teitscontroles zoals checksums en hash-totalen.</p>
<p><strong>R14 Identificatie van de zorgontvanger</strong>: gezond- heidsinformatiesystemen moeten een zorgontvanger nauwkeurig in het systeem registreren door middel</p>
</blockquote></td>
<td><blockquote>
<p>AUDT IGAU STCF TXCF TXIG</p>
</blockquote></td>
<td><ol start="39" type="1">
<li><p>HLT - Zorgontvangers op unieke wijze identifice- ren</p></li>
<li><p>HLT - Validatie van ge- toonde/geprinte gege- vens</p></li>
</ol></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>van unieke identificatiecodes waarop gebruikers kun- nen zoeken bij het maken van toegang tot of aanpassen van de registraties van de zorgontvanger.</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>Identificatie en authenticatie van gebruikers</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R15 Identificatie van gebruikers:</strong> aan gebruikers van gezondheidsinformatiesystemen moet een identifica- tiecode (gebruikers-ID) worden toegewezen die, wel- licht in combinatie met andere identificatiecodes (bijv. faciliteitsidentificatiecodes, rechtsgebiedspecifieke identificatiecodes) indien nodig, elke individuele ge- bruiker op unieke wijze identificeert en die wordt ge- bruikt voor het authenticeren van gebruikers en in au- ditlogbestanden. Voor transacties die de grenzen van organisaties of rechtsgebieden overstijgen, moeten ge- bruikers-ID's, in combinatie met andere gebruikersre- gistratie-informatie (bijv. namen en adressen van ge- bruikers, faciliteitsidentificatiecodes, rechtsgebiedspe- cifieke identificatiecodes):</p>
</blockquote>
<ol type="a">
<li><p>elke gebruiker op unieke wijze identificeren;</p></li>
<li><p>beslissingen inzake toegangsbeveiliging mogelijk maken, en</p></li>
<li><p>het mogelijk maken auditregistraties samen te stel- len die gebruikersidentiteiten eenduidig kunnen koppelen met de handelingen van die gebruikers die onderwerp zijn geweest van de audit.</p></li>
</ol>
<blockquote>
<p><strong>R16 Gebruikers-ID's</strong>: gezondheidsinformatiesys- temen moeten hoofdletterongevoelige gebruikersiden- tificatiecodes mogelijk maken die tekens bevatten die zijn ontleend aan ISO/IEC 8859 (alle delen) (bijv.</p>
<p>ISO/IEC 8859-1, ook wel aangeduid als US ASCII) of aan ISO/IEC 10646 (ook wel aangeduid als Unicode).</p>
<p><strong>R17 Beveiligde authenticatie</strong>: gezondheidsinforma- tiesystemen moeten de identiteit authenticeren van elke entiteit (bijv. gebruikers, toepassingen, systeem- diensten) die toegang tot persoonlijke gezondheidsin- formatie wil maken alvorens deze entiteit toegang tot gegevens en systeemmiddelen te verlenen.</p>
<p><strong>R18 Gebruikersauthenticatie</strong>: gezondheidsinforma- tiesystemen moeten elke gebruiker altijd authentice- ren voordat toegang tot persoonlijke gezondheidsin-</p>
<p>formatie of gerelateerde diensten van het</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>ALOF AUDT AUTH EMRG NAUT PAUT</p>
</blockquote></td>
<td><ol start="16" type="1">
<li><p>Identiteitsbeheer</p></li>
<li><p>Authenticatie-informatie</p></li>
<li><p>Toegangsrechten</p></li>
</ol>
<blockquote>
<p>5.38 HLT - Analyse en specifi- catie van informatiebe- veiligingseisen</p>
<p>6.7 Werken op afstand</p>
</blockquote>
<ol type="1">
<li><p>‘User endpoint devices’</p></li>
<li><p>Speciale toegangsrech- ten</p></li>
<li><p>Beperking toegang tot informatie</p></li>
<li><p>Toegangsbeveiliging op broncode</p></li>
<li><p>Beveiligde authenticatie</p></li>
</ol>
<ol start="11" type="1">
<li><p>Maskeren van gegevens</p></li>
<li><p>Voorkomen van gege- venslekken</p></li>
</ol>
<ol start="15" type="1">
<li><p>Logging</p></li>
<li><p>Monitoren van activitei- ten</p></li>
</ol>
<blockquote>
<p>8.24 Gebruik van cryptografie</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>gezondheidsinformatiesysteem aan de gebruiker wor- den verleend. Voor de duidelijkheid: dit omvat toegang die is verleend als er geen verbinding is met een net- werk (bijv. wanneer het gezondheidsinformatiesys- teem offline voor toegang beschikbaar is).</p>
<p><strong>R19 Authenticatiemethoden</strong>: gezondheidsinforma- tiesystemen behoren multi-factorauthenticatie van ge- bruikers te ondersteunen.</p>
<p><strong>R20 Systemen authenticeren</strong>: gezondheidsinforma- tiesystemen moeten elke systeementiteit authentice- ren die toegang wil maken tot persoonlijke gezond- heidsinformatie. Bij het communiceren van persoon- lijke gezondheidsinformatie via internet of andere be- kende open netwerken moeten gezondheidsinforma- tiesystemen de authenticiteit van externe knooppun- ten ('remote nodes') waarborgen (wederzijdse node- authenticatie) door gebruik te maken van een veilig op standaarden of normen gebaseerd protocol.</p>
<p><strong>R21 Gebruikersprofielen, wachtwoorden en an- dere authenticatietokens beschermen</strong>: alle in het proces voor het authenticeren van de gebruiker van het gezondheidsinformatiesysteem gebruikte gegevens of parameters moeten op beveiligde wijze worden op- geslagen of getransporteerd, beschermd tegen toegang door onbevoegden (met inbegrip van inzien, wijzigen of wissen). Indien gebruikgemaakt wordt van gebrui- kerswachtwoorden, implementeer dan veilige wacht- woord 'salting-' (of zouten) en hashmethoden of ver- sleutel de wachtwoorden met cryptografisch veilige al- goritmen.</p>
<p><strong>R22 Wachtwoorden</strong>: <strong>gebruik, kwaliteit, resetten en door de gebruiker doorgevoerde wijzigingen</strong>: wan- neer wachtwoorden worden gebruikt, moet het ge- zondheidsinformatiesysteem het volgende implemen- teren:</p>
<p>a) de sterkte van wachtwoorden: controleer de sterkte van het wachtwoord op het moment dat de gebruiker dit instelt door bijvoorbeeld te waarbor- gen dat wachtwoorden uit een combinatie van een voldoende groot aantal hoofd- en kleine letters, cij-</p>
<p>fers en speciale tekens bestaan, geen persoonlijke</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>informatie van gebruikers, bijv. een telefoonnum- mer, bevatten en geen opeenvolgende letters of cij- fers bevatten;</p>
</blockquote>
<ol start="2" type="a">
<li><p>frequentie waarmee wachtwoorden worden veran- derd: implementeer een functie die van gebruikers vereist dat ze hun wachtwoord volgens een instel- bare maximale termijn veranderen;</p></li>
<li><p>beleid voor wachtwoordgeschiedenis: implemen- teer een administratieve functie die voorkomt dat gebruikers een eerder gebruikt wachtwoord, bijv. een van de laatste tien wachtwoorden, opnieuw ge- bruiken;</p></li>
<li><p>resetten van het wachtwoord: na het resetten van hun wachtwoord moet het vereist zijn dat gebrui- kers bij de volgende keer dat ze met succes zijn in- gelogd een nieuw wachtwoord instellen;</p></li>
<li><p>hoofdlettergevoeligheid: hoofdletterongevoelige gebruikersidentificatiecodes moeten worden on- dersteund die tekens bevatten die zijn ontleend aan ISO/IEC 8859 (alle delen) (bijv. ISO/IEC 8859- 1, ook wel aangeduid als US ASCII) of aan ISO/IEC 10646 (ook wel aangeduid als Unicode).</p></li>
</ol>
<blockquote>
<p><strong>R23 Mislukte inlogpogingen</strong>: om bescherming te bie- den tegen (mogelijk kwaadwillende) pogingen tot ge- bruikersauthenticatie moeten gezondheidsinformatie- systemen een maximum stellen aan het toegestane aantal ongeldige pogingen tot toegang door een ge- bruiker.</p>
<p>Voorbeelden van passende mechanismen zijn onder andere het blokkeren van het account/knooppunt (node) totdat dit weer wordt vrijgegeven door</p>
<p>een beheerder, het gedurende een configureerbare tijdsduur blokkeren van het account/knooppunt, of de volgende inlogprompt volgens een configureerbaar vertragingsalgoritme uitstellen.</p>
<p><strong>R24 Feedback aan gebruikers tijdens authentica- tie</strong>: de feedbackinformatie die het gezondheidsinfor- matiesysteem tijdens het authenticeren aan de gebrui- ker geeft, moet dusdanig zijn dat deze de gebruiker niet helpt gebruikers-ID's en wachtwoorden te achter- halen.</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p><strong>Toegangsbeveiliging</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R25 Beheersmaatregelen voor toegangsbeveili- ging</strong>: gezondheidsinformatiesystemen moeten verifi- eren of elke geauthenticeerde persoon of entiteit die toegang tot persoonlijke gezondheidsinformatie wenst bevoegd is tot toegang tot die informatie.</p>
<p><strong>R26 Autorisatiebeheer</strong>: alvorens een systeem- of ge- gevensfunctie uit te voeren die verband houdt met per- soonlijke gezondheidsinformatie, moeten gezond- heidsinformatiesystemen verifiëren of de gebruiker of entiteit die daarom verzoekt de vereiste toegangsrech- ten heeft.</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>AUDT AUTH EMRG NAUT PAUT PLOK STCF</p>
</blockquote></td>
<td rowspan="4" style="text-align: left;"><blockquote>
<p>5.2 Rollen en verantwoorde- lijkheden bij informatie- beveiliging</p>
<p>5.15 Toegangsbeveiliging</p>
<p>5.18 Toegangsrechten</p>
<p>5.22 Monitoren, beoordelen en het beheren van wijzi- gingen van leveranciers- diensten</p>
</blockquote>
<ol start="33" type="1">
<li><p>Beschermen van regi- straties</p></li>
<li><p>Privacy en bescherming van persoonsgegevens</p></li>
</ol>
<blockquote>
<p>6.7 Werken op afstand</p>
<p>7.14 Veilig verwijderen of hergebruiken van appa- ratuur</p>
<p>8.3 Beperking toegang tot informatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R27 Op rollen gebaseerde toegangsbeveiliging</strong>: ge- zondheidsinformatiesystemen moeten op rollen geba- seerde toegangsbeveiliging (RBAC) ondersteunen die in staat is elke gebruiker aan een of meer rollen toe te wijzen, en elke rol aan een of meer systeemfuncties of toegangsrechten toe te wijzen.</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R28 Andere vormen van toegangsbeveiliging</strong>: ge- zondheidsinformatiesystemen behoren aanvullend in staat te zijn te identificeren welke toegangsrechten zijn toegewezen aan of beperkt voor een gebruiker, op ba- sis van:</p>
</blockquote>
<ol type="a">
<li><p>werkgroepen waartoe de gebruiker behoort, of</p></li>
<li><p>de context van de transactie (bijvoorbeeld tijdstip, locatie werkstation of toegang in noodsituaties).</p></li>
</ol></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R29 De toegang tot de persoonlijke gezondheidsin- formatie van zorgontvangers delegeren</strong>: gezond- heidsinformatiesystemen behoren in staat te zijn een koppeling in stand te houden tussen geselecteerde ge- bruikers en de registraties van zorgontvangers en toe- gang op basis van deze koppeling toe te staan. Gezond- heidsinformatiesystemen behoren in staat te zijn gede- legeerde toegang tot registraties te bieden op basis van het feit dat een gebruiker met geautoriseerde toegang tot de registraties van een zorgontvanger toegangs- rechten voor die registraties aan een andere gebruiker verleent.</p>
<p>Indien dit is geı̈mplementeerd, is het niet toegestaan</p>
<p>dat deze verlening van toegang:</p>
</blockquote></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><ol type="a">
<li><p>een gebruiker, door systeemmiddelen, in staat stelt een andere gebruiker toegang te verlenen tot een registratie indien de verlenende gebruiker geen toe- gangsrecht heeft tot de registratie, of</p></li>
<li><p>de op rollen gebaseerde toegangsrechten van de ge- bruiker aan wie de toegang wordt verleend over- stijgt.</p></li>
</ol>
<blockquote>
<p><strong>R30 Toegangsrechten rapporteren</strong>: gezondheidsin- formatiesystemen moeten in staat zijn voor een bepaalde gebruiker te rapporteren of de gebruiker toe- gang kan maken tot de registraties van een bepaalde zorgontvanger en de rechten (inzien, wijzigen, enz.) die de gebruiker met betrekking tot de registraties van de zorgontvanger heeft.</p>
<p><strong>R31 Beperkingen aan toegangsrechten</strong>: indien aan een gebruiker meer dan één gebruikersrol is toegewe- zen, moet het gezondheidsinformatiesysteem het mo- gelijk maken dat de gebruiker selecteert welke van de aan de gebruiker toegewezen rollen op de desbetref- fende sessie van de gebruiker moet worden toegepast.</p>
<p><strong>R32 Toegangsrechten intrekken</strong>: gezondheidsinfor- matiesystemen moeten het intrekken van toegangs- rechten van een gebruiker ondersteunen zonder dat vereist is dat het gebruikersaccount uit het systeem wordt verwijderd. Gezondheidsinformatiesystemen moeten voorkomen dat gebruikers van wie de toe- gangsrechten volledig zijn ingetrokken kunnen inlog- gen op het systeem, bijvoorbeeld door het gebruikers- account op inactief te zetten.</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>Aanvaardbaar gebruik</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R33 Kennisgevingen aan gebruikers</strong>: in elke sessie van een gebruiker behoort het gezondheidsinformatie- systeem voordat of direct nadat de gebruiker inlogt of na andere tijdsintervallen een configureerbare waar- schuwing of inlog-banner te laten zien om de gebrui- ker te herinneren aan de vertrouwelijkheid en het pas- sende gebruik van de persoonlijke gezondheidsinfor- matie waartoe toegang mogelijk is vanuit het systeem en/of aan de straffen die van toepassing zijn op mis- bruik van het systeem.</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>AUTH EMRG PAUT</p>
</blockquote></td>
<td><blockquote>
<p>5.10 Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfs- middelen</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p><strong>Beveiliging en automatische beëindiging</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R34 Werkstation automatisch afsluiten</strong>: terwijl een sessie van een specifieke gebruiker actief is op een werkstation waar de gebruiker niet aanwezig is, moet het gezondheidsinformatiesysteem onbevoegde toe- gang voorkomen door het werkstation na een configu- reerbare periode waarin er geen actie is uitgevoerd au- tomatisch af te sluiten. Voorbeelden van zulke bescher- ming zijn onder andere het implementeren van een screensaver of automatische schermuitschakeling, waarbij vereist wordt dat een legitieme gebruiker zich opnieuw authenticeert.</p>
</blockquote></td>
<td><blockquote>
<p>ALOF AUDT AUTH EMRG MLDP NAUT PAUT PLOK SAHD TXCF TXIG</p>
</blockquote></td>
<td rowspan="4"><blockquote>
<p>8.1 ‘User endpoint devices’</p>
<p>8.5 Beveiligde authenticatie</p>
<p>8.27 Veilige systeemarchitec- tuur en technische uit- gangspunten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R35 Applicatiesessie automatisch beëindigen</strong>: gezondheidsinformatiesystemen moeten applicatieses- sies waar geen activiteit is tegen toegang door onbe- voegden beschermen door applicatiesessies automa- tisch te beëindigen nadat er gedurende een configu- reerbare periode geen actie is uitgevoerd door gebrui- kers. Voorbeelden van zulke bescherming zijn onder andere het implementeren van het vergrendelen van applicaties, waarbij vereist wordt dat een legitieme ge- bruiker zich opnieuw authenticeert. Aan automatische beëindiging van een applicatie behoort een waarschu- wing vooraf te gaan (met een configureerbaar tijdsin- terval) dat de sessie bijna beëindigd wordt. Wanneer de tijdsduur is verstreken en een applicatiesessie auto- matisch is beëindigd, behoort het mogelijk te zijn dat dezelfde gebruiker de sessie hervat door zich opnieuw te authenticeren of behoort het mogelijk te zijn dat een andere gebruiker de vorige sessie beëindigt (zonder deze opnieuw te activeren) om verder te kunnen gaan met een nieuwe sessie.</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R36 Verbinding automatisch verbreken</strong>: Gezond- heidsinformatiesystemen behoren over faciliteiten te beschikken om de verbindingsduur waar nodig tot een configureerbare periode te beperken en af te dwingen dat er opnieuw verbinding moet worden gemaakt als die periode is overschreden.</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R37 Sessiebeveiliging</strong>: gezondheidsinformatiesys- temen moeten over beheersmaatregelen voor het be- veiligen van communicatiesessies beschikken om te</p>
</blockquote></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>voorkomen dat de sessie van de gebruiker gekaapt of gestolen wordt.</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>De beschikbaarheid van gegevens in stand houden</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R38 Back-up</strong>: het gezondheidsinformatiesysteem moet het genereren van back-ups van de applicatiege- gevens, beveiligde aanmeldgegevens, auditlogbestan- den evenals andere gegevens en bestanden die nodig zijn voor de juiste werking van het gezondheidsinfor- matiesysteem ondersteunen.</p>
<p><strong>R39 Gelijktijdige back-up</strong>: als het gezondheidsinfor- matiesysteem continu beschikbaar is, moet het sys- teem over de mogelijkheid beschikken gelijktijdig met het gebruik van de applicatie een back-up te maken.</p>
<p><strong>R40 Herstel</strong>: het herstel van gegevens van het gezond- heidsinformatiesysteem moet een gebruiker in staat stellen het systeem in een volledig operationele en vei- lige toestand te herstellen. Deze toestand moet het herstel van de applicatiegegevens, beveiligde aanmeld- gegevens en auditbestanden omvatten en moet het ook mogelijk maken de integriteit van de herstelde gege- vens te valideren.</p>
<p><strong>R41 De inhoud van een elektronische gezondheids- registratie van een eerder tijdstip reconstrueren</strong>: gezondheidsinformatiesystemen moeten de mogelijk- heid bieden de inhoud van de registratie(s) van betrok- kenen zoals deze op een eerdere datum of eerder tijd- stip bestond te laten zien.</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>AUDT DTBK IGAU</p>
</blockquote></td>
<td><blockquote>
<p>5.1 Beleidsregels voor infor- matiebeveiliging</p>
<p>5.30 ICT-gereedheid voor be-</p>
<p>drijfscontinuı̈teit</p>
</blockquote>
<ol start="13" type="1">
<li><p>Back-up van informatie</p></li>
<li><p>Redundantie van infor- matieverwerkende facili- teiten</p></li>
<li><p>Logging</p></li>
<li><p>Monitoren van activitei- ten</p></li>
</ol></td>
</tr>
<tr>
<td><blockquote>
<p><strong>Gegevens tijdens overdracht beschermen</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R42 Gegevens tijdens overdracht versleutelen</strong>: in een gezondheidsinformatiesysteem dat bestaat uit over meerdere computers of systemen gedistribueerde componenten, behoort de communicatie tussen die componenten (en moet de communicatie via internet of een ander open netwerk) de volgende beveiligings- componenten bieden:</p>
</blockquote>
<ol type="a">
<li><p>partnerauthenticatie (bijv. opdrachtgever en server);</p></li>
<li><p>gegevensintegriteit, en</p></li>
<li><p>de vertrouwelijkheid van gegevens.</p></li>
</ol></td>
<td><blockquote>
<p>AUDT AUTH IGAU NAUT PAUT TXCF TXIG</p>
</blockquote></td>
<td><blockquote>
<p>5.14 Overdragen van informa- tie</p>
<p>5.19 Informatiebeveiliging in leveranciersrelaties</p>
<p>8.12 Voorkomen van gege- venslekken</p>
</blockquote>
<ol start="20" type="1">
<li><p>Beveiliging van netwerk- componenten</p></li>
<li><p>Beveiliging van netwerk- diensten</p></li>
<li><p>Netwerksegmentatie</p></li>
</ol></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p><strong>R43 Bevestiging van de levering van gegevens</strong>: om te waarborgen dat overgedragen gegevens worden ontvangen, moeten klinische systemen beveiligingsbe- heersmaatregelen implementeren om de aflevering of ontvangst van gegevens te bevestigen als gegevens- communicatie plaatsvindt buiten de fysieke beveili- gingszone die informatieverwerkende faciliteiten be- schermt.</p>
</blockquote></td>
<td></td>
<td><blockquote>
<p>8.24 Gebruik van cryptografie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>Opgeslagen gegevens beschermen</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R44 Operationele gegevens beschermen</strong>: gezond- heidsinformatiesystemen moeten waarborgen dat alle persoonlijke informatie, auditlogbestanden en beveili- gingsgerelateerde gegevens zoals gebruikersprofielen bij permanente opslag (bijv. binnen databases en/of bestandssystemen) of tijdelijke opslag (bijv. cachege- heugen) beschermd zijn tegen toegang en aanpassing door onbevoegden.</p>
<p><strong>R45 Gegevens op draagbare of verwijderbare me- dia beschermen</strong>: als persoonlijke gezondheidsinfor- matie wordt opgeslagen op media of apparaten die er- voor bedoeld zijn draagbaar of verwijderbaar te zijn (bijvoorbeeld flashdrives, optische media, een pda of een notebook) moeten gezondheidsinformatiesys- temen een versleutelingsformaat volgens industrie- standaarden gebruiken.</p>
<p><strong>R46 Gegevens in gegevensarchieven beschermen</strong>: gezondheidsinformatiesystemen die vertrouwelijke en gevoelige gegevens opslaan, waaronder persoonlijke gezondheidsinformatie en beveiligingskritische sys- teemgegevens (bijv. gebruikersprofielgegevens en au- ditlogbestanden) moeten deze gegevens tegen toegang door onbevoegden beschermen.</p>
</blockquote></td>
<td><blockquote>
<p>AUDT AUTH EMRG MLDP NAUT PAUT PLOK SAHD STCF TXCF TXIG</p>
</blockquote></td>
<td><blockquote>
<p>7.10 Opslagmedia</p>
<p>7.14 Veilig verwijderen of hergebruiken van appa- ratuur</p>
<p>8.1 ‘User endpoint devices’</p>
</blockquote>
<ol start="11" type="1">
<li><p>Maskeren van gegevens</p></li>
<li><p>Voorkomen van gege- venslekken</p></li>
</ol>
<ol start="15" type="1">
<li><p>Logging</p></li>
<li><p>Monitoren van activitei- ten</p></li>
</ol>
<ol start="33" type="1">
<li><p>Testgegevens</p></li>
<li><p>Bescherming van infor- matiesystemen tijdens audits</p></li>
</ol></td>
</tr>
<tr>
<td><blockquote>
<p><strong>Gegevensintegriteit</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R47 Integriteit van gegevensinvoer</strong>: vanuit een wil- lekeurige bron (bijv. een gezondheidsinformatiesys- teem, een medisch hulpmiddel of een draagbaar appa- raat) geı̈mporteerde gegevens moeten nauwkeurig worden gekoppeld aan een zorgontvanger en een ver- antwoordelijke arts, locatie, datum en tijd van importe-</p>
<p>ren en de gebruiker die de gegevens heeft</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>DIDT IGAU TXIG</p>
</blockquote></td>
<td><ol start="38" type="1">
<li><p>HLT – Analyse en specifi- catie van informatiebe- veiligingseisen</p></li>
<li><p>HLT– Zorgontvangers op unieke wijze identifice- ren</p></li>
</ol></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th style="text-align: left;"><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align: left;"><blockquote>
<p>geı̈mporteerd. Het voor het importeren van de gege- vens gebruikte gezondheidsinformatiesysteem moet een waarschuwing met betrekking tot mogelijke risi- co's laten zien.</p>
<p><strong>R48 Integriteit van gegevens tijdens het verwer- ken</strong>: er moeten binnen het gezondheidsinformatiesys- teem beheersmaatregelen zijn getroffen om de integri- teit van gegevens te waarborgen teneinde te voorko- men dat handelingen door gebruikers of systeemsto- ringen tot inconsistenties in gegevens of integriteitsge- breken leiden.</p>
<p><strong>R49 Integriteit van uitgevoerde gegevens</strong>: gezond- heidsinformatiesystemen moeten waarborgen dat een lezer kan controleren of uitdraaien op papier volledig zijn.</p>
</blockquote></td>
<td></td>
<td><ol start="40" type="1">
<li><p>HLT – Validatie van ge- toonde/geprinte gege- vens</p></li>
<li><p>HLT – Openbaar beschik- bare gezondheidsinfor- matie</p></li>
</ol></td>
</tr>
<tr>
<td style="text-align: left;"><blockquote>
<p><strong>Registraties bewaren</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td style="text-align: left;"><blockquote>
<p><strong>R50 Bewaring</strong>: gezondheidsinformatiesystemen moe- ten in staat zijn gegevens gedurende configureerbare bewaartermijnen te bewaren en moeten methoden en procedures om de bewaring te plannen ondersteunen teneinde verschillende soorten gegevens te beheren, zoals wettelijk of via beleid van de organisatie gedefi- nieerd. Gegevens die niet meer nodig zijn, moeten met behulp van veilige verwijderingsmethoden worden verwijderd, bijvoorbeeld door ze te wissen, cryptogra- fisch te wissen, media te herformatteren of te anonimi- seren.</p>
</blockquote></td>
<td><blockquote>
<p>AUDT DIDT DTBK IGAU PLOK STCF</p>
</blockquote></td>
<td><blockquote>
<p>8.10 Wissen van informatie</p>
</blockquote></td>
</tr>
<tr>
<td style="text-align: left;"><blockquote>
<p><strong>Gegevens labelen</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td style="text-align: left;"><blockquote>
<p><strong>R51 Labelen</strong>: gezondheidsinformatiesystemen moe- ten in staat zijn elke gebruiker op de hoogte te brengen van de vertrouwelijke aard van persoonlijke gezond- heidsinformatie waartoe de gebruiker toegang maakt. Voorbeelden zijn onder andere het consequent op de- zelfde plek en dezelfde wijze tonen van het label dat de informatie vertrouwelijk is nadat een gebruiker op het systeem inlogt of wanneer er persoonlijke gezond- heidsinformatie wordt getoond.</p>
</blockquote></td>
<td><blockquote>
<p>IGAU STCF</p>
</blockquote></td>
<td><ol start="12" type="1">
<li><p>Classificeren van infor- matie</p></li>
<li><p>Labelen van informatie</p></li>
</ol></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p><strong>Systeem- en auditlogbestanden</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R52 Systeemlogbestanden</strong>: gezondheidsinformatie- systemen moeten de registratie ondersteunen van sys- teemgebeurtenissen en handelingen, bijv. het opstar- ten en afsluiten van het systeem, gebruikersactiviteit, de systeemprestaties, het gebruik van systeemmidde- len en systeemfouten en -waarschuwingen.</p>
<p><strong>R53 Geregistreerde informatie</strong>: voor elk van deze gebeurtenissen moet beheerinformatie worden geregi- streerd, d.w.z. het tijdstip van de gebeurtenis, de iden- titeit en rol van de gebruiker (in die gevallen waar een gebruiker uit meer rollen kan kiezen alvorens een ses- sie als gebruiker te starten)</p>
<p><strong>R54 Auditlogbestanden beschermen</strong>: de auditlogbe- standen moeten voorzien zijn van passende beveili- gingsbeheersmaatregelen om verandering en onbe- voegde toegang te voorkomen. Voorbeelden van die be- heersmaatregelen zijn onder andere beheersmaatrege- len voor toegangsbeveiliging, continu monitoren om ongebruikelijke activiteiten of inbreuken op te sporen, versleuteling en het periodiek of continu back-uppen van logbestanden.</p>
<p><strong>R55 Auditinterface</strong>: de toegang tot auditgegevens moet strikt worden beveiligd en moet zelf ook worden geaudit. De toegang behoort plaats te vinden via een passend informatiesysteem dat deze beheersmaatre- gelen kan afdwingen in plaats van via rechtstreekse toegang tot het audittraject op zich. Het auditsysteem moet voorzien in de mogelijkheden en de onderzoeks- instrumenten om auditinformatie uit de auditregistra- ties te lezen en het auditlogbestand te ondervragen om:</p>
</blockquote>
<ol type="a">
<li><p>alle gebruikers te identificeren die gedurende een bepaalde periode de registratie van een bepaalde zorgontvanger hebben ingezien of gewijzigd;</p></li>
<li><p>de handelingen van een bepaalde gebruiker (met in- begrip van toegang tot alle registraties van betrok- kenen) gedurende een bepaalde tijdsduur te identi- ficeren.</p></li>
</ol>
<blockquote>
<p><strong>R56 Auditlogbestanden bewaren</strong>: hoewel de be- waartermijn voor auditlogbestanden in beleid van de</p>
</blockquote></td>
<td><blockquote>
<p>AUDT SAHD</p>
</blockquote></td>
<td><ol start="15" type="1">
<li><p>Logging</p></li>
<li><p>Monitoren van activitei- ten</p></li>
</ol>
<ol start="33" type="1">
<li><p>Testgegevens</p></li>
<li><p>Bescherming van infor- matiesystemen tijdens audits</p></li>
</ol></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>organisatie geregeld moet worden en dit van rechtsge- bied tot rechtsgebied kan verschillen, moet het audit- systeem het bewaren van alle invoer in auditlogbestan- den ondersteunen.</p>
<p><strong>R57 Auditlogbestanden van applicaties:</strong> gezond- heidsinformatiesystemen moeten gebeurtenissen en acties binnen het systeem registreren, met inbegrip van details met betrekking tot: het aanmaken van of maken van toegang tot registraties die een zorgontvan- ger betreffen (bijv. op een scherm weergeven, afdruk- ken, downloaden) of bijgewerkte gegevens over toe- gang die op instructie van een zorgontvanger/persoon zijn vergrendeld of gemaskeerd (toegang in noodsitua- ties),</p>
</blockquote>
<ol type="a">
<li><p>het aanmaken en wijzigen van de toestemmingsin- structies van een zorgontvanger/persoon;</p></li>
<li><p>verzoeken om gegevens die deel uitmaken van per- soonlijke gezondheidsinformatie;</p></li>
<li><p>het importeren van persoonlijke gezondheidsinfor- matie (ontvangst) met inbegrip van gegevensover- dracht, gegevensuitwisseling;</p></li>
<li><p>het exporteren van persoonlijke gezondheidsinfor- matie, met inbegrip van gegevensoverdracht, gege- vensuitwisseling en printen;</p></li>
<li><p>gebruikers-, rollen- en groepenbeheeractiviteiten, en</p></li>
<li><p>toegang tot auditlogbestanden. Auditlogbestanden van gezondheidsinformatiesys-</p></li>
</ol>
<blockquote>
<p>temen behoren ook in staat te zijn de volgende gebeur- tenissen vast te leggen:</p>
</blockquote>
<ul>
<li><p>starten en stoppen van het systeem;</p></li>
<li><p>pogingen om gebruikers te authenticeren en het re- sultaat ervan (geslaagd/mislukt);</p></li>
<li><p>uitloggen van gebruikers, automatische beëindiging</p></li>
</ul>
<blockquote>
<p>van sessies, accountvergrendeling;</p>
</blockquote>
<ul>
<li><p>back-uppen en herstel (indien door het systeem op</p></li>
</ul>
<blockquote>
<p>zich geı̈nitieerd);</p>
</blockquote>
<ul>
<li><p>toegang tot een database;</p></li>
<li><p>mislukte node-authenticatie;</p></li>
<li><p>aanmaken/valideren van digitale handtekeningen,</p></li>
<li><p>beveiligingsbeheergebeurtenissen, met inbegrip van wijzigingen van wachtwoorden, en</p></li>
<li><p>verwijdering van registraties.</p></li>
</ul></td>
<td></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>Gezondheidsinformatiesystemen behoren een bevoegd beheerder de mogelijkheid te bieden het opnemen of uitsluiten van auditeerbare gebeurtenissen die niet in de lijst hierboven staan in te stellen.</p>
<p><strong>R58 Minimaal geregistreerde informatie</strong>: in audit- logbestanden van gezondheidsinformatiesystemen moet de volgende informatie worden ingevoerd:</p>
</blockquote>
<ol type="a">
<li><p>een registratie van de identiteit van de gebruiker;</p></li>
<li><p>een registratie van de identiteit van de gezagheb- bende instantie – de persoon die toestemming geeft voor het invoeren van, of toegang tot, gegevens, in- dien dit niet dezelfde persoon is als de gebruiker;</p></li>
<li><p>de rol die de gebruiker uitoefent (in die gevallen waar een gebruiker voordat deze een gebruikersses- sie start uit meer rollen kan kiezen);</p></li>
<li><p>de organisatie van de gebruiker die toegang maakt (in die gevallen waarin een gebruiker namens meer dan één organisatie toegang maakt tot informatie);</p></li>
<li><p>de aard van de gebeurtenis die onderwerp is van de audit en de identiteit van de desbetreffende gege- vens (bijv. ID van de zorgontvanger, bericht-ID) van de gebeurtenis die onderwerp is van de audit;</p></li>
<li><p>de door de gebruiker uitgevoerde functie;</p></li>
<li><p>een timestamp (datum en tijd van de gebeurtenis);</p></li>
<li><p>in het geval dat er in noodsituaties toegang wordt gemaakt tot geblokkeerde of gemaskeerde registra- ties of delen van registraties, een reden voor de toe- gang in noodsituaties, te kiezen door de gebruiker die tot de toegang overgaat;</p></li>
<li><p>in het geval van wijzigingen aan toestemmingsin- structies die zijn gedaan door een vervangende be- slisser, de identiteit van de beslisser;</p></li>
<li><p>eindapparaat van een gebruiker of accesspoint (in- dien beschikbaar);</p></li>
<li><p>In het geval van wijziging van een wachtwoord, de gebruiker waarvan het wachtwoord is gewijzigd, en</p></li>
<li><p>een volgnummer ter bescherming tegen kwaadwil- lende pogingen om het audittraject te ondermijnen, bijvoorbeeld door de systeemdatum te wijzigen.</p></li>
</ol>
<blockquote>
<p><strong>R59 Auditinterface</strong>: het gezondheidsinformatiesys- teem behoort het bijhouden van logbestanden op een gedeelde audit-engine te ondersteunen (bijvoorbeeld gebruikmaken van het schema en transport zoals</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>gespecificeerd in de auditlogbestandspecificatie van IHE Audit Trails and Node Authentication (ATNA) Pro- file).</p>
<p>Het systeem moet bevoegde beheerders voorzien van de mogelijkheid auditinformatie op ten minste een van de volgende manieren uit de auditregistraties uit te le- zen:</p>
</blockquote>
<ol type="a">
<li><p>het systeem behoort te voorzien in de mogelijkheid rapporten op basis van datum- en tijdsbereiken te genereren, of</p></li>
<li><p>het systeem behoort in staat te zijn logbestanden dusdanig te exporteren dat op datum en tijd geba- seerde correlatie mogelijk is (bijv. UTC-synchroni- satie).</p></li>
</ol>
<blockquote>
<p><strong>R60 De auditlogbestanden beschermen</strong>: gezond- heidsinformatiesystemen moeten:</p>
</blockquote>
<ol type="a">
<li><p>verhinderen dat gebruikers toegang hebben tot in- voer in een auditlogbestand, met uitzondering van die bevoegde gebruikers aan wie uitdrukkelijk lees- toegang is toegekend, en</p></li>
<li><p>verhinderen dat gebruikers invoer in een auditlog- bestand aanpassen.</p></li>
</ol>
<blockquote>
<p>Het systeem moet de toegang tot auditregistraties be- veiligen en toegang tot audithulpmiddelen en -trajec- ten van het systeem waarborgen om misbruik en com- promittering, met inbegrip van wissen of aanpassin- gen, te voorkomen.</p>
<p><strong>R61 Continu logbestanden bijhouden</strong>: het bijhouden van auditlogbestanden van het gezondheidsinformatie- systeem moet te allen tijde zijn ingeschakeld en het mag niet mogelijk zijn dat gebruikers het bijhouden van auditlogbestanden uitschakelen.</p>
<p><strong>R62 De geschiedenis van persoonlijke gezond- heidsinformatie behouden</strong>: Het gezondheidsinfor- matiesysteem mag niets wissen uit registraties of uit invoer in auditlogbestanden en mag geen wijzigingen aanbrengen in registraties van een betrokkene waar- door het onmogelijk wordt registraties van een zorg- ontvanger van een eerder tijdstip te reconstrueren.</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p><strong>Softwareversiebeheer en documentatie</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R63 Versiebeheer van gezondheidsinformatiesys- temen</strong>: alle componenten van het gezondheidsinfor- matiesysteem moeten worden geı̈dentificeerd en moe- ten een bijbehorende softwareversie met één eendui- dige referentie (uniek(e) ID, naam, leverancier en ver- sienummer) hebben.</p>
</blockquote></td>
<td><blockquote>
<p>CSUP MLDP RDMP SAHD</p>
</blockquote></td>
<td rowspan="6"><ol start="6" type="1">
<li><p>Capaciteitsbeheer</p></li>
<li><p>Bescherming tegen mal- ware</p></li>
<li><p>Beheer van technische kwetsbaarheden</p></li>
<li><p>Configuratiebeheer</p></li>
</ol>
<ol start="17" type="1">
<li><p>Kloksynchronisatie</p></li>
<li><p>Gebruik van speciale sys- teemhulpmiddelen</p></li>
<li><p>Installeren van software op operationele sys- temen</p></li>
</ol>
<ol start="25" type="1">
<li><p>Beveiligen tijdens de ontwikkelcyclus</p></li>
<li><p>Toepassingsbeveiligings- eisen</p></li>
<li><p>Veilige systeemarchitec- tuur en technische uit- gangspunten</p></li>
<li><p>Veilig coderen</p></li>
<li><p>Testen van de beveiliging tijdens ontwikkeling en acceptatie</p></li>
<li><p>Uitbestede systeemont- wikkeling</p></li>
<li><p>Scheiding van ontwikkel-, test- en productieomge- vingen</p></li>
<li><p>Wijzigingsbeheer</p></li>
</ol></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R64 Documentatie van gezondheidsinformatiesys- temen</strong>: bij gezondheidsinformatiesystemen behoort documentatie beschikbaar te zijn die ingaat op sys- teemvereisten en -mogelijkheden, installeren en tes- ten, beheer en bediening, bekende belangrijke beveili- gingspunten, gebruikersidentificatie en -authenticatie, rechtenbeheer en toegangsbeveiliging, beveiligde com- municatie, audit, softwarewijzigingsbeheer, tijdssyn- chronisatie en het back-uppen en herstellen van gege- vens.</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R65 Wijzigingen aan documentatie</strong>: documentatie moet een geschiedenis van alle wijzigingen bevatten.</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R66 Documentatie en softwareversies</strong>: in alle docu- menten moet duidelijk vooraan de versie van het docu- ment en de versie van de software waarop het van toe- passing is worden aangegeven.</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R67 Softwareversie</strong>: gezondheidsinformatiesystemen moeten functionaliteit bieden waarmee gebruikers de versie van de softwarecomponenten ervan kunnen be- kijken.</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R68 In documentatie opgenomen onderwerpen</strong>: voor gezondheidsinformatiesystemen behoort docu- mentatie beschikbaar te zijn die op alle volgende on- derwerpen ingaat:</p>
</blockquote>
<ol type="a">
<li><p>systeemvereisten, met inbegrip van diensten en netwerkprotocollen die nodig zijn voor de juiste werking, evenals de afhankelijkheden van andere componenten van elektronische gezondheidsregi- straties;</p></li>
<li><p>systeemproductcapaciteiten (bijv. aantal gebrui- kers, aantal zorgontvangers, aantal registraties, net- werkbelasting) en uitgangswaarden voor represen-</p></li>
</ol>
<blockquote>
<p>tatieve configuraties waarvan wordt uitgegaan voor</p>
</blockquote></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th style="text-align: left;"><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align: left;"><blockquote>
<p>deze capaciteiten (bijv. aantal of type processoren, server-werkstationconfiguratie en netwerkcapaci- teit);</p>
</blockquote>
<ol start="3" type="a">
<li><p>het installeren, opstarten en verbinden van het sys- teem, met inbegrip van het opzetten van de commu- nicatiebeveiliging;</p></li>
<li><p>benodigde stappen om te bevestigen dat het instal- leren van het systeem naar behoren is afgerond en dat het systeem operationeel is;</p></li>
<li><p>systeembeheer en -bediening;</p></li>
<li><p>beveiligingsmechanismen en -praktijken met inbe- grip van het aanmaken, aanpassen en deactiveren van gebruikersaccounts; het beheer van rollen, het resetten van wachtwoorden, het configureren van wachtwoordbeperkingen en andere aspecten van rechtenbeheer; het beveiligen van de communicatie en het configureren en beheren van auditlogbestan- den;</p></li>
<li><p>bekende problemen of conflicten met beveiligings- diensten, met inbegrip van antivirus, het elimineren van malware, intrusiedetectie en firewalls en het verhelpen van het conflict waar van toepassing;</p></li>
<li><p>softwarewijzigingsbeheer en hot-fix-processen;</p></li>
<li><p>synchronisatie van systeemtijd (klok) waar van toe- passing;</p></li>
<li><p>systeemfout- of prestatiemeldingen aan gebruikers en beheerders, met de vereiste acties;</p></li>
<li><p>procedures voor het back-uppen van gegevens, met inbegrip van controles van de gegevensintegriteit wanneer een back-up wordt gemaakt of teruggezet.</p></li>
</ol>
<blockquote>
<p><strong>R69 Documentatie en versiebeheer</strong>: in alle ge- bruiksaanwijzingen van gezondheidsinformatiesys- temen moet duidelijk vooraan in het document de ver- sie worden aangegeven waarop ze van toepassing zijn. In alle bijgewerkte gebruiksaanwijzingen van gezond- heidsinformatiesystemen behoort een samenvatting voor de lezer te worden gegeven van de wijzigingen sinds de laatste grote herziening.</p>
<p><strong>R70 Wijzigingen aan documentatie</strong>: documentatie moet een geschiedenis van alle wijzigingen in een voor gebruikers leesbare vorm bevatten, zodat gebruikers kunnen controleren welke wijzigingen zijn aange- bracht in de nieuwste versie.</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>Tijdsynchronisatie en tijd/datum formatteren</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R71 Tijdnotatie</strong>: gezondheidsinformatiesystemen moeten gebruikmaken van een uniforme weergave van tijd voor beheer- en auditdoeleinden.</p>
<p><strong>R72 Kloksynchronisatie</strong>: gezondheidsinformatiesys- temen moeten tijdsynchronisatie met behulp van een geaccepteerde norm uitvoeren en deze gesynchroni- seerde tijd in alle registraties, met inbegrip van tijd- stippen, gebruiken.</p>
<p><strong>R73 Tijdnotatie in geëxporteerde registraties</strong>: alle tijdsgegevens voor beheer- en auditdoeleinden die in geëxporteerde gegevens worden aangetroffen (niet zijnde timestamp-verzoeken aan of -antwoorden van een Time Stamping Authority) moeten in de notatie van ISO 8601:2019 worden weergegeven, waarbij het verschil tussen lokale tijd en UTC moet worden aange- geven.</p>
<p><strong>R74 Veilige tijdsbron</strong>: gezondheidsinformatiesys- temen moeten een consistente en veilige tijdsbron ge- bruiken.</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>AUDT CSUP SAHD</p>
</blockquote></td>
<td><blockquote>
<p>8.17 Kloksynchronisatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>Beheer van privacy- en beveiligingsincidenten</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R75 Beheer van incidenten</strong>: gezondheidsinformatie- systemen of ondersteunende auditsystemen moeten automatisch een configureerbare kennisgeving aan de persoon of personen of het beveiligingssysteem binnen de organisatie met rekenschap of verantwoordelijk- heid voor het beheer van privacy- of beveiligingsinci- denten laten geven telkens als er een mogelijk geval van misbruik van het systeem wordt ontdekt.</p>
<p><strong>R76 Kennisgeving van incidenten:</strong> gezondheidsin- formatiesystemen behoren te voorzien in een moge- lijkheid waarmee gebruikers een verantwoordings- plichtige persoon in kennis kunnen stellen van beveili- gingsincidenten of -kwesties.</p>
</blockquote></td>
<td><blockquote>
<p>AUDT</p>
</blockquote></td>
<td><blockquote>
<p>5.5 Contact met overheidsin- stanties</p>
</blockquote>
<ol start="24" type="1">
<li><p>Plannen en voorbereiden van het beheer van infor- matiebeveiligingsinci- denten</p></li>
<li><p>Beoordelen van en be- sluiten over informatie- beveiligingsgebeurtenis- sen</p></li>
<li><p>Reageren op informatie- beveiligingsincidenten</p></li>
<li><p>Leren van informatiebe- veiligingsincidenten</p></li>
<li><p>Verzamelen van bewijs- materiaal</p></li>
</ol>
<blockquote>
<p>5.43 HLT – Incidenten extern</p>
<p>melden</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td></td>
<td></td>
<td><blockquote>
<p>6.8 Melden van informatie- beveiligingsgebeurtenis- sen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>Digitale certificaten en digitale handtekeningen</strong></p>
</blockquote></td>
<td></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p><strong>R77 Gebruikers van digitale handtekeningen voor- zien</strong>: gezondheidsinformatiesystemen die functies bie- den waarbij gebruikers het elektronische equivalent van een handgeschreven handtekening moeten toepas- sen behoren die gebruikers de mogelijkheid te bieden een digitale handtekening toe te passen.</p>
<p><strong>R78 Digitale handtekeningen valideren</strong>: telkens wanneer een gezondheidsinformatiesysteem gegevens die een digitale handtekening bevatten genereert en ontvangt, behoort het systeem te bevestigen, bij het ge- nereren en bij ontvangst, dat de handtekening geldig is of was op het moment van toepassen.</p>
<p><strong>R79 Digitale handtekeningen in stand houden</strong>: ge- zondheidsinformatiesystemen waar gebruikers een di- gitale handtekening kunnen gebruiken of die digitaal ondertekende gegevens ontvangen, behoren de digitale handtekening op te slaan, te back-uppen of te archive- ren telkens wanneer de ondertekende gegevens wor- den opgeslagen, geback-upt of gearchiveerd; en de di- gitale handtekening over te dragen telkens wanneer de ondertekende gegevens worden overgedragen.</p>
<p><strong>R80 Digitaal ondertekenen</strong>: alle gezondheidsinfor- matiesystemen die voorzien in functies waar gebrui- kers het elektronische equivalent van een handge- schreven handtekening moeten toepassen, moeten een geschikte standaard voor digitale handtekeningen on- dersteunen die voldoet aan informatiebeveiligingsbe- leid en -regelgeving.</p>
<p><strong>R81 Digitale handtekeningen valideren, behouden en overdragen</strong>: het gezondheidsinformatiesysteem moet:</p>
<p>a) bij ontvangst bevestigen dat de handtekening gel- dig is (d.w.z. dat het bijbehorende handtekeningcer- tificaat en alle bijbehorende kettingcertificaten niet</p>
<p>zijn ingetrokken);</p>
</blockquote></td>
<td style="text-align: left;"><blockquote>
<p>AUDT PAUT TXCF TXIG</p>
</blockquote></td>
<td><blockquote>
<p>8.24 Gebruik van cryptografie</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 54%" />
<col style="width: 13%" />
<col style="width: 31%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>IEC/CD TS</strong></p>
<p><strong>81001-2-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beheersmaatregelen</strong></p>
<p><strong>NEN 7510-2</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><ol start="2" type="a">
<li><p>de digitale handtekening en alle gegevens die er- mee verband houden (informatie over rootcertifica- ten, certificaatketens, certificaten van onderte- kenaars en intrekkingsinformatie) opslaan, back- uppen of archiveren telkens wanneer de onderte- kende gegevens worden opgeslagen, geback-upt of gearchiveerd;</p></li>
<li><p>de digitale handtekening samen met de gegevens of door ernaar te verwijzen overdragen telkens als de ondertekende gegevens worden overgedragen;</p></li>
<li><p>gebruikers in staat stellen telkens als zij toegang maken tot ondertekende gegevens te bevestigen dat de handtekening op het moment van ondertekenen geldig is (d.w.z. dat het bijbehorende handtekening- certificaat niet is ingetrokken).</p></li>
</ol>
<blockquote>
<p><strong>R82 Doel van de handtekening en rol van de onder- tekenaar</strong>: gezondheidsinformatiesystemen die func- tionaliteit voor het gebruik van digitale handtekenin- gen bieden, behoren het attribuut dat het type verbin- tenis aangeeft ('commitment-type-indication attribu- te') en de rol van de ondertekenaar (d.w.z. het attri- buut voor de rol van de gebruiker) te omvatten.</p>
</blockquote></td>
<td></td>
<td></td>
</tr>
</tbody>
</table>

> **Tabel D.3 — Relaties tussen de beheersmaatregelen van NEN 7510-2 en de beveiligings- en privacy-eisen**

<table>
<colgroup>
<col style="width: 35%" />
<col style="width: 64%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beheersmaatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p><strong>5 Organisatorische beheers-</strong></p>
<p><strong>maatregelen</strong></p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p>5.1 Beleidsregels voor infor- matiebeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>R1 Toestemming registreren</p>
<p>R2 Minimaal geregistreerde gegevens R3 Instructies volgen de gegevens</p>
<p>R4 Toegang in noodsituaties</p>
<p>R5 Toegang in noodsituaties in een logbestand registreren R6 Door een rechtens bevoegde vertegenwoordiger gegeven toestemming</p>
<p>R7 Veranderingen aan toestemming rapporteren</p>
<p>R8 Alleen die gegevens waarvoor er een geı̈dentificeerd doel voor het verzamelen, gebruiken of openbaar maken ervan be- staat registreren en opslaan</p>
<p>R9 De openbaarmaking van informatie van de betrokkene be- perken tot gezondheidszorgverleners met een relatie tot de betrokkene</p>
<p>R10 De uitvoer van gegevens beperken R50 Registraties bewaren</p>
<p>R56 Auditlogbestanden bewaren</p>
<p>R62 De geschiedenis van persoonlijke gezondheidsinformatie behouden</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="2" type="1">
<li><p>Rollen en verantwoorde- lijkheden bij informatiebe- veiliging</p></li>
<li><p>Functiescheiding</p></li>
<li><p>Managementverantwoor- delijkheden</p></li>
<li><p>Contact met overheidsin- stanties</p></li>
<li><p>Contact met speciale be- langengroepen</p></li>
</ol></td>
<td><blockquote>
<p>R25 Beheersmaatregelen voor toegangsbeveiliging R26 Autorisatiebeheer</p>
<p>R27 Op rollen gebaseerde toegangsbeveiliging R28 Andere vormen van toegangsbeveiliging</p>
<p>R29 De toegang tot de persoonlijke gezondheidsinformatie van zorgontvangers delegeren</p>
<p>R30 Toegangsrechten rapporteren R31 Beperkingen aan toegangsrechten R32 Toegangsrechten intrekken</p>
<p>R75 Beheer van incidenten</p>
<p>R76 Kennisgeving van incidenten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.7 Informatie en analyses</p>
<p>over dreigingen</p>
</blockquote></td>
<td><blockquote>
<p>Geen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.8 Informatiebeveiliging in</p>
<p>projectmanagement</p>
</blockquote></td>
<td><blockquote>
<p>Geen</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="9" type="1">
<li><p>Inventarisatie van infor- matie en andere gerela- teerde bedrijfsmiddelen</p></li>
<li><p>Aanvaardbaar gebruik van informatie en andere gere-</p></li>
</ol>
<blockquote>
<p>lateerde bedrijfsmiddelen</p>
</blockquote></td>
<td><blockquote>
<p>R33 Kennisgevingen aan gebruikers</p>
<p>R62 De geschiedenis van persoonlijke gezondheidsinformatie behouden</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 35%" />
<col style="width: 64%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beheersmaatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>5.11 Retourneren van bedrijfs-</p>
<p>middelen</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><ol start="12" type="1">
<li><p>Classificeren van informa-</p></li>
</ol>
<blockquote>
<p>tie</p>
</blockquote>
<ol start="13" type="1">
<li><p>Labelen van informatie</p></li>
</ol></td>
<td><blockquote>
<p>R14 Identificatie van de zorgontvanger</p>
<p>R51 Labelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.14 Overdragen van informatie</p>
</blockquote></td>
<td><blockquote>
<p>R10 De uitvoer van gegevens beperken</p>
<p>R42 Gegevens tijdens overdracht versleutelen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.15 Toegangsbeveiliging</p>
</blockquote></td>
<td><blockquote>
<p>R4 Toegang in noodsituaties</p>
<p>R5 Toegang in noodsituaties in een logbestand registreren</p>
<p>R8 Alleen die gegevens waarvoor er een geı̈dentificeerd doel voor het verzamelen, gebruiken of openbaar maken ervan be- staat registreren en opslaan</p>
<p>R9 De openbaarmaking van informatie van de betrokkene be- perken tot gezondheidszorgverleners met een relatie tot de betrokkene</p>
<p>R10 De uitvoer van gegevens beperken</p>
<p>R27 Op rollen gebaseerde toegangsbeveiliging R28 Andere vormen van toegangsbeveiliging</p>
<p>R29 De toegang tot de persoonlijke gezondheidsinformatie van zorgontvangers delegeren</p>
<p>R30 Toegangsrechten rapporteren</p>
<p>R31 Beperkingen aan toegangsrechten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.16 Identiteitsbeheer</p>
</blockquote></td>
<td><blockquote>
<p>R15 Gebruikers identificeren</p>
<p>R16 Gebruikers-ID's</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.17 Authenticatie-informatie</p>
</blockquote></td>
<td><blockquote>
<p>R17 Gebruikersauthenticatie</p>
<p>R18 Gebruikersauthenticatie (voorafgaand aan het verlenen van toegang tot gegevens of systeemdiensten)</p>
<p>R19 Authenticatiemethoden</p>
<p>R20 Gebruikers en systemen authenticeren</p>
<p>R21 Gebruikersprofielen, wachtwoorden en andere authenti-</p>
<p>catietokens beschermen</p>
<p>R22 Wachtwoorden: gebruik, kwaliteit, resetten en door de gebruiker doorgevoerde wijzigingen</p>
<p>R23 Mislukte inlogpogingen</p>
<p>R24 Feedback aan gebruikers tijdens authenticatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.18 Toegangsrechten</p>
</blockquote></td>
<td><blockquote>
<p>R25 Beheersmaatregelen voor toegangsbeveiliging R26 Autorisatiebeheer</p>
<p>R27 Op rollen gebaseerde toegangsbeveiliging R28 Andere vormen van toegangsbeveiliging</p>
<p>R29 De toegang tot de persoonlijke gezondheidsinformatie van zorgontvangers delegeren</p>
<p>R30 Toegangsrechten rapporteren</p>
<p>R31 Beperkingen aan toegangsrechten R32 Toegangsrechten intrekken</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 35%" />
<col style="width: 64%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beheersmaatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><ol start="19" type="1">
<li><p>Informatiebeveiliging in le- veranciersrelaties</p></li>
<li><p>Adresseren van informa- tiebeveiliging in leveran- ciersovereenkomsten</p></li>
<li><p>Beheren van informatiebe- veiliging in de ICT-toeleve- ringsketen</p></li>
<li><p>Monitoren, beoordelen en het beheren van wijzigin- gen van leveranciersdien- sten</p></li>
<li><p>Informatiebeveiliging voor</p></li>
</ol>
<blockquote>
<p>het gebruik van clouddien- sten</p>
</blockquote></td>
<td><blockquote>
<p>Geen</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="24" type="1">
<li><p>Plannen en voorbereiden van het beheer van infor- matiebeveiligingsinciden- ten</p></li>
<li><p>Beoordelen van en beslui- ten over informatiebeveili- gingsgebeurtenissen</p></li>
<li><p>Reageren op informatiebe- veiligingsincidenten</p></li>
<li><p>Leren van informatiebevei- ligingsincidenten</p></li>
<li><p>Verzamelen van bewijsma-</p></li>
</ol>
<blockquote>
<p>teriaal</p>
</blockquote></td>
<td><blockquote>
<p>R75 Beheer van incidenten</p>
<p>R76 Kennisgeving van incidenten</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="29" type="1">
<li><p>Informatiebeveiliging tij- dens een verstoring</p></li>
<li><p>ICT-gereedheid voor be-</p></li>
</ol>
<blockquote>
<p>drijfscontinuı̈teit</p>
</blockquote></td>
<td><blockquote>
<p>R48 Integriteit van gegevens tijdens het verwerken R57 Auditeerbare gebeurtenissen</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="31" type="1">
<li><p>Wettelijke, statutaire, re- gelgevende en contractu- ele eisen</p></li>
<li><p>Intellectuele-eigendoms-</p></li>
</ol>
<blockquote>
<p>rechten</p>
</blockquote></td>
<td><blockquote>
<p>R68 In documentatie opgenomen onderwerpen</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="33" type="1">
<li><p>Beschermen van registra- ties</p></li>
<li><p>Privacy en bescherming van persoonsgegevens</p></li>
</ol></td>
<td><blockquote>
<p>R1 Toestemming registreren</p>
<p>R2 Minimaal geregistreerde gegevens R3 Instructies volgen de gegevens</p>
<p>R4 Toegang in noodsituaties:</p>
<p>R5 Toegang in noodsituaties in een logbestand registreren R6 Door een rechtens bevoegde vertegenwoordiger gegeven toestemming</p>
<p>R7 Veranderingen aan toestemming rapporteren</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 35%" />
<col style="width: 64%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beheersmaatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td></td>
<td><blockquote>
<p>R27 Op rollen gebaseerde toegangsbeveiliging</p>
<p>R29 De toegang tot de persoonlijke gezondheidsinformatie van zorgontvangers delegeren</p>
<p>R31 Beperkingen aan toegangsrechten</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="35" type="1">
<li><p>Onafhankelijke beoorde- ling van informatiebeveili- ging</p></li>
<li><p>Naleving van beleid, regels en normen voor informa- tiebeveiliging</p></li>
</ol></td>
<td><blockquote>
<p>R1 Toestemming registreren</p>
<p>R2 Minimaal geregistreerde gegevens R3 Instructies volgen de gegevens</p>
<p>R4 Toegang in noodsituaties:</p>
<p>R5 Toegang in noodsituaties in een logbestand registreren R6 Door een rechtens bevoegde vertegenwoordiger gegeven toestemming</p>
<p>R7 Veranderingen aan toestemming rapporteren</p>
<p>R8 Alleen die gegevens waarvoor er een geı̈dentificeerd doel voor het verzamelen, gebruiken of openbaar maken ervan be- staat registreren en opslaan</p>
<p>R9 De openbaarmaking van informatie van de betrokkene be- perken tot gezondheidszorgverleners met een relatie tot de betrokkene</p>
<p>R10 De uitvoer van gegevens beperken R50 Registraties bewaren</p>
<p>R56 Auditlogbestanden bewaren</p>
<p>R62 De geschiedenis van persoonlijke gezondheidsinformatie behouden</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.37 Gedocumenteerde bedie-</p>
<p>ningsprocedures</p>
</blockquote></td>
<td><blockquote>
<p>R68 In documentatie opgenomen onderwerpen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.38 HLT – Analyse en specifica-</p>
<p>tie van informatiebeveili- gingseisen</p>
</blockquote></td>
<td><blockquote>
<p>R68 In documentatie opgenomen onderwerpen</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="39" type="1">
<li><p>HLT– Zorgontvangers op</p></li>
</ol>
<blockquote>
<p>unieke wijze identificeren</p>
</blockquote>
<ol start="40" type="1">
<li><p>HLT – Validatie van ge- toonde/geprinte gegevens</p></li>
</ol></td>
<td><blockquote>
<p>R14 Identificatie van de zorgontvanger</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.41 HLT – Openbaar beschik- bare gezondheidsinforma-</p>
<p>tie</p>
</blockquote></td>
<td><blockquote>
<p>Geen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.42 HLT – Communicatie in</p>
<p>noodsituaties</p>
</blockquote></td>
<td><blockquote>
<p>Geen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>5.43 HLT – Incidenten extern</p>
<p>melden</p>
</blockquote></td>
<td><blockquote>
<p>R75 Beheer van incidenten</p>
<p>R76 Kennisgeving van incidenten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>6 Mensgerichte beheersmaat-</strong></p>
<p><strong>regelen</strong></p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><ol type="1">
<li><p>Screening</p></li>
<li><p>Arbeidsovereenkomst</p></li>
</ol></td>
<td><blockquote>
<p>Geen</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 35%" />
<col style="width: 64%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beheersmaatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><ol start="3" type="1">
<li><p>Bewustwording van, oplei- ding en training in infor- matiebeveiliging</p></li>
<li><p>Disciplinaire procedure</p></li>
<li><p>Verantwoordelijkheden na beëindiging of wijziging van het dienstverband</p></li>
<li><p>Vertrouwelijkheids- of ge- heimhoudingsovereen-</p></li>
</ol>
<blockquote>
<p>komsten</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p>6.7 Werken op afstand</p>
</blockquote></td>
<td><blockquote>
<p>R15 Gebruikersauthenticatie R16 Gebruikers-ID's</p>
<p>R17 Gebruikersauthenticatie</p>
<p>R18 Gebruikersauthenticatie (voorafgaand aan het verlenen van toegang tot gegevens of systeemdiensten)</p>
<p>R19 Authenticatiemethoden</p>
<p>R20 Gebruikers en systemen authenticeren</p>
<p>R21 Gebruikersprofielen, wachtwoorden en andere authenti- catietokens beschermen</p>
<p>R22 Wachtwoorden: gebruik, kwaliteit, resetten en door de gebruiker doorgevoerde wijzigingen</p>
<p>R23 Mislukte inlogpogingen</p>
<p>R24 Feedback aan gebruikers tijdens authenticatie R25 Beheersmaatregelen voor toegangsbeveiliging R26 Autorisatiebeheer</p>
<p>R27 Op rollen gebaseerde toegangsbeveiliging</p>
<p>R29 De toegang tot de persoonlijke gezondheidsinformatie van zorgontvangers delegeren</p>
<p>R30 Toegangsrechten rapporteren</p>
<p>R31 Beperkingen aan toegangsrechten R32 Toegangsrechten intrekken</p>
</blockquote></td>
</tr>
<tr>
<td style="text-align: right;"><p>6.8 Melden van informatiebe-</p>
<p>veiligingsgebeurtenissen</p></td>
<td><blockquote>
<p>R75 Beheer van incidenten</p>
<p>R76 Kennisgeving van incidenten</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>6.9 HLT – Managementtrai-</p>
<p>ning</p>
</blockquote></td>
<td><blockquote>
<p>Geen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>7 Fysieke beheersmaatregelen</strong></p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><ol type="1">
<li><p>Fysieke beveiligingszones</p></li>
<li><p>Fysieke toegangsbeveili- ging</p></li>
<li><p>Beveiligen van kantoren, ruimten en faciliteiten</p></li>
<li><p>Monitoren van de fysieke beveiliging</p></li>
<li><p>Beschermen tegen fysieke</p></li>
</ol>
<blockquote>
<p>en omgevingsdreigingen</p>
</blockquote></td>
<td><blockquote>
<p>R44 Operationele gegevens beschermen</p>
<p>R45 Gegevens op draagbare media beschermen R46 Gegevens in gegevensarchieven beschermen</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 35%" />
<col style="width: 64%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beheersmaatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><ol start="6" type="1">
<li><p>Werken in beveiligde zo- nes</p></li>
<li><p>‘Clear desk’ en ‘clear screen’</p></li>
<li><p>Plaatsen en beschermen van apparatuur</p></li>
<li><p>Beveiligen van bedrijfs-</p></li>
</ol>
<blockquote>
<p>middelen buiten het ter- rein</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p>7.10 Opslagmedia</p>
</blockquote></td>
<td><blockquote>
<p>R44 Operationele gegevens beschermen</p>
<p>R45 Gegevens op draagbare media beschermen R46 Gegevens in gegevensarchieven beschermen</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="11" type="1">
<li><p>Nutsvoorzieningen</p></li>
<li><p>Beveiligen van bekabeling</p></li>
<li><p>Onderhoud van appara- tuur</p></li>
<li><p>Veilig verwijderen of her-</p></li>
</ol>
<blockquote>
<p>gebruiken van apparatuur</p>
</blockquote></td>
<td><blockquote>
<p>R45 Gegevens op draagbare media beschermen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p><strong>8 Technologische beheers-</strong></p>
<p><strong>maatregelen</strong></p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p>8.1 ‘User endpoint devices’</p>
</blockquote></td>
<td><blockquote>
<p>R15 Gebruikers identificeren</p>
<p>R16 Gebruikers-ID's</p>
<p>R17 Gebruikersauthenticatie</p>
<p>R18 Gebruikersauthenticatie (voorafgaand aan het verlenen van toegang tot gegevens of systeemdiensten)</p>
<p>R19 Authenticatiemethoden</p>
<p>R20 Gebruikers en systemen authenticeren</p>
<p>R25 Beheersmaatregelen voor toegangsbeveiliging R34 Sessiebeveiliging</p>
<p>R35 Gebruikerssessie automatisch beëindigen</p>
<p>R36 Verbinding automatisch verbreken R37 Sessiebeveiliging</p>
<p>R44 Operationele gegevens beschermen</p>
<p>R45 Gegevens op draagbare media beschermen R46 Gegevens in gegevensarchieven beschermen</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="2" type="1">
<li><p>Speciale toegangsrechten</p></li>
<li><p>Beperking toegang tot in- formatie</p></li>
<li><p>Toegangsbeveiliging op broncode</p></li>
</ol></td>
<td><blockquote>
<p>R15 Gebruikers identificeren</p>
<p>R16 Gebruikers-ID's</p>
<p>R17 Gebruikersauthenticatie</p>
<p>R18 Gebruikersauthenticatie (voorafgaand aan het verlenen van toegang tot gegevens of systeemdiensten)</p>
<p>R19 Authenticatiemethoden</p>
<p>R20 Gebruikers en systemen authenticeren</p>
<p>R25 Beheersmaatregelen voor toegangsbeveiliging R26 Autorisatiebeheer</p>
<p>R27 Op rollen gebaseerde toegangsbeveiliging</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 35%" />
<col style="width: 64%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beheersmaatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td></td>
<td><blockquote>
<p>R28 Andere vormen van toegangsbeveiliging</p>
<p>R29 De toegang tot de persoonlijke gezondheidsinformatie van zorgontvangers delegeren</p>
<p>R30 Toegangsrechten rapporteren R31 Beperkingen aan toegangsrechten</p>
<p>R32 Toegangsrechten intrekken</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.5 Beveiligde authenticatie</p>
</blockquote></td>
<td><blockquote>
<p>R17 Gebruikersauthenticatie</p>
<p>R18 Gebruikersauthenticatie (voorafgaand aan het verlenen van toegang tot gegevens of systeemdiensten)</p>
<p>R19 Authenticatiemethoden</p>
<p>R20 Gebruikers en systemen authenticeren</p>
<p>R21 Gebruikersprofielen, wachtwoorden en andere authenti-</p>
<p>catietokens beschermen</p>
<p>R22 Wachtwoorden: gebruik, kwaliteit, resetten en door de gebruiker doorgevoerde wijzigingen</p>
<p>R23 Mislukte inlogpogingen</p>
<p>R24 Feedback aan gebruikers tijdens authenticatie R34 Sessiebeveiliging</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="6" type="1">
<li><p>Capaciteitsbeheer</p></li>
<li><p>Bescherming tegen mal- ware</p></li>
<li><p>Beheer van technische kwetsbaarheden</p></li>
<li><p>Configuratiebeheer</p></li>
</ol></td>
<td><blockquote>
<p>R68 In documentatie opgenomen onderwerpen R69 Documentatie en versiebeheer</p>
<p>R70 Wijzigingen aan documentatie</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.10 Wissen van informatie</p>
</blockquote></td>
<td><blockquote>
<p>R50 Bewaring</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="11" type="1">
<li><p>Maskeren van gegevens</p></li>
<li><p>Voorkomen van gegevens- lekken</p></li>
</ol></td>
<td style="text-align: left;"><blockquote>
<p>R21 Gebruikersprofielen, wachtwoorden en andere authenti- catietokens beschermen</p>
<p>R32 Toegangsrechten intrekken</p>
<p>R42 Gegevens tijdens overdracht versleutelen R43 Bevestiging van de levering van gegevens R44 Operationele gegevens beschermen</p>
<p>R45 Gegevens op draagbare media beschermen R46 Gegevens in gegevensarchieven beschermen R54 Auditlogbestanden beschermen</p>
<p>R58 Minimaal geregistreerde informatie</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="13" type="1">
<li><p>Back-up van informatie</p></li>
<li><p>Redundantie van informa- tieverwerkende faciliteiten</p></li>
</ol></td>
<td><blockquote>
<p>R38 Back-up</p>
<p>R39 Gelijktijdige back-up R40 Herstel</p>
<p>R41 De inhoud van een elektronische gezondheidsregistratie</p>
<p>van een eerder tijdstip reconstrueren</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="15" type="1">
<li><p>Logging</p></li>
<li><p>Monitoren van activiteiten</p></li>
</ol></td>
<td><blockquote>
<p>R5 Toegang in noodsituaties in een logbestand registreren</p>
<p>R15 Gebruikers identificeren</p>
<p>R38 Back-up</p>
<p>R44 Operationele gegevens beschermen</p>
<p>R45 Gegevens op draagbare media beschermen</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 35%" />
<col style="width: 64%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beheersmaatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td></td>
<td><blockquote>
<p>R46 Gegevens in gegevensarchieven beschermen</p>
<p>R54 Auditlogbestanden beschermen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.17 Kloksynchronisatie</p>
</blockquote></td>
<td><blockquote>
<p>R68 In documentatie opgenomen onderwerpen - kloksyn- chronisatie-gerelateerde eis</p>
<p>R71 Tijdnotatie</p>
<p>R72 Kloksynchronisatie</p>
<p>R73 Tijdnotatie in geëxporteerde registraties</p>
<p>R74 Tijdsbron</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="18" type="1">
<li><p>Gebruik van speciale sys- teemhulpmiddelen</p></li>
<li><p>Installeren van software</p></li>
</ol>
<blockquote>
<p>op operationele systemen</p>
</blockquote></td>
<td><blockquote>
<p>R64 Documentatie van gezondheidsinformatiesystemen</p>
<p>R68 In documentatie opgenomen onderwerpen - software-in- stallatie-gerelateerde eisen</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="20" type="1">
<li><p>Beveiliging netwerkcom- ponenten</p></li>
<li><p>Beveiliging van netwerk- diensten</p></li>
<li><p>Netwerksegmentatie</p></li>
</ol></td>
<td><blockquote>
<p>R42 Gegevens tijdens overdracht versleutelen R43 Bevestiging van de levering van gegevens</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.23 Toepassen van webfilters</p>
</blockquote></td>
<td><blockquote>
<p>Geen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.24 Gebruik van cryptografie</p>
</blockquote></td>
<td><blockquote>
<p>R21 Gebruikersprofielen, wachtwoorden en andere authenti-</p>
<p>catietokens beschermen</p>
<p>R42 Gegevens tijdens overdracht versleutelen R43 Bevestiging van de levering van gegevens</p>
<p>R77 Gebruikers van digitale handtekeningen voorzien R78 Digitale handtekeningen valideren</p>
<p>R79 Digitale handtekeningen in stand houden R80 Digitaal ondertekenen</p>
<p>R81 Digitale handtekeningen valideren, behouden en over- dragen</p>
<p>R82 Doel van de handtekening en rol van de ondertekenaar</p>
</blockquote></td>
</tr>
<tr>
<td><ol start="25" type="1">
<li><p>Beveiligen tijdens de ont- wikkelcyclus</p></li>
<li><p>Toepassingsbeveiligingsei- sen</p></li>
<li><p>Veilige systeemarchitec- tuur en technische uit- gangspunten</p></li>
<li><p>Veilig coderen</p></li>
<li><p>Testen van de beveiliging tijdens ontwikkeling en ac- ceptatie</p></li>
<li><p>Uitbestede systeemontwik- keling</p></li>
<li><p>Scheiding van ontwikkel-, test- en productieomge-</p></li>
</ol>
<blockquote>
<p>vingen</p>
</blockquote></td>
<td><blockquote>
<p>R63 Versiebeheer van gezondheidsinformatiesystemen R64 Documentatie van gezondheidsinformatiesystemen R65 Wijzigingen aan documentatie</p>
<p>R66 Documentatie en softwareversies R67 Softwareversie</p>
<p>R68 In documentatie opgenomen onderwerpen R69 Documentatie en versiebeheer</p>
<p>R70 Wijzigingen aan documentatie</p>
</blockquote></td>
</tr>
</tbody>
</table>

<table>
<colgroup>
<col style="width: 35%" />
<col style="width: 64%" />
</colgroup>
<thead>
<tr>
<th><blockquote>
<p><strong>Beheersmaatregel NEN 7510-2</strong></p>
</blockquote></th>
<th><blockquote>
<p><strong>Beveiligings- en privacy-eisen</strong></p>
</blockquote></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>8.32 Wijzigingsbeheer</p>
</blockquote></td>
<td></td>
</tr>
<tr>
<td><ol start="33" type="1">
<li><p>Testgegevens</p></li>
<li><p>Bescherming van informa- tiesystemen tijdens audits</p></li>
</ol></td>
<td><blockquote>
<p>R44 Operationele gegevens beschermen</p>
<p>R45 Gegevens op draagbare media beschermen R46 Gegevens in gegevensarchieven beschermen R54 Auditlogbestanden beschermen</p>
</blockquote></td>
</tr>
<tr>
<td><blockquote>
<p>8.35 HLT – Zero trust-beginse-</p>
<p>len</p>
</blockquote></td>
<td><blockquote>
<p>Geen</p>
</blockquote></td>
</tr>
</tbody>
</table>

## Bijlage E

(informatief)

## Mapping van NIS2 op NEN 7510-1 en NEN 7510-2

> EU-richtlijn (EU) 2022/2555 (betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie), ook bekend als de NIS2-richtlijn, is december 2022 in werking getreden. De richtlijn heeft tot doel voort te bouwen op de cyberbeveiligingscapaciteiten, de bedreigingen voor netwerk- en informatiesystemen die worden gebruikt om essentiële diensten in belangrijke sectoren te verlenen, te verminderen en de continuïteit van dergelijke diensten te waarborgen bij incidenten.
>
> NIS2 gaat over cyberveiligheid door (onder meer) zorgaanbieders met een personeelsbestand van 50 of meer. NIS2 verplicht dergelijke zorgaanbieders om passende en proportionele technische, operationele en organisatorische maatregelen te nemen om cyberrisico's te beheersen, incidenten te voorkomen of de gevolgen van incidenten te beperken (NIS2, artikel 21, lid 1). Deze maatregelen omvatten ten minste het volgende (volgens NIS2, artikel 21, lid 2):

1.  beleid inzake risicoanalyse en beveiliging van informatiesystemen;

2.  incidentenbehandeling;

3.  bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer;

4.  de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners;

5.  beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden;

6.  beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen;

7.  basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging (NIS2, Overweging 89);

8.  beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie;

9.  beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa;

10. wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.

> Daaraan kunnen bovendien de volgende aspecten worden toegevoegd:

11. Het bestuur van een zorgaanbieder keurt de maatregelen voortvloeiend uit de nummers 1 t/m 10 goed (NIS2, artikel 20, lid 1).

12. Bestuursleden volgen een opleiding zodat zij risico's kunnen identificeren en beheersmaatregelen kunnen beoordelen (NIS2, artikel 20, lid 2).

13. Significante incidenten (NIS2, artikel 23) worden gemeld aan een sectoraal CERT.

> In tabel E.1 zijn de bovengenoemde NIS2-maatregelen afgezet tegen de inhoud van NEN 7510-1 en NEN 7510-2.
>
> **Tabel E.1 — Mapping van NIS2-maatregelen op de NEN 7510-reeks**

<table>
<colgroup>
<col style="width: 6%" />
<col style="width: 34%" />
<col style="width: 16%" />
<col style="width: 42%" />
</colgroup>
<thead>
<tr>
<th colspan="2"><blockquote>
<p><strong>NIS2-maatregelen</strong></p>
</blockquote></th>
<th><strong>NEN 7510-1</strong></th>
<th><strong>NEN 7510-2</strong></th>
</tr>
</thead>
<tbody>
<tr>
<td><blockquote>
<p>1a</p>
</blockquote></td>
<td><blockquote>
<p>risicoanalysebeleid</p>
</blockquote></td>
<td>6.1</td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p>1b</p>
</blockquote></td>
<td><blockquote>
<p>beveiliging informatiesystemen</p>
</blockquote></td>
<td>6.2</td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p>2</p>
</blockquote></td>
<td><blockquote>
<p>incidentafhandeling</p>
</blockquote></td>
<td></td>
<td>5.24, 5.25, 5.26, 5.27, 6.8</td>
</tr>
<tr>
<td><blockquote>
<p>3a</p>
</blockquote></td>
<td><blockquote>
<p>bedrijfscontinuïteit</p>
</blockquote></td>
<td></td>
<td>5.29</td>
</tr>
<tr>
<td><blockquote>
<p>3b</p>
</blockquote></td>
<td><blockquote>
<p>crisisbeheer</p>
</blockquote></td>
<td></td>
<td>5.29, 6.8</td>
</tr>
<tr>
<td><blockquote>
<p>4</p>
</blockquote></td>
<td><blockquote>
<p>toeleveringsketen</p>
</blockquote></td>
<td></td>
<td>6.8</td>
</tr>
<tr>
<td><blockquote>
<p>5a</p>
</blockquote></td>
<td><blockquote>
<p>veilige verwerving</p>
</blockquote></td>
<td></td>
<td>8.30</td>
</tr>
<tr>
<td><blockquote>
<p>5b</p>
</blockquote></td>
<td><blockquote>
<p>veilige ontwikkeling</p>
</blockquote></td>
<td></td>
<td>8.25, 8.27, 8.31</td>
</tr>
<tr>
<td><blockquote>
<p>5c</p>
</blockquote></td>
<td><blockquote>
<p>veilig onderhoud</p>
</blockquote></td>
<td></td>
<td>8.27, 8.31, 8.32</td>
</tr>
<tr>
<td><blockquote>
<p>5d</p>
</blockquote></td>
<td><blockquote>
<p>kwetsbaarhedenbeheer</p>
</blockquote></td>
<td></td>
<td>8.1, 8.8, 8.19, 8.32</td>
</tr>
<tr>
<td><blockquote>
<p>6</p>
</blockquote></td>
<td><blockquote>
<p>evaluatie beveiligingseffectiviteit</p>
</blockquote></td>
<td>6.1, 10.1, 10.2</td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p>7a</p>
</blockquote></td>
<td><blockquote>
<p>zero trust-principes</p>
</blockquote></td>
<td></td>
<td>8.35</td>
</tr>
<tr>
<td><blockquote>
<p>7b</p>
</blockquote></td>
<td><blockquote>
<p>software-updates</p>
</blockquote></td>
<td></td>
<td>8.1, 8.8, 8.15, 8.32</td>
</tr>
<tr>
<td><blockquote>
<p>7c</p>
</blockquote></td>
<td><blockquote>
<p>configuratiebeleid</p>
</blockquote></td>
<td></td>
<td>7.9, 7.13, 8.1</td>
</tr>
<tr>
<td><blockquote>
<p>7d</p>
</blockquote></td>
<td><blockquote>
<p>netwerksegmentatie</p>
</blockquote></td>
<td></td>
<td>8.22</td>
</tr>
<tr>
<td><blockquote>
<p>7e</p>
</blockquote></td>
<td><blockquote>
<p>identiteitsbeleid</p>
</blockquote></td>
<td></td>
<td>5.16</td>
</tr>
<tr>
<td><blockquote>
<p>7f</p>
</blockquote></td>
<td><blockquote>
<p>toegangsbeleid</p>
</blockquote></td>
<td></td>
<td>5.18, 8.2</td>
</tr>
<tr>
<td><blockquote>
<p>7g</p>
</blockquote></td>
<td><blockquote>
<p>cybersecuritytraining</p>
</blockquote></td>
<td></td>
<td>6.3</td>
</tr>
<tr>
<td><blockquote>
<p>8</p>
</blockquote></td>
<td><blockquote>
<p>cryptografie</p>
</blockquote></td>
<td></td>
<td>8.24</td>
</tr>
<tr>
<td><blockquote>
<p>9a</p>
</blockquote></td>
<td><blockquote>
<p>veilig personeel</p>
</blockquote></td>
<td></td>
<td>5.4, 6.1, 6.2, 6.3, 6.4, 6.5</td>
</tr>
<tr>
<td><blockquote>
<p>9b</p>
</blockquote></td>
<td><blockquote>
<p>toegangsbeleid</p>
</blockquote></td>
<td></td>
<td>5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.4, 8.5, 8.18</td>
</tr>
<tr>
<td><blockquote>
<p>9c</p>
</blockquote></td>
<td><blockquote>
<p>beveiliging van bedrijfsmiddelen</p>
</blockquote></td>
<td></td>
<td>5.9, 5.10, 5.11</td>
</tr>
<tr>
<td><blockquote>
<p>10a</p>
</blockquote></td>
<td><blockquote>
<p>MFA/continue authenticatie</p>
</blockquote></td>
<td></td>
<td>8.3</td>
</tr>
<tr>
<td><blockquote>
<p>10b</p>
</blockquote></td>
<td><blockquote>
<p>veilige communicatie</p>
</blockquote></td>
<td></td>
<td>5.14</td>
</tr>
<tr>
<td><blockquote>
<p>10c</p>
</blockquote></td>
<td><blockquote>
<p>noodcommunicatie</p>
</blockquote></td>
<td></td>
<td>5.42</td>
</tr>
<tr>
<td><blockquote>
<p>11</p>
</blockquote></td>
<td><blockquote>
<p>bestuursgoedkeuring</p>
</blockquote></td>
<td>5.2, 9.3</td>
<td></td>
</tr>
<tr>
<td><blockquote>
<p>12</p>
</blockquote></td>
<td><blockquote>
<p>training bestuursleden</p>
</blockquote></td>
<td></td>
<td>6.9</td>
</tr>
<tr>
<td><blockquote>
<p>13</p>
</blockquote></td>
<td><blockquote>
<p>melden van incidenten</p>
</blockquote></td>
<td></td>
<td>5.43</td>
</tr>
</tbody>
</table>

### Bibliografie

> OPMERKING Achter de normtitel staat tussen haakjes de eventuele Nederlandse equivalent.
>
> NEN 7512, *Medische informatica – Informatiebeveiliging in de zorg – Vertrouwensbasis voor gegevensuitwisseling*
>
> ISO 9000, *Quality management systems* – *Fundamentals and vocabulary* (NEN-EN-ISO 9000) ISO 55001, *Asset management – Management systems – Requirements* (NEN-ISO 55001) ISO/IEC 11770 (all parts), *Information security – Key management* (NEN-ISO/IEC 11770)
>
> ISO/IEC 15408 (all parts), *Information technology – Security techniques – Evaluation criteria for IT security* (NEN-EN-ISO/IEC 15408)
>
> ISO 15489 (all parts), *Information and documentation – Records management* (NEN-ISO 15489)
>
> ISO/IEC 17788, *Information technology – Cloud computing – Overview and vocabulary*
>
> (NEN-ISO/IEC 17788)
>
> ISO/IEC 17789, *Information technology – Cloud computing – Reference* architecture (ingetrokken en vervangen door ISO/IEC 22123-3:2023, *Information technology — Cloud computing — Part 3: Reference architecture*)
>
> ISO/IEC 19086 (all parts), *Cloud computing – Service level agreement (SLA) framework*
>
> (NEN-ISO/IEC 19086)
>
> ISO/IEC 19770 (all parts), *Information technology – IT asset management* (NEN-ISO/IEC 19770) ISO/IEC 19941, *Information technology – Cloud computing – Interoperability and portability*
>
> (NEN-ISO/IEC 19941)
>
> ISO/IEC 20889, *Privacy enhancing data de-identification terminology and classification of techniques*
>
> (NEN-ISO/IEC 20889)
>
> ISO 21500, *Project, programme and portfolio management – Context and concepts* (NEN-ISO 21500) ISO 21502, *Project, programme and portfolio management – Guidance on project management*
>
> (NEN-ISO 21501)
>
> ISO 22301, *Security and resilience – Business continuity management systems – Requirements*
>
> (NEN-EN-ISO 22301)
>
> ISO 22313, *Security and resilience – Business continuity management systems – Guidance on the use of ISO 22301* (NEN-EN-ISO 22313)
>
> ISO/TS 22317, *Societal security – Business continuity management systems – Guidelines for business impact analysis (BIA)* (NVN-ISO/TS 22317)
>
> ISO 22396, *Security and resilience – Community resilience – Guidelines for information exchange between organizations* (NEN-ISO 22396)
>
> ISO/IEC TS 23167, *Information technology – Cloud computing – Common technologies and techniques*
>
> (NVN-ISO/IEC TS 23167)
>
> ISO/IEC 23751, *Information technology – Cloud computing and distributed platforms – Data sharing agreement (DSA) framework* (NEN-ISO/IEC 23751)
>
> ISO/IEC 24760 (all parts), *IT Security and Privacy – A framework for identity management*
>
> (NEN-EN-ISO/IEC 24760)
>
> ISO/IEC 27001:2013, *Information technology – Security techniques – Information security management systems – Requirements* (NEN-EN-ISO/IEC 27001)
>
> ISO/IEC 27005, *Information technology – Security techniques – Information security risk management*
>
> (NEN-ISO/IEC 27005)
>
> ISO/IEC 27007, *Information security, cybersecurity and privacy protection – Guidelines for information security management systems auditing* (NEN-EN-ISO/IEC 27007)
>
> ISO/IEC TS 27008, *Information technology – Security techniques – Guidelines for the assessment of information security controls*
>
> ISO/IEC 27011, *Information technology – Security techniques – Code of practice for Information security controls based on ISO/IEC 27002 for telecommunications organizations*
>
> ISO/IEC TR 27016, *Information technology – Security techniques – Information security management – Organizational economics* (NPR-ISO/IEC 27016)
>
> ISO/IEC 27017, *Information technology – Security techniques – Code of practice for information security controls based on ISO/IEC 27002 for cloud services* (NEN-EN-ISO/IEC 27017)
>
> ISO/IEC 27018, *Information technology – Security techniques – Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors*
>
> (NEN-EN-ISO/IEC 27018)
>
> ISO/IEC 27019, *Information technology – Security techniques – Information security controls for the energy utility industry* (NEN-EN-ISO/IEC 27019)
>
> ISO/IEC 27031, *Information technology – Security techniques – Guidelines for information and communication technology readiness for business continuity* (NEN-ISO/IEC 27031)
>
> ISO/IEC 27033 (all parts), *Information technology – Security techniques – Network security*
>
> (NEN-ISO/IEC 27033)
>
> ISO/IEC 27034 (all parts), *Information technology – Application security* (NEN-ISO/IEC 27034)
>
> ISO/IEC 27035 (all parts), *Information technology – Security techniques – Information security incident management* (NEN-ISO/IEC 27035)
>
> ISO/IEC 27036 (all parts), *Information technology – Security techniques – Information security for supplier relationships* (NEN-ISO/IEC 27036)
>
> ISO/IEC 27037, *Information technology – Security techniques – Guidelines for identification, collection, acquisition and preservation of digital evidence* (NEN-EN-ISO/IEC 27037)
>
> ISO/IEC 27040, *Information technology – Security techniques – Storage security*
>
> ISO/IEC 27050 (all parts), *Information technology – Electronic discovery* (NEN-ISO/IEC 27050)
>
> ISO/IEC TS 27110, *Information technology, cybersecurity and privacy protection – Cybersecurity framework development guidelines* (NVN-ISO/IEC TS 27110)
>
> ISO/IEC 27701, *Security techniques – Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management – Requirements and guidelines* (NEN-EN-ISO/IEC 27701)
>
> ISO 27799, *Health informatics – Information security management in health using ISO/IEC 27002*
>
> (NEN-EN-ISO 27799)
>
> ISO/IEC 29100, *Information technology – Security techniques – Privacy framework*
>
> ISO/IEC 29115, *Information technology – Security techniques – Entity authentication assurance framework* (NEN-ISO/IEC 29115)
>
> ISO/IEC 29134, *Information technology – Security techniques – Guidelines for privacy impact assessment*
>
> ISO/IEC 29146, *Information technology – Security techniques – A framework for access management*
>
> (NEN-EN-ISO/IEC 29146)
>
> ISO/IEC 29147, *Information technology – Security techniques – Vulnerability disclosure*
>
> NEN-EN-ISO/IEC 29147)
>
> ISO 30000, *Ships and marine technology – Ship recycling management systems – Specifications for management systems for safe and environmentally sound ship recycling facilities*
>
> ISO/IEC 30111, *Information technology – Security techniques – Vulnerability handling processes*
>
> (NEN-EN-ISO/IEC 30111)
>
> ISO 31000:2018, *Risk management – Guidelines* (NEN-ISO 31000)
>
> IEC 31010, *Risk management – Risk assessment techniques* (NEN-EN-IEC 31010)
>
> ISO/IEC 22123 (all parts), *Information technology – Cloud computing* (NEN-ISO/IEC 22123)
>
> ISO/IEC 27555, *Information security, cybersecurity and privacy protection – Guidelines on personally identifiable information deletion* (NEN-ISO/IEC 27555)
>
> INFORMATION SECURITY FORUM (ISF). The ISF Standard of Good Practice for Information Security 2020, augustus 2018. Beschikbaar op [<u>https://www.securityforum.org/solutions-and-insights/standard-of-</u>][] [<u>good-practice-for-information-security/</u>][<u>https://www.securityforum.org/solutions-and-insights/standard-of-</u>]
>
> ITIL® Foundation, ITIL 4-editie, AXELOS, februari 2019, ISBN: 9780113316076
>
> NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). SP 800-37, Risk Management Framework
>
> for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy, Revision 2. December 2018 \[geraadpleegd op 2020-07-31\]. Beschikbaar op [<u>https://doi.org/10.6028/NIST.SP.800-37r2</u>]
>
> OPEN WEB APPLICATION SECURITY PROJECT (OWASP). OWASP Top Ten - 2017, The Ten Most Critical Web
>
> Application Security Risks, 2017 \[geraadpleegd op 31-07-2020\]
>
> OPEN WEB APPLICATION SECURITY PROJECT (OWASP). OWASP Developer Guide, \[online\] \[geraadpleegd op 2020-10-22\]. Beschikbaar op [<u>https://github.com/OWASP/DevGuide</u>]

###### 319

###### 

> NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). SP 800-63B, Digital Identity Guidelines; Au-
>
> thentication and Lifecycle Management. Februari 2020 \[geraadpleegd op 2020-07-31\]. Beschikbaar op [<u>https://doi.org/10.6028/NIST.SP.800-63b</u>]
>
> OASIS. Structured Threat Information Expression. Beschikbaar op [<u>https://www.oasis-open.org/standards#stix2.0</u>]
>
> OASIS. Trusted Automated Exchange of Indicator Information. Beschikbaar op [<u>https://www.oasis-open.org/standards#taxii2.0</u>]

###### 320

###### 

> **Waarom betaalt u voor een norm?**
>
> Normen zijn afspraken voor en door de markt. Het zijn afspraken over zaken waarmee iedereen te maken heeft. Bijvoorbeeld over gezondheidszorg, financiële dienstverlening, veiligheid en maatschappelijk verantwoord ondernemen. Zonder deze afspraken zou het leven een stuk complexer zijn. Normen zorgen voor verbetering van producten, diensten en processen. Op de werkvloer, in de omgang met elkaar en in de samenleving als geheel.
>
> De afspraken worden gemaakt door belanghebbende partijen. Een belanghebbende partij kan een producent, ondernemer, dienstverlener, gebruiker, maar ook de overheid of een consumenten- of onderzoeksorganisatie zijn. Een breed draagvlak is belangrijk. De afspraken komen onder begeleiding van NEN tot stand en mogen niet strijdig zijn met andere geldige NEN-normen.
>
> NEN is een stichting en heeft geen winstoogmerk. De diensten die NEN levert –̶̶̶ van het bijeenbrengen van partijen en het maken en vastleggen van de afspraken tot het bieden van hulp bij de toepassing van de normen –̶̶̶ moeten worden bekostigd. Daarom betalen alle deelnemende partijen voor het normalisatieproces en betaalt u als gebruiker voor normen, trainingen en andere producten.

> **NEN**
>
> Vlinderweg 6
>
> 2623 AX Delft
>
> [**www.nen.nl**][www.nen.nl]
>
> **Dit document is door NEN onder licentie verstrekt aan: / This document has been supplied under license by NEN to: R R KRANENDONK / <richard@thinkingsecurity.works> 15-06-2025 16:26**

# Altijd de actuele norm?

> Nooit meer zoeken in de systemen en zelf de vraag stellen: ‘Heb ik de laatste versie van NEN 7510-2:2024 nl?’
>
> Via het digitale platform NEN Connect heeft u altijd toegang tot de meest actuele versie van deze norm. Vervallen versies blijven ook beschikbaar. Met een licentie kan de norm via NEN Connect altijd en overal makkelijk geraadpleegd worden, zowel online als offline.
>
> Kies voor slimmer werken en bekijk onze mogelijkheden op [<u>www.nenconnect.nl</u>].
>
> **Meer informatie over de mogelijkheden**
>
> Onze Klantenservice is bereikbaar maandag tot en met vrijdag, van 8.30 uur tot 17.00 uur.
>
> Telefoon: 015 2 690 391
>
> E-mail: [<u>klantenservice@nen.nl</u>]

  [www.nen.nl]: http://www.nen.nl/
  [Voorwoord 6]: #voorwoord
  [Inleiding 7]: #inleiding
  [Onderwerp en toepassingsgebied 8]: #onderwerp-en-toepassingsgebied
  [Normatieve verwijzingen 8]: #normatieve-verwijzingen
  [Termen en definities 8]: #termen-en-definities
  [Algemeen 8]: #algemeen
  [Hoofdstukken 8]: #hoofdstukken
  [Thema’s en attributen 9]: #themas-en-attributen
  [Indeling beheersmaatregel 10]: #indeling-beheersmaatregel
  [Organisatorische beheersmaatregelen 11]: #organisatorische-beheersmaatregelen
  [Beleidsregels voor informatiebeveiliging 11]: #beleidsregels-voor-informatiebeveiliging
  [Rollen en verantwoordelijkheden bij informatiebeveiliging 15]: #rollen-en-verantwoordelijkheden-bij-informatiebeveiliging
  [Functiescheiding 17]: #functiescheiding
  [Managementverantwoordelijkheden 18]: #managementverantwoordelijkheden
  [Contact met overheidsinstanties 20]: #contact-met-overheidsinstanties
  [Contact met speciale belangengroepen 21]: #contact-met-speciale-belangengroepen
  [Informatie en analyses over dreigingen 22]: #informatie-en-analyses-over-dreigingen
  [Informatiebeveiliging in projectmanagement 24]: #informatiebeveiliging-in-projectmanagement
  [Inventarisatie van informatie en andere gerelateerde bedrijfsmiddelen 27]: #inventarisatie-van-informatie-en-andere-gerelateerde-bedrijfsmiddelen
  [Aanvaardbaar gebruik van informatie en andere gerelateerde bedrijfsmiddelen 30]: #aanvaardbaar-gebruik-van-informatie-en-andere-gerelateerde-bedrijfsmiddelen
  [Retourneren van bedrijfsmiddelen 32]: #retourneren-van-bedrijfsmiddelen
  [Classificeren van informatie 34]: #classificeren-van-informatie
  [Labelen van informatie 36]: #labelen-van-informatie
  [Overdragen van informatie 39]: #overdragen-van-informatie
  [Toegangsbeveiliging 43]: #toegangsbeveiliging
  [Identiteitsbeheer 47]: #identiteitsbeheer
  [Authenticatie-informatie 49]: #authenticatie-informatie
  [Toegangsrechten 52]: #toegangsrechten
  [Informatiebeveiliging in leveranciersrelaties 55]: #informatiebeveiliging-in-leveranciersrelaties
  [Adresseren van informatiebeveiliging in leveranciersovereenkomsten 59]: #adresseren-van-informatiebeveiliging-in-leveranciersovereenkomsten
  [Beheren van informatiebeveiliging in de ICT-toeleveringsketen 63]: #beheren-van-informatiebeveiliging-in-de-ict-toeleveringsketen
  [Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten 67]: #monitoren-beoordelen-en-het-beheren-van-wijzigingen-van-leveranciersdiensten
  [Informatiebeveiliging voor het gebruik van clouddiensten 69]: #informatiebeveiliging-voor-het-gebruik-van-clouddiensten
  [Plannen en voorbereiden van het beheer van informatiebeveiligingsincidenten 74]: #plannen-en-voorbereiden-van-het-beheer-van-informatiebeveiligingsincidenten
  [Beoordelen van en besluiten over informatiebeveiligingsgebeurtenissen 77]: #beoordelen-van-en-besluiten-over-informatiebeveiligingsgebeurtenissen
  [Reageren op informatiebeveiligingsincidenten 78]: #reageren-op-informatiebeveiligingsincidenten
  [Leren van informatiebeveiligingsincidenten 79]: #leren-van-informatiebeveiligingsincidenten
  [Verzamelen van bewijsmateriaal 80]: #verzamelen-van-bewijsmateriaal
  [Informatiebeveiliging tijdens een verstoring 82]: #informatiebeveiliging-tijdens-een-verstoring
  [ICT-gereedheid voor bedrijfscontinuïteit 83]: #ict-gereedheid-voor-bedrijfscontinuïteit
  [Wettelijke, statutaire, regelgevende en contractuele eisen 86]: #wettelijke-statutaire-regelgevende-en-contractuele-eisen
  [Intellectuele-eigendomsrechten 88]: #intellectuele-eigendomsrechten
  [Beschermen van registraties 91]: #beschermen-van-registraties
  [Privacy en bescherming van persoonsgegevens 93]: #privacy-en-bescherming-van-persoonsgegevens
  [Onafhankelijke beoordeling van informatiebeveiliging 96]: #onafhankelijke-beoordeling-van-informatiebeveiliging
  [Naleving van beleid, regels en normen voor informatiebeveiliging 98]: #naleving-van-beleid-regels-en-normen-voor-informatiebeveiliging
  [Gedocumenteerde bedieningsprocedures 99]: #gedocumenteerde-bedieningsprocedures
  [HLT – Analyse en specificatie van informatiebeveiligingseisen 101]: #hlt-analyse-en-specificatie-van-informatiebeveiligingseisen
  [HLT – Zorgontvangers op unieke wijze identificeren 103]: #hlt-zorgontvangers-op-unieke-wijze-identificeren
  [HLT – Validatie van getoonde/geprinte gegevens 104]: #hlt-validatie-van-getoondegeprinte-gegevens
  [HLT – Openbaar beschikbare gezondheidsinformatie 105]: #hlt-openbaar-beschikbare-gezondheidsinformatie
  [HLT – Communicatie in noodsituaties 107]: #hlt-communicatie-in-noodsituaties
  [HLT – Incidenten extern melden 108]: #hlt-incidenten-extern-melden
  [Mensgerichte beheersmaatregelen 109]: #mensgerichte-beheersmaatregelen
  [Screening 109]: #screening
  [Arbeidsovereenkomst 111]: #arbeidsovereenkomst
  [Bewustwording van, opleiding en training in informatiebeveiliging 113]: #bewustwording-van-opleiding-en-training-in-informatiebeveiliging
  [Disciplinaire procedure 116]: #disciplinaire-procedure
  [Verantwoordelijkheden na beëindiging of wijziging van het dienstverband 117]: #verantwoordelijkheden-na-beëindiging-of-wijziging-van-het-dienstverband
  [Vertrouwelijkheids- of geheimhoudingsovereenkomsten 119]: #vertrouwelijkheids--of-geheimhoudingsovereenkomsten
  [Werken op afstand 121]: #werken-op-afstand
  [Melden van informatiebeveiligingsgebeurtenissen 124]: #melden-van-informatiebeveiligingsgebeurtenissen
  [HLT – Managementtraining 126]: #hlt-managementtraining
  [Fysieke beheersmaatregelen 127]: #fysieke-beheersmaatregelen
  [Fysieke beveiligingszones 127]: #fysieke-beveiligingszones
  [Fysieke toegangsbeveiliging 128]: #fysieke-toegangsbeveiliging
  [Beveiligen van kantoren, ruimten en faciliteiten 131]: #beveiligen-van-kantoren-ruimten-en-faciliteiten
  [Monitoren van de fysieke beveiliging 132]: #monitoren-van-de-fysieke-beveiliging
  [Beschermen tegen fysieke en omgevingsdreigingen 134]: #beschermen-tegen-fysieke-en-omgevingsdreigingen
  [Werken in beveiligde zones 136]: #werken-in-beveiligde-zones
  [‘Clear desk’ en ‘clear screen’ 137]: #clear-desk-en-clear-screen
  [Plaatsen en beschermen van apparatuur 139]: #plaatsen-en-beschermen-van-apparatuur
  [Beveiligen van bedrijfsmiddelen buiten het terrein 140]: #beveiligen-van-bedrijfsmiddelen-buiten-het-terrein
  [Opslagmedia 142]: #opslagmedia
  [Nutsvoorzieningen 145]: #nutsvoorzieningen
  [Beveiligen van bekabeling 146]: #beveiligen-van-bekabeling
  [Onderhoud van apparatuur 147]: #onderhoud-van-apparatuur
  [Veilig verwijderen of hergebruiken van apparatuur 149]: #veilig-verwijderen-of-hergebruiken-van-apparatuur
  [Technologische beheersmaatregelen 151]: #technologische-beheersmaatregelen
  [‘User endpoint devices’ 151]: #user-endpoint-devices
  [Speciale toegangsrechten 155]: #speciale-toegangsrechten
  [Beperking toegang tot informatie 157]: #beperking-toegang-tot-informatie
  [Toegangsbeveiliging op broncode 160]: #toegangsbeveiliging-op-broncode
  [Beveiligde authenticatie 162]: #beveiligde-authenticatie
  [Capaciteitsbeheer 165]: #capaciteitsbeheer
  [Bescherming tegen malware 167]: #bescherming-tegen-malware
  [Beheer van technische kwetsbaarheden 170]: #beheer-van-technische-kwetsbaarheden
  [Configuratiebeheer 176]: #configuratiebeheer
  [Wissen van informatie 180]: #wissen-van-informatie
  [Maskeren van gegevens 182]: #maskeren-van-gegevens
  [Voorkomen van gegevenslekken (data leakage prevention) 185]: #voorkomen-van-gegevenslekken-data-leakage-prevention
  [Back-up van informatie 188]: #back-up-van-informatie
  [Redundantie van informatieverwerkende faciliteiten 190]: #redundantie-van-informatieverwerkende-faciliteiten
  [Logging 192]: #logging
  [Monitoren van activiteiten 197]: #monitoren-van-activiteiten
  [Kloksynchronisatie 201]: #kloksynchronisatie
  [Gebruik van speciale systeemhulpmiddelen 203]: #gebruik-van-speciale-systeemhulpmiddelen
  [Installeren van software op operationele systemen 204]: #installeren-van-software-op-operationele-systemen
  [Beveiliging netwerkcomponenten 207]: #beveiliging-netwerkcomponenten
  [Beveiliging van netwerkdiensten 209]: #beveiliging-van-netwerkdiensten
  [Netwerksegmentatie 211]: #netwerksegmentatie
  [Toepassen van webfilters 212]: #toepassen-van-webfilters
  [Gebruik van cryptografie 214]: #gebruik-van-cryptografie
  [Beveiligen tijdens de ontwikkelcyclus 218]: #beveiligen-tijdens-de-ontwikkelcyclus
  [Toepassingsbeveiligingseisen 219]: #toepassingsbeveiligingseisen
  [Veilige systeemarchitectuur en technische uitgangspunten 223]: #veilige-systeemarchitectuur-en-technische-uitgangspunten
  [Veilig coderen 227]: #veilig-coderen
  [Testen van de beveiliging tijdens ontwikkeling en acceptatie 232]: #testen-van-de-beveiliging-tijdens-ontwikkeling-en-acceptatie
  [Uitbestede systeemontwikkeling 234]: #uitbestede-systeemontwikkeling
  [Scheiding van ontwikkel-, test- en productieomgevingen 235]: #scheiding-van-ontwikkel--test--en-productieomgevingen
  [Wijzigingsbeheer 238]: #wijzigingsbeheer
  [Testgegevens 240]: #testgegevens
  [Bescherming van informatiesystemen tijdens audits 241]: #bescherming-van-informatiesystemen-tijdens-audits
  [HLT – Zero trust-beginselen 243]: #hlt-zero-trust-beginselen
  [Bijlage A (informatief) Attributen gebruiken 244]: #bijlage-a
  [Bijlage B (informatief) Overeenstemming van NEN 7510-2:2024 (dit document) met]: #bijlage-b
  [Bijlage C (informatief) Informatiebeveiliging in gezondheidsorganisaties 269]: #bijlage-c
  [Bijlage D (informatief) Voorbeelden van beveiligings- en privacy-eisen voor]: #bijlage-d
  [Bijlage E (informatief) Mapping van NIS2 op NEN 7510-1 en NEN 7510-2 315]: #bijlage-e
  [Bibliografie 317]: #bibliografie
  [\*)]: #_bookmark8
  [1]: #_bookmark118
  [1]: #_bookmark122
  [<u>https://www.securityforum.org/solutions-and-insights/standard-of-</u>]: https://www.securityforum.org/solutions-and-insights/standard-of-good-practice-for-information-security/
  [<u>https://doi.org/10.6028/NIST.SP.800-37r2</u>]: https://doi.org/10.6028/NIST.SP.800-37r2
  [<u>https://github.com/OWASP/DevGuide</u>]: https://github.com/OWASP/DevGuide
  [<u>https://doi.org/10.6028/NIST.SP.800-63b</u>]: https://doi.org/10.6028/NIST.SP.800-63b
  [<u>https://www.oasis-open.org/standards#stix2.0</u>]: https://www.oasis-open.org/standards#stix2.0
  [<u>https://www.oasis-open.org/standards#taxii2.0</u>]: https://www.oasis-open.org/standards#taxii2.0
  [<u>www.nenconnect.nl</u>]: http://www.nenconnect.nl/
  [<u>klantenservice@nen.nl</u>]: mailto:klantenservice@nen.nl
