# Verbeterlijst producten
## [Selectie en implementatie van Technologie bij Humankind](../../../../Clients/Humankind/Selectie%20en%20implementatie%20van%20Technologie%20bij%20Humankind.md)

Toevoegen bij Projectfase:
- bij de installatie van software en systemen moet altijd direct de standaard authenticatie-informatie worden gewijzigd – dit geldt ook voor bijv. wachtwoorden die door verkopers/consultants verstrekt worden; 

## [Uitvraag](Uitvraag.md) bij start project
- Tabblad Vendors hernoemen in Contracts (ook wijzigen op Instructie tab)
- Hoe wordt beleid in de organisatie in het algemeen vastgesteld? Hoe wordt IT beleid vastgesteld? Hoe wordt informatiebeveiligingsbeleid vastgesteld?

## [Uitvraag Pentest](Uitvraag%20Pentest.md)
- Vraag eerst bij MSP/SaaS leveranciers resultaten van recente pentests op om de scope van een eigen pentest te bepalen
- Criteria OWASP voor SaaS applicaties kunnen een referentie zijn om de systemen van SaaS leveranciers te testen

## Risico inventarisatie
[Risico-inventarisatie DAK](../../../../Clients/DAK/Risico-inventarisatie%20DAK.md), [Rapportage Risico inventarisatie Humankind](../../../../Clients/Humankind/Rapportage%20Risico%20inventarisatie%20Humankind.md)
- Maak een datagraph van de risico's en aanbevelingen, die zijn grotendeels gelijk voor vergelijkbare organisaties
- Doe dit evt ook voor de TrustBound smart hub

## [BIA Workshop](BIA%20Workshop.md)

Uit de [BIA Workshop DAK](../../../../Clients/DAK/BIA%20Workshop%20DAK.md):
- Leon vond de nadruk teveel liggen op de continuïteit van kantoorprocessen, en teveel op financiële impact. 'Reputatie is vele malen belangrijker voor een kinderopvang organisatie dan dat de facturen er per einde maand uitgaan.' Eigen conclusie: beter eerst de belangrijkste impactgebieden bepalen, bijv. met de [Dataclassificatie volgens TLP](Dataclassificatie%20volgens%20TLP.md).

## Data classificatie
met de [Dataclassificatie volgens TLP](Dataclassificatie%20volgens%20TLP.md).

Proces
1. Bepalen belangrijkste [impactgebieden](../../../Sparks/impactgebieden.md)
2. Kwalificeren / kwantificeren niveaus
3. Bepalen bijbehorende maatregelen 'at rest, in transit, in use'
4. Definiëren informatietypen binnen de niveaus
5. Identificeren locaties/uitwisseling/verwerking (at rest, in transit, in use)
6. Implementeren risicobeperkende maatregelen
7. Toegangs- en beheersrechten afleiden uit functiehuis
8. Inrichten RBAC per applicatie/platform

RBAC is het toekennen van rechten op basis van een rol, maar hoe bepaal je welke rollen je moet hebben en welke rechten daarbij horen?

### Vanuit voorstel voor vervolg DAK

- [ ]  link toevoegen

1.        Inventariseren van de de **soorten informatie en documenten**

2.        Opstellen van een **dataclassificatie-schema** gebaseerd op de soorten informatie en documenten, en de risicobereidheid van het bestuur/management op verschillende impactgebieden

3.        Bepalen **risicobeperkende maatregelen** voor het opslaan, bewerken, delen, archiveren en vernietigen van informatie en documenten, afhankelijk van hun classificatie

4.        Opstellen beleid voor de **omgang met geclassificeerde data** door medewerkers

5.        **Bepalen rollen** **m.b.t. beheer en gebruik** van de verschillende systemen, gekoppeld aan het functiehuis van DAK, volgens het ‘need to know / least privilege’ principe

6.        **Opstellen procedures en werkinstructies** voor het toekennen, wijziging, en ontnemen van rechten, en het periodiek controleren van de uitvoering