---
notetype: reference
standard: ISO 27002
version: 2022
language: NL
id: "3.1"
title: "Termen en definities"
tags:
- iso27002/2022/NL
- sourcetext
status: active
---
## 3.1 Termen en definities

In het kader van dit document zijn de volgende termen en definities van toepassing.

ISO en IEC onderhouden op de volgende adressen terminologiedatabases voor gebruik in het kader van normalisatie:

— ISO Online browsing platform: te bereiken op https://www.iso.org/obp
— IEC Electropedia: te bereiken op https://www.electropedia.org/


### 3.1.1 toegangsbeveiliging

middel om te zorgen dat fysieke en logische toegang tot *bedrijfsmiddelen* (32) wordt goedgekeurd en beperkt op basis van de eisen voor bedrijfsvoering en informatiebeveiliging

### 3.1.2 bedrijfsmiddel

alles wat waarde heeft voor de organisatie

Opmerking 1 bij de term: In de context van informatiebeveiliging kunnen twee soorten bedrijfsmiddelen worden onderscheiden:

- de primaire bedrijfsmiddelen:
    - informatie;
    - bedrijfs*processen* (3.1.27) en -activiteiten;
- de ondersteunende bedrijfsmiddelen (waarop de primaire bedrijfsmiddelen steunen) van allerlei soorten, bijvoorbeeld:
    - hardware;
    - software;
    - netwerk;
    - *personeel* (3.1.20);
    - locatie;
    - structuur van de organisatie.

### 3.1.3 aanval

geslaagde of mislukte onbevoegde poging om een *bedrijfsmiddel* (3.1.2) te vernietigen, aan te passen, buiten werking te stellen of er toegang toe te verkrijgen, of een poging om een *bedrijfsmiddel* (3.1.2) openbaar te maken, te stelen of er onbevoegd gebruik van te maken

### 3.1.4 authenticatie

het verschaffen van zekerheid met betrekking tot de juistheid van een geclaimde karakteristiek van een *entiteit* (3.1.11)

### 3.1.5 authenticiteit
eigenschap dat een *entiteit* (3.1.11) is wat zij claimt te zijn

### 3.1.6 bewakingsketen

aantoonba(a)r(e) bezit, verplaatsing, behandeling en locatie van materiaal vanaf een bepaald moment tot een ander moment

Opmerking 1 bij de term: Materiaal omvat informatie en andere gerelateerde *bedrijfsmiddelen* (3.1.2) in de context van ISO/IEC 27002.

[BRON: ISO/IEC 27050-1:2019, 3 gewijzigd -- Opmerking 1 bij de term toegevoegd]

### 3.1.7 vertrouwelijke informatie

informatie die niet bedoeld is om beschikbaar of bekend te worden gemaakt aan onbevoegde personen, *entiteiten* (3.1.11) of *processen* (3.1.27)

### 3.1.8 beheersmaatregel

maatregel die risico in stand houdt en/of wijzigt

Opmerking 1 bij de term: Een beheersmaatregel kan onder andere elke vorm van *proces* (3.1.27), *beleid* (3.1.24), voorziening, werkwijze of andere omstandigheid of maatregel zijn waarmee het risico in stand wordt gehouden en/of wordt gewijzigd.

Opmerking 2 bij de term: Beheersmaatregelen hebben mogelijk niet altijd het beoogde of veronderstelde wijzigende effect.

[BRON: ISO 31000:2018, 3.10]

### 3.1.9 verstoring

incident, al dan niet geanticipeerd, dat een niet-geplande, negatieve afwijking van de verwachte levering van producten en diensten volgens de doelstellingen van een organisatie veroorzaakt

[BRON: ISO 22301:2019, 3.10]

### 3.1.10 'endpoint device'

met een netwerk verbonden informatie- en communicatietechnologie (ICT)-hardwareapparaat

Opmerking 1 bij de term: 'Endpoint device' kan verwijzen naar pc\'s, laptops, smartphones, tablets, thin clients, printers of andere specialistische hardware waaronder slimme meters en IoT- ('internet of things') apparaten.

### 3.1.11 entiteit

object dat relevant is voor het uitvoeringsdoel van een domein dat een herkenbaar onderscheiden bestaan heeft

Opmerking 1 bij de term: Een entiteit kan een fysieke of een logische belichaming hebben.

VOORBEELD Een persoon, een organisatie, een apparaat, een groep van dergelijke objecten, een menselijke

abonnee op een telecommunicatiedienst, een simkaart, een paspoort, een netwerkinterfacekaart, een softwaretoepassing, een dienst of een website.

[BRON: ISO/IEC 24760-1:2019, 3.1.1]

### 3.1.12 informatieverwerkende faciliteit

elk informatieverwerkend(e) systeem, dienst of infrastructuur of de fysieke locatie waar dit of deze is ondergebracht

[BRON: ISO/IEC 27000:2018, 3.27, gewijzigd -- faciliteiten is vervangen door faciliteit]

### 3.1.13 inbreuk op de informatiebeveiliging

compromittering van de informatiebeveiliging die leidt tot ongewenst(e) vernietiging, verlies, wijziging, bekendmaking van of toegang tot verzonden, opgeslagen of anderszins verwerkte beschermde informatie

### 3.1.14 informatiebeveiligingsgebeurtenis

voorval dat op een mogelijke *inbreuk op de informatiebeveiliging* (3.1.13) of een falen van *beheersmaatregelen* (3.1.8) duidt

[BRON: ISO/IEC 27035-1:2016, 3.3 gewijzigd -- niet relevant voor de Nederlandse vertaling]

### 3.1.15 informatiebeveiligingsincident

een of meer samenhangende en geïdentificeerde *informatiebeveiligingsgebeurtenissen* (3.1.14) die de *bedrijfsmiddelen* (3.1.2) van een organisatie kunnen schaden of haar bedrijfsvoering kunnen compromitteren

[BRON: ISO/IEC 27035-1:2016, 3.4]

### 3.1.16 beheer van informatiebeveiligingsincidenten

uitoefening van een consequente en doeltreffende aanpak bij het behandelen van *informatiebeveiligingsincidenten* (3.1.15)

[BRON: ISO/IEC 27035-1:2016, 3.5]

### 3.1.17 informatiesysteem

stelsel van toepassingen, diensten, informatietechnologische *bedrijfsmiddelen* (3.1.2) of andere gegevensverwerkende componenten

[BRON: ISO/IEC 27000:2018, 3.35]

### 3.1.18 belanghebbende
stakeholder

persoon of organisatie die een besluit of activiteit kan beïnvloeden, door een besluit of activiteit kan worden beïnvloed, of zichzelf beschouwt als beïnvloed door een besluit of activiteit

[BRON: ISO/IEC 27000:2018, 3.37]

### 3.1.19 onweerlegbaarheid

vermogen om te bewijzen dat een geclaimde gebeurtenis of actie zich heeft voorgedaan en welke *entiteiten* (3.1.11) deze hebben veroorzaakt

### 3.1.20 personeel

personen die onder leiding van de organisatie werk verrichten

Opmerking 1 bij de term: Het concept van personeel omvat de leden van de organisatie, zoals het bestuursorgaan, de directie, medewerkers, tijdelijke medewerkers, contractanten en vrijwilligers.

### 3.1.21 persoonsgegevens

alle informatie die a) kan worden gebruikt om een verband te leggen tussen de informatie en de natuurlijke persoon op wie die informatie betrekking heeft, of b) direct of indirect met een natuurlijke persoon in verband wordt of kan worden gebracht

Opmerking 1 bij de term: De 'natuurlijke persoon' in de definitie is de *betrokkene* (3.1.22) om vast te stellen of een betrokkene geïdentificeerd kan worden, behoort rekening te worden gehouden met alle middelen die redelijkerwijs door de privacystakeholder die de gegevens in bezit heeft of door een andere partij kunnen worden gebruikt om het verband te leggen tussen de verzameling persoonsgegevens en de natuurlijke persoon.

[BRON: ISO/IEC 29100:2011/Amd2018, 2.9]

### 3.1.22 betrokkene

natuurlijke persoon op wie de *persoonsgegevens* (3.1.21) betrekking hebben

Opmerking 1 bij de term: Afhankelijk van de jurisdictie en de specifieke databescherming- en privacywetgeving, kan het synoniem 'datasubject' worden gebruikt in plaats van de term 'betrokkene'.

[BRON: ISO/IEC 29100:2011, 2.11]

### 3.1.23 verwerker van persoonsgegevens

privacystakeholder die *persoonsgegevens* (3.1.21) namens en volgens de instructies van een verwerkingsverantwoordelijke verwerkt *)

[BRON: ISO/IEC 29100:2011, 2.12]

\*) Nederlandse voetnoot: Vgle definitie van Cyberveilig Nederland: 'De partij die (als leverancier) persoonsgegevens verwerkt in opdracht en ten behoeve van de verwerkingsverantwoordelijke (diens klant)'

### 3.1.24 beleid

intenties en richting van een organisatie zoals formeel door haar directie kenbaar gemaakt

[BRON: ISO/IEC 27000:2018, 3.53]

### 3.1.25 privacy-effectbeoordeling **)
**PEB**

algeheel *proces* (3.1.27) van het identificeren, analyseren, evalueren, raadplegen, communiceren en plannen van de behandeling van mogelijke privacy-effecten met betrekking tot de verwerking van *persoonsgegevens* (3.1.21), ingekaderd binnen het bredere risicobeheerkader van een organisatie

[BRON: ISO/IEC 29134:2017, 3.7 gewijzigd -- Opmerking 1 bij de term verwijderd.]

\*\*) Nederlandse voetnoot: In Nederland wordt een DPIA ('Data Protection Impact Assessment') gehanteerden organisatie onderzoekt vooraf wat de risico\'s van gegevensverwerking zijn voor de privacy van personenit is vaak verplicht volgens de Algemene verordening gegevensbeschermingBron: Cyberveilig Nederland)

### 3.1.26 procedure

gespecificeerde wijze van uitvoering van een activiteit of *proces* (3.1.27)

[BRON: ISO 30000:2009, 3.12]

### 3.1.27 proces

geheel van samenhangende of elkaar beïnvloedende activiteiten die input gebruiken of omzetten om een resultaat te leveren

[BRON: ISO 9000:2015, 3.4.1, gewijzigd -- Opmerkingen bij de term verwijderd.]

### 3.1.28 registratie

informatie die als bewijs en als *bedrijfsmiddel* (3.1.2) wordt aangemaakt, ontvangen en onderhouden door een organisatie of persoon om wettelijke verplichtingen na te komen of voor zakelijke transacties

Opmerking 1 bij de term: Wettelijke verplichtingen omvatten in deze context alle eisen van wet- en regelgeving, statutaire en contractuele eisen.

[BRON: ISO 15489-1:2016, 3.14

### 3.1.29 RPO

punt in de tijd waarnaar gegevens moeten worden hersteld nadat er zich een *verstoring* (3.1.9) heeft voorgedaan

[BRON: ISO/IEC 27031:2011, 3.12]

### 3.1.30 hersteltijddoelstelling
recovery time objective
**RTO**

tijdsperiode waarbinnen minimale niveaus van diensten en/of producten en de ondersteunende systemen, toepassingen of functies moeten worden hersteld nadat er zich een *verstoring* (3.1.9) heeft voorgedaan

[BRON: ISO/IEC 27031:2011, 3.13]

### 3.1.31 betrouwbaarheid

eigenschap van consistent beoogd gedrag en consistente beoogde resultaten

### 3.1.32 regel

aanvaard beginsel of aanvaarde instructie waarin de verwachtingen van de organisatie over welke handelingen vereist zijn, wat is toegestaan of niet is toegestaan uiteen worden gezet

Opmerking 1 bij de term: Regels kunnen formeel kenbaar worden gemaakt in *onderwerpspecifieke beleidsregels* (3.1.35) en andere soorten documenten.

### 3.1.33 gevoelige informatie

informatie die dient te worden beschermd tegen het niet-beschikbaar zijn, onbevoegde toegang, wijziging of openbaarmaking vanwege mogelijke nadelige gevolgen voor een persoon, organisatie, de nationale veiligheid of de openbare veiligheid

### 3.1.34 dreiging \*)

potentiële oorzaak van een ongewenst incident dat kan resulteren in schade aan een systeem of een organisatie

[BRON: ISO/IEC 27000:2018, 3.74]

\*) Nederlandse voetnoot: In NEN-ISO/IEC 27000 vertaald als 'bedreiging', maar tegenwoordig heeft de term 'dreiging' de voorkeur.

### 3.1.35 onderwerpspecifiek beleid

oogmerken en sturing voor een specifiek onderwerp of thema, zoals formeel kenbaar gemaakt door het passende managementniveau

Opmerking 1 bij de term: Onderwerpspecifieke beleidsregels kunnen formeel *regels* (3.1.32) of normen van de organisatie kenbaar maken.

Opmerking 2 bij de term: Bepaalde organisaties gebruiken andere termen voor deze onderwerpspecifieke beleidsregels.

Opmerking 3 bij de term: De onderwerpspecifieke beleidsregels waarnaar in dit document wordt verwezen, houden verband met informatiebeveiliging.

VOORBEELD Onderwerpspecifiek beleid inzake *toegangsbeveiliging* (3.1.1), onderwerpspecifiek beleid inzake 'clear desk' en 'clear screen'.

### 3.1.36 gebruiker

*belanghebbende* (3.1.18) met toegang tot de *informatiesystemen* (3.1.17) van de organisatie

VOORBEELD *Personeel* (3.1.20), klanten, leveranciers.

### 3.1.37 'endpoint device' van gebruiker

*'endpoint device'* (3.1.10) waarmee gebruikers toegang krijgen tot informatieverwerkende diensten

Opmerking 1 bij de term: 'Endpoint device' van gebruiker kan verwijzen naar pc's, laptops, smartphones, tablets, thin clients enz.

### 3.1.38 kwetsbaarheid

zwak punt van een *bedrijfsmiddel* (3.1.2) of *beheersmaatregel* (3.1.8) waar een of meer *dreigingen* (3.1.34) gebruik van kunnen maken

[BRON: ISO/IEC 27000:2018, 3.77]
