#iso27002/2022/NL
---
Standard: ISO 27002:2022 NL
---

+------------------------+---------------------+----------------------+--------------------+---------------------+
| **Type**             | **Informatie-**   | **Cybersecurity-** | **Operationele** | **Beveiligings-** |
|                      |                   |                    |                  |                   |
| **beheersmaatregel** | **beveiligings-** | **concepten**      | **capaciteiten** | **domeinen**      |
|                        |                   |                      |                    |                     |
|                        | **eigenschappen** |                      |                    |                     |
+========================+=====================+======================+====================+=====================+
| #Corrigerend         | #Integriteit      | #Herstellen        | #Continuïteit    | #Bescherming      |
|                        |                   |                      |                    |                     |
|                        | #Beschikbaarheid  |                      |                    |                     |
+------------------------+---------------------+----------------------+--------------------+---------------------+

**Beheersmaatregel**

Back-ups van informatie, software en systemen behoren te worden bewaard en regelmatig te worden getest overeenkomstig het overeengekomen onderwerpspecifieke beleid inzake back-ups.

**Doel**

Herstel mogelijk maken na verlies van gegevens of systemen.

**Richtlijn**

Er behoort een onderwerpspecifiek beleid inzake back-ups te worden opgesteld met het oog op de eisen van de organisatie wat betreft het bewaren van gegevens en informatiebeveiliging.

Er behoort te worden voorzien in afdoende back-upfaciliteiten om te waarborgen dat alle essentiële informatie en software na een incident of na falen of verlies van opslagmedia kan worden hersteld.

Er behoren plannen te worden ontwikkeld en geïmplementeerd voor hoe de organisatie back-ups gaat maken van informatie, software en systemen, met het oog op het onderwerpspecifieke beleid inzake back-ups.

Bij het opstellen van een back-upplan, behoren de volgende punten in overweging te worden genomen:

a) nauwkeurige en volledige registers van de back-upkopieën en gedocumenteerde herstelprocedures

produceren;

b) de bedrijfseisen van de organisatie (bijve RPO's, zie 5), de beveiligingseisen van de betrokken informatie en het belang van de informatie voor de voortzetting van de bedrijfsuitvoering van de organisatie behoren te worden weerspiegeld in de omvang (bijvolledige of gedifferentieerde back-up) en de frequentie van back-ups;

c) de back-ups in een veilige en beveiligde afgelegen locatie bewaren, op een voldoende afstand om

niet te worden beschadigd door een calamiteit op de hoofdlocatie;

d) aan back-upinformatie een passend niveau van fysieke en omgevingsbescherming geven (zie

hoofdstuk 7 en 8, consistent met de normen die op de hoofdlocatie worden toegepast;

e) back-upmedia regelmatig testen om te garanderen dat men er wanneer nodig voor gebruik in noodgevallen op kan vertrouwenp een testsysteem testen of de back-upgegevens kunnen worden hersteld en dit niet testen door de originele opslagmedia te overschrijven, aangezien het back-up- of herstelproces kan mislukken en onherstelbare schade aan of verlies van gegevens kan veroorzaken;




f) back-ups door middel van encryptie beschermen, naargelang de geïdentificeerde risico\'s (bijvn

situaties waar vertrouwelijkheid van belang is);

g) ervoor zorgen dat wordt gegarandeerd dat onopzettelijk gegevensverlies wordt opgespoord

voordat een back-up wordt gemaakt.

Bedieningsprocedures behoren de uitvoering van back-ups te monitoren en fouten in geplande back- ups aan te pakken om de volledigheid van back-ups in overeenstemming met het onderwerpspecifieke beleid inzake back-ups te waarborgen.

Back-upmaatregelen voor individuele systemen en diensten behoren regelmatig te worden getest om te waarborgen dat ze voldoen aan de doelstellingen van incidentrespons- en bedrijfscontinuïteits- plannen (zie 5.30). Dit behoort te worden gecombineerd met een test van de herstelprocedures en te worden gecontroleerd aan de hand van de volgens het bedrijfscontinuïteitsplan vereiste hersteltijdn het geval van kritische systemen en diensten behoren back-upmaatregelen betrekking te hebben op de informatie, toepassingen en gegevens van alle systemen die nodig zijn om het gehele systeem na een calamiteit te herstellen.

Wanneer de organisatie gebruikmaakt van een clouddienst, behoren er back-ups van de informatie, toepassingen en systemen van de organisatie in de clouddienstomgeving te worden gemaakte organisatie behoort vast te stellen of en hoe aan de eisen voor het back-uppen wordt voldaan bij het gebruik van de in het kader van de clouddienst aangeboden dienst voor het back-uppen van informatie.

Voor belangrijke bedrijfsinformatie behoort de bewaartermijn te worden vastgesteld, rekening houdend met eisen voor het bewaren van archiefkopieëne organisatie behoort na te denken over het wissen van informatie (zie 8.10) in of op opslagmedia zodra de bewaartermijn van de informatie verstrijkt en behoort hierbij de wet- en regelgeving in aanmerking te nemen.

**Overige informatie**

Zie voor verdere informatie over beveiligde opslag, met inbegrip van bewaarspecifieke overwegingen, ISO/IEC 27040.
