01
GRC
Rijksbrede dienst
Control-decompositie en evidence-toewijzing per beheerteam
De vraag
Verschillende beheerteams vervulden verschillende rollen binnen dezelfde control, en niet was belegd wie welk bewijs oplevert. Zolang dat open blijft, blijft compliance op papier staan.
De aanpak
- Integraal control framework uitgewerkt als onderdeel van de GRC-invoering
- Controls ontleed naar concrete beheersmaatregelen, elk gekoppeld aan het bewijs waarmee de werking aantoonbaar wordt
- Per team en per implementatiestuk vastgelegd welke rol het team binnen een control vervult
- Direct aanspreekpunt voor de technische beheerteams, die volgens Agile werken
Het resultaat
Rolverdeling en bewijslast per control expliciet belegd, zodat implementatie en periodieke herziening niet telkens opnieuw beginnen bij de vraag wie wat levert.
GRC
Control framework
Evidence
Agile
02
IT & OT
Vitale infra
Baselineconformiteit bij projectoplevering (IEC 62443 en BIO)
De vraag
Voldoen projecten en de gecontracteerde dienstverlening aantoonbaar aan de baselines, IEC 62443 voor OT en de BIO voor IT, en waar zit het gat als dat niet zo is?
De aanpak
- BIV-classificaties voor systemen en informatiestromen, met risicoanalyses die het maatregelenniveau per project bepaalden
- Business impact analyses voor projecten waarin IT-systemen en OT-assets samen werden opgeleverd: kritieke functies, hersteltijden en afhankelijkheden
- Samen met engineering- en security-architectuurteams bevindingen vertaald naar besluitrijpe adviezen
Het resultaat
Voor ruim 30 projecten vastgesteld of de oplevering aan de baselines voldeed, en welke afwijkingen expliciet belegd moesten worden voordat een project als compliant kon worden opgeleverd.
IEC 62443
BIO
BIA
OT
03
Supply chain
Vitale infra
Opzet van een leveranciersassessment op baselineconformiteit
De vraag
Niemand had vastgesteld of de dienstverlening van de betrokken leveranciers aan de baselines voldeed, en welke evidence zij daarvoor zouden aanleveren.
De aanpak
- De uitvraag bij de 15 betrokken leveranciers als eerste opgezet
- Per project vastgesteld welke controls van toepassing zijn, welke evidence daarbij hoort en wie die aanlevert
- De uitkomsten vertaald naar de inrichting van de GRC-tooling: toetsfrequentie en eigenaar van de opvolging per control
Het resultaat
Governance, risicomanagement en compliance als één keten van norm, control, evidence en rapportage, zodat de compliance-status per project herleidbaar is in plaats van periodiek opnieuw uitgevraagd.
Ketenrisico
GRC-tooling
Evidence
04
Supply chain
Vitale infra
Third-party risk management en contractuele beveiligingseisen
De vraag
Hoe beheers je het risico van ketenpartners in de vitale infrastructuur, onder de Wbni als voorloper van de Cyberbeveiligingswet?
De aanpak
- Leveranciersrisicobeheersingsproces ingericht: classificatie, periodieke risicobeoordelingen en escalatieprocedures voor ketenpartners
- Contractuele beveiligingseisen ontwikkeld voor leveranciers van systemen en diensten, voor IT en OT
- Bijgedragen aan continuïteitsscenario’s en hersteldoelstellingen voor kritieke processen, getest met de proceseigenaren
Het resultaat
De eisen zijn verwerkt in de aanbestedingsdocumentatie en in de beoordelingskaders waarmee inschrijvingen worden getoetst, en de opvolging van bevindingen is geborgd.
Wbni / Cbw
Contracteisen
BCM
IT & OT
05
GRC
Vitale infra
Opzet van een integraal informatiebeveiligingsbeleidskader
De vraag
Losse bronstukken, vijf onopgeloste bestuurlijke spanningsvelden (onder meer de rapportagelijn van de CISO, eindverantwoordelijkheid en het mandaat voor risico-acceptatie) en een ontbrekende risicomethodologie.
De aanpak
- Beleidsdocumentenmatrix van 15 documenten op basis van ISO 27001/27002:2022 en BIO2, met gefaseerde prioritering
- Risicomanagementbeleid als eerste document: risicomatrix, risicobereidheid, dreigingsanalyseproces, risico-eigenaarschap en escalatielijn
- De bestuurlijke spanningsvelden ontleed en als beslisvragen voorgelegd
- Beleid en processen voor supply chain risicomanagement: leveranciersclassificatie, contractuele zorgplicht en risicogebaseerde toetsfrequenties
Het resultaat
Prioritaire beleidsdocumenten gereed voor vaststelling door de directie, met de positiebepaling op de spanningsvelden verwerkt in het beleid.
Cbw
BIO2
ISO 27001
Risicobeleid
06
IT, OT & AI
Vitale infra
Integraal risicokader voor Cbw, CRA, AI-verordening en NEN 7510
De vraag
De Cbw, de Cyber Resilience Act en de AI-verordening komen tegelijk op dezelfde organisatie af, en onderdelen met een zorgtaak vallen daarnaast onder NEN 7510.
De aanpak
- Het IB-risicokader aangesloten op NEN 7510 voor de onderdelen met een zorgtaak
- Impactdimensies voor patiëntveiligheid en bijzondere persoonsgegevens (AVG artikel 9) geïntegreerd, in afstemming met de ISO en de FG
- Integraal beleid dat tegelijk aansluit op de Cbw, de CRA en de AI-verordening
Het resultaat
Voorkomen dat AI-toepassingen, OT-objecten en digitale producten in afzonderlijke beleidssilo’s terechtkomen.
Cbw
AI-verordening
CRA
NEN 7510
07
Supply chain
Vitale infra
Beveiligingseisen en baselines voor integrale aanbestedingen
De vraag
Bij de inkoop van complete diensten ontbraken integrale beveiligingseisen, ook voor de OT-onderdelen, en de bestaande tooling was op IT gericht.
De aanpak
- Als lead OT-cybersecurity betrokken bij de aanbestedingen van complete diensten
- Beveiligingseisen en baselines opgesteld voor de dienst als geheel, met BIACS en IEC 62443 voor de OT-onderdelen
Het resultaat
De eisen gaan mee in de inkoop van de volledige dienst, en de hiaten in IT-georiënteerde tooling voor OT-objecten zijn geadresseerd.
Inkoop
IEC 62443
BIACS
IT & OT
08
Monitoring
Rijksbrede dienst
Inrichting van SIEM, SOC-processen en incidentrespons
De vraag
Hoe richt je detectie, escalatie en incidentafhandeling zo in dat ze aansluiten op het dreigingslandschap van de rijksoverheid?
De aanpak
- Bijgedragen aan de selectie en implementatie van een SIEM-platform
- Use cases en detectieregels uitgewerkt op basis van het dreigingslandschap van de rijksoverheid
- SOC-processen mede ingericht: rollen, verantwoordelijkheden, escalatiepaden en operationele runbooks
- Incidentresponsprocessen ondersteund en verbeterd
Het resultaat
Lessons learned uit incidenten zijn vertaald naar structurele maatregelen en procedures.
SIEM
SOC
Detectie
Incidentrespons
09
GRC
Vitale infra
ISO 27001-implementatie met interne audits conform NEN 7510
De vraag
Hoe verhoog je de informatiebeveiligingsvolwassenheid in een keten met hoge eisen aan data, privacy en beschikbaarheid?
De aanpak
- ISO 27001-implementatie begeleid: scope, risicoanalyse, beleid, de controls uit Annex A en managementreview
- Interne audits uitgevoerd conform NEN 7510
- Gekwantificeerde risicomodellen ontwikkeld voor kritieke systemen en processen in de keten
- PIA- en DPIA-trajecten begeleid, en tabletop-oefeningen georganiseerd voor sleutelfunctionarissen
Het resultaat
Een verbeterplan voor technische en organisatorische maatregelen, geprioriteerd op risicowaarde en compliancevereisten.
ISO 27001
NEN 7510
DPIA
Risicomodellen
10
GRC
Rijksbrede dienst
Cbw-compliancebeleid, risicomanagement en dataclassificatie
De vraag
Hoe richt je het compliancebeleid onder de Cyberbeveiligingswet in, met supply chain, risicomanagement en governance als aandachtsgebieden?
De aanpak
- Advies over het compliancebeleid onder de Cbw
- Risicomanagement- en dataclassificatiebeleid opgezet en geïmplementeerd, met de eisen uit VIR-BI en ABRO daarin meegenomen
- De GRC-invoering voorbereid met profielen, overlays en evidence-overerving: in kaart welke controls gelden en hoe ze aantoonbaar worden
Het resultaat
Voortbouwend op eerdere GRC-trajecten worden norm, control, evidence en rapportage als één samenhangende keten ingericht.
Cbw
VIR-BI
ABRO
GRC
11
GRC
Rijksbrede dienst
Beleidsmigratie van BIR2017 naar BIO
De vraag
Bij de rijksbrede overgang van de BIR2017 naar de BIO moesten beleid en beveiligingskaders van meerdere onderdelen mee.
De aanpak
- Beleidsdocumenten en beveiligingskaders opgesteld, geredigeerd en gestructureerd conform de BIR2017 en, na de overgang, de BIO
- Wettelijke kaders vertaald naar concrete beleids- en kaderdocumenten
Het resultaat
Beleid en kaders van de onderdelen aangesloten op de BIO.
BIO
BIR2017
Beleid
12
GRC
Rijksbrede dienst
BIO-nulmeting en implementatiebegeleiding
De vraag
Vijf onderdelen moesten aantoonbaar aan de BIO gaan voldoen, elk vanuit een eigen startpunt.
De aanpak
- Eerstelijns aanspreekpunt voor de vijf onderdelen
- Per onderdeel een nulmeting, gevolgd door uitwerking en implementatie van de bijbehorende controls
- Verbeterplan opgesteld en de voortgang periodiek bewaakt
Het resultaat
Per onderdeel een verbeterplan waarvan de voortgang periodiek wordt gevolgd.
BIO
Nulmeting
Verbeterplan
13
GRC
Rijksbrede dienst
Informatiebeveiligingsaudits en risicobeoordelingen van kritieke processen
De vraag
Hoe staat het met de informatiebeveiliging van de kritieke processen en systemen van aangesloten onderdelen?
De aanpak
- Informatiebeveiligingsaudits uitgevoerd bij aangesloten onderdelen
- Risicobeoordelingen opgesteld voor kritieke bedrijfsprocessen en systemen
Het resultaat
Bevindingen en risico’s gerapporteerd aan lijnmanagement en CISO.
Audit
Risicobeoordeling
BIO
14
Supply chain
Rijksbrede dienst
Beveiligingseisen voor cloud- en SaaS-diensten
De vraag
Welke beveiligingseisen gelden voor de clouddiensten en SaaS-toepassingen die onderdelen afnemen?
De aanpak
- Beveiligingseisen geformuleerd voor clouddiensten en SaaS-toepassingen
- Bijgedragen aan het cloud- en uitbestedingsbeleid
Het resultaat
Eisen voor cloud en SaaS als onderdeel van het cloud- en uitbestedingsbeleid.
Cloud
SaaS
Uitbesteding
15
IT & OT
Rijksbrede dienst
Risicoanalyse en beheersmaatregelen voor kritieke digitale diensten
De vraag
Kritieke digitale diensten met hoge beschikbaarheidseisen moesten passend worden beveiligd.
De aanpak
- Beveiligingsmaatregelen ontwikkeld en geïmplementeerd voor de kritieke digitale diensten
- Risicoanalyses uitgevoerd voor kritieke processen en systemen
- Samen met IT-teams technische maatregelen voor webapplicaties en infrastructuur beoordeeld en ingevoerd
Het resultaat
Maatregelen ingevoerd en risicorapportages opgeleverd aan management en bestuur.
Beschikbaarheid
Risicoanalyse
Webapplicaties
16
Supply chain
Rijksbrede dienst
Beveiligingseisen en beoordelingskader in ICT-aanbestedingen
De vraag
Hoe zorg je dat beveiliging meeweegt bij de inkoop van ICT-diensten en -systemen?
De aanpak
- Bijgedragen aan aanbestedingstrajecten voor ICT-diensten en -systemen
- Beveiligingseisen geformuleerd en het beoordelingsproces ondersteund
Het resultaat
Beveiliging onderdeel van de aanbesteding en van de beoordeling van inschrijvingen.
Inkoop
Aanbesteding
Beveiligingseisen
17
GRC
Rijksbrede dienst
Audit readiness en afhandeling van toezichtsbevindingen
De vraag
Externe audits en vragen van toezichthouders vragen om een vast aanspreekpunt en een goede voorbereiding.
De aanpak
- Contactpersoon voor externe audits en toezichthouders
- Auditvoorbereiding begeleid en compliance-trajecten ondersteund
- Verbeterplannen opgesteld op basis van risicobeoordelingen en nulmetingen, met periodieke voortgangsrapportage
Het resultaat
Bevindingen uit audits afgehandeld en de voortgang periodiek gerapporteerd.
Audit
Toezicht
Verbeterplan
18
IT & OT
Rijksbrede dienst
IT-audits van overheidsapplicaties
De vraag
Voldoen overheidsapplicaties en -systemen aan de gestelde beveiligingseisen?
De aanpak
- IT-audits uitgevoerd op overheidsapplicaties en -systemen
- Bevindingen gedocumenteerd conform gangbare auditnormen
- Beveiligingsbeleid en procedures gereviewd, met verbetervoorstellen
Het resultaat
Gedocumenteerde bevindingen en verbetervoorstellen voor opdrachtgevers in de publieke sector.
IT-audit
Auditnormen
Beleid
19
IT & OT
Rijksbrede dienst
Kwetsbaarheidsanalyses en risicoprofilering van informatiesystemen
De vraag
Waar zitten de kwetsbaarheden in netwerken, systemen en applicaties, en wat betekenen die voor het risico?
De aanpak
- Kwetsbaarheidsanalyses uitgevoerd op netwerken, systemen en applicaties van overheidsorganisaties
- Risicoprofielen opgesteld voor informatiesystemen
Het resultaat
Per informatiesysteem een risicoprofiel met aanbevelingen voor risicobeheersende maatregelen.
Kwetsbaarheden
Risicoprofiel
IT
20
GRC
Rijksbrede dienst
Dataclassificatiebeleid conform VIR-BI en ABRO
De vraag
Hoe classificeer je informatie zo dat de eisen voor bijzondere informatie en voor opdrachten met risico’s voor de nationale veiligheid er vanzelf in meelopen?
De aanpak
- Dataclassificatiebeleid opgezet en geïmplementeerd
- De eisen uit VIR-BI en ABRO daarin meegenomen
- Aangesloten op het risicomanagementbeleid van dezelfde organisatie
Het resultaat
Eén classificatie die de basis vormt voor risicomanagement en voor de eisen aan opdrachtnemers.
Dataclassificatie
VIR-BI
ABRO
21
Beveiliging
Vitale infra
DPIA-begeleiding en beveiliging van persoonsgegevens
De vraag
Verwerkingen van gevoelige gegevens vroegen om een onderbouwde afweging van de privacyrisico’s.
De aanpak
- PIA- en DPIA-trajecten begeleid in aansluiting op de AVG
- Privacyrisico’s geïdentificeerd en mitigatieplannen opgesteld
Het resultaat
Per traject vastgelegde privacyrisico’s met een plan om ze te beperken.
DPIA
AVG
Privacy
22
Supply chain
Vitale infra
Beveiligingseisen voor leveranciers en verwerkers
De vraag
Welke beveiligingseisen stel je aan leveranciers en externe verwerkers die met gevoelige gegevens werken?
De aanpak
- Beveiligingseisen opgesteld voor leveranciers en externe verwerkers
- Eisen aangesloten op de AVG-verwerkersovereenkomsten en op ISO 27001
Het resultaat
Leveranciers en verwerkers werken onder eisen die aansluiten op de verwerkersovereenkomst en ISO 27001.
Verwerkers
AVG
ISO 27001
23
GRC
Vitale infra
Crisismanagement en tabletop-oefeningen
De vraag
Werken de procedures voor incidenten en crises ook als het erop aankomt?
De aanpak
- Bijgedragen aan incident- en crisismanagementprocedures
- Tabletop-oefeningen georganiseerd voor sleutelfunctionarissen
Het resultaat
Procedures getest in oefeningen met de mensen die ze in een crisis moeten uitvoeren.
Crisismanagement
Tabletop
Incidentrespons
24
Awareness
Vitale infra
Security- en privacy-awarenessprogramma
De vraag
Hoe maak je informatiebeveiliging en privacy onderdeel van het dagelijks werk van iedereen in de organisatie?
De aanpak
- Bewustwordingsprogramma voor informatiebeveiliging en privacy ontwikkeld
- Uitgevoerd voor medewerkers op alle niveaus
Het resultaat
Eén programma dat informatiebeveiliging en privacy samen behandelt, van werkvloer tot directie.
Bewustwording
Privacy
Security
25
Monitoring
Vitale infra
Netwerkmonitoring en incidentafhandeling
De vraag
Netwerken van grote zakelijke afnemers moesten continu worden bewaakt, en verstoringen en beveiligingsincidenten snel afgehandeld.
De aanpak
- Beheer en monitoring van de netwerken van grote zakelijke afnemers
- Troubleshooting en afhandeling van netwerkverstoringen en beveiligingsincidenten
- Escalatie en communicatie richting afnemers
Het resultaat
Verstoringen en beveiligingsincidenten afgehandeld en geëscaleerd, met communicatie richting de afnemer.
Monitoring
Incidentafhandeling
Netwerk
26
GRC
Vitale infra
Business continuity management en hersteldoelstellingen
De vraag
Hoe snel moeten kritieke processen weer draaien na een verstoring, en lukt dat ook?
De aanpak
- Bijgedragen aan business continuity management en -planning
- Continuïteitsscenario’s uitgewerkt, uitgangspunten en hersteldoelstellingen vastgelegd
- Scenario’s getest met de betrokken proceseigenaren
Het resultaat
Vastgelegde hersteldoelstellingen en scenario’s die met de proceseigenaren zijn getest.
BCM
BCP
Hersteldoelstellingen
27
GRC
Vitale infra
Standaardisatie van risicoanalyse en risico-eigenaarschap
De vraag
Risicoanalyses werden op verschillende manieren uitgevoerd, en het eigenaarschap van risico’s lag niet vast in de lijn.
De aanpak
- Bijgedragen aan de professionalisering van GRC-processen en risicomanagementstructuren
- De aanpak van risicoanalyses geüniformeerd
- Risico-eigenaarschap verankerd in de lijn
Het resultaat
Eén aanpak voor risicoanalyses, met risico’s belegd bij eigenaren in de lijn.
Risicomanagement
GRC
Eigenaarschap
28
GRC
Vitale infra
Risicomatrix en gekwantificeerde impacttabel
De vraag
Er ontbrak een organisatiebrede risicomatrix, waardoor risico’s niet eenduidig konden worden gewogen.
De aanpak
- De ontbrekende risicomatrix als blokkade benoemd en bestuurlijk geagendeerd
- Voorstel uitgewerkt voor een gekwantificeerde impacttabel met organisatiespecifieke impacttypen, zoals continuïteit van dienstverlening en sancties onder AVG en Cbw
- Afgestemd met de control-functie
Het resultaat
Een voorstel voor een gekwantificeerde impacttabel waarop de risicoafweging kan worden gebouwd.
Risicomatrix
Impacttabel
Cbw
29
GRC
Vitale infra
Governance-inrichting: rapportagelijnen, mandaten en escalatie
De vraag
Wie rapporteert waarheen, wie is eindverantwoordelijk en wie mag risico’s accepteren? Daarover lagen vijf vragen open.
De aanpak
- Vijf spanningsvelden ontleed: de rapportagelijn van de CISO onder de Cbw, eindverantwoordelijkheid, proceseigenaar tegenover lijnmanagement, escalatieroute en mandaat voor risico-acceptatie
- Ze vraaggericht uitgewerkt en ter besluitvorming voorgelegd
Het resultaat
Een positiebepaling op elk spanningsveld, verwerkt in het beleid.
Governance
CISO
Cbw
30
GRC
Vitale infra
Stakeholdermanagement bij beleidsvorming
De vraag
Beleid moest worden afgestemd met veel partijen tegelijk: CIO-office, CISO, control, directie, FG en ISO.
De aanpak
- Regie gevoerd op de afstemming met alle betrokken partijen
- Inhoudelijke input van kennisexperts vertaald naar documenten volgens het organisatiesjabloon
- Beveiligings- en compliance-eisen aangesloten op de werkwijze van Agile teams
Het resultaat
Vaststellingsrijpe documenten, gedragen door de partijen die ze moeten uitvoeren.
Stakeholders
Beleid
Agile
31
IT & OT
Vitale infra
Business impact analyse voor geïntegreerde IT/OT-oplevering
De vraag
Bij projecten waarin IT-systemen en OT-assets samen worden opgeleverd, hangen de componenten van elkaar af. Wat is kritiek, en hoe snel moet het terug?
De aanpak
- Business impact analyses opgesteld voor projecten met gezamenlijk opgeleverde IT-systemen en OT-assets
- Kritieke functies, hersteltijden en onderlinge afhankelijkheden tussen IT- en OT-componenten in kaart gebracht
- Uitgevoerd samen met de engineering- en security-architectuurteams
Het resultaat
Per project zicht op kritieke functies, hersteltijden en de afhankelijkheden tussen IT en OT.
BIA
IT & OT
Hersteltijden
32
GRC
Vitale infra
BIV-classificatie als basis voor het maatregelenniveau
De vraag
Welk niveau van maatregelen hoort bij welk project? Zonder classificatie wordt dat per project opnieuw bediscussieerd.
De aanpak
- BIV-classificaties uitgevoerd voor systemen en informatiestromen binnen een groot programma
- Op basis daarvan risicoanalyses opgesteld
Het resultaat
De uitkomsten bepaalden per project welk maatregelenniveau van toepassing was.
BIV
Classificatie
Risicoanalyse
33
IT & OT
Vitale infra
Technische risicoanalyses en besluitvormingsadvies
De vraag
Technische risico’s bij infrastructuurprojecten moeten worden vertaald naar iets waarop project- en lijnverantwoordelijken kunnen besluiten.
De aanpak
- Samengewerkt met uiteenlopende engineering- en security-architectuurteams
- Technische risicoanalyses en impactbeoordelingen uitgevoerd voor infrastructuurprojecten
Het resultaat
Bevindingen vertaald naar besluitrijpe adviezen voor project- en lijnverantwoordelijken.
Risicoanalyse
Architectuur
Besluitvorming
34
GRC
Vitale infra
GRC-inrichting volgens het Gartner-model
De vraag
Losse registraties per domein worden nooit één geheel, en de compliance-status moet steeds opnieuw worden uitgevraagd.
De aanpak
- De uitkomsten van de leveranciersuitvraag vertaald naar de inrichting van de GRC-tooling: welke controls per project gelden, welk bewijs erbij hoort, met welke frequentie wordt getoetst en wie de opvolging draagt
- Een werkwijze ontwikkeld langs het Gartner-model, waarin governance, risicomanagement en compliance als één keten zijn ingericht
Het resultaat
Compliance-status per project herleidbaar, in plaats van periodiek opnieuw uitgevraagd.
GRC
Gartner
Evidence
35
Supply chain
Vitale infra
Supply chain risk management in inkoop en contractmanagement
De vraag
De Cbw vraagt om beheersing van risico’s in de keten, maar inkoop en contractmanagement hadden daar nog geen vaste plek voor.
De aanpak
- Beleid en processen opgesteld voor supply chain risicomanagement onder de Cbw
- Leveranciersclassificatie op BIV en kritikaliteit, contractuele zorgplichtbepalingen en een analyse van ketenafhankelijkheden
- Risicogebaseerde toetsingsfrequenties vastgelegd
Het resultaat
Ketenrisicobeheersing geïntegreerd in de bestaande inkoop- en contractmanagementprocessen.
Cbw
Ketenrisico
Inkoop
36
GRC
Vitale infra
Opzet en prioritering van een beleidsdocumentenmatrix
De vraag
Het beleidskader moest volledig worden opgebouwd. Waar begin je, in welke volgorde, en wat staat de uitvoering in de weg?
De aanpak
- Een opdrachtvoorstel geschreven en richting het CIO-office gedreven
- Een matrix van 15 beleidsdocumenten opgesteld op basis van ISO 27001/27002:2022 en BIO2, met gefaseerde prioritering
- Een standaard documentsjabloon afgestemd en randvoorwaarden en blokkers expliciet benoemd
Het resultaat
Akkoord op het voorstel, waarna de uitwerking is gestart.
Beleidskader
ISO 27001
BIO2
37
GRC
Rijksbrede dienst
Evidence-overerving met profielen en overlays
De vraag
Hoe voorkom je dat elk team hetzelfde bewijs opnieuw moet leveren voor maatregelen die centraal zijn belegd?
De aanpak
- De GRC-invoering voorbereid volgens de Gartner best practices
- Profielen per team of platformtype en overlays voor contextspecifieke eisen
- Evidence-overerving, zodat centraal belegde maatregelen één keer worden aangetoond
Het resultaat
Teams leveren alleen het bewijs dat echt bij hen hoort.
GRC
Profielen
Overlays
38
GRC
Rijksbrede dienst
Compliance-integratie in Agile beheerteams
De vraag
Technische beheerteams die volgens Agile werken moesten beveiligings- en compliance-eisen implementeren en aantonen, naast hun gewone werk.
De aanpak
- Direct aanspreekpunt voor drie technische beheerteams
- Per team doorgenomen wat een control in hun context betekent, en best practices aangereikt in plaats van bevindingen
- De eisen aangesloten op hun Agile-werkwijze
Het resultaat
Eisen geïmplementeerd en aantoonbaar gemaakt binnen de werkwijze van de teams zelf.
Agile
Beheerteams
Aantoonbaarheid
39
Awareness
Rijksbrede dienst
Security-awarenesssessies voor medewerkers en management
De vraag
Beleid werkt alleen als medewerkers en management weten wat het van hen vraagt.
De aanpak
- Kennissessies en bewustwordingstrainingen verzorgd voor medewerkers en management van de aangesloten onderdelen
Het resultaat
Medewerkers en management van de onderdelen bereikt met kennissessies en trainingen.
Bewustwording
Training
Management
40
IT & OT
Vitale infra
Beveiligde connectiviteit naar klantomgevingen
De vraag
Grote zakelijke afnemers moesten via mobiele netwerken veilig worden verbonden met hun eigen omgeving.
De aanpak
- Deelimplementatie van mobiele (UMTS-)oplossingen voor veilige verbindingen met klantomgevingen
- Uitgevoerd vanuit beheer en beveiliging van netwerken in een grootschalige omgeving
Het resultaat
Veilige verbindingen met klantomgevingen gerealiseerd, en de technische basis gelegd voor latere informatiebeveiliging.
Netwerk
Verbindingen
Beveiligingsarchitectuur
