Normenkader Informatiebeveiliging

Alle Aangeslotenen van Zorgeloos Vastgoed dienen in het bezit te zijn van een geldige ISO 27001-certificering. Ook de beheerorganisatie zal voor de uitvoering van haar diensten binnen het Zorgeloos Vastgoed stelsel gebonden zijn aan de normen vanuit ISO 27001. Zorgeloos Vastgoed stelt de volgende eisen aan Aangeslotenen:

Aangeslotenen moeten de Dienstverleners als belangrijke belanghebbenden hebben geïdentificeerd in het uitvoeren/herijken van de risicoanalyse (zie ook hetgeen over de rollen en verantwoordelijkheden ten opzichte van de verwerking van persoonsgegevens is opgenomen in het Juridisch Kader);
Bij de selectie van de van toepassing zijnde maatregelen dienen ten minste de maatregelen uit het Normenkader Informatiebeveiliging te zijn opgenomen;

In aanvulling op de ISO 27001-certificering gelden voor Aangeslotenen een aantal stelsel-specifieke eisen met betrekking tot implementatie. Indien de toepassing van een ISO 27001-norm voor Zorgeloos Vastgoed afwijkt van de beschrijving vanuit ISO 27001, wordt die nader toegelicht in dit Normenkader Informatiebeveiliging. Het normenkader specificeert daartoe per norm wat de reden, implementatiewijze, beoordelingsmethode en de van toepassing zijnde stelselrollen zijn.

De Aangeslotene toont periodiek met een aanvullende auditverklaring en onderbouwende rapportage aan te voldoen aan het Normenkader Informatiebeveiliging van Zorgeloos Vastgoed. Voor de onderbouwende rapportage bij de auditverklaring wordt door Zorgeloos Vastgoed een format beschikbaar gesteld.
Indien uit de aanvullende auditverklaring blijkt dat de Aangeslotene niet (meer) voldoet, dan beoordeelt Zorgeloos Vastgoed op basis van de onderbouwende rapportage of, en op welke manier het Nalevingsbeleid moet worden toegepast.

De ISO 27001-certificering en de aanvullende auditverklaring met rapportage dienen te worden afgegeven door een Conformiteit Beoordelende Instelling (CBI), die ISO 27001-geaccrediteerd is.

Normenkader

Beheersmaatregel (conform ISO 27001:2022)	Implementatie

Beheersmaatregel (conform ISO 27001:2022)	Implementatie
A.5.1 Beleidsregels voor informatiebeveiliging	De beleidsdocumenten moeten de beleidsmaatregelen die van toepassing zijn op Zorgeloos Vastgoed (onder andere gespecificeerd in Informatiebeveiligingsbeleid en aanverwante pagina's) expliciet toepassen.
A.5.2 Rollen en verantwoordelijkheden bij informatiebeveiliging	De (eind)verantwoordelijkheid voor informatiebeveiliging moet belegd zijn bij alle betrokken partijen. Deze functionaris(sen) dient/dienen de bevoegdheid te hebben om bij (een dreiging van) een incident daadkrachtig te kunnen optreden en besluiten te nemen ten aanzien van Zorgeloos Vastgoed. Zij dienen deze besluiten met spoed te kunnen (laten) realiseren. De verantwoordelijke en operationele functionaris(sen), inclusief eventuele onderaannemers, dient/dienen hiervoor tijdens kantooruren binnen een uur beschikbaar te zijn en buiten kantooruren binnen drie uur.
A.5.12 Classificatie van informatie	Alle gegevens die binnen of ten behoeve van Zorgeloos Vastgoed worden verwerkt, worden geclassificeerd als persoonsgegevens, en dienen overeenkomstig te worden behandeld.
A.5.15 Beleid voor toegangsbeveiliging	Technische en organisatorische maatregelen zijn genomen om inzage van persoonlijke gegevens door medewerkers te voorkomen. De Aangeslotene dient minimaal ieder halfjaar en na grote wijzigingen vast te stellen dat deze maatregelen nog effectief zijn.
A.5.18 Beoordeling van toegangsrechten van gebruikers	Toegangsrechten die zijn verstrekt op IT-componenten waar persoonlijke gegevens worden verwerkt, worden ten minste maandelijks gecontroleerd, ook door eventuele onderaannemers. Functiescheiding is hierbij gewaarborgd en tijdens de controle wordt expliciet aandacht geschonken aan medewerkers die geen gebruik (meer) maken van de toegangsrechten (met aantoonbare opvolging).
A.5.20 Opnemen van beveiligingsaspecten in leveranciersovereenkomsten	Organisaties moeten relevante beheersmaatregelen vanuit het afsprakenstelsel Zorgeloos Vastgoed contractueel beleggen bij hun leveranciers.
A.5.22 Monitoring en beoordeling van dienstverlening van leveranciers	Aangeslotenen zien toe op een correcte naleving van de relevante beheersmaatregelen zoals binnen vanuit het afsprakenstelsel Zorgeloos Vastgoed opgesteld en bij de betreffende Aangeslotene belegd.
A.5.24 Verantwoordelijkheden en procedures	De processen en procedures voor het behandelen van incidenten en calamiteiten sluiten aan op de Beveiligingsbeheerprocessen van Zorgeloos Vastgoed.
A.5.36 Beoordeling van technische naleving	Tenminste jaarlijks moeten whitebox applicatiepenetratietesten worden uitgevoerd op de externe koppelvlakken door een externe, onafhankelijke organisatie. Voor toetreding heeft deze minimaal al één keer plaatsgevonden en moeten de hoog en middel risicobevindingen op externe Zorgeloos Vastgoed koppelvlakken zijn opgelost. Voor penetratietesten die worden uitgevoerd na toetreding dient een adequaat actieplan opgesteld te worden voor minimaal de hoge en midden risicobevindingen ten aanzien van de Zorgeloos Vastgoed-dienstverlening. Dit actieplan wordt gedeeld met de beheerorganisatie van Zorgeloos Vastgoed. De corrigerende maatregelen worden tijdig doorgevoerd.
A.6.3 Bewustzijn, opleiding en training ten aanzien van informatiebeveiliging	De verantwoordelijke functionaris(sen) zoals benoemd in A.6.1.1 Rollen en verantwoordelijkheden bij informatiebeveiliging moeten(en) deelgenomen hebben aan de training over de algemene werking en afspraken rondom informatiebeveiliging van het afsprakenstelsel en deze informatie door kunnen leggen binnen de eigen organisatie.
A.6.8 Rapportage van zwakke plekken in de informatiebeveiliging	Kwetsbaarheden en incidenten die betrekking hebben op gegevens of het functioneren van het afsprakenstelsel Zorgeloos Vastgoed moeten binnen 48 uur gemeld te worden bij het centrale aanspreekpunt binnen Zorgeloos Vastgoed zoals beschreven in het Incident- en calamiteitenproces. Zie Aansluitovereenkomsten. Softwareleveranciers Dienstverlener maken hierover zo nodig afspraken met de aangesloten Dienstverleners.
A.8.3 Beperking toegang tot informatie	Authenticatie en autorisatie van personen (eindgebruikers) moet plaatsvinden aansluitend bij het Informatieclassificatiebeleid en het bijbehorende eIDAS niveau (zie Forum Standaardisatie en Logius). De rechten die gebruikers hebben binnen applicaties (inclusief beheerders) zijn zo ingericht dat autorisaties kunnen worden toegewezen aan organisatorische functies en scheiding van niet verenigbare autorisaties mogelijk is.
A.8.6 Capaciteitsbeheer	Maatregelen zijn gedocumenteerd en geïmplementeerd om te (kunnen) voldoen aan de beschikbaarheidseisen zoals vastgelegd in de Aansluitovereenkomsten.
A.8.7 Bescherming tegen malware	Beheersmaatregelen moeten worden geïmplementeerd om applicaties te kunnen beschermen tegen malware.
A.8.8 Beheer van technische kwetsbaarheden	De processen moeten aansluiten op de Beveiligingsbeheerprocessen in het afsprakenstelsel Zorgeloos Vastgoed ten aanzien van het beheer van technische kwetsbaarheden. Deze dienen ten minste te omvatten: Identificeren van kwetsbaarheden in de eigen technologie, onderzoeken van relevantie van door de beheerorganisatie geïdentificeerde kwetsbaarheden inclusief terugkoppeling naar de beheerorganisatie hieromtrent; Het patchen van systemen of anderzijds mitigeren van de kwetsbaarheid; Het tijdig kunnen doorlopen van de gehele procedure bij hoog risico-kwetsbaarheden.
A.8.13 Back-up van informatie	Back-upplannen en restore-tests zijn opgesteld aansluitend op de Classificatie Beschikbaarheid van de gegevens.
A.8.15 Gebeurtenissen registreren	Logging moet plaatsvinden zoals gespecificeerd in het afsprakenstelsel (zie Consentmanagement). Daarnaast moeten de volgende acties ten minste 12 maanden onweerlegbaar en controleerbaar worden gelogd: Acties waarbij een consument via de Softwareleverancier Consument bij de Softwareleverancier Dienstverlener gegevens wil opvragen. Acties waarbij een consument toestemming geeft voor de uitwisseling conform de specificaties in het afsprakenstelsel (indien uitgevoerd onder verantwoordelijkheid van de Softwareleverancier Dienstverlener).
A.8.15 Logbestanden van beheerders en operators	Logging van het gebruik van toegangsrechten op IT-componenten waar gegevens worden verwerkt; Controle van deze logging met een minimale frequentie van eens per maand (geldt ook voor onderaannemers); Toepassing van functiescheiding in de uitvoering van deze controle; Controle op (tijdens controle aandacht voor) onterecht/onnodig gebruik door medewerkers (met aantoonbare opvolging).
A.8.17 Kloksynchronisatie	De klokken van IT-componenten die communiceren via het afsprakenstelsel en logging in het kader van Zorgeloos Vastgoed bijhouden, moeten worden gesynchroniseerd met pool.ntp.org. Het is toegestaan te synchroniseren met een alternatieve NTP-server, wanneer maatregelen zijn getroffen om de afwijking met pool.ntp.org niet groter dan plus of min 500 ms te laten zijn.
A.8.24 Beleid inzake het gebruik van cryptografische beheersmaatregelen	Alle gegevens die worden uitgewisseld binnen het afsprakenstelsel worden beschermd door middel van encryptie. Hiervoor wordt verwezen naar de aanbevelingen die gelden voor 'near-term protection' en 'long-term protection', zie https://www.keylength.com/.
A.8.25 Beleid voor beveiligd ontwikkelen	Bij het vaststellen voor het beleid voor beveiligd ontwikkelen moeten de ICT-beveiligingsrichtlijnen voor webapplicaties van het NCSC uit het "Uitvoeringsdomein" overwogen worden (https://www.ncsc.nl/documenten/publicaties/2019/mei/01/ict-beveiligingsrichtlijnen-voor-webapplicaties). Voor mobiele applicaties moeten de Beveiligingsrichtlijnen voor mobiele applicaties van het NCSC overwogen worden (https://www.ncsc.nl/documenten/publicaties/2019/mei/01/beveiligingsrichtlijnen-voor-mobiele-apparaten).
A.8.31 OTAP(I)	Naast een OTAP wordt tevens een ketenintegratie-omgeving aangeboden en onderhouden, als variant van de acceptatie-omgevingen waarbij de nadruk ligt op de ketenintegratie. Deze omgeving is gescheiden van de reeds in de ISO-norm 12.1.4 benoemde OTAP-omgevingen.
A.8.32 Wijzigingsbeheer (1)	De IT-beheerprocessen sluiten aan op het Zorgeloos Vastgoed Change- en releasebeleid.
A.8.32 Wijzigingsbeheer (2)	Niet-standaard wijzigingen op de IT-componenten die gebruikt worden, worden op basis van het vier-ogen-principe uitgevoerd.
A.8.32 Wijzigingsbeheer (3)	Indien er wijzigingen plaatsvinden die mogelijk significante impact hebben op informatiebeveiliging, moet de penetratietest zoals benoemd in A.18.2.3 Beoordeling van technische naleving voor deze IT-componenten opnieuw uitgevoerd worden.