Norm

Rationale	Deze maatregel borgt dat logging plaatsvindt op gebeurtenissen die informatiebeveiliging raken, waarbij deze logging ten minste 12 maanden inzichtelijk blijft.
Implementatie	Logging moet plaatsvinden zoals gespecificeerd in het afsprakenstelsel (zie tevens C3.1 en C3.2 onder Persoonlijke Handelingsomgeving). Daarnaast moeten de volgende acties ten minste 12 maanden onweerlegbaar en controleerbaar worden gelogd: Acties waarbij een consument via de Softwareleverancier Consument bij de Softwareleverancier Dienstverlener gegevens wil opvragen. Acties waarbij een consument toestemming geeft voor de uitwisseling conform de specificaties in het afsprakenstelsel (indien uitgevoerd onder verantwoordelijkheid van de Softwareleverancier Dienstverlener).
Toelichting
ISO 27001:2017	A.12.4.1 Gebeurtenissen registreren

Beoordeling

Auditmethode	Stel vast dat logbestanden conform de voorwaarden van het Afsprakenstelsel (zie Consentmanagement) beschikbaar zijn. Stel vast hoe de onweerlegbaarheid en controleerbaarheid van de logs over personen is ingericht. Stel vast dat logbestanden minimaal 12 maanden beschikbaar blijven.
Verificatie	Welke informatie / registraties (incl. versienummers) zijn ingezien. Bewijslast m.b.t. de logbestanden. Bewijslast m.b.t. aansluiting.