NEN 7510:2024 herzien: Gedetailleerd overzicht van wijzigingen

Categorie

Titel

Omschrijving

Organisatorische maatregelen (A.5)

A.5.7 Informatie en analyse over dreigingen

In de nieuwe norm is deze maatregel gewijzigd. Nu moet het beleid ook erkend worden door relevant personeel en relevante belanghebbenden. 

In de nieuwe versie wordt ook expliciet genoemd wat er in het beleid moet staan, namelijk:

"Het informatiebeveiligingsbeleid behoort de aanpak voor het beheer van informatiebeveiliging te beschrijven ..."

Daarnaast wordt er nu een harde eis gesteld aan het periodiek beoordelen, namelijk "ten minste jaarlijks" en "als er zich een ernstig incident voordoet".

Organisatorische maatregelen (A.5)

A.5.23 Informatiebeveiliging voor het gebruik van clouddiensten

Deze nieuwe maatregel vereist processen voor het aanschaffen, gebruiken, beheren en beëindigen van clouddiensten.

Denk bij de uitvoering en toepassing hiervan onder andere aan relevante beleidsregels, afspraken met de cloud-aanbieder en een exit-strategie.

A.5.30 ICT-gereedheid voor bedrijfscontinuïteit

Deze nieuwe maatregel vereist dat de ICT-gereedheid behoort te worden gepland, geïmplementeerd, onderhouden en getest.

Denk bij de toepassing van deze maatregel onder andere aan ICT-continuïteitsplannen, respons- en herstelprocedures en het daadwerkelijk oefenen en testen hiervan.

A.5.38 HLT - analyse en specificatie van informatiebeveiligingeisen

Deze nieuwe maatregel vereist dat de informatiebeveiligingsgerelateerde eisen behoren te worden opgenomen in de eisen voor nieuwe informatiesystemen of verbeteringen aan bestaande informatiesystemen.

Om deze maatregel te implementeren kan bijvoorbeeld in het inkoopproces een aantal eisen worden gedefinieerd met betrekking tot informatiebeveiliging. 

A.5.42 HLT - communicatie in noodsituaties

Deze nieuwe maatregel vereist dat noodcommunicatiekanalen binnen een zorgorganisatie behoren te worden gepland, geïmplementeerd, onderhouden en beproefd die in werking treden wanneer er een storing is in de continuïteit van de ICT."

Naast de reguliere maatregelen met betrekking tot bedrijfscontinuïteit, richt deze maatregel zich  op de communicatiekanalen die tijdens een storing in werking treden. 

A.5.43 HLT - incidenten extern melden 

Deze nieuwe maatregel vereist dat informatiebeveiligingsincidenten volgens juridische, contractuele of wettelijke verplichtingen te worden gemeld."

Hiervoor  zal de incidentafhandelingsprocedure typisch worden uitgebreid met een beschrijving of procedure voor het melden van incidenten bij de juiste instanties.

Fysieke maatregelen (A.7)

A.7.4 Monitoren van fysieke beveiliging

Deze nieuwe maatregel vereist dat het gebouw en terrein van de organisatie voortdurend gemonitord wordt op onbevoegde fysieke toegang.

Denk hierbij aan het gebruik van portiers (gastheer/gastvrouw), inbraakalarmen, videobewakingssystemen en software voor het beheer van informatie over fysieke beveiliging. 

Technologische maatregelen (A.8)

A.8.9 Configuratiebeheer

Deze nieuwe maatregel vereist dat hardware, software, diensten en netwerken met de vereiste beveiligingsinstellingen functioneren.

Dit kan er in de praktijk op neerkomen dat een organisatie processen en instrumenten implementeert om gedefinieerde configuraties af te dwingen. 

A.8.10 Wissen van informatie

Het doel van deze nieuwe maatregel is het voorkomen van onnodige openbaarmaking van gevoelige informatie wanneer deze reeds verwijderd had moeten worden op basis van wet- en regelgeving, contractuele eisen, etc. 

Denk bij de uitvoering van deze maatregel aan een passende wismethode en het registreren van de resultaten als bewijs (ook als er dienstverleners gebruikt worden). 

A.8.11 Maskeren van gegevens

Het doel van deze nieuwe maatregel is het beperken van openbaarmaking van gevoelige informatie (incl. persoonsgegevens). 

In de praktijk betekent dit dat de organisatie moet nadenken over het maskeren, pseudonimiseren of anonimiseren van (persoons)gegevens. 

A.8.12 Voorkomen van datalekken (Data leakage prevention)

Het doel van deze nieuwe maatregel is ongeoorloofde openbaarmaking en extractie door personen of systemen te detecteren en te voorkomen. 

Denk hierbij aan bijvoorbeeld beperkingen op het exporteren van informatie; gebruikersvoorwaarden aan het maken van schermafbeeldingen; awareness-trainingen en het vier-ogen-principe bij het exporteren en openbaarmaken van informatie.

A.8.16 Monitoren van activiteiten

Het doel van deze nieuwe maatregel is het detecteren van afwijkend gedrag en potentiële informatiebeveiligingsincidenten. 

Denk hierbij aan onder andere netwerk-, systeem- en toepassingsverkeer; toegang tot systemen, (netwerk)apparatuur en het monitoringsysteem; logbestanden, het normale- en piekgebruik (van systemen) en het scannen van bedrijfstoepassingen, -systemen en -netwerken.

A.8.28 Veilig coderen

Het doel van deze nieuwe maatregel is het waarborgen dat software veilig geschreven wordt, waardoor het aantal potentiële informatiebeveiligingskwetsbaarheden in de software beperkt wordt. 

Het toepassen van deze maatregel valt uiteen in beveiligingsmaatregelen voor de verschillende fases van softwareontwikkeling.