search

MinBZK / Baseline-Informatiebeveiliging-Overheid

Samen werken aan de nieuwe Baseline Informatiebeveiliging Overheid: BIO2
https://minbzk.github.io/Baseline-Informatiebeveiliging-Overheid/
Other
26 stars 5 forks source link

Bugs in het hoofdstuk Ontwerp #15

Open LMJvT opened 1 month ago

LMJvT commented 1 month ago

Beschrijf de bug

Hoofdstuk Ontwerp

  1. Index.md (bug 1): https://github.com/MinBZK/Baseline-Informatiebeveiliging-Overheid/blob/main/docs/index.md Dit hoofdstuk bevat 2x een index.md. 1x rechtstreeks onder het Hoofdstuk en 1x als sub. De index.md met de titel "Welkom bij de ontwikkelpagina ..." (rechtstreek onder het hoofdstuk) Deze index is denk ik een inleiding voor het opstellen van de BIO 2.0 is en niet de daadwerkelijk BIO tekst. Voorgestelde wijziging Hernoem deze index.md naar inleiding.md o.i.d. Impact van de wijziging Het voordeel is meer duidelijkheid. Aanvullende informatie Geen

  2. Sub index.md (bug 2): https://github.com/MinBZK/Baseline-Informatiebeveiliging-Overheid/blob/main/docs/ontwerp/index.md#reikwijdte Tweede alinea. Ik begrijp dat hier het woord "ook" verwijst naar andere normen zoals NEN-ISO/IEC 27001 en 27002. Hoewel deze normen in de hoofdstukken Inleiding en Maatregelen worden beschreven is het m.i. in dit stuk onduidelijk en lijkt het erop dat de NEN7510 en CSIR nodig zijn om de informatiebeveiliging van de overheid op een hoger niveau te brengen. Later in de tekst wordt onder het hoofdstuk Verplichtingen in de derde bullet duidelijk aangegeven wat met deze twee normen de bedoeling is. Dat kan hier al en kan het bij verplichtingen vervallen. Voorgestelde wijziging Wijzig tweede alinea van (https://github.com/MinBZK/Baseline-Informatiebeveiliging-Overheid/blob/main/docs/ontwerp/index.md#reikwijdte) als volgt: De BIO2 is de norm voor alle overheidslagen en heeft betrekking op alle informatie(systemen) zowel digitaal als fysiek. Het is belangrijk dat de BIO2 ruimte geeft om de informatiebeveiliging voor alle type omgevingen, waaronder ook operationele technologie (OT) en zorginformatie. De maatregelen uit de NEN-ISO/IEC 27002 kunnen, waar nodig worden vervangen of gecombineerd met beheersmaatregelen uit andere normen en richtlijnen zoals de NEN 7510 en CSIR. Impact van de wijziging Het voordeel is meer duidelijkheid en kortere tekst. Aanvullende informatie Geen

  3. Hoofdstuk Basisniveau (bug 3): https://github.com/MinBZK/Baseline-Informatiebeveiliging-Overheid/blob/main/docs/ontwerp/index.md#basisniveau De basisniveau's worden losgelaten (zie vervallen verplichtingen). Toch wordt hier over basisniveau gesproken. Voorgestelde wijziging De BIO bestaat uit maatregelen die bescherming bieden tegen dreigingen voor overheden, met uitzondering van geavanceerde dreigingen, zoals Advanced Persistent Threats (APT’s), afkomstig van statelijke actoren of beroepscriminelen. Impact van de wijziging Het voordeel is meer duidelijkheid. Aanvullende informatie Geen

  4. Hoofdstuk Verplichtingen (bug 4): https://github.com/MinBZK/Baseline-Informatiebeveiliging-Overheid/blob/main/docs/ontwerp/index.md#verplichtingen

    • Eerste bullet: De correcte naam van de normen zijn respectievelijk NEN-ISO/IEC 27001 en NEN-ISO/IEC 27002. Later in de tekst wordt er over NEN-EN-ISO gesproken. Voorgestelde wijziging Gebruik overal dezelfde naam (de volledige naam NEN-ISO/IEC 2700x of de verkorte naam ISO 2700x). Impact van de wijziging Het voordeel is meer duidelijkheid. Aanvullende informatie Geen
    • Eerst sub-bullet: In lijn met de NEN-EN-ISO 27001 moeten organisaties .... het continu verbeteren van het ISMS. Het gaat niet om het verbeteren van het ISMS-proces. Het gaat om de verbeteringen van de veiligheidsmaatregelen die vastgelegd zijn in de ISMS-tooling. Voorgestelde wijziging In lijn met de NEN-EN-ISO 27001 moeten organisaties de volgende processen toepassen:
    • bepalen scope en context van het informatiebeveiligingsmanagementsysteem (ISMS);
    • het tonen van leiderschap en betrokkenheid door het topmanagement;
    • het beoordelen en behandelen van risico’s door middel van risicoanalyses;
    • het vaststellen van beveiligingsdoelstellingen;
    • het toewijzen van de benodigde middelen;
    • het verhogen van bewustzijn en training;
    • het uitvoeren van operationele controles;
    • het beheren van beveiligingsincidenten;
    • het continu verbeteren van de genomen maatregelen;
    • het monitoren en evalueren van de ISMS-prestaties. Impact van de wijziging Leesbare zin en duidelijk doel. Aanvullende informatie Geen

note: Ik onderschrijf de voordelen van Github. Echter is Github niet ontwikkeld voor tekstverbetering waardoor er een bepaalde handigheid nodig is om de juiste tekst (in MediaWiki taal) te zetten. Dit is wat mij betreft niet uitnodigend.

dvebzk commented 1 month ago

@LMJvT: Dank voor de uitgebreide feedback. We gaan hiermee aan de slag.

Voor wat betreft het middel Github; het heeft de voorkeur om zo open mogelijk te ontwikkelen, waarbij o.a.

Op dit moment konden wij geen alternatief vinden die snel inzetbaar was. Wel hebben we met de OSPO BZK over open source alternatieven gesproken voor de langere termijn. Mochten andere alternatieven bekend zijn die direct binnen de overheid gebruikt worden en inzetbaar zijn, dan horen wij het graag!

LMJvT commented 1 month ago

Goedemiddag David,Dank je voor de terugkoppeling.Wat bedoel je met:iedereen kan deelnemen (dus geen login alleen voor overheidsmedewerkers)Ik had al een account en ik ben een overheidsmedewerker. Veranderd er nu iets?Met vriendelijke groet,Jan van TiggelenOp 5 jun 2024 om 23:36 heeft David van Es @.***> het volgende geschreven: @LMJvT: Dank voor de uitgebreide feedback. We gaan hiermee aan de slag. Voor wat betreft het middel Github; het heeft de voorkeur om zo open mogelijk te ontwikkelen, waarbij o.a.

iedereen kan deelnemen (dus geen login alleen voor overheidsmedewerkers) de wijzigingen in een document inzichtelijk en herleidbaar zijn waar onderling het gesprek kan worden aangegaan.

Op dit moment konden wij geen alternatief vinden die snel inzetbaar was. Wel hebben we met de OSPO BZK over open source alternatieven gesproken voor de langere termijn. Mochten andere alternatieven bekend zijn die direct binnen de overheid gebruikt worden en inzetbaar zijn, dan horen wij het graag!

—Reply to this email directly, view it on GitHub, or unsubscribe.You are receiving this because you were mentioned.Message ID: @.***>

dvebzk commented 3 weeks ago

@LMJvT: de reactie had betrekking op de functionele eisen die hebben geleid tot de keuze voor Github. We zullen niks veranderen in de huidige login.