search

MinBZK / Baseline-Informatiebeveiliging-Overheid

Samen werken aan de nieuwe Baseline Informatiebeveiliging Overheid: BIO2
https://minbzk.github.io/Baseline-Informatiebeveiliging-Overheid/
Other
30 stars 5 forks source link

Verplichte maatregelen en richtlijnen - 8.31.01/2 #60

Open PSSkyu opened 2 months ago

PSSkyu commented 2 months ago

Beschrijf de bug Directe link is: https://minbzk.github.io/Baseline-Informatiebeveiliging-Overheid/maatregelen/#beheersmaatregel-831-scheiding-van-ontwikkel-test-en-productieomgevingen 8.31.01 In de productieomgeving wordt niet getest. Alleen met voorafgaande goedkeuring door de proceseigenaar en schriftelijke vastlegging hiervan, kan hiervan worden afgeweken. 8.31.2 Wijzigingen in de productieomgeving worden altijd getest voordat zij in productie gebracht worden. Alleen met voorafgaande goedkeuring door de proceseigenaar en de CISO en schriftelijke vastlegging hiervan, kan hiervan worden afgeweken. Een duidelijke en bondige beschrijving van wat het probleem is of wat de feedback inhoudt.

Voorgestelde wijziging 8.31.01 In de productieomgeving wordt niet getest. Alleen met voorafgaande goedkeuring door de proceseigenaar en de CISO en schriftelijke vastlegging hiervan, kan hiervan worden afgeweken.

8.31.2 Significante wijzigingen in de productieomgeving worden altijd getest voordat zij in productie gebracht worden. Alleen met voorafgaande goedkeuring door de proceseigenaar en de CISO en schriftelijke vastlegging hiervan, kan hiervan worden afgeweken.

Impact van de wijziging Beide met elkaar in lijn gebracht door de CISO terug te laten komen. Bij 8.31.2 ook significant toegevoegd, zodat de organisatie zelf moet redeneren wat hier onder valt. Wat mist nog is het stuk risicomanagement, want niet elk systeem heeft gelijke waarde voor de organisatie. Afhankelijk natuurlijk van waardering van het bedrijfsproces. Maar voorafgaande goedkeuring zo ook vooraf kunnen komen vanuit organisatiebeleid.

Aanvullende informatie Als voorbeeld; Een simpel systeem van communicatie afdeling vraagt niet dezelfde waarborgen als die van de salarisbetaling.

dvebzk commented 2 months ago

Toevoeging feedback uit ander issue #121 ivm dubbeling.

Op deze manier is het te summier beschreven. Welke tests worden hier wel en niet bedoeld, en wat wil je hiermee voorkomen?

Bv 's ochtends om 07:00 een smoke-test in productie (zijn alle applicaties beschikbaar?) vind ik een heel goed idee.