A.13 Communicatiebeveiliging

A.13.1

Beheer van netwerkbeveiliging 

De bescherming van informatie in netwerken en de ondersteunende informatieverwerkende faciliteiten waarborgen

Beveiligen van verbindingen en ondertekenen van berichten MOET gebeuren conform de specificaties in de koppelvlakbeschrijvingen

A.13.1.1

Beheersmaatregelen voor netwerken 

Netwerken moeten worden beheerd en beheerst om informatie in systemen en toepassingen te beschermen. 

S

S

S

Netwerkverkeer tussen deelnemers onderling, tussen deelnemers en dienstverleners en tussen deelnemers en dienstafnemers.

Conform Interface specifications

A.13.1.2

Beveiliging van netwerkdiensten 

Beveiligingsmechanismen, dienstverleningsniveaus en
beheerseisen voor alle netwerkdiensten moeten worden geïdentificeerd en opgenomen in overeenkomsten betreffende netwerkdiensten. Dit geldt zowel voor diensten die intern worden geleverd als voor uitbestede diensten. 

S

S

S

Beheerorganisatie is verantwoordelijk voor doorvertaling maatregelen naar onderlinge afspraken in het afsprakenstelsel. Let ook op doorvertaling naar onderaannemers van de deelnemers.

Conform Interface specifications en

BSNk mag uitsluitend pakketten die van trusted IP-adressen komen (white listing) accepteren.

A.13.1.3

Scheiding in netwerken 

Groepen van informatiediensten, -gebruikers en -systemen moeten in netwerken worden gescheiden. 

v

v

v

Deelnemers, BSNk en BO vullen dit naar eigen inzicht in.

A.13.2

Informatietransport 

Handhaven van de beveiliging van informatie die wordt uitgewisseld binnen een organisatie en met een externe entiteit. 

A.13.2.1

Beleid en procedures voor informatietransport 

Ter bescherming van het informatietransport, dat via alle soorten communicatiefaciliteiten verloopt, moeten formele beleidsregels, procedures en beheersmaatregelen voor transport van kracht zijn. 

S

S

S

Conform Information security requirements.

Beleid, procedures en afspraken met betrekking tot de uitwisseling van informatie en programmatuur tussen Deelnemers, BSNk en BO is vastgelegd in het Afsprakenstelsel.

A.13.2.2

Overeenkomsten over informatietransport 

Overeenkomsten moeten betrekking hebben op het beveiligd transporteren van bedrijfsinformatie tussen de organisatie en externe partijen. 

S

S

S

Betreft uitwisseling van informatie en programmatuur tussen deelnemers, BSNk en BO.

A.13.2.3

Elektronische berichten 

Informatie die is opgenomen in elektronische berichten moet passend beschermd zijn. 

S

S

S

Conform Interface specifications

A.13.2.4

Vertrouwelijkheids- of geheimhoudingsovereenkomst 

Eisen voor vertrouwelijkheids- of
geheimhoudingsovereenkomsten die de behoeften van de organisatie betreffende het beschermen van informatie weerspiegelen moeten worden vastgesteld, regelmatig worden beoordeeld en gedocumenteerd. 

Sv

Sv

Sv

Uit risico-analyse zal moeten blijken dat toegang tot bepaalde gegevens extra aandacht voor of eisen ten aanzien van de geheimhoudingsplicht zal vereisen.

Het betreft tenminste die gegevens die persoons- en bedrijfsgevoelige elementen bevatten zoals:

• bij MU: registaties van personen en middelen, 

• bij AD: persistent pseudoniem, authenticatiecredentials

• bij MR: registraties van personen, bedrijven en machtigingen

• bij BSNk: BSN en persistent pseudoniem

• bij BO: commerciële informatie deelnemers, metagegevens.

Geheimhoudingsovereenkomsten (non-disclosure agreements) worden geacht de eisen ten aanzien van deze gegevens te reflecteren of te omvatten. Het is niet noodzakelijk om betreffende gegevens expliciet in de geheimhoudingsverklaring op te nemen.