Dit is een klad. Elk onderdeel geeft een voorbeeld: vervang elk [veld] door wat bij u klopt en schrap de rest. Het publiceren betekent niet dat de praktijk bestaat, en Squaretrust controleert dat niet.
Risicoanalyse en beveiligingsbeleid
Wat de klant controleert: dat u uw belangrijkste risico’s kent en schriftelijke beveiligingsregels hebt.
Voorbeeld om aan te passenWe hebben een informatiebeveiligingsbeleid, goedgekeurd door [functie] en elk [jaar] herzien. Een risicoanalyse, bijgewerkt op [dd/mm/jjjj], somt onze [x] belangrijkste risico’s op, met hun waarschijnlijkheid, hun impact en de gekozen maatregel. [Functie] is ervoor verantwoordelijk.
Bij te voegen: het beveiligingsbeleid (openbaar of op verzoek); de risicoanalyse (op verzoek).
Afhandeling van incidenten
Wat de klant controleert: dat u een incident kunt opmerken, afhandelen en uw klant tijdig verwittigen.
Voorbeeld om aan te passenMeldingen van [monitoringtools] en van het personeel komen binnen op [adres of kanaal]. [Functie] beoordeelt het incident binnen [x uur] en beslist over de aanpak. Raakt het de gegevens of de dienst van een klant, dan verwittigen we die binnen [24 uur] op het adres uit het contract. Elk incident wordt vastgelegd, met de oorzaak en de correctieve acties.
Bij te voegen: de procedure voor incidentbeheer (op verzoek).
Continuïteit, back-ups en crisisbeheer
Wat de klant controleert: dat u de dienst na een incident kunt herstellen, en hoe snel.
Voorbeeld om aan te passenWe maken elke [dag] een back-up van [databanken en klantbestanden] naar [aanbieder, regio]. Back-ups zijn versleuteld en worden [30 dagen] bewaard. We testen [twee keer per jaar] een volledig herstel; de laatste test was op [dd/mm/jjjj] en duurde [x uur]. Bij een groot incident beslist [functie] het herstelplan te activeren en verwittigt de betrokken klanten binnen [24 uur].
Bij te voegen: het back-upbeleid (openbaar); het herstelplan en het verslag van de laatste test (op verzoek).
Leveranciers en de toeleveringsketen
Wat de klant controleert: dat u uw eigen leveranciers kent en ze kiest op basis van beveiligingscriteria.
Voorbeeld om aan te passenWe houden een lijst bij van onze subverwerkers, met hun doel en verwerkingsregio. Voor we een nieuwe kiezen, controleren we [certificeringen, verwerkersovereenkomst, locatie]. Elke subverwerker die persoonsgegevens verwerkt, is gebonden door een contract volgens artikel 28 van de AVG. We verwittigen onze klanten [x dagen] voor we er een toevoegen of vervangen.
Bij te voegen: de lijst van subverwerkers (openbaar).
Bouwen en onderhouden van systemen, inclusief kwetsbaarheden
Wat de klant controleert: dat uw systemen up-to-date zijn en dat lekken gedicht worden.
Voorbeeld om aan te passenWe passen beveiligingspatches toe binnen [x dagen] voor kritieke kwetsbaarheden en binnen [x dagen] voor de andere. Code wordt nagelezen voor elke release, en onze afhankelijkheden worden gescand door [tool]. Iedereen kan ons een kwetsbaarheid melden op [adres]; we bevestigen de ontvangst binnen [x werkdagen].
Bij te voegen: het beleid voor kwetsbaarheidsbeheer (openbaar of op verzoek).
Hoe u nagaat dat de maatregelen werken
Wat de klant controleert: dat u regelmatig nagaat of uw maatregelen werken, in plaats van het aan te nemen.
Voorbeeld om aan te passenWe herzien onze beveiligingsmaatregelen elk [jaar] met [functie]. Een penetratietest wordt uitgevoerd door [aanbieder] om de [x maanden]; de laatste was op [dd/mm/jjjj], en de kritieke bevindingen waren opgelost op [dd/mm/jjjj]. Toegangsrechten worden elk [kwartaal] herzien.
Bij te voegen: de samenvatting van de laatste penetratietest (op verzoek).
Basishygiëne en opleiding
Wat de klant controleert: dat de basisregels worden toegepast en dat het personeel erin opgeleid is.
Voorbeeld om aan te passenLaptops en servers krijgen updates [automatisch]. Wachtwoorden staan in [wachtwoordbeheerder], en multifactorauthenticatie is verplicht op [tools]. Elke nieuwe medewerker volgt een bewustmakingsopleiding, elk [jaar] herhaald, met een [jaarlijkse] phishingoefening.
Bij te voegen: het IT-reglement of de interne regels (op verzoek).
Cryptografie
Wat de klant controleert: dat gegevens versleuteld zijn waar het moet.
Voorbeeld om aan te passenGegevens zijn versleuteld onderweg (TLS [1.2] of hoger) en in rust ([AES-256], sleutels beheerd door [aanbieder of dienst]). Laptopschijven zijn versleuteld, net als de back-ups.
Bij te voegen: het versleutelingsbeleid, als de klant erom vraagt (op verzoek).
Personen, toegang en activa
Wat de klant controleert: dat alleen de juiste mensen bij de juiste systemen kunnen, en dat u weet wat u bezit.
Voorbeeld om aan te passenToegang wordt per rol verleend door [functie] en ingetrokken op de dag dat iemand vertrekt. Beheerdersrechten zijn beperkt tot [x] personen. We houden een inventaris bij van onze laptops, servers en onlinediensten, elk [kwartaal] bijgewerkt. Elke medewerker tekent [een vertrouwelijkheidsclausule].
Bij te voegen: het beleid voor toegangsbeheer (op verzoek).
Authenticatie en beveiligde communicatie
Wat de klant controleert: dat toegang tot belangrijke systemen meer vraagt dan een wachtwoord, en dat uw communicatie beschermd is.
Voorbeeld om aan te passenMultifactorauthenticatie is verplicht voor [e-mail, hosting, broncode, beheertools]. Interne communicatie verloopt via [tool], en we hebben een noodkanaal, [telefoon of kanaal], als de e-mail uitvalt.