Begrippenlijst

A

Asset Een middel dat waarde heeft voor de organisatie. Kan zijn: informatie, software, hardware, diensten, mensen, fysieke locaties.

Audit Systematisch, onafhankelijk en gedocumenteerd proces voor het verkrijgen van auditbewijs en het objectief evalueren daarvan.

Authenticatie Het verifiëren van de geclaimde identiteit van een gebruiker, proces of apparaat.

Autorisatie Het verlenen van rechten, inclusief toegang op basis van toegangsrechten.

Availability (Beschikbaarheid) De eigenschap dat informatie toegankelijk en bruikbaar is op verzoek van een geautoriseerde entiteit.

B

Backup Een kopie van gegevens gemaakt voor hersteldoeleinden.

Bedrijfscontinuïteit Het vermogen van een organisatie om producten en diensten te blijven leveren binnen acceptabele tijd na een verstoring.

Beveiligingsincident Zie: Informatiebeveiligingsincident

BIA (Business Impact Analysis) Proces om de impact van verstoringen op bedrijfsactiviteiten te analyseren. In de risicomethodiek (6.1.2) krijgt elke informatiegroep een BIV-klasse 1 tot 5; dat is een risicoscore, geen classificatielabel.

BIV Beschikbaarheid, Integriteit, Vertrouwelijkheid: de drie aspecten van informatiebeveiliging (Engels: CIA).

C

CIA-triad Zie: BIV.

Classificatieniveaus Openbaar, intern en vertrouwelijk (control 5.12). Het enige classificatieschema in het ISMS.

Controleprogramma De vaste lijst van periodieke controles C.01 t/m C.28 in tools/jira/controleprogramma.yaml; de tickets worden maandelijks in Jira aangemaakt (clausule 9.1).

Classificatie Het toekennen van een beveiligingsniveau aan informatie op basis van gevoeligheid.

Compliance Het voldoen aan van toepassing zijnde wet- en regelgeving, contractuele verplichtingen en beleid.

Confidentiality (Vertrouwelijkheid) De eigenschap dat informatie niet beschikbaar wordt gesteld of onthuld aan onbevoegde personen, entiteiten of processen.

Control Maatregel die risico’s wijzigt (beperkt, elimineert of beheert).

Correctieve actie Actie om de oorzaak van een non-conformiteit weg te nemen en herhaling te voorkomen.

D

Data Breach Zie: Datalek

Datalek Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging, of ongeoorloofde verstrekking van of toegang tot persoonsgegevens.

Directiebeoordeling Jaarlijkse beoordeling van het ISMS door de directie op geschiktheid, adequaatheid en effectiviteit (clausule 9.3; Engels: management review).

DPIA (Data Protection Impact Assessment) Gegevensbeschermingseffectbeoordeling volgens de AVG, uitgevoerd vóór een verwerking met een hoog risico voor betrokkenen.

Dreiging Mogelijke oorzaak van een ongewenst incident dat schade kan veroorzaken aan een systeem of organisatie.

G

Gebeurtenis (informatiebeveiligingsgebeurtenis) Elke melding in Jira-project IMS: een waargenomen situatie die op een inbreuk of zwakke plek kan duiden. De IB-coördinator beoordeelt of het een incident is (controls 5.24 en 5.25).

E

Encryptie Het proces van het coderen van informatie zodat alleen geautoriseerde partijen deze kunnen lezen.

I

IB-coördinator De rol die het ISMS dagelijks beheert en coördineert; combineert wat elders ISMS Manager, Security Officer en Privacy Officer heet. Zie registers/rollen.yaml.

Incident Zie: Informatiebeveiligingsincident

Informatiebeveiligingsincident Eén of meerdere ongewenste of onverwachte informatiebeveiligingsgebeurtenissen die een significante kans hebben op verstoring van bedrijfsactiviteiten en bedreiging van de informatiebeveiliging.

Integriteit De eigenschap van nauwkeurigheid en volledigheid van informatie.

ISMS (Information Security Management System) Geheel van beleid, procedures, richtlijnen en bijbehorende middelen en activiteiten, gezamenlijk beheerd door een organisatie, om haar informatie-assets te beschermen.

K

Kwetsbaarheid Zwakte van een asset of control die door één of meer dreigingen kan worden uitgebuit.

M

Maatregel Zie: Control

Management Review Zie: Directiebeoordeling

MFA (Multi-Factor Authentication) Authenticatie met twee of meer verschillende factoren (iets wat je weet, hebt of bent). Wordt toegepast op elke dienst die het ondersteunt.

N

NCM, NCn, OBS Classificatie van auditbevindingen: major non-conformiteit, minor non-conformiteit en observatie (09-evaluatie/9.2-interne-audit/9.2.1-programma.md, 10-verbetering/10.1-afwijkingen.md).

NEN7510 Nederlandse norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001.

Non-conformiteit Het niet voldoen aan een eis.

O

Organisatiecontext Interne en externe issues die relevant zijn voor het doel van de organisatie en die invloed hebben op het vermogen om de beoogde resultaten van het ISMS te behalen.

P

PDCA-cyclus Plan-Do-Check-Act cyclus voor continue verbetering.

Persoonsgegevens Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.

PRD (Product Requirements Document) Het projectdocument per opdracht met functionaliteit, planning en een IB-paragraaf (control 5.08, clausule 8.1).

R

Restrisico Het risico dat overblijft na het implementeren van maatregelen.

Risico Effect van onzekerheid op doelstellingen. Bij informatiebeveiliging: de combinatie van de kans op een dreiging die een kwetsbaarheid uitbuit en de impact daarvan.

Risicoanalyse Proces om de aard van risico te begrijpen en het risiconiveau te bepalen.

Risicobehandeling Proces om risico’s te modificeren door maatregelen te selecteren en implementeren.

Risicobeoordeling Het gehele proces van risico-identificatie, risicoanalyse en risico-evaluatie.

Risicoacceptatie Besluit om een risico te accepteren zonder verdere behandeling.

RTO (Recovery Time Objective) De maximaal toelaatbare tijd om een bedrijfsproces te herstellen na een verstoring.

RPO (Recovery Point Objective) Het maximaal toelaatbare dataverlies gemeten in tijd.

S

Scope De afbakening van het ISMS: welke delen van de organisatie, processen, systemen en locaties vallen onder het ISMS.

SOA (Statement of Applicability) Zie: VvT

Stakeholder Zie: Belanghebbende

Belanghebbende Persoon of organisatie die van invloed kan zijn op, beïnvloed kan worden door, of zich beïnvloed voelt door een beslissing of activiteit.

T

Toegangscontrole Middelen om te verzekeren dat toegang tot assets geautoriseerd en beperkt is op basis van bedrijfs- en beveiligingseisen.

Two-factor authentication (2FA) Zie: MFA

V

Vertrouwelijkheid Zie: Confidentiality

Verwerker en verwerkingsverantwoordelijke AVG-rollen. YipYip is verwerker voor klantapplicaties (de opdrachtgever is verwerkingsverantwoordelijke) en verwerkingsverantwoordelijke voor de eigen bedrijfsvoering. Zie registers/verwerkingsactiviteiten.yaml.

Vulnerability Zie: Kwetsbaarheid

VvT (Verklaring van Toepasselijkheid) Gedocumenteerde verklaring welke Annex A-controls en NEN7510-maatregelen van toepassing zijn, met status en onderbouwing. Bron: controls/_index.yaml; gepubliceerd op /vvt/iso en /vvt/nen7510.

Z

Zwakke plek Een gemelde situatie die nog geen inbreuk is maar er wel toe kan leiden; wordt als gebeurtenis geregistreerd in Jira-project IMS.

Zorgdata Gegevens gerelateerd aan de gezondheid van personen, inclusief medische dossiers, behandelgegevens en andere patiëntinformatie.

---

Afkortingen

Afkorting	Betekenis
AVG	Algemene Verordening Gegevensbescherming
BIA	Business Impact Analysis
BIV	Beschikbaarheid, Integriteit, Vertrouwelijkheid
CIA	Confidentiality, Integrity, Availability
DPIA	Data Protection Impact Assessment
GDPR	General Data Protection Regulation
IB	Informatiebeveiliging
IMS	Jira-project voor gebeurtenissen en incidenten
ISMS	Information Security Management System
ISO	International Organization for Standardization
MFA	Multi-Factor Authentication
NCM / NCn / OBS	Major non-conformiteit / minor non-conformiteit / observatie
NEN	Nederlands Normalisatie-instituut
NEN 7512	Norm voor vertrouwensbasis bij elektronische gegevensuitwisseling in de zorg
NEN 7513	Norm voor logging van toegang tot het elektronisch patiëntdossier
PDCA	Plan-Do-Check-Act
PRD	Product Requirements Document
RPO	Recovery Point Objective
RTO	Recovery Time Objective
SOA	Statement of Applicability (zie VvT)
SSO	Single Sign-On
VOG	Verklaring Omtrent het Gedrag
VvT	Verklaring van Toepasselijkheid
Wabvpz	Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg

---

Bronnen: ISO 27000:2018, NEN7510:2024, AVG