8.1 - Operationele planning en beheersing
Dit document beschrijft hoe YipYip de ISMS-processen plant en beheerst, en hoe informatiebeveiliging is ingebed in de primaire bedrijfsprocessen.
ISMS-processen
Section titled “ISMS-processen”| Proces | Frequentie | Eigenaar | Documentatie |
|---|---|---|---|
| Risicobeoordeling | Jaarlijks + ad hoc | IB-coördinator | 06-planning/6.1-risicobeoordeling/ |
| Risicobehandeling | Doorlopend | Risico-eigenaren | 08-uitvoering/8.3-risicobehandeling.md |
| Gebeurtenissen en incidenten | Doorlopend | IB-coördinator | Jira, project IMS (tools/jira/incidents.md) |
| Change management | Doorlopend | DevOps Lead | Git (pull requests) en Jira; controls/technological/8.32-change-management.md |
| Toegangsbeheer | Doorlopend | IB-coördinator / DevOps Lead | Controls 5.15–5.18 |
| Asset management | Doorlopend | HR-manager | registers/assets.yaml |
| Leveranciersbeheer | Jaarlijks | Directie | registers/leveranciers.yaml, Sheet contractuele verplichtingen |
| Awareness | Doorlopend | IB-coördinator / HR-manager | 07-ondersteuning/7.3-bewustzijn.md |
| Monitoring | Doorlopend | IB-coördinator | 09-evaluatie/9.1-monitoring.md |
| Interne audit | Jaarlijks | Directie (onafhankelijke auditor) | 09-evaluatie/9.2-interne-audit/ |
| Directiebeoordeling | Jaarlijks | Directie | 09-evaluatie/9.3-directiebeoordeling.md |
Jaarplanning ISMS
Section titled “Jaarplanning ISMS”De jaarplanning volgt uit het controleprogramma (tools/jira/controleprogramma.yaml): elke controle heeft een frequentie en een startmaand, en een GitHub Action maakt de Jira-tickets maandelijks aan. Vaste jaarlijkse punten:
| Wanneer | Activiteit |
|---|---|
| Doorlopend | Risicobeoordeling actualiseren (C.28), leveranciersbeoordeling (C.13) |
| Q4 | Jaarlijkse IB-presentatie (C.15) |
| December | Directiebeoordeling (C.23) |
| Jaarlijks, eerste eind 2026 of begin 2027 | Onafhankelijke interne audit |
Operationele taken worden bijgehouden in Jira.
Primaire processen
Section titled “Primaire processen”Verkoopproces (intake nieuwe klant)
Section titled “Verkoopproces (intake nieuwe klant)”- Benadering — eerste contact met (potentiële) klant
- Functionaliteiten vaststellen — in samenwerking met klant
- Prijsschatting — ureninschatting (evt. met input developers)
- Risicoclassificatie — laag risico (één discipline, geen backend data) of hoog risico (meerdere disciplines, data in backend)
- Documentatie — opdrachtbevestiging (laag risico) of PRD (hoog risico)
- Ondertekening — klant en YipYip tekenen
Bij bestaande klanten met aanvullende opdracht: nieuw PRD of opdrachtbevestiging conform dezelfde classificatie.
Verwerkersovereenkomst
Section titled “Verwerkersovereenkomst”Na gunning wordt beoordeeld of persoonsgegevens worden verwerkt. Indien ja: verwerkersovereenkomst opstellen (YipYip = verwerker, opdrachtgever = verwerkingsverantwoordelijke). Bij zorgprojecten is dit nagenoeg altijd vereist.
Uitbestede processen
Section titled “Uitbestede processen”| Proces | Leverancier | Beheersing |
|---|---|---|
| Cloud hosting | GCP | Voorwaarden en certificeringen van de provider (SOC 2, ISO 27001), shared-responsibility-model |
| E-mail, agenda, documenten, identiteit (SSO) | Google Workspace | Voorwaarden provider, beheer door directie |
| Broncode en CI/CD | GitHub | Voorwaarden provider, PR-review, Dependabot |
| Jira | Atlassian | Voorwaarden provider |
| Wachtwoordbeheer | 1Password | Voorwaarden provider |
| Personeelshandboek | Notion | Voorwaarden provider |
| Toegang buiten vertrouwde netwerken | Cloudflare Zero Trust | Voorwaarden provider |
| Salarisadministratie | Zie registers/verwerkingsactiviteiten.yaml |
Verwerkersovereenkomst |
Penetratietests worden door de klant belegd; YipYip faciliteert ze en volgt bevindingen op. Beheersing van leveranciers via de jaarlijkse leveranciersbeoordeling (C.13) en registers/leveranciers.yaml.
Gerelateerde controls
Section titled “Gerelateerde controls”| Control | Onderwerp |
|---|---|
| 5.08 | IB in projectmanagement |
| 5.15 | Toegangsbeheersing |
| 5.16 | Identiteitsbeheer |
| 5.17 | Authenticatie-informatie |
| 5.18 | Toegangsrechten |
Vastgesteld door: Directie YipYip B.V. Datum: 2026-01-29