Informatiebeveiliging in projectmanagement

Informatiebeveiliging gaat in elk project mee van planning tot oplevering.

Wat we doen

1. Planning: op basis van de PRD (Product Requirements Document) of opdrachtbevestiging. De PRD bevat een IB-paragraaf.
2. Kick-off: functionaliteit, beveiligingseisen, privacy, taken. Bij zorgprojecten: patiëntveiligheid en de vraag of het product een medisch hulpmiddel is (tot nu toe nooit het geval, zie Z4).
3. Uitvoering: sprints met regelmatig overleg; code via PR-review en de CI/CD-pipeline (zie 8.25, 8.32). Mobiele apps worden via GitHub Actions gebouwd en naar de stores gepubliceerd.
4. Oplevering: de klant wordt gewezen op een penetratietest; de pentest is de verantwoordelijkheid van de klant, YipYip faciliteert (toegang, testomgeving, opvolging bevindingen). Uitgevoerde pentests en opvolging worden per project vastgelegd.

Bij de start van een project wordt in gesprek ingeschat welke risico’s spelen. Bij projecten met zorginformatie of andere gevoelige data krijgen beveiligings- en privacy-eisen extra aandacht.

Verantwoordelijkheden

• Project Manager: dagelijkse uitvoering, afstemming klant-team, IB-eisen bewaken
• Directie: eindverantwoordelijk voor projectportfolio en IB-beleid
• Developers/Designers: inhoudelijke input, signaleren van risico’s

Technische maatregelen

• Projectdocumentatie in Google Workspace en Jira, toegang beperkt tot betrokken teamleden
• Code repositories per project met access controls (GitHub)

Gaps

• De kick-off-checklist (voorheen OUD 09.04.a) wordt nu niet ingevuld. Hij moet eerst worden geactualiseerd (incl. vraag “medisch hulpmiddel?” en toegangsmatrix) en daarna per project worden bewaard als onderdeel van of bijlage bij de IB-paragraaf in de PRD (ISMS-389, owner Project Manager).
• Er is geen opleverchecklist; bij oplevering wordt niets afgetekend (ISMS-243).

Bewijs

• PRD’s en opdrachtbevestigingen (Google Drive)
• Jira-projectboards
• GitHub: PR-reviews en Actions-workflows per repository
• Controleprogramma: C.03 (Jira ISMS)
• Kick-off- en opleverchecklist: nog geen bewijs; zie Gaps.