Incident management planning en voorbereiding
Dit control beschrijft het proces voor informatiebeveiligingsgebeurtenissen en -incidenten. Het bredere non-conformiteitenproces (audit-bevindingen en procesafwijkingen) staat in clausule 10.1.
Classificatie
Section titled “Classificatie”Elke melding is een gebeurtenis en wordt bij beoordeling (5.25) ingedeeld als:
- Zwakke plek: gebeurtenis zonder aantoonbare schade (bijv. laptop niet gelockt, gecompromitteerd certificaat bij een externe partij)
- IB-incident: gebeurtenis met gevolgen voor de vertrouwelijkheid, integriteit of beschikbaarheid van informatie of diensten. Per aspect een voorbeeld:
- Vertrouwelijkheid: vertrouwelijke data bij de verkeerde persoon (bijv. e-mail met vertrouwelijke data naar de verkeerde ontvanger)
- Integriteit: gegevens onbedoeld gewijzigd (bijv. een migratie die productiedata overschrijft)
- Beschikbaarheid: een productie-app of -dienst is niet bruikbaar, of gegevens zijn verloren gegaan (bijv. apps die bij het opstarten crashen door een storing bij een leverancier)
- Datalek: IB-incident waarbij persoonsgegevens zijn geraakt
Audit-bevindingen lopen via 10.1, niet via dit proces.
Meldproces
Section titled “Meldproces”Medewerkers melden gebeurtenissen zelf als ticket in Jira-project IMS (zie 6.08). Voor beschikbaarheid geldt als meldcriterium: een productie-app of -dienst is niet bruikbaar voor klanten of eindgebruikers, buiten gepland onderhoud, ongeacht of de oorzaak bij YipYip of bij een leverancier ligt. Er geldt geen tijdsgrens; de ernst wordt bepaald bij de beoordeling (5.25). De IB-coördinator beoordeelt elk ticket. Het ticket heeft de velden Root cause, Consequences en Correction; de afhandeling wordt in die velden vastgelegd (zie tools/jira/incidents.md).
Afhandeling
Section titled “Afhandeling”- Analyseren en classificeren (5.25)
- Oorzaak achterhalen en corrigerende maatregelen doorvoeren (5.26)
- Effectiviteit beoordelen en leren (5.27)
Bij een IB-incident of datalek wordt direct geëscaleerd naar de directie. Bij een incident met gevolgen voor de beschikbaarheid beoordeelt de directie of een scenario uit het continuïteitsplan geldt (5.29).
Datalekken
Section titled “Datalekken”Bij een datalek onderzoekt de directie of melding nodig is bij:
- de Autoriteit Persoonsgegevens (binnen 72 uur na ontdekking);
- de verwerkingsverantwoordelijke, als YipYip verwerker is (binnen de termijn uit de verwerkersovereenkomst);
- de betrokkenen.
Meldplicht
Section titled “Meldplicht”Alle medewerkers zijn verplicht gebeurtenissen te melden.
NEN7510 zorgspecifiek
Section titled “NEN7510 zorgspecifiek”- Z3 — Noodtoegang (break-the-glass): incident-gerelateerde noodtoegang tot patiëntgegevens
- Het proces is niet geoefend met een tabletop exercise; de ernstigste scenario’s (datalek met gezondheidsgegevens) zijn tot nu toe niet voorgekomen.
- Of de meldplicht in het personeelshandboek (Notion) staat, moet nog worden gecontroleerd (ISMS-386).
- Contactlijst autoriteiten ontbreekt (zie 5.05, ISMS-336).
Bewijs
Section titled “Bewijs”- Jira-project IMS: geregistreerde gebeurtenissen sinds 2019 (bijv. IMS-42)
- Werkwijze IMS:
tools/jira/incidents.md - Controleprogramma: C.11 (Jira ISMS)