Application security requirements

Wat we doen

Beveiligingseisen worden bij de start van een project vastgelegd in de IB-paragraaf van de PRD. Daarin komen aan de orde:

• Authenticatie en autorisatie – welke login-methode, welke rollen en rechten
• Dataclassificatie – welke gegevens verwerkt de app: openbaar, intern of vertrouwelijk (zie 5.12)
• Privacy – welke persoonsgegevens, AVG-grondslag, verwerkingsregister
• Zorgspecifiek – bij zorgprojecten: is het product een medisch hulpmiddel, en de kick-off-checklist (zie Z4)
• Input/output – validatie-eisen voor data-invoer en -weergave
• Integraties – koppelingen met externe systemen, API-beveiliging

Privacy by design

Kernregel: geen echte persoonsgegevens in het ontwerpproces. Wireframes, mockups, Figma-ontwerpen en usability tests gebruiken uitsluitend dummy-data. Dit voorkomt dat echte data (zeker gezondheidsinformatie) in breed gedeelde ontwerpdocumenten terechtkomt.

Ontwerpproces

• UX: wireframes en gebruikersstromen met aandacht voor beveiligingsinteracties (login, consent, 2FA)
• UI: visuele uitwerking inclusief classificatielabels en beveiligingsindicatoren
• Tooling: Figma als centraal platform. Klanten krijgen view/comment-rechten, geen edit.
• Review: ontwerp wordt gereviewd op beveiligingseisen voor overdracht aan development

Verantwoordelijkheden

• Creative Director – eindverantwoordelijk voor beveiligingseisen in het ontwerpproces
• UX/UI Designers – privacy by design toepassen, alleen dummy-data
• Project Manager – beveiligingseisen vastleggen in de PRD bij kick-off
• DevOps Lead – technische beveiligingseisen aanleveren

Gaps

• De kick-off-checklist (incl. vraag medisch hulpmiddel en toegangsmatrix) wordt nog niet ingevuld; actualisatie en invoering via ISMS-389 (zie 5.08). Tot die tijd hangt de volledigheid van de IB-paragraaf af van de ervaring van de projectleden.
• OWASP ASVS wordt als referentie genoemd maar niet structureel als checklist ingezet.

Bewijs

• Figma team workspace (UX/UI-ontwerpen per project)
• PRD per project (IB-paragraaf)