In te vullen door testteam

Project:
Behandeld door:
Datum:
Documentnummer:

Verwerkingsorganisatie

JA	NEE	NVT
Is de verwerking van vertrouwelijke gegevens (bijvoorbeeld de salarisrun) in aparte procedures ondergebracht, die alleen door daartoe bevoegde personen mogen worden uitgevoerd?

Gebruikersorganisatie

JA	NEE	NVT
Is er sprake van een duidelijke scheiding van functies, bevoegdheden en verantwoordelijkheden in de organisatie van de informatievoorziening?
Is een indeling gemaakt van documenten in een aantal klassen van vertrouwelijkheid?
Is op basis van deze indeling een beperking (en registratie) van de circulatie van geclassificeerde documenten tot bepaalde functionarissen geregeld?
Is er een autorisatieprocedure voor belangrijke documenten die de organisatie verlaten?
Is er sprake van controle achteraf namens de interne accountantsdienst op de uitvoering van de procedures aan de hand van geproduceerde informatie?
Wordt bij de beveiliging zowel aandacht gegeven aan de schriftelijke als de geautomatiseerd vastgelegde gegevens?
Wordt bij het verlenen van autorisatie de control technische functiescheiding gehandhaafd; wordt autorisatie verstrekt op basis van het "need-to-do" en "need- to-know" principe? (Sluit de logische toegang aan op de aanwezige Administratieve Organisatie (AO) schema's?)
Is functiescheiding aangebracht tussen:
Degene die gerechtigd is om functies binnen een informatiesysteem te gebruiken om gegevens te kunnen benaderen en/of te kunnen muteren (eindgebruikers)
Degene die bepaalt welke medewerkers toegang hebben tot welke functies (gegevens) en aan wie verantwoording moet worden afgelegd over de gerealiseerde toegangsmogelijkheden
Degene die verantwoordelijk is voor het daadwerkelijk autoriseren van de medewerkers tot functies (gegevens)?
Wordt bij het verlenen van autorisatie een onderscheid gemaakt tussen het invoeren, het wijzigen, het raadplegen en verwijderen van gegevens?
Wordt bij het verstrekken van gegevens aan derden (aan derden) en externe datacommunicatie rekening gehouden met de eisen van logische toegangsbeveiliging?
Is er een specifieke autorisatieprocedure aanwezig voor functionarissen belast met interne controle en/of beveiliging (bijvoorbeeld de systeembeheerder)?
Is de wijze waarop de logische toegangsbeveiliging is gerealiseerd adequaat beschreven?
Is er een procedure waarin de diverse acties zijn beschreven die dienen te worden uitgevoerd op basis van de toegangslogging c.q. de rapportage?
Valt het informatiesysteem onder de Wet Persoonsregistraties? Zo ja, is aan de wettelijke verplichtingen voldaan?

Functionele systeemarchitectuur

JA	NEE	NVT
Is in de productdocumentatie beschreven wat de mogelijkheden zijn ten aanzien van beveiliging?
Is hierbij expliciet aangegeven:
Wat de strategie, op basis van doelstellingen en bedreigingen, ten aanzien van beveiliging is?
Welke beveiligingsfunctionarissen er zijn?
Welke procedures ten aanzien van beveiliging moeten worden gevolgd om de functionaliteit optimaal te benutten?

Technische systeemarchitectuur

JA	NEE	NVT
Worden de mogelijkheden die bestaan om de toegang tot de (systeem)software, teksten en bestanden te beperken zo goed mogelijk benut?
Zijn binnen de toegangsbeveiliging de functionaliteiten ten behoeve van identificatie, authenticatie, autorisatie, logging en rapportage te onderkennen?
Kan bij het verlenen van autorisatie een onderscheid worden gemaakt tussen verantwoordelijkheden voor invoering, verwerking, correctie en controle?
Kan bij het verlenen van autorisatie een onderscheid worden gemaakt tussen het invoeren, het wijzigen, het raadplegen en het verwijderen van gegevens?
Wordt bij externe datacommunicatie rekening gehouden met de eisen van(logische) toegangsbeveiliging?
Worden de wachtwoorden door de gebruikers zelf onderhouden en is de gebruiker zelf verantwoordelijk voor het gebruik van zijn user-id en wachtwoord?
Is er een (technische) procedure aanwezig die ervoor zorgt dat wachtwoorden periodiek worden gewijzigd?
Heeft het wachtwoord een minimale lengte van zes tekens en is het mogelijk voor de samenstelling van het wachtwoord gebruik te maken van alle op het toetsenbord aanwezige tekens?
Is er sprake van een maximaal aantal mogelijke pogingen om in te loggen?
Vindt de invoer en eventueel de uitvoer (vastlegging) van wachtwoorden op een dusdanige wijze plaats dat daaruit geen herkenning voor derden kan plaatsvinden?
Wordt de toegangsbeveiliging niet doorbroken door het gebruik van query-talen?
Worden door middel van logging de onjuiste pogingen tot het gebruik geregistreerd?
Wordt overschrijding van het maximaal aantal onjuiste pogingen tot gebruik gevolgd door blokkade?
Zijn er maatregelen genomen die ervoor zorgen dat de periode waarin de terminal vrij toegankelijk is wordt beperkt (bijvoorbeeld automatische "log-off")?
Is er ten behoeve van de beveiliging een specifiek pakket aanwezig en in gebruik?
Wordt het geheugen na gebruik leeggemaakt?
Zijn de deelsystemen gedeconcentreerd?
Wordt de gegevensverwerking dubbel uitgevoerd?

Gegevensinfrastructuur

JA	NEE	NVT
Zijn de gegevensbestanden versleuteld?
Worden de gegevens die over het netwerk worden verstuurd versleuteld?
Is de gegevensopslag gedeconcentreerd?
Fysieke beveiligingsmaatregelen?
Hebben het bedrijfsterrein en de gebouwen een gecontroleerde toegang?
Is het rekencentrum alleen toegankelijk voor het personeel van het rekencentrum?

Productieomgeving

JA	NEE	NVT
Wordt ten behoeve van de testomgeving en de productie-omgeving gebruik gemaakt van een verschillende identificatie (user-id) en authenticatie?