BIO-koppeling laten maken
De Baseline Informatiebeveiliging Overheid, de BIO, is het normenkader voor informatiebeveiliging bij gemeenten, provincies, waterschappen en het Rijk. Een koppeling tussen twee systemen is precies de plek waar gegevens de organisatie verlaten, en dus waar een auditor kijkt. Appfront bouwt koppelingen die aan de BIO voldoen: versleuteld, met toegang per koppeling, met logging die een audit doorstaat, en met de onderbouwing die u bij de verantwoording nodig hebt.
Wat is een koppeling volgens de BIO?
De BIO is het gezamenlijke normenkader voor informatiebeveiliging van de Nederlandse overheid. De nieuwe versie, BIO2, is opgebouwd volgens de internationale normen ISO 27001 en ISO 27002, met maatregelen die voor de hele overheid gelden. De BIO staat op de lijst van standaarden die overheden moeten toepassen, tenzij ze uitleggen waarom niet.
Bij een koppeling komt veel van de BIO samen. Wie mag de koppeling gebruiken, hoe zijn de gegevens onderweg beschermd, wordt vastgelegd wat er is uitgewisseld, en worden alleen de gegevens gedeeld die nodig zijn. Koppelingen die ooit snel zijn gemaakt, met een gedeeld wachtwoord en zonder logging, vallen bij een audit als eerste op.
Wij bouwen koppelingen waarbij die vragen vooraf zijn beantwoord. We leggen per koppeling vast welke maatregelen van toepassing zijn en hoe ze zijn ingevuld, zodat u bij de verantwoording kunt laten zien wat er is gedaan. Welke maatregelen voor uw situatie gelden, hangt af van uw risicoafweging, en die maken we samen met uw informatiebeveiliger.
Beveiligd onderweg
Versleuteld en per koppeling afgeschermd.
Aantoonbaar
Logging die een audit doorstaat.
Onderbouwd
Per maatregel vastgelegd.
Hoe wij uw koppeling volgens de BIO bouwen
We beginnen bij de koppeling zelf: welke systemen praten met elkaar, welke gegevens gaan er over, hoe gevoelig zijn die, en wie moet erbij kunnen. Daarna bepalen we samen met uw informatiebeveiliger welke maatregelen uit de BIO van toepassing zijn, en hoe we ze invullen. Dan bouwen we de koppeling, met versleuteling, toegang per systeem, logging en bewaking. Bij de oplevering krijgt u per maatregel een onderbouwing voor uw verantwoording. Daarna houden we de koppeling bij, vernieuwen we certificaten op tijd, en passen we hem aan als de BIO of uw systemen veranderen.
Systemen, gegevens en gevoeligheid.
Samen met uw informatiebeveiliger.
Versleuteld, beperkt, gelogd.
Onderbouwing, bewaking en onderhoud.
Wat een koppeling volgens de BIO concreet doet
De onderdelen hieronder komen bij vrijwel elke koppeling volgens de BIO terug. Welke maatregelen u nodig hebt, volgt uit uw risicoafweging.
Versleuteling
Onderweg en in opslag.
Toegang per koppeling
Alleen wie het nodig heeft.
Logging
Wie, wat en wanneer.
Bewaking
Afwijkingen gemeld.
Sleutelbeheer
Certificaten op tijd vernieuwd.
Onderbouwing
Per maatregel vastgelegd.
Voor wie wij een koppeling volgens de BIO bouwen
Deze aanpak is bedoeld voor overheidsorganisaties die koppelingen laten bouwen of verantwoorden, en voor leveranciers die aan hen leveren.
Gemeenten
Veel koppelingen. Verantwoording telt.
Provincies en waterschappen
Eigen systemen en ketens. Overzicht telt.
Uitvoeringsorganisaties
Gevoelige gegevens. Toegang telt.
Leveranciers
Leveren aan de overheid.
Technologie en koppelingen
Deze pagina gaat over koppelingen tussen systemen. Gaat het om de applicatie zelf, dan is er onze pagina over BIO-compliant software, voor zaakgericht werken onze pagina over de ZGW API-koppeling, en voor het inloggen van inwoners onze pagina over de DigiD-koppeling. Onze werkwijze leest u op software laten maken.
Waarom Appfront voor uw koppeling volgens de BIO?
Koppelingen met gedeelde wachtwoorden, zonder logging en met meer gegevens dan nodig, zijn bij een audit een bevinding en bij een incident een risico. Daar bouwen we op: beveiligd onderweg, aantoonbaar wat er is uitgewisseld, en per maatregel onderbouwd.
Geen bevindingen
Maatregelen vooraf ingevuld.
Minder risico
Alleen wat nodig is.
Snel verantwoord
Onderbouwing klaar.
Security en privacy bij een koppeling volgens de BIO
Een koppeling volgens de BIO verwerkt per definitie gegevens die bescherming nodig hebben, soms bijzondere persoonsgegevens. We delen alleen de gegevens die nodig zijn, versleutelen ze onderweg en in opslag, beperken toegang per koppeling, en leggen elk bericht vast.
De koppeling draait in een Europees datacenter of in de omgeving van uw organisatie. We leggen de verwerking vast in een verwerkersovereenkomst, en u krijgt de onderbouwing die u voor uw eigen verantwoording nodig hebt.
Veelgestelde vragen over een koppeling volgens de BIO
Vragen die overheidsorganisaties stellen voordat ze hiermee beginnen.
De Baseline Informatiebeveiliging Overheid is het normenkader voor informatiebeveiliging van gemeenten, provincies, waterschappen en het Rijk. De nieuwe versie, BIO2, is opgebouwd volgens ISO 27001 en ISO 27002, met maatregelen die voor de hele overheid gelden.
Omdat gegevens bij een koppeling de organisatie verlaten of binnenkomen. Wie mag erbij, hoe zijn de gegevens onderweg beschermd, en is terug te vinden wat er is uitgewisseld: dat zijn vragen die een auditor bij koppelingen stelt.
Onze pagina over BIO-compliant software gaat over de applicatie zelf: hoe die is gebouwd, beheerd en beveiligd. Deze pagina gaat over de koppelingen tussen systemen. Ze sluiten op elkaar aan, en vaak bouwen we ze samen.
Voor de BIO bestaat geen certificaat per koppeling. U verantwoordt zelf hoe u de maatregelen hebt ingevuld. Wij leveren daarvoor per koppeling een onderbouwing: welke maatregelen van toepassing zijn, hoe ze zijn ingevuld, en waar dat te zien is.
Ja. We beginnen met een inventarisatie van uw koppelingen en zien waar gedeelde wachtwoorden, ontbrekende logging of te veel gegevens zitten. Daarna verbeteren we de koppelingen waar het meeste risico zit, zonder dat de uitwisseling stilvalt.
U, met uw informatiebeveiliger, op basis van uw risicoafweging. Wij denken mee en vullen de maatregelen in de koppeling in. Zo blijft de verantwoordelijkheid waar hij hoort, en is de techniek in orde.
De bewaking signaleert afwijkend gebruik, zoals ongewone hoeveelheden of tijden, en meldt het. Omdat elke aanvraag wordt gelogd met wie, wat en wanneer, is na een incident terug te vinden wat er is gebeurd.
Koppelingen die een BIO-audit doorstaan?
Vertel ons welke systemen met elkaar moeten praten en welke gegevens er overgaan. We laten zien welke maatregelen van toepassing zijn en hoe de koppeling eruitziet.