Antwoord

Achtergrond van de vraag:
In de afgelopen jaren is het aantal aanvallen op informatiesystemen toegenomen, en de eisen voor gegevensbescherming worden strenger door de wet. Bedrijven vereisen een uitgebreide encontinue beheersing van beveiligingskwesties gedurende de gehele levenscyclus van het product.

Probleem:
Niet-functionele beveiligingseisen worden vaak onduidelijk geformuleerd of zonder aanpassing gekopieerd uit standaarden. Dit leidt tot hoge risico's, herhalingen of onuitvoerbare taken voor het IT-team.

Oplossing:
De analist moet:

1. De normatieve omgeving begrijpen (bijvoorbeeld GDPR, FZ-152, ISO/IEC 27001) en deze aanpassen aan de behoeften van het project.
2. Tijdens interviews met IB-experts specifieke bedreigingen en eisen vastleggen (versleuteling, audit, toegangscontrole).
3. Eisen decomposeren in een formaat dat geschikt is voor architecten en ontwikkelaars (heldere beveiligingscriteria, wachtwoordbeleid, eisen voor logging en rapportage).
4. Technische maatregelen afstemmen met het team, zodat deze kunnen worden uitgevoerd zonder de processen te blokkeren.

Belangrijke kenmerken:

• Verplicht overleg met beveiligingsexperts
• Vertaling van normatieve eisen naar technisch uitvoerbare taken
• Ondersteuning van de documentatie in actuele staat

Gevaarlijke vragen.

Kun je volledig vertrouwen op checklisten van IB bij het opstellen van eisen?

Checklists zijn nuttig als startpunt, maar bestrijken niet alle zakelijke bijzonderheden. Beveiligingseisen moeten per project individueel worden besproken.

Is een beveiligingsaudit verplicht voor alle delen van het systeem?

Sommige modules verwerken mogelijk geen gevoelige gegevens of zijn intern. Echter, risicobeoordeling is verplicht voor de gehele oplossing. Het principe van minimaal noodzakelijke toegang wordt geïmplementeerd.

Moet je proberen om beveiligingseisen voor 100% te implementeren?

Over het algemeen worden de meest kritische maatregelen uitgevoerd, in overeenstemming met de gegevensclassificatie en het dreigingsniveau. "Absolute beveiliging" is een mythe; compromissen zijn onvermijdelijk, het is belangrijk om risico's te beheren.

Typische fouten en antipatterns

• Formeel kopiëren van eisen zonder rekening te houden met de bijzonderheden
• Onvoldoende detaillering (bijvoorbeeld, "gebruik versleuteling" zonder standaardbepalingen)
• Ontbreken van regelmatige herziening van de beveiliging bij wijzigingen in het systeem

Voorbeeld uit het leven

Negatieve situatie: De eisen van IB werden gereduceerd tot de status "voldoen aan de ISO-norm" en de instellingen voor versleuteling van de gegevensoverdracht werden vergeten. Resultaat: incident, boete. Voordelen: Documentatie snel opgesteld. Nadelen: Feitelijke kwetsbaarheid en problemen tijdens de audit.

Positieve situatie: De analist betrok een IB-specialist, voerde een sessie voor bedreigingsanalyse uit, documenteerde de eisen in de vorm van acceptatiecriteria. Alle maatregelen zijn afgestemd en uitvoerbaar. Voordelen: Beveiliging is gerealiseerd, audit succesvol doorlopen. Nadelen: Meer tijd en moeite nodig voor afstemming.