Opmerking: 

Wegens het auteursrecht kan ik u het wachtwoord van de aangepaste checklist voor deel I alleen toezenden indien u het boek 'Checklist Informatiebeveiliging' van het GvIB in uw bezit hebt. Bij dat boek zit achterin een diskette met daarop de in dat boek besproken checklist als Word en als PDF bestand. Als u dat boek gekocht hebt dan kunt u een door de auteur gemodificeerde versie van die checklist downloaden. In die versie zijn kolommen voor G(edeeltelijk) en O(nbekend) toegevoegd en is een aantal fouten weggenomen. Het Excel spreadsheet met de verwerking van de Self Assessment van deel I van de CvIB gaat uit van de gemodificeerde checklist. Voor de toegang tot de met een wachtwoord beveiligde bestanden moet JavaScript in uw webbrowser enabled zijn.

Om in het bezit te komen van het wachtwoord om de gemodificeerde checklist te kunnen downloaden moet u mij een bewijs per e-mail zenden waarmee u mij overtuigt dat u het GvIB boek inderdaad in uw bezit heeft. U moet mij bijvoorbeeld een kopie van de factuur toezenden of u zendt mij het bestand 'ChecklistWord.doc' welke u op de diskette bij het GvIB boek aantreft. Ik zend u dan per omgaande het wachtwoord.

Aanvullingen op bijlage 1:

• Classificatie schema's uit ENV 12924 (Behulpzaam bij 4.3.2.1 van deel II van de CvIB en bij de afhankelijkheidsanalyse).
• Operationally Critical Threat, Asset, and Vulnerability Evaluation™ (OCTAVE) (Nieuwe risicoanalyse methodiek).
• Website waar de CobiT Audit Guidelines te downloaden zijn.
• Auerbach Publications; handboeken (o.a. over het maken van policies) en artikelen over informatiebeveiliging.
• The SANS Security Policy Project ('Everything you need for rapid development and implementation of information security policies').
• Informatie van de NGI Afdeling computerrecht onder andere m.b.t. privacy en computercriminaliteit.
• Artikel van ZBC Consultants over de invoering van het VIR (Checklists voor A&K-analyse, opstellen beleid etc.). 
• Bijlage 1 als HTML pagina met alle links direct toegankelijk.
• Lid worden van de BS7799 mailing list (UK): bs7799-uk-subscribe@yahoogroups.com.

• Boek over Standaardisatie, normalisatie en certificering. Beschrijft de afweging tussen standaard en maatwerk.

  Standaardisatie & Normalisatie

  H.J. de Vries en C.A.J. Simons

  Academic Service

  ISBN 90 5261 430 X

  "Als een bedrijf kiest voor een standaardoplossing, dan wordt bij voorkeur gebruik gemaakt van externe normen, omdat dan zowel binnen als buiten het bedrijf de kans op begrip en acceptatie het grootst is."

• Website van Deloitte & Touche Enterprise Risk Services (Self-assessment tegen de belangrijkste maatregelen uit de CvIB).
• ISO TR 13569:1997 ('Banking and related financial services- Information security guidelines') beschrijft het management, de organisatie, het risicomanagement en de noodzakelijke maatregelen voor de financiële sector. De vermoedelijk dit jaar te verschijnen update is goed te matchen met ISO 17799. Die matrix wordt hier binnenkort opgenomen.
• Self assessment tegen ISO 17799 inclusief benchmarking: Security Management Index.
• Van dezelfde organisatie: de Information Security Awareness Index.
• Case study van een grote leverancier van medische artikelen uit de USA over ISO 17799 implementatie.
• Dhr. Thomas R. Peltier (Netigy Corp.) heeft een eenvoudige (Engelstalige) checklist voor ISO 17799 ontwikkeld. In 127 vragen wordt uw compliance tegen ISO 17799:2000 gemeten. U kunt hem middels een e-mail om deze checklist vragen. Hij heeft ook een boek over (onder andere) ISO 17799 implementatie geschreven (Binnenkort hier een review):
  
  "Information Security Policies, Procedures, and Standards: Guidelines for Effective Information Security Management"
  
  CRC Press: catalogusnummer AU1137, inclusief verzendkosten en VAT, een week levertijd: £ 48.99 (± € 76.94)
  Amazon.com: ISBN 0849311373, inclusief verzendkosten, exclusief BTW, twee tot drie weken levertijd: $ 56.95 (± € 57.70)
  
  
• IT Security Cookbook; "a 'self help' guide to computer & network security".
• Nederlandse ICT wetgeving; Recht.NL.
• In bijlage 1 wordt de URL genoemd van het NIST (National Institute of Standards and Technology). Op de website zijn inmiddels veel meer, recent verschenen zeer nuttige documenten aanwezig. Naast de grote hoeveelheden technische richtlijnen (FIPS, 500-serie, 800-serie), zijn de volgende documenten nuttig bij de formulering van beleid, het uitvoeren van de risicoanalyse en bij het beveiligingsontwerp:

  SP 800-12 An Introduction to Computer Security: The NIST Handbook
  SP 800-18 Guide for Developing Security Plans for Information Technology Systems
  SP 800-26 Security Self-Assessment Guide for Information Technology Systems
  SP 800-27 Engineering Principles for Information Technology Security
  SP 800-30 Risk Management Guide for Information Technology Systems
  SP 800-33 Underlying Technical Models for Information Technology Security
  SP 800-34 Contingency Planning Guide for Information Technology Systems
  SP 800-47 Security Guide for Interconnecting Information Technology Systems

• CMG biedt een risico asessment dienst/workshop/product aan onder de naam IRIS.
• Binnenkort hier te raadplegen een assessment methodiek volgens het INK model. U bent daarmee in staat te bepalen waar de bottle-neck bij uw BS7799 implementatietraject zal liggen.
• Begin 2003 zal een publicatie verschijnen over de juridische aspecten in de CvIB:2000. Hiermee wordt de belofte op blz. 2 van deel I van de CvIB:2000 nagekomen. Daar staat namelijk:

  "Vanwege de vertaling sluiten juridisch-organisatorische aspecten, zoals die in de tekst verwoord zijn, met name in hoofdstuk 12, niet altijd aan bij de Nederlandse bedrijfsvoering en juridische praktijk. Hier zal separaat een speciale uitgave aan gewijd worden."

De verwachting is dat er geen grote problemen zullen zijn.
• CPA (Continuity Planning Associates - Weesp) heeft een gratis boekje 'Guide to Business Continuity Planning' uitgegeven, voor meer informatie kunt u een e-mail zenden.
• Een drietal consultants van Het Expertise Centrum heeft een publicatie (.pdf bestand) geschreven genaamd 'Informatiebeveiliging voor de overheid; een praktische aanpak'. Het boekje beschrijft een praktische aanpak voor informatiebeveiliging en geeft praktische adviezen. Een aanrader.

Errata:

• Overzicht van onjuistheden in de CvIB:2000 (PDF bestand).
• Op blz. 33 staat onder figuur 2.3 'JTJL' waar dit 'ITIL' moet zijn.
• Op blz. 119 staat in de tweede zin onder figuur 7.1 geen spatie tussen 'de' en 'continuïteitsplanning'.
• ...

Heeft u een fout in het boek ontdekt zend dan een e-mail aan de auteur (zie link onderaan de pagina).

5

Veel gestelde vragen:

• Wanneer verschijnt het boek?
• Is het boek wel recent; binnenkort verschijnt toch een nieuwe versie van BS7799 Part 2?
• Waar vind ik meer informatie?
• Hoe word ik lid van de normcommissie?
• Welke bedrijven zijn al gecertificeerd?
• Welke andere certificeerders zijn er?
• Hoe ziet een certificaat er uit?
• Wat kost certificering?
• Wie kan mij helpen met invoering van de CvIB?
• Waarom is er een ISO, een BS en een NEN versie?
• Hoe heten de teckels?

5

Over de auteur:

Ing. Ernst J. Oud CISA is projectleider geweest bij een aantal projecten waarin de Code voor Informatiebeveiliging met succes is ingevoerd. Daarnaast adviseerde hij als senior consultant business continuity organisaties met vraagstukken op het gebied van ICT continuïteit. Op dit moment is hij werkzaam als IT Security Officer bij Urenco Nederland B.V. in Almelo; een BS7799 gecertificeerd industrieel productiebedrijf. 

Dhr. Oud is lid van de NEN normcommissie 381027 en het Centraal College van Deskundigen - Informatiebeveiliging. Beide spelen een belangrijke rol bij de Code voor Informatiebeveiliging in Nederland. Daarnaast is hij docent van de NEN cursus informatiebeveiliging en kerndocent voor de module Service Continuity Management bij de masters opleiding informatiebeveiliging Euforce aan de TU Eindhoven.

 Zend een e-mail aan de auteur of  ga naar zijn homepage.

(c) 2002, Ernst J. Oud    ---    Versie 0.2 - 15 november 2002