Informatiebeveiliging en certificering
Marktvoorzieningen en gemachtigde partijen vervullen in het DSGO een belangrijke rol waarin ze namens andere partijen in ecosysteem handelen. In het uitvoeren van deze rol verwerken ze o.a. data van derden. Daarom is het essentieel dat partijen in het ecosysteem kunnen vertrouwen op de informatiebeveiliging van marktvoorzieningen. Om dit vertrouwen te creëren, is het van belang om te valideren dat marktvoorzieningen en gemachtigde partijen de risico’s van informatiebeveiliging minimaliseren. In het DSGO wordt dit gevalideerd door een ISO 27001 certificering inclusief het normenkader DSGO.
Bij het toetreding van een marktvoorziening of gemachtigde partij wordt gevalideerd of de partij ISO 27001 gecertificeerd is door een onafhankelijke en daartoe geaccrediteerde partij, inclusief het DSGO normenkader. Voor meer informatie zie Rol-gerelateerde validatie marktvoorziening en gemachtigde partij.
ISO 27001
ISO 27001 is een internationaal erkend en veel gebruikte norm op het gebied van informatiebeveiliging. De norm specificeert eisen voor het vaststellen, implementeren, uitvoeren, controleren, beoordelen, bijhouden en verbeteren van een gedocumenteerd Information Security Management System (ISMS) in het kader van de algemene bedrijfsrisico's voor de organisatie. De ISO 27001 certificering (met inbegrip van het DSGO normenkader) moet uitgevoerd worden door een hiertoe geaccrediteerde auditor.
Marktvoorzieningen en gemachtigde partijen MOETEN een geldige ISO 27001 certificering hebben
Normenkader DSGO
Het normenkader DSGO voegt inhoudelijke normen toe aan de algemeen geformuleerde normen uit de ISO 27001 certificering. Het normenkader DSGO bestaat uit twee delen: een gemeenschappelijk normenkader die voor alle marktvoorzieningen en gemachtigde partijen van toepassing is, en een rol-gerelateerd normenkader met onder andere verschillende betrouwbaarheidsniveaus.
Marktvoorzieningen en gemachtigde partijen zouden in haar ISO 27001 certificering het normenkader DSGO mee moeten nemen. Een certificering voor ISO27001 inclusief DSGO normenkader kan alleen worden uitgevoerd worden door een onafhankelijke gespecialiseerde partij.
De marktvoorziening of gemachtigde partij mag als alternatief op certificering op het DSGO normenkader gedeelte ook een zelfverklaring afleggen. Onderdeel van de zelfverklaring is een ingevulde versie van het normenkader waarin de score en de toelichting per onderdeel is gespecificeerd.
Marktvoorzieningen en gemachtigde partijen MOETEN voldoen aan het gemeenschappelijke normenkader
Marktvoorzieningen en gemachtigde partijen MOETEN voldoen aan het rol-gerelateerde normenkader voor haar rol
Authenticatiediensten MOETEN voldoen aan minstens één van de betrouwbaarheidsniveaus uit het Normenkader Authenticatiensten
Authenticatiediensten MOETEN haar betrouwbaarheidsniveau communiceren aan haar gebruikers bij aanvraag en tijdens het gebruik van haar dienst
Marktvoorzieningen en gemachtigde partijen ZOUDEN in haar ISO 27001 certificering het normenkader DSGO mee MOETEN nemen. Indien dit niet gebeurt, dan MOET een zelfverklaring op het geldende normenkader afgelegd worden.
Het normenkader DSGO is hier te downloaden:
Merk op, op dit moment is er geen normenkader voor autorisatieregisters gedefineerd. Binnen DSGO wordt voor de marktvoorziening autorisatieregister de meest recente versie van het Assessment Framework van iSHARE gehanteerd.
Leeswijzer normenkader
Het normenkader DSGO bevat vijf tabbladen:
De introductie bevat informatie hoe een partij het normenkader dient te lezen en hoe deze in te vullen. Ook wordt het normenkader in context geplaatst.
Het gemeenschappelijk normenkader geldt voor alle marktvoorzieningen en gemachtigde partijen; zij dienen aan alle normen te voldoen.
Drie rol-gerelateerde normenkaders: hier kunnen verschillende normen voor verschillende rollen gelden. Partijen hoeven enkel het normenkader voor de rol waarin ze toetreden te voldoen.
Merk op dat voor de authenticatiedienst verschillende betrouwbaarheidsniveaus erkent worden: eH2+, eH3 en eH4. De eisen van deze normen zijn ‘gestapeld’. Dat betekent dat eisen op een lager betrouwbaarheidsniveau van toepassing zijn op hogere betrouwbaarheidsniveaus tenzij anders is aangegeven. (toekomstige) authenticatiediensten dienen aan alle eisen die van toepassing zijn te voldoen om een betrouwbaarheidsniveau te realiseren.