Er bestaat een gedocumenteerd informatiebeveiligingsbeleid dat is goedgekeurd door het management.

De verantwoordelijkheden voor informatiebeveiliging zijn formeel binnen de organisatie toegewezen.

Het informatiebeveiligingsbeleid wordt volgens een vast schema herzien en bijgewerkt.

Informatiebeveiligingsdoelstellingen zijn gekoppeld aan bedrijfsrisico's en worden niet als een op zichzelf staand IT-aspect behandeld.

Vertrouwelijkheidsverplichtingen zijn opgenomen in arbeidsovereenkomsten of gelijkwaardige overeenkomsten.

Nieuwe medewerkers ontvangen tijdens de onboarding training in informatiebeveiligingsbewustzijn.

Er wordt regelmatig herhalingstraining gegeven aan alle medewerkers die toegang hebben tot gevoelige informatie.

Er bestaat een gedefinieerd proces voor het intrekken van toegang wanneer medewerkers vertrekken of van functie veranderen.

Een inventaris van informatieactiva (data, systemen en apparaten) wordt bijgehouden en actueel gehouden.

Activa worden geclassificeerd op basis van gevoeligheid (bijvoorbeeld openbaar, intern, vertrouwelijk of strikt vertrouwelijk).

De regels voor het behandelen en labelen van geclassificeerde informatie zijn gedocumenteerd en worden nageleefd.

Verwijderbare media en mobiele apparaten vallen onder gedefinieerde verwerkingsregels.

Toegang tot gebouwen en gevoelige gebieden wordt gecontroleerd, bijvoorbeeld met badges, bezoekersregistratie en begeleidingsregels.

Serverruimtes en datacenters hebben beperkte toegang, gescheiden van de algemene kantoortoegang.

De procedures voor een opgeruimd bureau en een opgeruimd scherm zijn gedefinieerd en worden nageleefd.

Milieurisico's zoals brand, water en stroomuitval worden aangepakt voor kritieke infrastructuur.

Gebruikerstoegang volgt het principe van minimale bevoegdheden en het principe van 'need-to-know'.

Toegangsrechten worden volgens een vast schema gecontroleerd en direct verwijderd wanneer ze niet langer nodig zijn.

Multifactorauthenticatie wordt gebruikt voor toegang op afstand en accounts met verhoogde privileges.

Versleuteling wordt toegepast op gevoelige gegevens in rust en tijdens transport, conform een gedefinieerde standaard.

Beveiligingsgebeurtenissen en relevante toegangsactiviteiten worden geregistreerd en gecontroleerd om ongeautoriseerde toegang tijdig te kunnen signaleren.

Informatiebeveiligingsvereisten zijn opgenomen in leveranciers- en onderaannemersovereenkomsten.

Derden met toegang tot gevoelige informatie worden beoordeeld voordat ze worden toegelaten.

Er bestaat een proces om de naleving door leveranciers van de overeengekomen beveiligingsvereisten continu te controleren.

Er bestaat een gedocumenteerd proces voor het rapporteren en afhandelen van incidenten met betrekking tot informatiebeveiliging.

Rollen en escalatiepaden voor incidentrespons zijn gedefinieerd en bekend bij het relevante personeel.

Er bestaan bedrijfscontinuïteits- en rampenherstelplannen voor kritieke systemen en processen.

Continuïteitsplannen worden getest of geoefend volgens een vastgestelde cyclus.

Er is een gegevensbeschermingskader van kracht dat is afgestemd op de toepasselijke privacywetgeving, bijvoorbeeld de AVG.

De verwerking van persoonsgegevens is gedocumenteerd, inclusief de wettelijke grondslag en bewaartermijnen.

Er bestaat een procedure voor het afhandelen van verzoeken van betrokkenen en datalekken met persoonsgegevens.

Er zijn waarborgen getroffen voor internationale overdrachten van persoonsgegevens, bijvoorbeeld standaardcontractbepalingen.