Voorbeeld. praktijkrichtlijn NPR Computerruimtes en datacenters - Deel 3-2: Eisen en classificatie - Beveiliging. Preview.

Transcriptie

1 Nederlandse Ontwerp praktijkrichtlijn NPR Computerruimtes en datacenters - Deel 3-2: Eisen en classificatie - Beveiliging Publicatie uitsluitend voor commentaar Computer rooms and data centres - Part 3-2: Requirements and classification - Security april 2013 ICS ; ; ; Commentaar vóór Dit document mag slechts op een stand-alone PC worden geinstalleerd. Gebruik op een netwerk is alleen. toestaan als een aanvullende licentieovereenkomst voor netwerkgebruik met NEN is afgesloten. This document may only be used on a stand-alone PC. Use in a network is only permitted when a supplementary license agreement for us in a network with NEN has been concluded. Normcommissie Computerruimtes en datacenters" THIS PUBLICATION IS COPYRIGHT PROTECTED DEZE PUBLICATIE IS AUTEURSRECHTELIJK BESCHERMD Apart from exceptions provided by the law, nothing from this publication may be duplicated and/or published by means of photocopy, microfilm, storage in computer files or otherwise, which also applies to full or partial processing, without the written consent of the Netherlands Standardization Institute. The Netherlands Standardization Institute shall, with the exclusion of any other beneficiary, collect payments owed by third parties for duplication and/or act in and out of law, where this authority is not transferred or falls by right to the Reproduction Rights Foundation. Auteursrecht voorbehouden. Behoudens uitzondering door de wet gesteld mag zonder schriftelijke toestemming van het Nederlands Normalisatie-instituut niets uit deze uitgave worden verveelvoudigd en/of openbaar gemaakt door middel van fotokopie, microfilm, opslag in computerbestanden of anderszins, hetgeen ook van toepassing is op gehele of gedeeltelijke bewerking. Het Nederlands Normalisatie-instituut is met uitsluiting van ieder ander gerechtigd de door derden verschuldigde vergoedingen voor verveelvoudiging te innen en/of daartoe in en buiten rechte op te treden, voor zover deze bevoegdheid niet is overgedragen c.q. rechtens toekomt aan de Stichting Reprorecht. Although the utmost care has been taken with this publication, errors and omissions cannot be entirely excluded. The Netherlands Standardization Institute and/or the members of the committees therefore accept no liability, not even for direct or indirect damage, occurring due to or in relation with the application of publications issued by the Netherlands Standardization Institute. Hoewel bij deze uitgave de uiterste zorg is nagestreefd, kunnen fouten en onvolledigheden niet geheel worden uitgesloten. Het Nederlands Normalisatie-instituut en/of de leden van de commissies aanvaarden derhalve geen enkele aansprakelijkheid, ook niet voor directe of indirecte schade, ontstaan door of verband houdend met toepassing van door het Nederlands Normalisatie-instituut gepubliceerde uitgaven Nederlands Normalisatie-instituut Postbus 5059, 2600 GB Delft Telefoon (015) , Fax (015)

2 Inhoud Voorwoord Onderwerp en toepassingsgebied... 4 Onderwerp... 4 Toepassingsgebied... 4 Verwijzingen... 4 Termen, definities en afkortingen... 5 Termen en definities... 5 Afkortingen Introductie van beveiliging Inleiding Doelstellingen Brand, inbraak Eisen en classificatie Soorten maatregelen Uitgangspunten voor eisen aan en classificatie van beveiliging Bouwbesluit Risicomanagement Informatiebeveiliging Integraal Beveiligingszone Bedrijfsvoering Commissioning Model, methode en integraal beveiligingsplan Generiek model Plan Do Check Act Bepalen van risicoklasse brandveiligheid Model IBB Inspectieregime Risicoklasse Risicoklasse Risicoklasse Risicoklasse Risicoklasse Bepalen van risicoklasse inbraakveiligheid Regeling VRKI Beveiligingsmatrix Risicoklasse Risicoklasse Risicoklasse Risicoklasse Bijlage A Toelichting op het schillen-concept Bijlage B BIO-maatregelen voor brandveiligheid Bijlage C BIO-maatregelen voor inbraakveiligheid Bibliografie

3 Voorwoord In de serie Nederlandse praktijkrichtlijnen verschijnen publicaties van informatief karakter, zoals toelichtingen op normen, constructieve mogelijkheden, werkmethoden en fabricagegegevens. Aan deze publicaties mag geen normatieve waarde worden toegekend. Dit ontwerp is opgesteld door de werkgroep beveiliging van de normcommissie Computerruimtes en datacenters. Op het ogenblik van publicatie van dit ontwerp bestond de werkgroep uit de volgende leden: M. de Boer Wagner Nederland B.V., Utrecht J. den Boer Hi-safe systems, Dordrecht R. Burcken Grontmij BV, Rotterdam E. Franssen Grontmij BV, Rotterdam R. van Mierlo Efectis Nederland B.V., Rijswijk S.P. Mulder Ajax Chubb Varel Security B.V., Amsterdam G. Noord Marsh Risk Consulting B.V., Rotterdam G. van Oosteren Fire Technology BV, Nijmegen D. Pot Centrum Criminaliteitspreventie en Veiligheid, Utrecht S. Sprangers IVENT, Min. van Defensie, Maasland B. v.d. Wal Kenteq, Hilversum J.M. Wiersma EvoSwitch, Haarlem Commentaar op dit ontwerp kan vóór worden ingediend via 3

4 Computerruimtes en datacenters Deel 3-2: Eisen en classificatie Beveiliging 1 Onderwerp en toepassingsgebied 1.1 Onderwerp NPR geeft aanwijzingen ten aanzien van eisen aan en classificatie van beveiliging. De volgende aspecten komen hierbij aan bod: introductie van beveiliging; uitgangspunten voor opstellen van eisen, en classificatie; model, methode en integraal beveiligingsplan (IPB); model en methode voor bepalen van risicoklasse brandveiligheid; model en methode voor bepalen van risicoklasse inbraakveiligheid; specificaties van twee risicoklasse-indelingen. 1.2 Toepassingsgebied NPR is te gebruiken door eigenaren, managers, adviseurs, architecten en ontwerpers van computerruimtes en datacenters. Met behulp van een zelfde terminologie kunnen zij eenduidig hun zorgen verwoorden en hun ambities en wensen kenbaar maken ten aanzien van brandveiligheid en inbraakveiligheid die hierdoor kunnen worden vertaald in een programma van eisen (PvE). Aanbiedingen gericht op functionaliteit van een computerruimte of datacenter kunnen hiermee eenduidig met elkaar worden vergeleken. Afbakening Maatregelen in programmatuur (software) van IT-apparatuur en, netwerken telecommunicatieapparatuur, vallen niet onder de verantwoordelijkheid van de manager gebouw faciliteiten, maar onder de verantwoordelijkheid van de managers automatisering en informatievoorziening. Het overdrachtspunt van verantwoordelijkheid voor inbraakveiligheid van IT-apparatuur ligt op het vlak tussen faciliteiten en infrastructuren en de fysieke toegang tot de hierop aangesloten IT-apparatuur. Inbraakveiligheid kan ook worden beïnvloed door de netwerk- en telecommunicatieapparatuur, de software of de keuze voor virtualisatie en/of meerdere computerruimtes of datacenters. 2 Verwijzingen De volgende documenten waarnaar is verwezen zijn onmisbaar voor de toepassing van dit document en kunnen worden geraadpleegd. Bij gedateerde verwijzingen is alleen de aangehaalde versie van toepassing. Bij ongedateerde verwijzingen is de laatste versie van het document (met inbegrip van wijzigings- en correctiebladen) waarnaar is verwezen van toepassing. NEN-EN 2 Brandklassen NEN-EN Information technology Data centre facilities and infrastructures Part 1: General concepts 4

5 NEN-ISO/IEC NEN-ISO/IEC Informatietechnologie Beveiligingstechnieken Managementsystemen voor informatiebeveiliging Eisen Information technology Security techniques Information security management systems Information Security Risk Management NEN-ISO/IEC NEN-ISO/IEC CCV-IBB VRKI 2012 Information technology Security techniques Guidelines for information and communication technology readiness for business continuity Riskmanagement Risk assessment techniques Model voor Integrale Brandveiligheid Bouwwerken Verbeterde risicoklassenindeling (VRKI 2012) voor woningen en bedrijven 3 Termen, definities en afkortingen 3.1 Termen en definities Voor de toepassing van dit document gelden de volgende termen en definities actor natuurlijk persoon of rechtspersoon in een procesgebonden rol autorisatie proces waarin een subject (persoon of proces) rechten krijgt op het benaderen van een object, een bestand of een systeem bedrijfsmodel model van bepaalde aspecten van een organisatie bedrijfsvoering sturing en beheersing van zowel alle primaire als alle ondersteunende processen binnen een organisatie OPMERKING Bedrijfsvoering heeft betrekking op alle levensfasen, processen en taken gedurende de levensduur van een computerruimte of datacenter beschikbaarheid availability uptime hoeveelheid tijd per jaar of een percentage van het aantal uren in een jaar, waarbij de faciliteiten en infrastructuren van een datacenter, computerruimte of een zone beschikbaar zijn [Afgeleid van NEN ] 5

6 3.1.6 betrouwbaarheid bedrijfszekerheid reliability zekerheid dat een systeem of apparaat gedurende een bepaalde periode zijn functie blijft vervullen [Afgeleid van NEN ] OPMERKING 1 Betrouwbaarheid wordt gebruikt om de beschikbaarheid te kunnen bepalen. OPMERKING 2 Betrouwbaarheid van een component of systeem kan worden bepaald aan de hand van de MTBF van een component of systeem beveiligd gebied BG gedeelte(n) (van een OBG) waarop zich de gebouwen c.q. installaties bevinden OPMERKING Het betreft een afgesloten gebied waartoe enkel geautoriseerde personen toegang hebben beveiliging maatregelen rondom en in een computerruimte of datacenter om bedrijfsdiscontinuïteit en/of schade als gevolg van brand of inbraak te voorkomen of te beperken beveiligingsmatrix overzicht en samenvatting van risicoklasse-indeling en bijbehorende beveiligingsmaatregelen OPMERKING In overleg met het Centrum voor Criminaliteitspreventie en Veiligheid wordt afgestemd op welke wijze een beveiligingsmatrix kan worden opgesteld voor inbraakveiligheid van computerruimtes en datacenters beveiligingsszone gebied in een computerruimte of datacenter met een zelfde brandbeveiliging of inbraakbeveiliging, dat zich onderscheidt van de omgeving OPMERKING Een beveiligingszone kan worden afgebakend door een bouwkundige afscheiding (wand, hekwerk). Een fysieke bouwkundige afscheiding is echter niet noodzakelijk; er kan ook worden volstaan met een markering op de vloer bouwkundige maatregel keuze uit materiaal, soort product en soort constructie, ten behoeve van een vastgestelde eis brandveiligheid eigenschap van een computerruimte of datacenter die wordt gespecificeerd door maatregelen ter beperking van schade als gevolg van brand classificatie rangschikking in klassen compartimenteren verdelen van het beschikbare vloeroppervlak van een hoofdconstructie in meerdere afgescheiden ruimtes 6

7 computerruimte ruimte in een gebouw met als primaire functie het huisvesten en het kunnen laten functioneren van ITapparatuur OPMERKING 1 Elektrotechnische, werktuigkundige en bouwkundige voorzieningen en organisatorische maatregelen zorgen ervoor dat de gehuisveste IT-apparatuur met een gespecificeerde beschikbaarheid, beveiliging en energieefficiëntie kan worden gebruikt. OPMERKING 2 Elektrotechnische en werktuigkundige voorzieningen kunnen deel uitmaken van de computerruimte of gedeeltelijk in afzonderlijke technische ruimtes worden geplaatst datacenter gebouw of tijdelijke verplaatsbare behuizing, ingericht met één of meerdere technische ruimtes, met als primaire functie het ondersteunen van dataopslag en datatransport exclusiviteit mate waarin de toegang tot en het gebruik van een locatie en de voorzieningen daarin, beperkt is tot een gedefinieerde groep van gerechtigden gebruiksfunctie functie (gebruiksbestemming) die tijdelijk of permanent aan een gebouw of ruimte(s) in een gebouw is toegekend OPMERKING In het Bouwbesluit wordt een onderscheid gemaakt tussen verblijfsruimtes, technische ruimtes en verkeersruimtes impact effect invloed, gevolg van een incident impactfactor medebepalend impact-element voor het bepalen van een risicoscore OPMERKING Impactfactoren voor het bepalen van een risicoscore van de dreiging inbraak zijn bijvoorbeeld: aantal vestigingen van totale organisatie; gevolgen voor bedrijfscontinuïteit; ernst van materiële schade, wel of geen herstel (exclusiviteit van data) mogelijk; ernst van schade aan imago (integriteit van data, bestand, archief, dienstverlening) inbraak illegaal openbreken van een gebouw of een object om dit binnen te gaan inbraakveiligheid eigenschap van een computerruimte of datacenter die wordt gespecifieerd door maatregelen ter beperking van schade als gevolg van inbraak OPMERKING De mate van inbraakbeveiliging behoort te worden gerealiseerd aan de hand van bouwkundige, installatie technische en organisatorische maatregelen. 7

8 incident storend voorval OPMERKING 1 Een incident kan een bedreiging vormen voor de beschikbaarheid en beveiliging van een computerruimte of datacenter. Een incident kan leiden tot schade of verlies. OPMERKING 2 de mens; de natuur; de techniek. Een incident kan voortkomen uit verschillende bronnen, zoals: incidentbeheer incident management proces waarin de afhandeling van vragen, wensen en verstoringen wordt verzorgd, inclusief de communicatie van en naar gebruikers over deze afhandeling OPMERKING Incidentbeheer omvat de afhandeling van vragen, wensen en verstoringen. Het omvat een belangrijk deel van de activiteiten van een servicedesk van een computerruimte of datacenter informatiebeveiliging de vertrouwelijkheid, integriteit en beschikbaarheid van informatie veilig stellen OPMERKING 1 Doel is de continuïteit van de informatie en de informatievoorziening te waarborgen en de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald, risiconiveau te beperken. OPMERKING 2 Bij informatiebeveiliging spelen Oook andere eigenschappen, zoals authenticiteit, verantwoording, onweerlegbaarheid en betrouwbaarheid, een rol. OPMERKING 3 Informatiebeveiliging is het geheel van preventieve, detecterende repressieve en correctieve maatregelen alsmede procedures en processen die de beschikbaarheid, exclusiviteit en integriteit van alle vormen van informatie binnen een organisatie garanderen. [Afgeleid van NEN-ISO/IEC 27001] inspectie onderzoek naar de handhaving van eisen aan een product, een dienst of werkomstandigheden OPMERKING Inspectie is meestal van toepassing bij het verkrijgen en verlengen van een vergunning en/of certificaat gerelateerd aan de handhaving van eisen met betrekking tot: milieu; veiligheid; beveiliging; functioneren van technische installaties installatietechnische maatregelen maatregelen op elektronisch, optisch en/of mechanisch gebied die een observerende, detecterende, meldende of alarmerende functie hebben integriteit eigenschap die garandeert dat de nauwkeurigheid en volledigheid van bedrijfsmiddelen wordt veilig gesteld [Afgeleid van NEN-ISO/IEC 27001] 8

9 IT-apparatuur ITE informatietechnologieapparatuur die wordt aangesloten op de faciliteiten en infrastructuren van een computerruimte of datacenter OPMERKING Afhankelijk van het bedrijfsmodel en de dienstverlening behoren aparte afspraken te worden vastgelegd over de beschikbaarheid van netwerk- en telecommunicatieapparatuur (NTE) zoals routers, gateways en switches kast cabinet af te sluiten constructie voor het plaatsen van IT-apparatuur kwaliteit mate waarin het geheel van eigenschappen van een product, proces of dienst voldoet aan de daaraan gestelde eisen, die voortvloeien uit het gebruiksdoel [NEN-EN-ISO 9001] netwerk- en telecommunicatieapparatuur NTE apparatuur in kasten in technische ruimte en/of op de computervloer voor transport en distributie van data OPMERKING Afhankelijk van het bedrijfsmodel behoren aparte afspraken te worden vastgelegd over de beschikbaarheid van netwerk- en telecommunicatieapparatuur ( NTE) zoals routers, gateways en switches observatie gebied OG gebied dat voor publiek vrij toegankelijk is en grenst aan een open beschermd gebied (OBG) OPMERKING afvoerwegen). Een observatie gebied kan een openbaar buitengebied zijn, maar omvat ook eigen terrein (aan- en open beschermd gebied OBG locaties en ruimtes die op eigen terrein gelegen zijn, en toegankelijk zijn voor personeel, klanten en leveranciers OPMERKING 1 Bijvoorbeeld parkeerterrein en ruimte tot aan balie/receptie organisatorische maatregelen maatregelen op het niveau van processen, procedures, personeel en middelen, die worden ingezet om de beveiliging vorm te geven c.q. te regelen, zoals een beveiligingsplan, normen, sociaal toezicht en architectuur 9

10 Bestelformulier Stuur naar: NEN Standards Products & Services t.a.v. afdeling Klantenservice Antwoordnummer WB Delft NEN Standards Products & Services Postbus GB Delft Vlinderweg AX Delft Ja, ik bestel ex. NPR :2013 Ontw. nl Computerruimtes en datacenters - Deel 3-2: Eisen en classificatie - Beveiliging T (015) F (015) Wilt u deze norm in PDF-formaat? Deze bestelt u eenvoudig via Gratis nieuwsbrieven Wilt u op de hoogte blijven van de laatste ontwikkelingen op het gebied van normen, normalisatie en regelgeving? Neem dan een gratis abonnement op een van onze nieuwsbrieven. Gegevens Bedrijf / Instelling T.a.v. O M O V Klantnummer NEN Uw ordernummer BTW nummer Postbus / Adres Postcode Plaats Telefoon Fax Factuuradres (indien dit afwijkt van bovenstaand adres) Postbus / Adres Postcode Plaats Datum Handtekening Retourneren Fax: klantenservice@nen.nl Post: NEN Standards Products & Services, t.a.v. afdeling Klantenservice Antwoordnummer 10214, 2600 WB Delft (geen postzegel nodig). Voorwaarden De prijzen zijn geldig tot 31 december 2018, tenzij anders aangegeven. Alle prijzen zijn excl. btw, verzend- en handelingskosten en onder voorbehoud bij o.m. ISO- en IEC-normen. Bestelt u via de normshop een pdf, dan betaalt u geen handeling en verzendkosten. Meer informatie: telefoon , dagelijks van 8.30 tot uur. Wijzigingen en typefouten in teksten en prijsinformatie voorbehouden. U kunt onze algemene voorwaarden terugvinden op: LEREN, WERKEN EN GROEIEN MET NEN preview