Arbodiensten en DNV-audits
- Pieter van Ooijen
- Joep Hendrix
Arbodiensten en hun IT-leveranciers worden geacht persoonlijke gezondheidsinformatie van hun cliënten in verzuimsystemen veilig te houden (conform de AVG wetgeving). Dit betekent dat IT-systemen goed afgeschermd moeten zijn en gebruikers van verzuimsystemen de vertrouwelijkheid uiterst secuur moeten naleven tijdens hun werk.
Als IT-leverancier van verzuimsystemen voor arbodiensten hanteert CompuCase een dienstverlenings-overeenkomst (Engels: Service Level Agreement) en een AVG-verwerkersovereenkomst waarin afspraken zijn vastgelegd omtrent de beschikbaarheid en vertrouwelijkheid van persoonlijke gezondheidsinformatie die CompuCase in haar verzuimsystemen voor haar klanten verwerkt.
De dienstverleningsovereenkomst omvat o.a. zaken zoals beschikbaarheid van de verzuimtoepassing (eis = 99,9% realisatie 2023-2024 = 99.99%), de vertrouwelijkheid van de gegevens (2023-2024 = 100% / geen datalekken) en de integriteit van de verwerking van gegevens (2023-2024 = 100% / geen verwerkingsfouten).
Om de kwaliteit van arbodienstverlening van arbodiensten te waarborgen is de stichting SBCA in het leven geroepen. Het door SBCA specifiek voor arbodiensten opgesteld kwaliteit-raamwerk “Regeling Certificatie Arbodiensten” biedt helderheid over eisen en voorwaarden waaraan de kwaliteit van arbodiensten en hun ÏT-leveranciers moeten voldoen. Zo is o.a. bepaald dat IT-leveranciers moeten voldoen aan ISO 27001 norm voor informatiebeveiliging en dat ook actief laten controleren door een certificatie-instelling zoals bijvoorbeeld de firma DNV.
Naast de inhoudelijke kwaliteit van de Arbodienstverlening toetst DNV sinds enige tijd ook inhoudelijk informatiebeveiliging middels door DNV zelf ontwikkelde vragenlijst ”IB checklist voor arbodiensten”.
Over deze laatst genoemde “IB checklist voor arbodiensten” ontvangt CompuCase veel vragen van haar klanten.
Er is geen wettelijk kader voor CompuCase om te voldoen aan deze checklist anders dan de AVG bepalingen met betrekking tot informatiebeveiliging en de voorwaarden vastgelegd in de dienstverlenings-overeenkomst (Engels: Service Level Agreement). Uiteraard respecteert CompuCase de SBCA “Regeling Certificatie Arbodiensten” en is dan ook ISO 27001 gecertificeerd en werkt graag mee aan de invulling van de eisen uit de DNV IB checklist voor arbodiensten.
Daar houdt het voor CompuCase in de praktijk niet op. We gaan veel verder m.b.t. informatieverwerking en beveiliging. Onze toepassingen maken deel uit van Oracle Cloud Infrastructure met de uiterst geavanceerd Oracle Beveiliging, Identiteit en Compliance frameworks.
Monitoring | Vulnerability Scanning | Key Management, breaking glass |
Security Zones | Threat Detector | Web Application Firewall |
Identity and Access Management | Cloud Guard | Netwerkfirewall |
Geïsoleerde netwerkvirtualisatie | Root-of-trust | Bastion framework |
Autonomous Linux | Transparent Data Encryption | High trust Certificaten |
Om duidelijkheid te scheppen rondom de DNV’s “IB checklist voor arbodiensten” hebben we de vragen en antwoorden in de onderstaande tabel in generieke zin toegelicht.
Opgemerkt dient te worden dat de inhoudelijke toetsing en bewijsvoering van alle vragen uit de checklist ook onderdeel zijn van de ISO 27001 certificering door DNV.
CompuCase en Oracle Cloud Services voldoen middels de ISO27001 certificering ook automatisch aan de op CompuCase Verzuimsysteem van toepassing zijnde eisen uit de DNV’s “IB checklist voor arbodiensten”.
In de onderstaande lijst hebben we de vragen uit de DNV’s “IB checklist voor arbodiensten” vertaald naar de verplichtingen voor Arbodiensten en CompuCase als leverancier van verzuimsystemen. In de derde kolom lichten we toe of de vraag van toepassing is voor CompuCase en op welke wijze er invulling aan wordt gegeven en of het gecontroleerd wordt tijdens de ISO 27001 certificeringsaudits door DNV.
Mocht u inhoudelijk meer vragen hebben, kunt u altijd contact opnemen met onze information security manager.
Vraag | Arbodienst | CompuCase als Leverancier verzuimsysteem. | Controle |
|---|---|---|---|
1.1 Is geheimhouding van personeel Arbodiensten en leveranciers contractueel vastgelegd? | De Arbodienst legt geheimhoudingseisen vast in arbeidsovereenkomsten en bijlages | CompuCase heeft geheimhoudingseisen vastgelegd in arbeidsovereenkomsten en bijlages | DNV tijdens ISO27001 audits |
2.0 Werkt de leverancier van verzuimsystemen conform AVG eisen ? (richtsnoeren van de AP) | De Arbodienst en CompuCase sluiten een verwerkersovereenkomst af met AVG eisen. | De AVG verwerkersovereenkomst is een bijlage van de dienstverlenings-overeenkomst van CompuCase. | DNV tijdens ISO27001 audits |
2.1 Is de leverancier ISO 27001 gecertificeerd. | De Arbodienst vereist dit van CompuCase | CompuCase en Oracle zijn ISO 27001 gecertificeerd. | DNV tijdens ISO27001 audits |
2.2 Is er met de leverancier van verzuimsysteem een dienstverleningsovereenkomst (Engels: Service Level Agreement) gesloten? | De Arbodienst en CompuCase sluiten een dienstverleningsovereenkomst (Engels: Service Level Agreement)). | CompuCase levert haar diensten conform haar dienstverleningsovereenkomst (SLA) aan arbodiensten. | DNV tijdens ISO27001 audits |
2.3 Is er per leverancier verzuimsystemen een verwerkersovereenkomst afgesloten? | De Arbodienst en CompuCase sluiten een verwerkersovereenkomst. (AVG). | CompuCase levert haar diensten conform de AVG verwerkersovereenkomst (bijlage van de dienstverleningsovereenkomst). | DNV tijdens ISO27001 audits |
2.4 Zijn er informatiebeveiligingseisen met leveranciers verzuimsystemen overeengekomen ? | CompuCase en Arbodienst sluiten een dienstverleningsovereenkomst (EN: SLA) met informatiebeveiligingseisen. | CompuCase levert haar diensten conform haar dienstverleningsovereenkomst waarin informatiebeveiliging-eisen zijn opgenomen waaronder beschikbaarheid (99.9%) en vertrouwelijkheid (100%) alles in lijn met de ISO 27001 eisen. | DNV tijdens ISO27001 audits |
2.5 Wordt de overeengekomen informatiebeveiligingseisen in samenspraak met leveranciers verzuimsystemen gemonitord, beoordeeld en ge-audit? | De Arbodienst beoordeelt de overeengekomen informatiebeveiligingseisen, (of laat dit over aan DNV ISO27001 auditoren). | CompuCase rapporteert regelmatig de resultaten van haar dienstverlening inclusief beschikbaarheid en vertrouwelijkheid van haar arbodienst-toepassingen. DNV audit CompuCase jaarlijks aan de hand van ISO 27001 eisen. | DNV tijdens ISO27001 audits |
3.0 Locaties met IT-werkzaamheden. | De Arbodienst beveiligt de locaties waar IT-werkzaamheden worden uitgevoerd. | CompuCase toepassingen zijn volledig SAAS. De data bevinden zich in Oracle Cloud Solutions (binnen Europa). De fysieke locaties beperken zich tot werkplekken zonder opslag van vertrouwelijke informatie. | DNV tijdens ISO27001 audits |
4.0 De arbodienst zelf heeft passende technische en organisatorische maatregelen om persoonlijke gezondheidsinformatie veilig te houden. | De Arbodienst heeft passende technische en organisatorische maatregelen genomen. | De aan CompuCase toevertrouwde persoonlijke gezondheidsinformatie zijn ondergebracht in streng beveiligde OOracle Cloud Solutions | DNV tijdens ISO27001 audits |
4.1 De arbodienst behoort regelmatig een risicoanalyse informatiebeveiliging verzuimsystemen uit te voeren. | De Arbodienst voert regelmatig een risicoanalyse informatiebeveiliging uit. | CompuCase heeft een managementsysteem voor informatiebeveiliging (ISMS) wat voldoet aan ISO 27001 normeisen inclusief de vereiste risicoanalyse. | DNV tijdens ISO27001 audits |
4.2 De risicoanalyse behoort input te leveren voor Informatiebeveiliging verzuimsystemen. | De Arbodienst gebruikt de resultaten van de risicoanalyse als input voor het managen van haar informatiebeveiliging | CompuCase heeft een managementsysteem voor informatiebeveiliging (ISMS) wat voldoet aan ISO 27001 normeisen inclusief managen van resultaten van de risicoanalyse. | DNV tijdens ISO27001 audits |
4.3a De Arbodienst behoort informatiebeveiliging verzuimsystemen procesmatig in te richten. | De Arbodienst heeft informatiebeveiliging procesmatig ingericht. | CompuCase heeft een procesmatig ingericht managementsysteem voor informatiebeveiliging conform ISO 27001 certificeringseisen | DNV tijdens ISO27001 audits |
4.3b De Arbodienst behoort een wijzigingsproces verzuimsystemen incl. informatiebeveiliging in te richten. | De Arbodienst heeft een wijzigingsproces informatiebeveiliging. | CompuCase voert wijzigingen en verbeteringen (releasemanagement) in systemen en CompuCase toepassingen inclusief informatiebeveiliging, procesmatig uit. | DNV tijdens ISO27001 audits |
4.3c De Arbodienst behoort uitbestede informatiebeveiliging processen passend te beheersen. | De Arbodienst heeft uitbestede informatiebeveiliging processen beheerst middels een dienstverleningsovereenkomst (EN: SLA). | CompuCase levert haar diensten conform haar dienstverleningsovereenkomst. CompuCase heeft op haar beurt een overeenkomst met Oracle en een managementsysteem om de dienstverlening te monitoren en te beheersen. | DNV tijdens ISO27001 audits |
4.4 De Arbodienst behoort de risicobeoordelingen regelmatig te herzien. | De Arbodienst herziet de risicobeoordelingen regelmatig. | CompuCase herziet de risicobeoordelingen regelmatig bij grote en kleine wijzigen en tenminste jaarlijks. | DNV tijdens ISO27001 audits |
4.5 De Arbodienst behoort (indien noodzakelijk) aan de hand van risicobeoordelingen verbeterplannen uit te voeren. | De Arbodienst voert verbeterplannen uit aan de hand van de resultaten van risicobeoordelingen. | CompuCase voert regelmatig verbeteringen uit, al dan niet voortkomend uit risicobeoordelingen. | DNV tijdens ISO27001 audits |
4.6 De Arbodienst behoort te beschikken over een jaarlijks geactualiseerde DPIA (AVG) | De Arbodienst beschikt over een jaarlijks geactualiseerde DPIA (AVG) | CompuCase beschikt over een jaarlijks geactualiseerde DPIA (AVG) | DNV tijdens ISO27001 audits |
4.7 De Arbodienst behoort over een geactualiseerd verwerkingsregister te beschikken. | De Arbodienst beschikt over een actueel verwerkingsregister. | CompuCase beschikt over een actueel verwerkingsregister. | DNV tijdens ISO27001 audits |
5.1 De Arbodienst behoort te beschikken over een adequaat informatiebeveiligingsbeleid. | De Arbodienst beschikt over een actueel informatiebeveiliging beleid. | CompuCase beschikt over een actueel informatiebeveiligingsbeleid. | DNV tijdens ISO27001 audits |
5.2 De Arbodienst behoort over een incidentmanagement proces IB te beschikken | De Arbodienst beschikt over een incidentmanagement proces IB | CompuCase beschikt over een incidentmanagementproces IB. | DNV tijdens ISO27001 audits |
5.3 De Arbodienst behoort te beschikken over een bedrijfscontinuiteit-proces incl. IB aspecten verzuimsystemen. | De Arbodienst beschikt over een bedrijfscontinuiteit-proces incl. IB aspecten | CompuCase beschikt over een bedrijfscontinuïteit-proces incl. IB aspecten. | DNV tijdens ISO27001 audits |
5.4 De Arbodienst behoort de werking van technische middelen te monitoren en te controleren incl. IB aspecten. | De Arbodienst controleert de werking van technische middelen middels monitoring en verbetert deze waar nodig. | CompuCase controleert de werking van technische middelen middels monitoring en verbetert deze waar nodig in samenspraak met Oracle Cloud services. | DNV tijdens ISO27001 audits |
5.5 De Arbodienst behoort een actueel beeld te hebben van geldende wet en regelgeving incl. IB aspecten en de implicaties ervan. | De Arbodienst heeft een actueel beeld te hebben van geldende wet en regelgeving incl. IB aspecten en de implicaties ervan. | CompuCase heeft een actueel beeld te hebben van geldende wet en regelgeving incl. IB aspecten en de implicaties ervan. Algemeen
Wetten met requirements voor verzuimtoepassing o.a.
| DNV tijdens ISO27001 audits |
5.6 De Arbodienst behoort een overzicht te hebben van informatie-verwerkende middelen (incl. verzuimsystemen) | De Arbodienst heeft een overzicht van informatie-verwerkende middelen | CompuCase heeft een actueel overzicht van informatie-verwerkende middelen.
| DNV tijdens ISO27001 audits |
5.7 De Arbodienst behoort een procedure te volgen voor uitgifte en inname bedrijfsmiddelen, en bijbehorende toegangsrechten. | De Arbodienst volgt een procedure voor uitgifte en inname bedrijfsmiddelen, en bijbehorende toegangsrechten. | CompuCase volgt een procedure voor uitgifte en inname bedrijfsmiddelen, en bijbehorende toegangsrechten. | DNV tijdens ISO27001 audits |
5.8 De Arbodienst behoort bedrijfsmiddelen te classificeren en waar nodig middelen te labelen. | De Arbodienst classificeert bedrijfsmiddelen en waar nodig labelt deze middelen. | CompuCase classificeert bedrijfsmiddelen en waar nodig labelt deze middelen. | DNV tijdens ISO27001 audits |
5.9 De Arbodienst behoort netwerken passend te beveiligen | De Arbodienst heeft netwerken passend beveiligd. | CompuCase heeft netwerken passend beveiligd. | DNV tijdens ISO27001 audits |
5.10 De Arbodienst behoort beleid te hebben voor gebruik van mobiele apparatuur (met gevoelige info) | De Arbodienst heeft beleid voor gebruik van mobiele apparatuur. | CompuCase maakt geen gebruik van mobiele apparatuur (met gevoelige info arbodiensten) | DNV tijdens ISO27001 audits |
5.11 De Arbodienst behoort mobiele apparatuur (met gevoelige info) te versleutelen. | De Arbodienst heeft mobiele apparatuur (met gevoelige info) versleuteld. | CompuCase heeft mobiele apparatuur versleuteld, maar heeft geen gevoelige info op mobiele devices. | DNV tijdens ISO27001 audits |
5.12 De Arbodienst behoort wijzingen aan software (verzuimsystemen) procesmatig uit te voeren. | De Arbodienst voert de wijzingen aan software procesmatig uit. | CompuCase kent een uitgebreide wijzigingsprocedure (inclusief systeem en gebruikers-tests. Upgrades worden waar nodig tijdig en automatisch uitgevoerd op servers door Oracle Cloud services. CompuCase toepassing voor arbodiensten wijzingen worden aangekondigd middels release notes. | DNV tijdens ISO27001 audits |
5.13 De Arbodienst behoort Speciale rechten o.a. administrators rechten te minimaliseren en extreem goed te bewaken. | De Arbodienst minimaliseert speciale rechten o.a. administrators rechten en bewaakt deze goed. | De door CompuCase toegepaste Oracle Cloud Services kent een zeer geavanceerd systeem voor administrators toegang (Cloud guard, Basition, 2FA, Root of trust, Key Identity and Access Management incl. breaking glass). | DNV tijdens ISO27001 audits |
5.14 De Arbodienst dient regels op te stellen access management (incl, 2FA verzuimsystemen) | De Arbodienst heeft regels voor access management met minimaal 2FA. | Oracle Cloud Services is uitsluitend te benaderen middels Cloud Guard, Basition, (2FA, Tokens etc.) | DNV tijdens ISO27001 audits |
5.15 De Arbodienst dient tenminste 2FA verzuimsystemen toe te passen. | De Arbodienst past minimaal 2FA toe. | CompuCase applicaties zijn uitsluitend te benaderen middels 2FA | DNV tijdens ISO27001 audits |
5.16 De Arbodienst dient haar systemen te voorzien van anti-virus en malware beveiliging. | De Arbodienst heeft haar systemen voorzien van anti-virus en malware beveiliging. | CompuCase maakt gebruik van werkplekken voorzien van anti-virus en malware beveiliging. Daarnaast is Oracle Coud Services voorzien van uitgebreide anti-virus en malware beveiliging en is actief in treath hunting. | DNV tijdens ISO27001 audits |
5.17 De Arbodienst dient een passend backup beleid te voeren. | De Arbodienst voert een actief backupbeleid. | CompuCase maakt gebruik van Oracle Cloud services welke is voorzien van een geavanceerd data protection system. | DNV tijdens ISO27001 audits |
5.18 De Arbodienst dient relevante gebeurtenissen in IT-systemen te registreren, te bewaard en regelmatig te beoordelen? | De Arbodienst registreert, bewaart en beoordeelt relevante gebeurtenissen in IT-systemen. | Compucase toepassing kent een uitgebreide registratie van gebruikersactiviteiten. Relevante gebeurtenissen wordt automatisch gemeld. Daarnaast kent Oracle Cloud services een uitgebreide logging- en monitoring systeem. Verder controleert CompuCase de beschikbaarheid van de toepassing continue. | DNV tijdens ISO27001 audits |
5.19 De Arbodienst ontwikkelt zelf (verzuim)applicaties. | De Arbodienst ontwikkelt zelf geen (verzuim)applicaties maar maakt gebruik van CompuCase verzuimapplicaties. |
|
|
5.20 De ontwikkelaar van (verzuim)applicaties dient het ontwikkelproces beleidsmatig en procesmatig uit te voeren. | nvt | CompuCase ontwikkelt haar toepassing met behulp van Oracle Cloud service en Business Rules. | DNV tijdens ISO27001 audits |
5.21 De ontwikkelaar dient bij de ontwikkeling eisen voor informatiebeveiliging te integreren. | nvt | CompuCase ontwikkelt Oracle Business Rules en Oracle Cloud services waarin eisen voor informatiebeveiliging zijn geïntegreerd. | DNV tijdens ISO27001 audits |
5.22 De ontwikkelaar dient principes voor de engineering van beveiligde systemen te integreren. | nvt | CompuCase ontwikkelt Oracle Business Rules en Oracle Cloud services waarin eisen (en in de praktijk gangbare technologieën)voor beveiligde systemen zijn geïntegreerd. | DNV tijdens ISO27001 audits |
5.23 De ontwikkelaar dient de ontwikkel, test en acceptatie-omgeving adequaat te beveiligen indien van toepassing. | nvt | CompuCase ontwikkelt uitsluitend gebruik makend van Oracle Business Rules en Oracle Cloud services en hanteert naast de Productie een test / Ontwikkelomgeving. | DNV tijdens ISO27001 audits |
5.24 De ontwikkelaar dient nieuwe versies en wijzingen verzuimsystemen beheerst door te voeren. | nvt | CompuCase ontwikkelt uitsluitend gebruik makend van een ontwikkel / test omgeving. De geplande wijzingen-eisen worden vooraf uitvoering geanalyseerd en na een uitvoerige test in productie gebracht. Wijzigingen worden aangekondigd in release notes. | DNV tijdens ISO27001 audits |
5.25 De ontwikkelaar dient tijdens ontwikkel en test-activiteiten verzuimsystemen rekenschap geven aan beveiligingsfunctionaliteiten. |
| CompuCase ontwikkelt uitsluitend gebruik makend van Oracle Business Rules met eenmaal ingestelde beveiligingsfunctionaliteiten. Indien beveiligingsfunctionaliteit wordt aangepast wordt het 4 ogen principe toegepast. Tijdens test en vrijgave wordt de ingestelde beveiligingsfunctionaliteiten standaard getest voor zover van toepassing. | DNV tijdens ISO27001 audits |
5.26 De Arbodienst behoort bij indiensttreding de referenties te controleren en een VOG te verlangen. | De Arbodienst controleert bij indiensttreding de referenties en verlangt een VOG. | CompuCase controleert bij indiensttreding de referenties en verlangt een VOG. | DNV tijdens ISO27001 audits |
5.27 De Arbodienst behoort continue aandacht te schenken aan informatiebeveiliging (training en bewustwording) | De Arbodienst schenkt continue aandacht aan informatiebeveiliging (training en bewustwording) | CompuCase heeft continue aandacht voor informatiebeveiliging. | DNV tijdens ISO27001 audits |
5.28 De Arbodienst behoort eisen te stellen en dit regelmatig te controleren bij gebruik van apparatuur door derden (BYOD) o.a. virusscanner, versleuteling, veilig e-mailen en toepassing van een virtuele werkplek. | De Arbodienst stelt (contractuele) eisen en controleert dit regelmatig aan gebruik van apparatuur door derden (BYOD) o.a. virusscanner, versleuteling, veilig e-mailen en toepassing van een virtuele werkplek. | CompuCase staat geen apparatuur van derden toe. | DNV tijdens ISO27001 audits |
5.29 Indien van toepassing behoort de Arbodienst beveiligingseisen te stellen aan externen die gebruik maken van eigen verzuimsysteem zoals ISO27001/NEN7510. | De Arbodienst stelt beveiligingseisen aan externen die gebruik maken van eigen verzuimsysteem zoals ISO27001/NEN7510. | n.v.t. |
|
5.30 De Arbodienst behoort de toegang tot kantoren en speciale ruimtes (serverruimtes) passend te beveiligen | De Arbodienst heeft de toegang tot kantoren en speciale ruimtes (serverruimtes) passend beveiligd. | CompuCase heeft gevoelige data uitsluitend opgeslagen in SAAS oplossingen, o.a. Oracle Cloud Services welke passend beveiligd zijn conform richtlijnen datacenters. | DNV tijdens ISO27001 audits |
5.31 De Arbodienst behoort een overzicht te hebben van toegangssleutels en tokens | De Arbodienst heeft een overzicht van toegangssleutels en tokens. | CompuCase heeft een overzicht van toegangssleutels en tokens. | DNV tijdens ISO27001 audits |
5.32 De Arbodienst behoort requirements op te stellen voor de beheersing van speciale ruimtes (serverruimtes). | De Arbodienst heeft speciale ruimtes (serverruimtes) ingericht en beheerst conform requirements. | CompuCase heeft gevoelige data uitsluitend opgeslagen in SAAS oplossingen, o.a. Oracle Cloud Services welke passend ingericht zijn conform richtlijnen datacenters. | DNV tijdens ISO27001 audits |
5.33 De Arbodienst behoort een Clear Screen / Clean Desk beleid toe te passen. | De Arbodienst past een Clear Screen / Clean Desk beleid toe. | CompuCase past een Clear Screen / Clean Desk beleid toe. | DNV tijdens ISO27001 audits |