| Naam | Stelling |
|---|
| Alleen presentatielogica in portaal | Portalen bevatten alleen presentatielogica |
| Authenticatie eindgebruikers | Authenticatie vindt plaats op het niveau van eindgebruikers, in de gehele keten |
| Beheren uiterlijk portaal | Het uiterlijk van de portaalomgeving wordt op één plaats beheerd |
| Beveiliging bij bron | Gegevens worden bij de bron beveiligd |
| Centrale administratie identiteiten | Identiteiten, rollen en grofmazige autorisaties worden centraal geadministreerd |
| Centrale auditlog | Beveiligingsgerelateerde gebeurtenissen worden vastgelegd in een centrale log |
| Continue en pro-actief bewaken serviceniveau's | De serviceniveau's van IT-systemen worden continu en pro-actief bewaakt |
| Dagelijkse back-up | Van alle gegevens wordt minimaal dagelijks een back-up gemaakt |
| Declaratieve beveiliging | Beveiliging is zoveel mogelijk declaratief |
| Enterprise portaal | Het enterprise portaal is het startpunt voor iedereen binnen de organisatie |
| Expliciete bewaking | Alle gebeurtenissen die relevant zijn voor het bewaken van de serviceniveaus worden expliciet bewaakt |
| Filtering tussen zones | Het netwerk is ingedeeld in zones met filtering op de zonegrenzen |
| Fysiek gescheiden serverruimte | De serverapparatuur bevindt zich in een fysiek gescheiden ruimte met toegangsautorisatie |
| Geauthenticeerde en geautoriseerde toegang | Toegang tot IT systemen wordt geauthenticeerd en geautoriseerd |
| Geautomatiseerd beheer | Het beheer van IT systemen is zoveel mogelijk geautomatiseerd |
| Geen onveilige modus | Applicaties mogen niet in een onbeveiligde modus raken |
| Gemeenschappelijke look-and-feel | Applicaties hebben een gemeenschappelijke look-and-feel |
| Geïntegreerde gebruikerservaring | Gebruikers ervaren een geïntegreerde informatievoorziening |
| Hardening beveiligingscomponenten | Componenten die een beveiligingsfunctie vervullen zijn gehardened |
| Herleidbaarheid van handelingen | Gebruik van IT-systemen is herleidbaar naar gebruikers |
| Hoge beschikbaarheid basisinfrastructuur | De basisinfrastructuur is hoog beschikbaar |
| Kanaalonafhankelijke gegevens | Gegevens zijn consistent over alle kanalen |
| Laagste toegangsrechten | Toegangsrechten moeten zijn gebaseerd op wat nodig is voor het uitoefenen van de functie |
| Logische eenheid van werk | Applicaties respecteren logische eenheden van werk |
| Meerdere beveiligingsstrategieën | Beveiliging is end-to-end en gebaseerd op meerdere defensieve strategieën |
| OTAP | Ontwikkel-, test-, acceptatie- en productie-omgevingen zijn gescheiden |
| Password policy | Wachtwoorden conformeren aan een standaard password policy |
| Patching | Patches worden periodiek beoordeeld en kritische patches worden snel toegepast |
| Risico-analyse is leidend | Beveiligingsmaatregelen zijn gebaseerd op het risicoprofiel |
| Rubricering van informatie | Gegevens worden voorzien van een rubricering |
| Serviceniveauovereenkomsten | Er zijn serviceniveauovereenkomsten met externe beheerders van applicaties en infrastructuur |
| Tijd, plaats en apparaatonafhankelijkheid | De informatievoorziening is tijd-, plaats- en apparaatonafhankelijk beschikbaar |
| Toegankelijkheid | Applicaties zijn voor iedereen binnen de organisatie toegankelijk |
| Veelgebruikte functionaliteit in portaal | Het enterprise portaal ontsluit alleen generieke veelgebruikte functionaliteit |
| Vroege validaties | Gegevens worden zo vroeg mogelijk gevalideerd |
| Wachtwoorden onleesbaar | Wachtwoorden kunnen door niemand gelezen worden |
| Webbrowseronafhankelijk | Websites werken op alle gangbare web browsers |
| Webgebaseerde applicaties | Applicaties zijn webgebaseerd |