Beschermingsvereisten

Beschermingsvereisten zijn de concrete beveiligings- en beschermingsmaatregelen waaraan een systeem, product of proces moet voldoen om risico’s te beheersen en waardes te beschermen. Ze geven aan welke minste vereisten nodig zijn om onzekerheden te verkleinen, schade te voorkomen en betrouwbare werking te waarborgen. Beschermingsvereisten bestrijken doorgaans zowel technische als organisatorische aspecten en kunnen relateerden aan veiligheid, privacy, informatiebeveiliging, milieu en productveiligheid.

In de praktijk dienen beschermingsvereisten als basis voor ontwerp, ontwikkeling, implementatie en gebruik. Ze worden vaak afgeleid uit een risicoanalyse en relevante normen of regelgeving. Ze kunnen verplicht zijn (wettelijk of contractueel) of als aanbeveling gelden. Beschermingsvereisten worden doorgaans vertaald naar beschermingsdoelen en vervolgens naar concrete maatregelen zoals toegangscontroles, encryptie, logging, redundantie, physical security, incidentrespons en bewustwordingsprogramma’s. Ze dienen traceerbaar te zijn en verifieerbaar te kunnen aantonen door middel van tests, audits en documentatie.

Ontwikkeling en onderhoud van beschermingsvereisten sluiten nauw aan bij risk management en governance. Organisaties stellen peer-reviewed normen en werdien, kiezen geschikte standaarden (bijvoorbeeld voor informatiebeveiliging of veiligheid), en actualiseren vereisten bij veranderende omstandigheden. Verificatie vindt plaats via toetsing, inspecties en evaluaties, zodat voldaan wordt aan de gewenste beschermingsniveaus.

Voorbeelden van toepassingsgebieden zijn informatiebeveiliging in ICT-systemen, fysieke beveiliging van gebouwen, privacybescherming bij verwerking van persoonsgegevens en veiligheidseisen bij productie en levering van goederen. In aanbestedingen en contracten worden beschermingsvereisten vaak expliciet opgenomen om verantwoordelijkheden en verwachtingen vast te leggen.