Informatiebeveiliging · Domein 5

CO.01 Identificatie en onderhoud van configuratie-items

Norm CO.01 gaat over hardware, software, cloudmiddelen, versies, relaties en eigenaren actueel registreren en tegen veilige baselines toetsen. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.

Praktische vertaling

Wat betekent CO.01 in de praktijk?

Een schoolbestuur kan alleen beschermen wat het kent, beheert en aan een eigenaar heeft gekoppeld.

Voor identificatie en onderhoud van configuratie-items betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.

Aantoonbaarheid

Welk bewijs maakt deze norm sterk?

Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.

Bewijsvoorbeeld 1

Een actuele CMDB of beheerde inventaris met eigenaren en kriticiteit.

Bewijsvoorbeeld 2

Goedgekeurde configuratiebaselines en vastgelegde uitzonderingen.

Bewijsvoorbeeld 3

Periodieke reconciliatie- en afwijkingsrapportages uit beheerbronnen.

Route naar niveau 3

Van afspraak naar aantoonbare uitvoering

Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.

Bepaal welke configuratie-items en kenmerken minimaal nodig zijn

Bepaal welke configuratie-items en kenmerken minimaal nodig zijn.

Koppel items aan eigenaar, classificatie, leverancier en lifecycle

Koppel items aan eigenaar, classificatie, leverancier en lifecycle.

Automatiseer inventarisatie waar mogelijk en beheer uitzonderingen

Automatiseer inventarisatie waar mogelijk en beheer uitzonderingen.

Vergelijk periodiek registratie, werkelijkheid en veilige baseline

Vergelijk periodiek registratie, werkelijkheid en veilige baseline.

Bestuurlijke mini-check

Vier vragen om de kwaliteit te toetsen

Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.

Is expliciet belegd dat hardware, software, cloudmiddelen, versies, relaties en eigenaren actueel registreren en tegen veilige baselines toetsen, inclusief mandaat en vervanging?
Kan it-beheer en systeem-/proceseigenaren zonder aanvullende toelichting zowel het besluit als recente uitvoering laten zien?
Zijn een actuele cmdb of beheerde inventaris met eigenaren en kriticiteit. en goedgekeurde configuratiebaselines en vastgelegde uitzonderingen. actueel, onderling consistent en herleidbaar?
Is de werking gecontroleerd volgens het ritme ‘continu bijwerken, per kwartaal controleren’ en zijn afwijkingen aantoonbaar opgevolgd?

Kwaliteitscontrole

Veelgemaakte fouten

Een eenmalige Excelinventaris zonder wijzigingsproces.
Cloudresources, koppelingen of netwerkcomponenten vergeten.
Items registreren zonder eigenaar of lifecycle-status.

In Edufort

GRC & compliance: van norm naar opvolging

Koppel normstatus, bewijs, eigenaar, taken en rapportage in één aantoonbare verbetercyclus. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.

Bekijk GRC & compliance →

Veelgestelde vragen

Vragen over CO.01

Wat betekent norm CO.01 voor een schoolbestuur?

Deze norm vraagt om hardware, software, cloudmiddelen, versies, relaties en eigenaren actueel registreren en tegen veilige baselines toetsen. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.

Welk bewijs helpt bij CO.01?

Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij identificatie en onderhoud van configuratie-items.

Wie is eigenaar van CO.01?

Een passende inrichting is: IT-beheer en systeem-/proceseigenaren. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.