Informatiebeveiliging · Domein 8

SD.01 Methodiek veilige softwareontwikkeling en implementatie

Norm SD.01 gaat over beveiliging en privacy vanaf ontwerp tot bouw, test, migratie en ingebruikname aantoonbaar in de levenscyclus opnemen. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.

Praktische vertaling

Wat betekent SD.01 in de praktijk?

Beveiliging hoort vanaf ontwerp en bouw tot migratie en ingebruikname in het ontwikkelproces te zitten.

Voor methodiek veilige softwareontwikkeling en implementatie betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.

Aantoonbaarheid

Welk bewijs maakt deze norm sterk?

Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.

Bewijsvoorbeeld 1

Een secure-developmentproces met rollen, eisen en gates.

Bewijsvoorbeeld 2

Threat models, reviews, testresultaten en opgeloste bevindingen.

Bewijsvoorbeeld 3

Migratie- en releasebewijzen inclusief goedkeuring en terugvalscenario.

Route naar niveau 3

Van afspraak naar aantoonbare uitvoering

Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.

Vertaal risico's en classificatie naar concrete beveiligingseisen

Vertaal risico's en classificatie naar concrete beveiligingseisen.

Gebruik reviews en geautomatiseerde controles tijdens ontwikkeling

Gebruik reviews en geautomatiseerde controles tijdens ontwikkeling.

Test beveiliging, autorisatie en datamigratie vóór vrijgave

Test beveiliging, autorisatie en datamigratie vóór vrijgave.

Laat restrisico's accepteren en monitor de productie-invoering

Laat restrisico's accepteren en monitor de productie-invoering.

Bestuurlijke mini-check

Vier vragen om de kwaliteit te toetsen

Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.

Is expliciet belegd dat beveiliging en privacy vanaf ontwerp tot bouw, test, migratie en ingebruikname aantoonbaar in de levenscyclus opnemen, inclusief mandaat en vervanging?
Kan product owner, ontwikkelteam en security/privacy-specialist zonder aanvullende toelichting zowel het besluit als recente uitvoering laten zien?
Zijn een secure-developmentproces met rollen, eisen en gates. en threat models, reviews, testresultaten en opgeloste bevindingen. actueel, onderling consistent en herleidbaar?
Is de werking gecontroleerd volgens het ritme ‘per release en bij grote ontwerpwijzigingen’ en zijn afwijkingen aantoonbaar opgevolgd?

Kwaliteitscontrole

Veelgemaakte fouten

Security pas als eindtest uitvoeren.
Productiedata ongecontroleerd in testomgevingen gebruiken.
Technische bevindingen accepteren zonder eigenaar en risicobesluit.

In Edufort

GRC & compliance: van norm naar opvolging

Koppel normstatus, bewijs, eigenaar, taken en rapportage in één aantoonbare verbetercyclus. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.

Bekijk GRC & compliance →

Veelgestelde vragen

Vragen over SD.01

Wat betekent norm SD.01 voor een schoolbestuur?

Deze norm vraagt om beveiliging en privacy vanaf ontwerp tot bouw, test, migratie en ingebruikname aantoonbaar in de levenscyclus opnemen. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.

Welk bewijs helpt bij SD.01?

Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij methodiek veilige softwareontwikkeling en implementatie.

Wie is eigenaar van SD.01?

Een passende inrichting is: Product owner, ontwikkelteam en security/privacy-specialist. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.