Compliance Woordenlijst

A

ABDO (Algemene Beveiligingseisen voor Defensieopdrachten)

Nederlandse beveiligingsstandaard voor bedrijven die gerubriceerde opdrachten uitvoeren voor het Ministerie van Defensie, met eisen voor fysieke en informatiebeveiliging.

ACL (Access Control List)

Een lijst van regels die aangeeft welke gebruikers of systemen toegang hebben tot bepaalde bronnen en welke acties zij erop kunnen uitvoeren.

Activabeheer (Asset Management)

Het proces van identificeren, classificeren en beheren van alle informatie-activa binnen een organisatie, inclusief hardware, software, data en intellectueel eigendom.

AI Governance

Het raamwerk van beleid, procedures en maatregelen voor verantwoord gebruik van AI-systemen, inclusief ethische overwegingen, transparantie en verantwoording.

AI Impact Assessment (AIIA)

Systematische evaluatie van risico's en effecten van AI-systemen op individuen, groepen en de samenleving, vereist onder de EU AI Act.

Annex A Controls (ISO 27001)

De 93 beveiligingsmaatregelen uit ISO 27001:2022 Bijlage A die organisaties kunnen implementeren om informatiebeveiligingsrisico's te beheren.

API-beveiliging

Bescherming van Application Programming Interfaces tegen misbruik, datalekken en ongeautoriseerde toegang door authenticatie, versleuteling en snelheidsbeperking.

Auditmoeheid

Verminderde effectiviteit door overmatige audits, aangepakt met geïntegreerde GRC-platforms die bewijs hergebruiken.

Auditspoor

Chronologisch logboek van alle systeemactiviteiten en transacties dat registreert wie, wat, wanneer en waarom voor compliance- en forensische doeleinden.

Authenticatie

Het proces van verifiëren dat een gebruiker, systeem of entiteit daadwerkelijk is wie ze beweren te zijn, meestal via wachtwoorden, tokens of biometrie.

Autorisatie

Het proces van bepalen welke rechten en privileges een geauthenticeerde gebruiker heeft binnen een systeem of applicatie.

B

BCM (Business Continuity Management)

Systematische aanpak voor het identificeren van kritieke bedrijfsprocessen en het ontwikkelen van plannen om deze te beschermen tegen verstoringen.

Bedrijfsimpactanalyse (BIA)

Systematische analyse van kritieke bedrijfsprocessen om prioriteiten voor herstel tijdens verstoringen te bepalen.

Beheersdoelstellingen

Specifieke doelen die beveiligingsmaatregelen moeten bereiken.

Beheersmaatregelen

Technische of organisatorische maatregelen om risico's te beheren.

Belangrijke entiteiten (NIS2)

Organisaties met NIS2-verplichtingen maar minder streng dan essentiële entiteiten.

Beleidsbeheer

Systematisch beheer van beleidsregels inclusief creatie, goedkeuring, distributie en periodieke herziening.

Betrokkene

Natuurlijke persoon op wie persoonsgegevens betrekking hebben.

Beveiligingsbasislijn

Minimale set beveiligingsmaatregelen die volgens organisatiebeleid moeten worden geïmplementeerd.

Beveiligingsbewustzijnstraining

Periodieke training voor medewerkers over beveiligingsrisico's en best practices.

Beveiligingshouding

Algehele status van beveiligingsmaatregelen en weerbaarheid tegen cyberaanvallen.

Beveiligingsincident

Gebeurtenis die de vertrouwelijkheid, integriteit of beschikbaarheid van informatie bedreigt.

Beveiligingsmaatregel

Technische, administratieve of fysieke maatregel om beveiligingsrisico's te beheren.

Bewaarbeleid

Beleid dat bepaalt hoe lang verschillende soorten gegevens worden bewaard en wanneer ze moeten worden vernietigd.

Bewaartermijn

De periode waarin persoonsgegevens of documenten mogen worden bewaard, bepaald door wettelijke eisen of bedrijfsdoeleinden.

Bewijsarchief

Centrale opslag voor alle compliancebewijs georganiseerd per beheersmaatregel en framework.

Bewijsverzameling

Systematisch verzamelen van bewijs dat aantoont dat beveiligingsmaatregelen effectief functioneren voor compliance-audits.

Bijzondere categorieën persoonsgegevens

Gevoelige gegevens zoals ras, religie, gezondheid of seksuele geaardheid met aanvullende AVG-bescherming.

BIO (Baseline Informatiebeveiliging Overheid)

Nederlandse standaard voor informatiebeveiliging bij overheidsorganisaties, gebaseerd op ISO 27001/27002 met aanvullende overheidsspecifieke maatregelen.

Biometrische gegevens

Unieke fysieke of gedragskenmerken zoals vingerafdrukken of gezichtsherkenning, geclassificeerd als bijzondere persoonsgegevens onder de AVG.

BIV-classificatie

Nederlandse standaard voor Beschikbaarheid, Integriteit en Vertrouwelijkheid van informatie.

BIV-driehoek

Fundamenteel informatiebeveiligingsmodel bestaande uit Vertrouwelijkheid (Confidentiality), Integriteit (Integrity) en Beschikbaarheid (Availability).

C

CAB (Change Advisory Board)

Commissie die wijzigingsverzoeken beoordeelt en goedkeurt om risico's van systeemwijzigingen te minimaliseren volgens ITIL-principes.

CAROC (Complementary User Entity Controls)

Beheersmaatregelen die klanten zelf moeten implementeren om effectiviteit van SOC 2-gecertificeerde diensten te waarborgen.

Certificering

Formele bevestiging door een geaccrediteerde partij dat een organisatie voldoet aan specifieke standaarden zoals ISO 27001 of SOC 2.

Chief Information Security Officer (CISO)

C-level directielid verantwoordelijk voor de algehele informatiebeveiligingsstrategie en compliance.

Classificatieniveaus

Categorisering van informatie naar gevoeligheid (openbaar, intern, vertrouwelijk, geheim) om passende beveiligingsmaatregelen te bepalen.

Cloud Security Alliance (CSA)

Organisatie die best practices en standaarden ontwikkelt voor veilig cloudcomputing, bekend van het Cloud Controls Matrix-raamwerk.

CMDB (Configuration Management Database)

Centrale database met alle IT-activa en hun onderlinge relaties, essentieel voor wijzigingsbeheer en incidentrespons.

Compliance Framework

Gestructureerde verzameling van richtlijnen, standaarden en procedures die organisaties helpen te voldoen aan regelgeving.

Compliance-automatisering

Software die complianceprocessen automatiseert zoals bewijsverzameling, monitoring van maatregelen en auditvoorbereiding om handmatig werk te minimaliseren.

Context van de organisatie (ISO 27001)

Vereiste om interne/externe factoren en belanghebbenden te identificeren die het ISMS beïnvloeden.

Continue compliance

Realtime monitoring en automatische validatie van compliancestatus in plaats van periodieke audits.

Continue monitoring

Realtime of frequente monitoring van beveiligingsmaatregelen en compliancestatus om afwijkingen direct te detecteren en corrigeren.

Continue verbetering

ISO 27001-vereiste om het ISMS continu te verbeteren via de Plan-Do-Check-Act-cyclus.

Correctief actieplan (CAP)

Gedocumenteerd plan om geïdentificeerde non-conformiteiten of auditbevindingen binnen een bepaald tijdsbestek op te lossen.

Corrigerende maatregelen

Acties om oorzaken van geïdentificeerde non-conformiteiten te verwijderen en herhaling te voorkomen.

Cryptografie

Techniek voor het versleutelen van gegevens om vertrouwelijkheid en integriteit te waarborgen tijdens opslag en transport.

CSIRT (Computer Security Incident Response Team)

Gespecialiseerd team verantwoordelijk voor het detecteren, analyseren en reageren op cybersecurity-incidenten binnen een organisatie.

Cybersecurity

De praktijk van het beschermen van digitale systemen, netwerken en gegevens tegen ongeautoriseerde toegang, aanvallen en schade.

D

Data Discovery

Geautomatiseerd proces voor het identificeren en lokaliseren van persoonsgegevens binnen alle systemen en databases van een organisatie.

Data Loss Prevention (DLP)

Technologieën en processen die voorkomen dat gevoelige gegevens ongeautoriseerd de organisatie verlaten.

Data-inventaris

Compleet overzicht van alle data-activa inclusief locatie, eigenaar, classificatie en toegangsrechten.

Dataclassificatie

Proces van categoriseren van gegevens op basis van gevoeligheid en kritikaliteit om passende beveiligingsmaatregelen te bepalen.

Dataminimalisatie

AVG-principe dat vereist dat alleen noodzakelijke persoonsgegevens worden verzameld en verwerkt voor het specifieke doel.

DDoS-bescherming

Maatregelen om Distributed Denial of Service-aanvallen die systemen onbeschikbaar maken te detecteren en mitigeren.

Derde partij

Natuurlijke of rechtspersoon anders dan betrokkene, verwerkingsverantwoordelijke of verwerker.

DevSecOps

Integratie van beveiligingspraktijken in DevOps-processen om beveiliging vanaf het begin in te bouwen in softwareontwikkeling.

Digital Operational Resilience Act (DORA)

EU-verordening die uniforme eisen stelt aan digitale operationele weerbaarheid van financiële entiteiten.

Directiebeoordeling

Periodieke evaluatie door management van effectiviteit van het compliance management systeem.

Disaster Recovery

Plan en procedures voor het herstellen van kritieke systemen en gegevens na een verstorende gebeurtenis zoals een natuurramp of cyberaanval.

Documentbeheer

Systematisch beheer van documenten en archieven gedurende hun levenscyclus voor compliancedoeleinden.

Documentwijzigingsbeheer

Proces van volgen en goedkeuren van wijzigingen in compliancedocumenten en contracten.

Doelbinding

AVG-principe dat gegevens alleen mogen worden gebruikt voor het doel waarvoor ze zijn verzameld.

Dreiging

Potentieel gevaar of schadelijke gebeurtenis die kwetsbaarheden kan uitbuiten en de vertrouwelijkheid, integriteit of beschikbaarheid van informatie of systemen negatief kan beïnvloeden.

Dreigingsinformatie

Verzamelde informatie over actuele cyberdreigingen voor proactieve verdediging.

Dreigingsmodellering

Systematische identificatie van potentiële dreigingen en kwetsbaarheden in systemen.

E

Endpoint Detection and Response (EDR)

Beveiligingsoplossing die endpoints monitort en automatisch reageert op gedetecteerde dreigingen.

Essentiële entiteiten (NIS2)

Organisaties in kritieke sectoren met de strengste verplichtingen onder NIS2 zoals energie en gezondheidszorg.

Explainable AI (XAI)

AI-systemen waarvan de besluitvorming transparant en begrijpelijk is voor gebruikers, vereist onder ISO 42001.

F

FIDO2-authenticatie

Moderne authenticatiestandaard voor wachtwoordloze verificatie via biometrie of hardware-beveiligingssleutels.

Framework-harmonisatie

Integratie van meerdere compliance-frameworks om overlap te elimineren en efficiëntie te verhogen.

Framework-mapping

Koppeling tussen overlappende eisen van verschillende standaarden om dubbel werk te voorkomen.

Functiescheiding

Scheiding van taken om fraude te voorkomen door kritieke functies over meerdere personen te verdelen.

Functionaris Gegevensbescherming (FG)

Verplichte functionaris voor toezicht op AVG-compliance bij grootschalige gegevensverwerking.

Fysieke beveiliging

Maatregelen om fysieke activa te beschermen zoals toegangscontrole tot datacenters.

G

Gap-analyse

Systematische vergelijking tussen huidige staat en vereist complianceniveau om ontbrekende beheersmaatregelen te identificeren.

Gebruikersrechten

Specifieke autorisaties toegekend aan gebruikers voor toegang tot systemen, gegevens en functionaliteiten.

Gebruikersrechtenbeoordeling

Periodieke controle of gebruikersrechten nog passend zijn voor functie en verantwoordelijkheden.

Gedeeld verantwoordelijkheidsmodel

Verdeling van beveiligingsverantwoordelijkheden tussen cloudprovider en klant.

Gefedereerd identiteitsbeheer

Systeem waarbij gebruikers toegang krijgen tot meerdere systemen met één set inloggegevens via identiteitsfederatie.

Gegevensbescherming door ontwerp

Verplichting om privacy en gegevensbescherming vanaf het begin in te bouwen in systemen en processen.

Gegevensbeschermingsautoriteit

Toezichthoudende autoriteit voor gegevensbescherming, in Nederland de Autoriteit Persoonsgegevens (AP).

Gegevensbeschermingseffectbeoordeling (DPIA)

Systematische analyse van privacyrisico's bij nieuwe verwerkingen, verplicht voor hoog-risicoverwerkingen onder de AVG.

Geheimhoudingsovereenkomst (NDA)

Vertrouwelijkheidsovereenkomst die vertrouwelijke informatie beschermt bij samenwerking met externe partijen.

Gerechtvaardigd belang

AVG-grondslag waarbij organisatiebelangen worden afgewogen tegen privacy-impact voor betrokkenen.

Gerubriceerde informatie

Overheidsinformatie geclassificeerd als staatsgeheim, zeer geheim, geheim of departementaal vertrouwelijk.

Gevoelige persoonsgegevens

Bijzondere categorieën persoonsgegevens zoals gezondheid, religie of biometrie met aanvullende beschermingseisen.

Gezamenlijke verwerkingsverantwoordelijken

Twee of meer partijen die gezamenlijk doeleinden en middelen van gegevensverwerking bepalen onder de AVG.

GRC-platform

Software voor Governance, Risk en Compliance-beheer die processen automatiseert en centraliseert.

Grensoverschrijdende gegevensoverdracht

Overdracht van persoonsgegevens naar landen buiten de EER, waarvoor aanvullende waarborgen onder de AVG vereist zijn.

Grensoverschrijdende verwerking

Verwerking van persoonsgegevens in meerdere EU-lidstaten met specifieke AVG-vereisten.

H

Hoofdvestiging

Plaats van centrale administratie in de EU voor bepaling van leidende toezichthoudende autoriteit bij grensoverschrijdende verwerking.

I

IAM (Identity and Access Management)

Raamwerk voor het beheren van digitale identiteiten en toegangsrechten binnen een organisatie.

ICT-risicobeheer (DORA)

Specifieke eisen voor het beheren van ICT-risico's in de financiële sector onder DORA.

IDS/IPS (Intrusion Detection/Prevention System)

Systemen die netwerkverkeer monitoren op verdachte activiteiten en deze detecteren of automatisch blokkeren.

Inbreuk in verband met persoonsgegevens

Officiële AVG-term voor datalek met meldplicht binnen 72 uur.

Incidentresponsplan

Gedocumenteerde procedures voor het detecteren, analyseren en herstellen van beveiligingsincidenten.

Informatiebeveiligingsbeleid

Overkoepelend beleidsdocument dat de beveiligingsdoelstellingen en -principes van een organisatie definieert.

Information Security Management System (ISMS)

Systematische aanpak voor het beheren van gevoelige bedrijfsinformatie volgens ISO 27001-standaarden.

Inherent risico

Risiconiveau vóór implementatie van mitigerende maatregelen.

Interne audit

Onafhankelijke evaluatie van compliance en effectiviteit van beheersmaatregelen door de interne auditfunctie.

ISO 27001

Internationale standaard voor informatiebeveiligingsmanagementsystemen met certificeringsmogelijkheid.

ISO 27017

Standaard met specifieke richtlijnen voor informatiebeveiliging in clouddiensten.

ISO 27018

Standaard voor bescherming van persoonsgegevens in publieke clouddiensten.

ISO 27701

Privacy-extensie op ISO 27001 voor Privacy Information Management Systems (PIMS).

ISO 42001

Eerste internationale standaard voor AI Management Systems gericht op verantwoorde AI-ontwikkeling.

IT General Controls (ITGC)

Basis IT-beheersmaatregelen die betrouwbaarheid van geautomatiseerde processen waarborgen.

K

Kans- en impactmatrix

Hulpmiddel voor risicobeoordeling dat waarschijnlijkheid en gevolgen combineert voor prioritering.

Key Performance Indicators (KPI's)

Meetbare waarden die de effectiviteit van compliance- en beveiligingsprogramma's aantonen.

Key Risk Indicators (KRI's)

Metriken die vroegtijdige waarschuwing geven voor toenemende risico's voordat ze zich manifesteren.

Klokkenluidersbescherming

Maatregelen om medewerkers te beschermen die misstanden melden volgens de EU Klokkenluidersrichtlijn.

Kwantumbestendige cryptografie

Versleutelingsmethoden die bestand zijn tegen toekomstige kwantumcomputers.

Kwetsbaarheidsanalyse

Systematisch onderzoek naar zwakheden in systemen, applicaties en processen.

Kwetsbaarheidsbeheer

Continu proces van identificeren, evalueren en remediëren van kwetsbaarheden in systemen.

Kwetsbaarheidsscan

Geautomatiseerde detectie van bekende zwakheden in systemen, netwerken en applicaties.

L

Leiderschapsbetrokkenheid (ISO 27001)

Vereiste betrokkenheid van het topmanagement bij implementatie en onderhoud van het ISMS.

Leveranciersrisicobeoordeling

Evaluatie van beveiligings- en compliancerisico's met leveranciers voorafgaand aan samenwerking.

Logging en monitoring

Continue registratie en analyse van systeemgebeurtenissen voor beveiligings- en compliancedoeleinden.

Logische toegangsbeveiliging

Technische maatregelen zoals wachtwoorden en multi-factor authenticatie voor systeemtoegang.

M

Maatregelautomatisering

Technologie die handmatige compliancetaken automatiseert zoals bewijsverzameling en testen van maatregelen.

Maatregeltests

Periodieke verificatie dat beveiligingsmaatregelen effectief functioneren zoals ontworpen.

Machine Learning Operations (MLOps)

Raamwerk voor het beheren van machine learning-modellen in productie met focus op compliance en ethiek.

Managed Security Service Provider (MSSP)

Externe partij die beveiligingsmonitoring en incidentresponsdiensten levert.

Meldplicht datalekken

Wettelijke verplichting om ernstige datalekken binnen 72 uur te melden aan toezichthouder en betrokkenen.

Metadata

Gestructureerde informatie over gegevens zoals aanmaakdatum, eigenaar en classificatieniveau.

MFA (Multi-Factor Authentication)

Authenticatie die meerdere verificatiemethoden combineert zoals wachtwoord plus SMS-code of biometrie.

Minimale rechten

Beveiligingsprincipe waarbij gebruikers alleen minimaal noodzakelijke toegangsrechten krijgen voor hun functie.

Model Governance

Raamwerk voor het beheren, monitoren en beheersen van AI- en machine learning-modellen gedurende hun levenscyclus om compliance en prestaties te waarborgen.

N

NEN 7510

Nederlandse standaard voor informatiebeveiliging in de gezondheidszorg, gebaseerd op ISO 27001/27002.

Netwerksegmentatie

Verdeling van netwerken in zones om de impact van beveiligingsincidenten te beperken.

NIS2-richtlijn

Herziene EU-richtlijn voor cybersecurity met uitgebreide verplichtingen voor essentiële en belangrijke entiteiten.

NIST Cybersecurity Framework

Amerikaans raamwerk met vijf functies (Identify, Protect, Detect, Respond, Recover) voor cybersecuritybeheer.

Non-conformiteit

Afwijking van vereisten in standaarden, wetten of regelgeving die corrigerende actie vereist.

O

OAuth 2.0

Open standaard voor gedelegeerde autorisatie waarmee applicaties kunnen handelen namens gebruikers.

Objectief bewijs

Verifieerbare documentatie die aantoont dat beheersmaatregelen effectief werken voor auditdoeleinden.

Ontvanger

Natuurlijke of rechtspersoon aan wie persoonsgegevens worden verstrekt.

Operationele weerbaarheid

Vermogen om kritieke diensten te blijven leveren tijdens en na verstoringen.

OWASP Top 10

Lijst van meest kritieke beveiligingsrisico's voor webapplicaties gepubliceerd door het Open Web Application Security Project.

P

Patchbeheer

Systematisch proces voor het testen en installeren van beveiligingsupdates en patches.

PCI DSS (Payment Card Industry Data Security Standard)

Beveiligingsstandaard voor organisaties die creditcardtransacties verwerken.

Penetratietest

Geautoriseerde gesimuleerde cyberaanval om zwakheden in systemen te identificeren.

Perimeterbescherming

Beveiligingsmaatregelen aan de netwerkrand zoals firewalls en intrusion prevention systems.

Persoonsgegevens

Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon volgens de AVG.

PII (Personally Identifiable Information)

Informatie die direct of indirect kan worden gebruikt om een persoon te identificeren.

Privacy by Default

Verplichting om standaard de meest privacyvriendelijke instellingen te gebruiken in systemen.

Privacy Champion

Medewerker die privacybewustzijn bevordert en als aanspreekpunt dient binnen een afdeling.

Privacy Engineering

Technische implementatie van privacyprincipes in systemen en applicaties.

Privacy Impact Assessment (PIA)

Evaluatie van privacyrisico's bij nieuwe projecten of verwerkingen, voorloper van DPIA.

Privacyverklaring

Transparante communicatie aan betrokkenen over hoe hun persoonsgegevens worden verwerkt.

Privileged Access Management (PAM)

Beheer en monitoring van accounts met verhoogde rechten zoals beheerdersaccounts.

Profilering

Geautomatiseerde verwerking van persoonsgegevens voor het evalueren van persoonlijke aspecten.

Pseudonimisering

Techniek waarbij persoonsgegevens niet meer direct herleidbaar zijn zonder aanvullende informatie.

R

RACI-matrix

Model dat Responsible, Accountable, Consulted en Informed partijen definieert voor compliancetaken.

Ransomware-bescherming

Maatregelen tegen malware die bestanden versleutelt en losgeld vraagt voor ontsleuteling.

RBAC (Role-Based Access Control)

Toegangsbeheer gebaseerd op functies waarbij rechten aan rollen zijn gekoppeld.

Recht op vergetelheid

AVG-recht waarbij betrokkenen onder bepaalde voorwaarden verwijdering van hun persoonsgegevens kunnen verzoeken.

Rechten van betrokkenen

Rechten van personen onder de AVG zoals inzage, rectificatie, wissing en gegevensportabiliteit van hun persoonsgegevens.

Rechtmatige grondslag

Juridische basis vereist voor elke verwerking van persoonsgegevens onder de AVG.

Recovery Point Objective (RPO)

Maximaal acceptabel gegevensverlies gemeten in tijd tijdens een incident of ramp.

Recovery Time Objective (RTO)

Maximaal acceptabele tijd waarbinnen systemen of processen moeten worden hersteld na een verstoring.

Regelgevingswijzigingenbeheer

Proces voor het identificeren, beoordelen en implementeren van wijzigingen in wet- en regelgeving.

Reikwijdte (Scope)

Definitie van processen, locaties en systemen waarop het ISMS van toepassing is.

Remediatie

Proces van het oplossen van geïdentificeerde compliancetekortkomingen of beveiligingskwetsbaarheden.

Responsible AI

Benadering van AI-ontwikkeling en -implementatie die ethiek, transparantie, verantwoording en afstemming op menselijke waarden en regelgeving prioriteert.

Restrisico

Resterend risiconiveau na implementatie van mitigerende maatregelen.

Risicobehandeling

ISO 27001-proces voor het selecteren en implementeren van maatregelen om risico's te wijzigen.

Risicobehandelingsplan

Gedocumenteerde aanpak voor het aanpakken van risico's door acceptatie, mitigatie, overdracht of vermijding.

Risicobeheer

Proces van identificeren, analyseren en reageren op risico's om organisatie-activa te beschermen en bedrijfsdoelstellingen te bereiken.

Risicobeoordeling

Systematische evaluatie van waarschijnlijkheid en impact van potentiële risico's.

Risicobereidheid

Hoeveelheid en type risico die een organisatie bereid is te accepteren voor haar doelstellingen.

Risicoregister

Centrale documentatie van alle geïdentificeerde risico's inclusief eigenaar, impact en mitigatiestatus.

Risicoscore

Kwantitatieve methode voor het toekennen van numerieke waarden aan risico's voor objectieve prioritering.

S

SAML (Security Assertion Markup Language)

XML-standaard voor het uitwisselen van authenticatie- en autorisatiegegevens tussen identiteitsproviders.

SAST (Static Application Security Testing)

Geautomatiseerde analyse van broncode om beveiligingskwetsbaarheden te identificeren.

Schrems II

EU-uitspraak die strikte eisen stelt aan internationale gegevensoverdrachten naar landen zonder adequaat beschermingsniveau.

Security Operations Centre (SOC)

Centraal team dat 24/7 beveiligingsmonitoring en incidentrespons verzorgt.

Security Orchestration (SOAR)

Automatisering van beveiligingsprocessen voor snellere detectie en respons op incidenten.

Service Level Agreement (SLA)

Contract met afspraken over prestaties, beschikbaarheid en beveiliging van diensten.

SIEM (Security Information and Event Management)

Platform dat beveiligingsgebeurtenissen verzamelt, correleert en analyseert voor dreigingsdetectie.

Single Sign-On (SSO)

Authenticatiemethode waarbij gebruikers met één login toegang krijgen tot meerdere applicaties.

Sleutelbeheer

Processen voor het veilig genereren, distribueren, opslaan en vernietigen van cryptografische sleutels.

SOC 2

Amerikaanse standaard voor serviceorganisaties die rapporteert over ontwerp en operationele effectiviteit van beheersmaatregelen.

SOC 2 Type I

Rapport over ontwerp van beheersmaatregelen op een specifiek moment volgens AICPA-standaarden.

SOC 2 Type II

Uitgebreid rapport over operationele effectiviteit van beheersmaatregelen over een periode van minimaal 3 maanden.

Software Bill of Materials (SBOM)

Inventaris van alle componenten en afhankelijkheden in software voor supply chain-beveiliging.

Spoofing

Aanvalstechniek waarbij identiteit wordt vervalst om ongeautoriseerde toegang te verkrijgen.

Standaard contractbepalingen (SCC)

Door de EU goedgekeurde modelcontracten voor internationale gegevensoverdracht.

Subverwerker

Derde partij ingeschakeld door verwerker voor specifieke verwerkingsactiviteiten, waarvoor goedkeuring onder AVG vereist is.

Supply chain-beveiliging

Maatregelen om risico's met leveranciers en partners te identificeren en beheren.

Systeemverharding

Proces van verwijderen van onnodige functies en configureren van veilige instellingen.

T

Technische en organisatorische maatregelen (TOMs)

Technische en organisatorische maatregelen vereist onder AVG Artikel 32.

Third Party Risk Management (TPRM)

Beheer van compliance- en beveiligingsrisico's met leveranciers en partners.

Toegangscontrole

Het systeem van regels en technologieën dat bepaalt wie toegang heeft tot welke informatiesystemen, gegevens en faciliteiten, wanneer en onder welke voorwaarden.

Trust Service Principles (TSP)

AICPA-criteria voor SOC 2: Security, Availability, Processing Integrity, Confidentiality, Privacy.

Tweefactorauthenticatie (2FA)

Verificatie via twee verschillende methoden zoals wachtwoord plus SMS-code.

V

Verklaring van Toepasselijkheid (SoA)

Document dat aangeeft welke ISO 27001 Annex A-maatregelen wel/niet van toepassing zijn met onderbouwing.

Versiebeheer

Systematisch beheer van wijzigingen aan documenten, code en configuraties met traceerbaarheid van alle aanpassingen.

Versleuteling

Techniek voor het coderen van gegevens om vertrouwelijkheid en integriteit te waarborgen tijdens opslag en verzending.

Versleuteling in rust

Versleuteling van gegevens opgeslagen op harde schijven, databases of andere opslagmedia.

Versleuteling tijdens transport

Bescherming van gegevens tijdens verzending tussen systemen via protocollen zoals TLS/SSL.

Vertrouwelijkheid

Principe dat ervoor zorgt dat informatie niet wordt onthuld aan onbevoegde partijen, een van de drie elementen van de BIV-driehoek.

Verwerker

Organisatie die persoonsgegevens verwerkt namens en volgens instructies van de verwerkingsverantwoordelijke.

Verwerkersovereenkomst (DPA)

Verplicht contract tussen verwerkingsverantwoordelijke en verwerker met afspraken over gegevensverwerking volgens AVG Artikel 28.

Verwerkingsactiviteit

Elke bewerking met persoonsgegevens zoals verzamelen, opslaan, raadplegen of vernietigen.

Verwerkingsregister (Artikel 30 AVG)

Overzicht van alle verwerkingsactiviteiten inclusief doeleinden, categorieën en bewaartermijnen vereist onder AVG Artikel 30.

Verwerkingsverantwoordelijke

Entiteit die de doeleinden en middelen van gegevensverwerking bepaalt en eindverantwoordelijk is voor AVG-compliance.

Vitale belangen

AVG-grondslag voor verwerking noodzakelijk om leven of gezondheid te beschermen.

Volwassenheidsmodel

Raamwerk voor het beoordelen en verbeteren van de volwassenheid van compliance- en beveiligingsprocessen.

W

WAF (Web Application Firewall)

Firewall die HTTP/HTTPS-verkeer filtert om webapplicaties te beschermen tegen aanvallen.

Watervalmethode

Traditionele ontwikkelmethode met sequentiële fasen, tegenovergestelde van Agile/DevSecOps.

Wettelijke verplichting

AVG-grondslag voor verwerking noodzakelijk om te voldoen aan een wettelijke verplichting.

Z

Zero-Knowledge Proof

Cryptografische methode waarbij een partij kan bewijzen iets te weten zonder de informatie te onthullen.

Zero-Trust Architecture

Beveiligingsmodel waarbij geen enkel netwerk of gebruiker standaard wordt vertrouwd en continue verificatie vereist is.

Zone-gebaseerde beveiliging

Netwerkarchitectuur met gescheiden zones gebaseerd op vertrouwensniveau en gevoeligheid.

Glossary

Voelt u zich soms verloren in een woud van compliance-jargon, acroniemen en afkortingen? U bent niet alleen. Onze woordenlijst is hier om u door dit complexe terrein te leiden.