Informatiebeveiligingsbeleid en BIV classificatie, wat is het?

Goede informatiebeveiliging is van essentieel belang om datalekken te voorkomen. Daarom stellen veel organisaties een informatiebeveiligingsbeleid op. Zo weten werknemers en andere belanghebbenden exact wat er van hen verwacht wordt in welke situaties. Een goed informatiebeveiligingsbeleid hangt samen met de BIV informatieclassificatie.

Als het gaat om informatiebeveiliging wordt er gebruik gemaakt van de zogenaamde BIV classificatie. Hierbij staat BIV voor Beschikbaarheid, Integriteit en Vertrouwelijkheid.

In dit artikel ontdekt u hoe uw organisatie een informatiebeveiligingsbeleid kan opstellen in combinatie met een BIV classificatie:

• Informatiebeveiligingsbeleid opstellen
• Informatieclassificatie
  • Beschikbaarheid
  • Integriteit
  • Vertrouwelijkheid
• Informatieclassificatie toepassen

Informatiebeveiligingsbeleid opstellen

Met een goed informatiebeveiligingsbeleid beperkt u de risico’s en schade als gevolg van incidenten. Het opstellen van een goed beleid doet u niet zo maar. U gaat als volgt te werk:

1. Context van de organisatie bepalen.
   Voordat u kunt starten met het opstellen van een beleid, dient u vast te stellen wat binnen informatiebeveiliging valt en wat niet. Hierbij dient u de business unit, BV’s en afdelingen te benoemen en te beoordelen of deze onder informatiebeveiliging vallen. Maar ook waar de grenzen liggen van de informatiebeveiliging, bijvoorbeeld ten aanzien van klanten en leveranciers.
2. Belanghebbenden en hun belangen inventariseren.
   Wie heeft er belang bij de informatiebeveiliging en wat verwachten zij hiervan? Uw medewerkers zullen een ander belang hebben dan bijvoorbeeld uw klanten.
3. Doelstellingen bepalen.
   Weeg de belangen van de verschillende partijen tegen elkaar af en bepaal nu de (beleids-)doelstellingen.
4. Rollen en verantwoordelijkheden bepalen.
   Koppel personen aan taken en verantwoordelijkheden. Breng deze personen hiervan op de hoogte. Belangrijk is dat dat u ook een persoon aanwijst die verantwoordelijk is voor de informatiebeveiliging als geheel.

Informatieclassificatie

Het beleid dat volgt uit bovenstaande aanpak zou in het beste geval onderscheid moeten maken naar de behoefte aan beveiliging voor verschillende informatiesystemen. Niet alle informatie heeft immers dezelfde gevoeligheid ten aanzien van beschikbaarheid, integriteit en/of vertrouwelijkheid. Om hier inzicht in te krijgen wordt de informatie geclassificeerd.

Als er over informatieclassificatie wordt gesproken, betreft dit het duiden van het belang aan de gebruikers van de informatie op basis van de verschillende aspecten zoals beschikbaarheid, integriteit en vertrouwelijkheid (BIV). Ieder aspect van classificatie behoeft zijn eigen eisen en maatregelen als het gaat om het gebruik en/of bewaren (opslag) van de informatie.

Beschikbaarheid

Beschikbaarheid beschrijft de mate waarin informatie op het juiste moment toegankelijk dient te zijn en kan worden gebruikt. Daarbij zijn de volgende kenmerken relevant:

• Tijdigheid: kan de informatie worden geleverd op het moment dat deze nodig is?
• Continuïteit: kan de informatie ook in de toekomst worden geleverd?
• Robuustheid: is de informatie bestand tegen verstoringen?

Integriteit

Integriteit betreft het in overeenstemming zijn van informatie met de werkelijkheid en dat niets ten onrechte is achtergehouden of verdwenen, alsook de consistentie van informatie onderling. Integriteit kent de volgende kenmerken:

• Correctheid: klopt de informatie en wordt deze correct weergegeven?
• Volledigheid: is de informatie volledig?
• Geldigheid: Is de informatie geldig?
• Authenticiteit: Is de bron van de ontvangen informatie juist?
• Onweerlegbaarheid: heeft de verzender de informatie inderdaad verzonden?
• Nauwkeurigheid: de mate van detail en afronding van de informatie?
• Controleerbaarheid: in hoeverre kan de informatie worden gecontroleerd?

Vertrouwelijkheid

Vertrouwelijkheid betreft de bevoegdheden en de mogelijkheden tot het kennisnemen van informatie, alsook muteren, kopiëren, toevoegen of vernietigen van deze informatie voor een gedefinieerde groep van gerechtigden. Vertrouwelijkheid wordt getoetst op basis van deze kenmerken:

• Exclusiviteit: kan de informatie worden afgeschermd voor onbevoegden?
• Privacy: wordt er op een correcte manier omgegaan met persoonlijke gegevens?

Informatieclassificatie toepassen (met BIV)

Om de classificatie eenvoudig toepasbaar te maken, wordt gebruik gemaakt van een drietal niveaus. Soms een vierde om aan te kunnen geven dat er geen eisen zijn ten aanzien van het betreffende aspect. Het resultaat kan zoiets zijn als onderstaand overzicht:

Deze tabel is gedeeltelijk gebaseerd op documenten van Surf.nl en Binnenlandsbestuur.

Aan de verschillende niveaus kunnen eventueel standaardmaatregelen worden gekoppeld. Bijvoorbeeld dat bij een hoge vertrouwelijkheid/integriteit altijd Two Factor Authentication gebruikt moet worden of dat bij een hoge beschikbaarheid er minimaal een dagelijkse back-up moet zijn.

Op deze wijze kan de BIV classificatie een handig hulpmiddel zijn om de beleidsdoelstellingen en dus de informatiebeveiliging op orde te krijgen.

Vergroot uw kennis en bewustwording rondom informatiebeveiliging.