Informatiebeveiligingsbeleid en BIV classificatie, wat is het?

Goede informatiebeveiliging is van essentieel belang om datalekken te voorkomen. Daarom stellen veel organisaties een informatiebeveiligingsbeleid op. Zo weten werknemers en andere belanghebbenden exact wat er van hen verwacht wordt in welke situaties. Een goed informatiebeveiligingsbeleid hangt samen met de informatieclassificatie.

Als het gaat om informatiebeveiliging wordt er gebruik gemaakt van de zogenaamde BIV classificatie. Hierbij staat BIV voor Beschikbaarheid, Integriteit en Vertrouwelijkheid.

In dit artikel ontdekt u hoe uw organisatie een informatiebeveiligingsbeleid kan opstellen in combinatie met een BIV classificatie:

  • Informatiebeveiligingsbeleid opstellen
  • Informatieclassificatie
    • Beschikbaarheid
    • Integriteit
    • Vertrouwelijkheid
  • Informatieclassificatie toepassen

 

Vergroot uw kennis en bewustwording rondom informatiebeveiliging. 

Download het complete e-book

Informatiebeveiligingsbeleid opstellen

Met een goed informatiebeveiligingsbeleid beperkt u de risico’s en schade als gevolg van incidenten. Het opstellen van een goed beleid doet u niet zo maar. U gaat als volgt te werk:

  1. Context van de organisatie bepalen.
    Voordat u kunt starten met het opstellen van een beleid, dient u vast te stellen wat binnen informatiebeveiliging valt en wat niet. Hierbij dient u de business unit, BV’s en afdelingen te benoemen en te beoordelen of deze onder informatiebeveiliging vallen. Maar ook waar de grenzen liggen van de informatiebeveiliging, bijvoorbeeld ten aanzien van klanten en leveranciers.
  2. Belanghebbenden en hun belangen inventariseren.
    Wie heeft er belang bij de informatiebeveiliging en wat verwachten zij hiervan? Uw medewerkers zullen een ander belang hebben dan bijvoorbeeld uw klanten.
  3. Doelstellingen bepalen.
    Weeg de belangen van de verschillende partijen tegen elkaar af en bepaal nu de (beleids-)doelstellingen.
  4. Rollen en verantwoordelijkheden bepalen.
    Koppel personen aan taken en verantwoordelijkheden. Breng deze personen hiervan op de hoogte. Belangrijk is dat dat u ook een persoon aanwijst die verantwoordelijk is voor de informatiebeveiliging als geheel.

Informatieclassificatie

Het beleid dat volgt uit bovenstaande aanpak zou in het beste geval onderscheid moeten maken naar de behoefte aan beveiliging voor verschillende informatiesystemen. Niet alle informatie heeft immers dezelfde gevoeligheid ten aanzien van beschikbaarheid, integriteit en/of vertrouwelijkheid. Om hier inzicht in te krijgen wordt de informatie geclassificeerd.

Als er over informatieclassificatie wordt gesproken, betreft dit het duiden van het belang aan de gebruikers van de informatie op basis van de verschillende aspecten zoals beschikbaarheid, integriteit en vertrouwelijkheid. Ieder aspect van classificatie behoeft zijn eigen eisen en maatregelen als het gaat om het gebruik en/of bewaren (opslag) van de informatie.

Beschikbaarheid

Beschikbaarheid beschrijft de mate waarin informatie op het juiste moment toegankelijk dient te zijn en kan worden gebruikt. Daarbij zijn de volgende kenmerken relevant:

  • Tijdigheid: kan de informatie worden geleverd op het moment dat deze nodig is?
  • Continuïteit: kan de informatie ook in de toekomst worden geleverd?
  • Robuustheid: is de informatie bestand tegen verstoringen?

Integriteit

Integriteit betreft het in overeenstemming zijn van informatie met de werkelijkheid en dat niets ten onrechte is achtergehouden of verdwenen, alsook de consistentie van informatie onderling. Integriteit kent de volgende kenmerken:

  • Correctheid: klopt de informatie en wordt deze correct weergegeven?
  • Volledigheid: is de informatie volledig?
  • Geldigheid: Is de informatie geldig?
  • Authenticiteit: Is de bron van de ontvangen informatie juist?
  • Onweerlegbaarheid: heeft de verzender de informatie inderdaad verzonden?
  • Nauwkeurigheid: de mate van detail en afronding van de informatie?
  • Controleerbaarheid: in hoeverre kan de informatie worden gecontroleerd?

Vertrouwelijkheid

Vertrouwelijkheid betreft de bevoegdheden en de mogelijkheden tot het kennisnemen van informatie, alsook muteren, kopiëren, toevoegen of vernietigen van deze informatie voor een gedefinieerde groep van gerechtigden. Vertrouwelijkheid wordt getoetst op basis van deze kenmerken:

  • Exclusiviteit: kan de informatie worden afgeschermd voor onbevoegden?
  • Privacy: wordt er op een correcte manier omgegaan met persoonlijke gegevens?

Informatieclassificatie toepassen

Om de classificatie eenvoudig toepasbaar te maken, wordt gebruik gemaakt van een drietal niveaus. Soms een vierde om aan te kunnen geven dat er geen eisen zijn ten aanzien van het betreffende aspect. Het resultaat kan zoiets zijn als onderstaand overzicht:

Niveau Beschikbaarheid Integriteit Vertrouwelijkheid
Geen

Niet nodig
gegevens kunnen zonder gevolgen langere tijd niet beschikbaar zijn

(bv: routeplanning)

Niet zeker
informatie mag worden veranderd

(bv: templates en sjablonen)

Openbaar
informatie mag door iedereen worden ingezien

(bv: algemene informatie op de website)

Normaal

Belangrijk
informatie mag korte tijd niet beschikbaar zijn

(bv: administratieve gegevens)

Beschermd
het bedrijfsproces staat enkele (integriteits-) fouten toe

(bv: rapportages)

Intern
informatie is toegankelijk voor alle medewerkers van de organisatie

(bv: intranet)

Hoog

Noodzakelijk
informatie moet vrijwel altijd beschikbaar zijn, continuïteit is belangrijk

(bv: primaire proces informatie)

Hoog
het bedrijfsproces staat zeer weinig fouten toe

(bv: bedrijfsvoerings- informatie en primaire proces- informatie)

Vertrouwelijk
informatie is alleen toegankelijk voor een beperkte groep gebruikers 

(bv: persoonsgegevens, financiële gegevens)

Kritiek

Essentieel
informatie mag alleen in uitzonderlijke situaties uitvallen, bijvoorbeeld bij calamiteiten

(bv: basisregistraties)

Absoluut
het bedrijfsproces staat geen fouten toe

(bv: beleidsinformatie)

Geheim
informatie is alleen toegankelijk voor direct geadresseerde(n)

(bv: zorggegevens en strafrechtelijke informatie)

Deze tabel is gedeeltelijk gebaseerd op documenten van Surf.nl en Binnenlandsbestuur.

Aan de verschillende niveaus kunnen eventueel standaardmaatregelen worden gekoppeld. Bijvoorbeeld dat bij een hoge vertrouwelijkheid/integriteit altijd Two Factor Authentication gebruikt moet worden of dat bij een hoge beschikbaarheid er minimaal een dagelijkse back-up moet zijn.

Op deze wijze kan de BIV classificatie een handig hulpmiddel zijn om de beleidsdoelstellingen en dus de informatiebeveiliging op orde te krijgen.

Vergroot uw kennis en bewustwording rondom informatiebeveiliging. 

Download nu de complete gids

 

Recente berichten

Met Base27 van Axxemble heeft u uw informatiebeveiliging snel op orde.
Download nu de complete gids

De combinatie van Base27 en ondersteuning en kennis van Axxemble was voor ons de succesformule. Na 6 maanden was de certificering een feit.

Mathijs Vreeman Lightbase

lightbase

Deze blogs vindt u wellicht ook interessant:

Optimaal (ISO) normen combineren met behulp van een managementsysteem

Het aantonen van een (ISO) norm zorgt voor meer vertrouwen bij uw bestaande en potentiële klanten. Niet gek dat bedrijven er steeds vaker voor kiezen om aan één of zelfs meerdere ISO normen te voldoen en het bijbehorende certificaat te behalen. Hoe...

Bespaar tijd door gebruik van de juiste ISMS-software

Waarschijnlijk herkent u het wel: u bent veel tijd kwijt met het onderhouden van alle documentatie en de verantwoording van het ISMS om te blijven voldoen aan de eisen van uw ISO 27001 certificering. Vervelend, want u wilt uiteraard deze tijd liever...

Privacy by design en by default, wat is het en hoe pas ik het toe?

Inmiddels is de AVG al enige tijd ingevoerd en hebben veel bedrijven de nodige aanpassingen gedaan, toch blijft het omgaan met privacygevoelige informatie lastig blijkt keer op keer.