De voortdurende digitalisering van de Vlaamse overheid en de toename van de informatieveiligheidsrisico’s noodzaken een consistente aanpak van de informatieveiligheid voor alle entiteiten van de Vlaamse overheid. De Informatieclassificatie past in deze strategie: hethelpt u om informatie te classificeren binnen uw entiteit en de nodige maatregelen vast te leggen die uw informatie beschermen.
Met het Informatieclassificatieraamwerk (ICR) bieden we alle entiteiten beleidslijnen aan om informatie onder te verdelen in informatieklassen en via een risico-evaluatie de nodige minimummaatregelen te voorzien. Deze gecoördineerde aanpak en de toepassing ervan op niveau van de entiteit sluit de rangen tegen cyberaanvallen. Dit raamwerk is bekrachtigd door de Vlaamse regering en is aldus bindend voor alle entiteiten zoals beschreven in het bestuursdecreet.
Een gecoördineerde aanpak: van beleidslijnen tot een plan op maat van de entiteit
De Informatieclassificatie kwam tot stand en wordt continu verbeterd en aangepast dankzij de validatie door de Werkgroep Informatieveiligheid en de goedkeuring door het Stuurorgaan Vlaams Informatie – en ICT-beleid. De documenten die hieruit voortvloeien zijn bindend voor de Vlaamse administratie. De entiteiten volgen de bindende bepalingen maar moeten zelf de risico’s goed afwegen tussen de beschikbaarheid van vrije en open data en de bescherming van data in lijn met de informatieklassebepaling.
Concrete toepassing door de entiteit (Klik op de afbeelding voor een vergrote weergave):
Stap 1: Welke klasse is mijn data? Het classificatiemodel:
Inventariseer de informatieassets. Bepaal per informatieasset welke van de vijf informatieklassen van toepassing is volgens impact van inbreuk op beschikbaarheid, integriteit en vertrouwelijkheid.
Beschikbaarheid: bijvoorbeeld … hoe lang kunt u zonder de informatie?
Integriteit: bijvoorbeeld … wat is de impact van een foutieve naam en adres in een toepassing?
Vertrouwelijkheid: bijvoorbeeld … wat als de gegevens op straat belanden
Een informatieasset is een set informatie (bijvoorbeeld een businessproces, dienst of product) die waarde heeft voor de organisatie of het individu welke gedeeld of vastgelegd kan worden in elke vorm, zoals fysiek of digitaal.
Stap 2: Welke informatierisico’s loop ik?
Bepaal de informatieveiligheidsrisico’s. Kijk daarbij naar de impact die het zou hebben op uw organoisatie als het risico zich voordoet, en de waarschijnlijkheid dat dit risico zich voordoet.
Stap 3: Welke maatregelen zijn per informatieklasse voor beschikbaarheid, integriteit, vertrouwelijkheid?
Vaststellen minimale controlemaatregelen. Gebruik de selectietool en de informatieklassebepaling om te inventariseren welke minimale controlemaatregelen van toepassing zijn voor uw informatieasset.
Vanaf klasse 3 is risicoanalyse verplicht.
Uw entiteit volgt het ‘pas toe of leg uit’-principe, zodat te allen tijde een evenwaardig veiligheidsniveau wordt bereikt. We bieden tools aan om u op weg te helpen (selectietool beheersmaatregelen, risicoanalyse, enz.)
Hier vind je de algemene documentatie rond ons model om informatie te classificeren.