‘Clear desk’ en ‘clear screen’ beleid

Het ‘clear desk’ beleid heeft als doel de informatieveiligheid te verbeteren door ervoor te zorgen dat gevoelige informatie niet onbeheerd op bureaus blijft liggen en gemakkelijk toegankelijk is voor onbevoegde personen.

Implementatiemaatregel

• Aan het einde van de werkdag, gelden de volgende maatregelen:

  • Alle papieren documenten, notities en post-it's MOETEN worden verwijderd van de werkplek of veilig opgeborgen in afsluitbare kasten of laden.

  • Persoonlijke ICT hardware zoals laptops, USB-sticks, mobiele telefoons, of andere opslagapparaten MOETEN worden verwijderd van de werkplek of veilig opgeborgen in afsluitbare kasten of laden.

• Tijdens korte afwezigheid door vergaderingen of pauzes, MOETEN werkplekken vrij zijn van gevoelige documenten wanneer werknemers hun werkplek verlaten.

Het ‘clear screen’ beleid zorgt ervoor dat gevoelige informatie op computerschermen niet zichtbaar is voor onbevoegde personen, zowel binnen als buiten de organisatie.

Implementatiemaatregel

• Bij verlaten van de werkplek (bijvoorbeeld tijdens vergaderingen of pauzes) MOETEN medewerkers hun computers vergrendelen (bijvoorbeeld door middel van Ctrl+Alt+Del) wanneer zij hun werkplek verlaten, zelfs voor korte periodes.

• Digitale werkplekken MOETEN zo worden ingesteld dat ze automatisch vergrendelen na een periode van inactiviteit (bijvoorbeeld na 10 minuten).

• Het ontgrendelen van een werkplek MOET gebeuren via de standaard gebruikersaccount door het ingeven van het wachtwoord.

• Wachtwoorden MOGEN NIET worden opgeschreven en in de buurt van de werkplek bewaard.

Omgevingsdreigingen

Het doel van deze implementatiemaatregel is om de beveiliging van kritische apparatuur en gegevens te waarborgen tegen omgevingsdreigingen. Dit beoogt de risico's van schade door brand, water, stroomuitval en andere omgevingsdreigingen te minimaliseren en de continuïteit van de bedrijfsvoering te verzekeren.

Implementatiemaatregel

• Luchtbehandeling van kritische ruimtes:

  • De luchtbehandeling van ruimtes met kritische ICT apparatuur MOET onafhankelijk zijn van de overige ruimtes.

  • Het risico van aanzuiging van gevaarlijke stoffen MOET beperkt worden.

  • Er MOET een mogelijkheid zijn om bij alarmering de luchtventilatie handmatig uit te schakelen.

• Branddetectie en -melders:

  • Er MOET detectieapparatuur en automatische (en handmatige) brandmelders aanwezig zijn in kritische ruimtes, inclusief onder verhoogde vloeren en boven verlaagde plafonds, en in ruimtes met hoge brandveiligheidseisen.

  • Regelmatige controles MOETEN plaatsvinden om de werking van de detectieapparatuur te waarborgen.

  • De detectieapparatuur MOET voorzien zijn van een eigen noodstroomvoorziening.

  • Instructies MOETEN aanwezig zijn die aangeven hoe te handelen in geval van brand.

• Vochtdetectie:

  • In kritische ruimtes (wanden, vloeren en plafonds) MOGEN GEEN leidingen voor het transport van water of andere vloeistoffen aanwezig zijn, met uitzondering van brandblusapparaten.

  • In de directe omgeving van kritische apparatuur MOETEN vochtdetectors met automatische detectie en alarmering aanwezig zijn.

• Rookverbod:

  • Het wettelijk rookverbod in alle gebouwen van de organisatie, inclusief alle kritische ICT ruimtes MOET worden nageleefd.

• Gebruik van brandwerende materialen:

  • Bij de bouw en inrichting van kritische ICT ruimtes MOETEN materialen gekozen worden die brand- en rookontwikkeling beperken.

  • Er MOET aandacht geschonken worden aan brandwerende scheidingen.

• Bliksemafleiders:

  • Bliksemafleiders MOETEN geïnstalleerd worden om schade door blikseminslag zoveel mogelijk te voorkomen.

• Automatisering en opvolging van beveiliging:

  • De bestaande beveiliging MOET zoveel mogelijk geautomatiseerd worden.

  • Apparatuur voor het detecteren van schade, zoals brand, wateroverlast en stroomuitval, MOET geïnstalleerd worden.

  • De reactie-procedures op gedetecteerde schade MOETEN geautomatiseerd worden.

• Periodieke inspectie van beveiligingsmaatregelen:

  • Beveiligingsmaatregelen MOETEN periodiek geïnspecteerd worden, bijvoorbeeld op initiatief van de brandweer en verzekeringsmaatschappijen.

Beveiligen van bedrijfsmiddelen buiten het terrein

Het doel van deze implementatiemaatregel is om de beveiliging van bedrijfsmiddelen die buiten de terreinen van de organisatie worden gebruikt, te waarborgen.

Implementatiemaatregel

Beveiliging van mobiele apparatuur (zie ook beleid Digitale werkplek):

Beveiliging van bekabeling

Het doel van deze implementatiemaatregel is om de beveiliging van voedings- en telecommunicatiekabels binnen de organisatie te waarborgen. Dit beoogt risico's van ongeoorloofde toegang, interferentie, en onderbrekingen in kritieke datacommunicatie te minimaliseren en de continuïteit van bedrijfsprocessen te verzekeren.

Implementatiemaatregel

• Documentatie van kabeltypen en -standaarden:

  • Er MOET gedetailleerde documentatie beschikbaar zijn over de typen en standaarden van voedings- en telecommunicatiekabels die binnen de organisatie worden gebruikt.

  • De documentatie MOET ook specificeren welke kabels voor dataverkeer of ondersteunende informatiediensten worden gebruikt en waar deze kabels zich bevinden.

• Toegangsbeveiliging:

  • Interne communicatiebekabeling en verdeelpunten MOETEN onbereikbaar zijn voor onbevoegden door middel van zonering en fysieke beveiligingsmaatregelen.

• Ontwerp en bescherming van kabels:

  • Bekabeling MOET ruim bemeten en gespreid zijn om capaciteit en redundantie te waarborgen.

  • Kabels MOETEN afgeschermd worden van voedingskabels, bliksemafleiders, TL-buizen, spoelen en andere bronnen van elektromagnetische interferentie.

• Back-upvoorzieningen voor kritieke datacommunicatie:

  • Voor bedrijfsprocessen die afhankelijk zijn van kritieke datacommunicatieverbindingen MOETEN back-upvoorzieningen getroffen worden om continuïteit te waarborgen (zie ook beleid ICT-continuïteit).

Bouwkundige vereisten

Het doel van deze implementatiemaatregel is om te waarborgen dat gebouwen binnen de organisatie voldoen aan de wettelijke bouwkundige vereisten, ten einde mee de continuïteit van bedrijfsprocessen te verzekeren.

Implementatiemaatregel

Documentatie van bouwkundige voorzieningen:

Fysieke beveiliging

Het doel van deze implementatiemaatregelen is om de beveiliging van de organisatie te waarborgen door het creëren van verschillende fysieke beveiligingszones op basis van hun toegankelijkheid en beveiligingseisen, en maatregelen vast te leggen voor de bescherming van elke zone tegen ongeoorloofde toegang en andere bedreigingen.

Fysieke ruimtes kunnen als volgt worden onderverdeeld:

• Publieke zone: gebieden die openstaan voor het algemene publiek zonder beperkingen.

• Semipublieke zone: gebieden met beperkte toegang, alleen toegankelijk voor geautoriseerde personen en bezoekers onder begeleiding.

• Niet-publieke of private zone: gebieden die strikt beperkt zijn tot geautoriseerd personeel en waar toegang streng gecontroleerd wordt.

Implementatiemaatregel

• Verantwoordelijkheden en bevoegdheden:

  • De verantwoordelijkheden en bevoegdheden met betrekking tot fysieke beveiliging MOETEN duidelijk worden vastgelegd en gedocumenteerd.

• Onderhoud en testen van beveiligingsapparatuur:

  • Apparatuur die wordt gebruikt voor het beheer van fysieke beveiliging MOET periodiek worden onderhouden en getest, minimaal één keer per jaar.

Nutsvoorzieningen

Het doel van deze implementatiemaatregel is om de continuïteit van informatie-verwerkende faciliteiten te waarborgen door bescherming te bieden tegen stroomuitval en andere verstoringen die worden veroorzaakt door storingen in nutsvoorzieningen. Dit richt zich op het minimaliseren van risico's voor kritieke bedrijfsprocessen en het handhaven van operationele integriteit.

Implementatiemaatregel

• Bescherming tegen stroomuitval en verstoring:

  • Informatie-verwerkende faciliteiten MOETEN worden beschermd tegen stroomuitval en andere verstoringen die worden veroorzaakt door storingen in nutsvoorzieningen.

• No-break-installatie voor kritieke ruimtes:

  • Voor kritieke ruimtes MOET een ononderbroken stroomvoorziening (Uninterruptible Power Supply (UPS)) worden geïnstalleerd met een capaciteit die voldoende is voor het (tijdelijk) voortzetten van de meest kritische bedrijfsprocessen.

  • De no-break-installatie MOET minstens jaarlijks op goed functioneren worden getest.

  • De no-break-installatie MOET volgens de voorschriften worden onderhouden om te garanderen dat deze operationeel is wanneer dat nodig is.

Onderhoud van apparatuur

Het doel van deze implementatiemaatregel is om de operationele continuïteit en betrouwbaarheid van apparatuur die cruciaal is voor de organisatie te waarborgen. Dit beoogt de risico's van apparatuur-storingen te minimaliseren door het vaststellen van duidelijke verantwoordelijkheden en het afsluiten van onderhoudscontracten.

Implementatiemaatregel

Onderhoudscontracten voor cruciale apparatuur:

Opslagmedia

Het doel van deze implementatiemaatregel is om de beveiliging van opslagmedia te waarborgen gedurende hun volledige levenscyclus. Dit beoogt de risico's van gegevensverlies, diefstal en ongeoorloofde toegang tot gevoelige informatie te minimaliseren.

Implementatiemaatregel

• Beheer van opslagmedia:

  • Opslagmedia MOETEN worden beheerd gedurende hun volledige levenscyclus van aanschaf, gebruik, transport en verwijdering.

• Procedures voor verwijderbare media:

  • Voor het beheren van verwijderbare media MOETEN de nodige procedures worden geïmplementeerd.

• Toestemming voor apparatuur-gebruik:

  • Apparatuur (andere dan standaard werkmiddelen zoals laptops, smartphones en tablets), informatie en programmatuur van de organisatie MOGEN NIET zonder toestemming van de verantwoordelijke van de locatie worden meegenomen.

• Onderhoud en transport:

  • Onderhoud, verplaatsing of transport van apparatuur buiten de organisatie MOET worden uitgevoerd door bevoegd en getraind personeel en/of toegelaten externe medewerkers.

  • Tijdens het transport, uit dienst name of onderhoud van apparatuur MOETEN gevoelige gegevens worden verwijderd of beschermd door encryptie of sterke toegangscontrolemaatregelen (zoals een afgesloten koffer).

• Verantwoordelijkheden van werknemers:

  • Werknemers MOETEN alle redelijke maatregelen nemen om de veiligheid van de toegewezen hardware, software en informatie te waarborgen.

  • Werknemers MOETEN ervoor zorgen dat alle toegewezen hardware en software in goede staat worden onderhouden en voldoende beschermd zijn tegen illegaal gebruik of diefstal.

  • Draagbare apparatuur MOET buiten de normale openingstijden van het kantoor worden verwijderd of op de juiste manier worden beveiligd of afgesloten (bijvoorbeeld in een afgesloten kast).

  • Buiten de organisatie MOET adequate bescherming aan de apparatuur worden gegeven.

  • Medewerkers MOETEN melden van verlies of schade, ongeacht de oorzaak, zodra zij zich daarvan bewust worden.

• Veilige verwijdering van media:

  • Media MOETEN op een veilige en beveiligde manier worden verwijderd wanneer ze niet langer nodig zijn.

  • Er MOET gebruik worden gemaakt van logische en fysieke methoden om informatie te verwijderen (bijvoorbeeld clearing, purging, cryptografisch wissen, vernietiging). Wanneer nodig wordt het 4-ogen principe toegepast.

Plaatsen en beschermen van ICT-hardware

Het doel van deze implementatiemaatregel is om de beveiliging van kritische ICT-hardware binnen de organisatie te waarborgen. Dit beoogt de risico's van ongeoorloofde toegang, diefstal en andere bedreigingen te minimaliseren en de continuïteit van kritieke bedrijfsprocessen te handhaven.

Implementatiemaatregel

• Plaatsing van kritische ICT-apparatuur:

  • Kritische vaste ICT-apparatuur MOET in een beveiligde toegangsruimte worden geplaatst, die enkel toegankelijk is voor geautoriseerde personen en niet in publieke zones.

• Noodstroomvoorziening:

  • Voor kritische apparatuur MOET een ononderbroken stroomvoorziening (Uninterruptible Power Supply (UPS)) kunnen worden gegarandeerd om de continuïteit van de bedrijfsprocessen te waarborgen.

• Bescherming van rack Infrastructuur:

  • Rack infrastructuur voor servers of netwerkcomponenten MOET afgesloten worden om ongeoorloofde toegang te voorkomen.

• Bescherming van mobiele apparatuur:

  • Mobiele apparatuur MOET worden beschermd tegen onbevoegde toegang, hetzij door de organisatie, hetzij door de eigenaar zelf. Afhankelijk van de gevoeligheid van de informatie kunnen verschillende maatregelen worden toegepast, zoals encryptie en wachtwoordbescherming.

  • Voor laptops MOETEN maatregelen tegen diefstal worden genomen, zoals het gebruik van kabels, sloten, bewakers, enzovoorts.

  • Mobiele apparatuur MOET worden beschermd tegen onbevoegde toegang door middel van wachtwoorden, pincodes, certificaten of encryptie.

  • Voor mobiele apparatuur die gevoelige informatie bevatten, ZOUDEN cryptografische maatregelen moeten worden genomen om ongeoorloofde toegang te voorkomen (zie beleid Cryptografie).

• ICT Gedragscode voor Werknemers:

  • Alle werknemers MOETEN een ICT gedragscode respecteren met betrekking tot de bescherming van hun apparatuur. Ze moeten de informatie van de organisatie beschermen tegen incidenten die de beschikbaarheid, integriteit en vertrouwelijkheid kunnen aantasten.

Veilig verwijderen of hergebruiken van ICT-apparatuur

Het doel van dit beleid is om de beveiliging van gevoelige gegevens te waarborgen wanneer ICT-apparatuur uit dienst wordt genomen, hergebruikt of voor herstel buiten de organisatie wordt gebracht. Dit beleid beoogt de risico's van gegevenslekken en ongeoorloofde toegang tot bedrijfsinformatie te minimaliseren.

Implementatiemaatregel

• Verwijderen van gegevens bij buiten gebruik stellen:

  • Wanneer ICT-apparatuur uit dienst wordt genomen, hergebruikt of voor herstel buiten de organisatie wordt gebracht, MOETEN gevoelige gegevens worden verwijderd op een manier dat deze niet meer kunnen worden gereconstrueerd.

• Processen en procedures:

  • Er MOETEN processen en procedures bestaan voor het veilig verwijderen of hergebruiken van bedrijfsmiddelen, waaronder ICT-apparatuur en certificaten. Deze processen en procedures MOETEN duidelijk omschreven en gedocumenteerd zijn.

• Contractuele vastlegging van gegevensverwijdering:

  • De gepaste maatregel voor het wissen van gegevens MOET contractueel worden vastgelegd, indien gegevens worden bewaard door derden, bijvoorbeeld bij leasing of cloud computing. Dit zorgt ervoor dat alle betrokken partijen zich aan dezelfde veiligheidsstandaarden houden.

Regelgeving en standaarden (L1)

ISO 27001:2022 (Annex A)

Informatieclassificatieraamwerk van de Vlaamse overheid (L2)

Zie 6. Beheersmaatregelen - Fysieke beveiliging voor meer informatie.