‘Clear desk’ en ‘clear screen’ beleid

Het ‘clear desk’ beleid heeft als doel de informatieveiligheid te verbeteren door ervoor te zorgen dat gevoelige informatie niet onbeheerd op bureaus blijft liggen en gemakkelijk toegankelijk is voor onbevoegde personen.

Implementatiemaatregel

Algemene richtlijnen:

Het ‘clear screen’ beleid zorgt ervoor dat gevoelige informatie op computerschermen niet zichtbaar is voor onbevoegde personen, zowel binnen als buiten de organisatie.

Beschermen tegen fysieke en omgevingsdreigingen

Implementatiemaatregel

• Bij verlaten van de werkplek:

  • Medewerkers MOETEN hun computers vergrendelen (bijvoorbeeld door middel van Ctrl+Alt+Del) wanneer zij hun werkplek verlaten, zelfs voor korte periodes.

• Tijdens vergaderingen of pauzes:

  • Schermen MOETEN worden vergrendeld of uitgeschakeld wanneer ze niet in gebruik zijn.

• Gebruik van wachtwoorden (zie ook beleid Toegangsbeveiliging) :

  • Computers MOETEN zo worden ingesteld dat ze automatisch vergrendelen na een periode van inactiviteit (bijvoorbeeld na 10 minuten).

  • Wachtwoorden MOGEN NIET worden opgeschreven en in de buurt van de werkplek bewaard.

Omgevingsdreigingen

Het doel van deze implementatiemaatregel is om de veiligheid beveiliging van kritische apparatuur en gegevens te waarborgen door middel van fysieke en omgevingsbeveiligingsmaatregelentegen omgevingsdreigingen. Dit beoogt de risico's van schade door inbraak, brand, water, stroomuitval en andere omgevingsdreigingen te minimaliseren en de continuïteit van de bedrijfsvoering te verzekeren.

Implementatiemaatregel

Bliksemafleiderinstallatie:

De meeste van deze maatregelen worden veelal uitgevoerd door een externe dienstverlener (bijv. Het Facilitair Bedrijf of een ICT-leverancier in het geval van een data center). Het is echter de verantwoordelijkheid van onze organisatie om eisen te stellen (de implementatiemaatregelen) en deze af te stemmen en op te volgen met de externe partij(en).

Beveiligen van bedrijfsmiddelen buiten het terrein

Het doel van deze implementatiemaatregel is om de veiligheid en integriteit beveiliging van bedrijfsmiddelen die buiten de terreinen van de organisatie worden gebruikt, te waarborgen. .

Implementatiemaatregel

• Beveiliging van bedrijfsmiddelen:

  • Alle bedrijfsmiddelen die door de organisatie worden verstrekt of uitgeleend, MOETEN door de relevante diensten beveiligd worden.

• Verantwoordelijkheid van gebruikers:

  • Gebruikers van apparatuur buiten de organisatie MOETEN maatregelen nemen om hun materiaal zonder toezicht te beschermen. Dit omvat het nooit onbeheerd achterlaten van apparaten in publieke of onveilige ruimtes.

• Beveiliging van mobiele apparatuur (zie ook beleid Digitale werkplek):

  • Mobiele apparatuur die bedrijfsgegevens bevat, MOET minimaal beschermd worden door een wachtwoord of PIN-code.

  • Daarnaast moeten alle mobiele apparaten die bedrijfsgegevens bevatten, versleuteld worden om ongeoorloofde toegang te voorkomen.

Beveiliging van bekabeling

Het doel van deze implementatiemaatregel is om de integriteit, beschikbaarheid en beveiliging van voedings- en telecommunicatiekabels binnen de organisatie te waarborgen. Dit beoogt risico's van ongeoorloofde toegang, interferentie, en onderbrekingen in kritieke datacommunicatie te minimaliseren en de continuïteit van bedrijfsprocessen te verzekeren.

Implementatiemaatregel

• Documentatie van kabeltypen en -standaarden:

  • Er MOET gedetailleerde documentatie beschikbaar zijn over de typen en standaarden van voedings- en telecommunicatiekabels die binnen de organisatie worden gebruikt.

  • De documentatie MOET ook specificeren welke kabels voor dataverkeer of ondersteunende informatiediensten worden gebruikt en waar deze kabels zich bevinden.

• Toegangsbeveiliging:

  • Interne (tele)communicatiebekabeling en verdeelpunten MOETEN onbereikbaar zijn voor onbevoegden door middel van zonering en fysieke beveiligingsmaatregelen.

• Ontwerp en bescherming van kabels:

  • Bekabeling MOET ruim bemeten en gespreid zijn om capaciteit en redundantie te waarborgen.

  • Kabels MOETEN afgeschermd worden van voedingskabels, bliksemafleiders, TL-buizen, spoelen en andere bronnen van elektromagnetische interferentie.

• Noodstroomvoorziening:

  • Een ononderbroken stroomvoorziening (UPS) MOET kunnen zorgen voor een tijdelijke no-break van de verschillende platformen bij stroomuitval.

• Back-upvoorzieningen voor kritieke datacommunicatie:

  • Voor bedrijfsprocessen die afhankelijk zijn van kritieke datacommunicatieverbindingen MOETEN back-upvoorzieningen getroffen worden om continuïteit te waarborgen.

Bouwkundige vereisten

Het doel van deze implementatiemaatregel is om de veiligheid en beveiliging van kantoren, ruimten en faciliteiten te waarborgen. Dit beleid beoogt de risico's van fysieke bedreigingen, calamiteiten en omgevingsrisico's te minimaliseren en te waarborgen dat gebouwen binnen de organisatie voldoen aan de wettelijke bouwkundige vereisten, ten einde mee de continuïteit van bedrijfsprocessen te verzekeren.

Fysieke beveiligingszones

Het doel van deze implementatiemaatregel is om de veiligheid en integriteit De meeste van deze maatregelen worden veelal uitgevoerd door een externe dienstverlener (bijv. Het Facilitair Bedrijf of een ICT-leverancier in het geval van een data center). Het is echter de verantwoordelijkheid van onze organisatie om eisen te stellen (de implementatiemaatregelen) en deze af te stemmen en op te volgen met de externe partij(en).

Fysieke beveiliging

Het doel van deze implementatiemaatregelen is om de beveiliging van de organisatie te waarborgen door het creëren van verschillende fysieke beveiligingszones . Deze classificeert fysieke ruimtes in zones op basis van hun toegankelijkheid en beveiligingseisen, en stelt maatregelen vast te leggen voor de bescherming van elke zone tegen ongeoorloofde toegang en andere bedreigingen.

Classificatie van fysieke Fysieke ruimtes kunnen als volgt worden onderverdeeld:

• Publieke zone: gebieden die openstaan voor het algemene publiek zonder beperkingen.

• Semipublieke zone: gebieden met beperkte toegang, alleen toegankelijk voor geautoriseerde personen en bezoekers onder begeleiding.

• Niet-publieke of private zone: gebieden die strikt beperkt zijn tot geautoriseerd personeel en waar toegang streng gecontroleerd wordt.

Fysieke toegangsbeveiliging

Het doel van deze implementatiemaatregel is om de veiligheid en integriteit van zones en ruimtes binnen de organisatie te waarborgen door middel van effectieve fysieke toegangsbeveiliging. Dit beoogt de risico's van ongeoorloofde toegang te minimaliseren en de bescherming van gevoelige informatie en IT-voorzieningen te verbeteren.

Monitoren van de fysieke beveiliging

Het doel van deze implementatiemaatregel is om de veiligheid en integriteit van fysieke terreinen en gebouwen te waarborgen door middel van effectieve monitoring en bewaking. Dit beoogt de risico's van ongeoorloofde toegang, diefstal en vandalisme te minimaliseren en de bescherming van kritieke systemen en gevoelige zones te verbeteren.

Implementatiemaatregel

• Beveiliging van de mobiele werkplek:

  • De mobiele werkplek MOET beschouwd worden als een publieke zone van de organisatie en MOET voorzien zijn van alle noodzakelijke controles voor beveiliging, zoals versleuteling van gegevens en wachtwoordbescherming.

• Fysieke solide buitengrenzen:

  • Elke beveiligingszone MOET beschikken over fysieke solide buitengrenzen die ongeoorloofde toegang voorkomen.

  • De locatie en sterkte van deze buitengrenzen, evenals het toegangsbeveiligingsmechanisme, MOETEN afgestemd zijn op het classificatieniveau van de zone.

• Toegangsbeveiligingsmechanismen:

  • Toegangscontrolemechanismen zoals sleutels, toegangspassen, biometrische verificatie of andere beveiligingstechnologieën MOETEN worden geïmplementeerd om toegang tot semipublieke en niet-publieke zones te beheren en controleren.

• Branddeuren en alarmsystemen:

  • Alle branddeuren die deel uitmaken van een beveiligingszone MOETEN voorzien zijn van alarmsystemen.

  • Deze alarmsystemen MOETEN regelmatig gemonitord en getest worden om te waarborgen dat ze het vereiste weerstandsniveau bieden en effectief functioneren.

Nutsvoorzieningen

Het doel van deze implementatiemaatregel is om de continuïteit van informatieverwerkende informatie-verwerkende faciliteiten te waarborgen door bescherming te bieden tegen stroomuitval en andere verstoringen die worden veroorzaakt door storingen in nutsvoorzieningen. Dit richt zich op het minimaliseren van risico's voor kritieke bedrijfsprocessen en het handhaven van operationele integriteit.

Implementatiemaatregel

• Bescherming tegen stroomuitval en verstoring:

  • Informatieverwerkende faciliteiten MOETEN worden beschermd tegen stroomuitval en andere verstoringen die worden veroorzaakt door storingen in nutsvoorzieningen.

• No-break-installatie voor kritieke ruimtes:

  • Voor kritieke ruimtes MOET een no-break-installatie (UPS) worden geïnstalleerd met een capaciteit die voldoende is voor het (tijdelijk) voortzetten van de meest kritische bedrijfsprocessen.

• Testen en onderhoud van no-break-installaties:

  • De no-break-installatie MOET minstens jaarlijks op goed functioneren worden getest.

  • De no-break-installatie MOET volgens de voorschriften worden onderhouden om te garanderen dat deze operationeel is wanneer dat nodig is.

Onderhoud van apparatuur

Het doel van deze implementatiemaatregel is om de operationele continuïteit en betrouwbaarheid van apparatuur die cruciaal is voor de organisatie te waarborgen. Dit beoogt de risico's van apparatuurstoringen apparatuur-storingen te minimaliseren door het vaststellen van duidelijke verantwoordelijkheden en het afsluiten van onderhoudscontracten.

Implementatiemaatregel

• Verantwoordelijkheden voor apparatuurbeheer:

  • De verantwoordelijkheden voor het beheer van apparatuur MOETEN duidelijk zijn en geformaliseerd worden. Dit omvat het toewijzen van specifieke taken en bevoegdheden aan verantwoordelijke personen of teams binnen de organisatie.

• Onderhoudscontracten voor cruciale apparatuur:

  • Voor apparatuur die van belang is voor de organisatie MOETEN onderhoudscontracten worden opgesteld. Deze contracten moeten zorgen voor regelmatige inspectie, onderhoud en reparatie van de apparatuur om de operationele efficiëntie en levensduur te waarborgen.

Opslagmedia

Het doel van deze implementatiemaatregel is om de veiligheid en integriteit beveiliging van opslagmedia te waarborgen gedurende hun volledige levenscyclus. Dit beoogt de risico's van gegevensverlies, diefstal en ongeoorloofde toegang tot gevoelige informatie te minimaliseren.

, maar ook defecten, ongevallen en omgevingsinvloeden.

Plaatsen en beschermen van ICT-hardware

Het doel van deze implementatiemaatregel is om de veiligheid en integriteit beveiliging van kritische apparatuur ICT-hardware binnen de organisatie te waarborgen. Dit beoogt de risico's van ongeoorloofde toegang, diefstal en andere bedreigingen te minimaliseren en de continuïteit van kritieke bedrijfsprocessen te handhaven.

Implementatiemaatregel

ICT Gedragscode voor Werknemers:

Veilig verwijderen of hergebruiken van ICT-apparatuur

Het doel van dit beleid is om de veiligheid en integriteit beveiliging van gevoelige gegevens te waarborgen wanneer ICT-apparatuur uit dienst wordt genomen, hergebruikt of voor herstel buiten de organisatie wordt gebracht. Dit beleid beoogt de risico's van gegevenslekken en ongeoorloofde toegang tot bedrijfsinformatie te minimaliseren.

Werken in beveiligde gebieden

Het doel van dit beleid is om de veiligheid en integriteit van beveiligde gebieden binnen de organisatie te waarborgen. Dit beleid beoogt de risico's van incidenten en ongeoorloofde toegang te minimaliseren en de veiligheid van medewerkers te verbeteren tijdens het werken in beveiligde ruimten.

Implementatiemaatregel

• Verwijderen van gegevens bij buiten gebruik stellen:

  • Wanneer apparatuur uit dienst wordt genomen, hergebruikt of voor herstel buiten de organisatie wordt gebracht, MOETEN gevoelige gegevens worden verwijderd zodat deze niet meer kunnen worden gereconstrueerd.

• Contractuele vastlegging van gegevensverwijdering:

  • De gepaste maatregel voor het wissen van gegevens MOET contractueel worden vastgelegd, bijvoorbeeld bij leasing of cloud computing. Dit zorgt ervoor dat alle betrokken partijen zich aan dezelfde veiligheidsstandaarden houden.

• Processen en procedures:

  • Er MOETEN processen en procedures bestaan voor het veilig verwijderen of hergebruiken van bedrijfsmiddelen, waaronder apparatuur en certificaten. Deze processen en procedures MOETEN duidelijk omschreven en gedocumenteerd zijn.

Regelgeving en standaarden (L1)

ISO 27001:2022 (Annex A)

Informatieclassificatieraamwerk van de Vlaamse overheid (L2)

Zie 6. Beheersmaatregelen - Fysieke beveiliging voor meer informatie.

Processen