Doelgebied

Het doelgebied van dit beleid omvat:

• gebruikersapparaten die beheerd worden door de organisatie onafhankelijk van wel team de apparaten beheert,

• gebruikersapparaten beheert door de organisatie als een service naar andere entiteiten en gebruikt buiten de organisatie, en

• gebruikersapparaten gebruikt binnen de organisatie door haar medewerkers, maar niet beheert door de organisatie (“Bring Your Own Device” (BYOD) apparaten).

Het onderstaande beleid is van toepassing op gebruikersapparaten beheert door de organisatie (zowel diegene die worden gebruikt binnen de organisatie, als diegene die worden gebruikt buiten de organisatie), en zowel op de aanbodzijde (team en medewerkers die de gebruikersapparatuur beheren), als de vraagzijde (team en medewerkers die de gebruikersapparatuur gebruiken).

Het onderstaande beleid is eveneens van toepassing op BYOD-apparaten indien relevant of wanneer dit expliciet wordt aangegeven in betreffende paragrafen.

Toegang tot gebruikersapparaten

Beveiliging van gebruikersapparaten

Implementatiemaatregel

• Gebruikersapparatuur die bedrijfsinformatie bevat of toegang tot bedrijfsinformatie geeft, MOET minimaal vereisen dat een gebruiker zich persoonlijk authenticeert met behulp van wachtwoord, pincode, of biometrische sleutel in overeenstemming met het beleid Toegangsbeveiliging.

• Het gebruik van geautomatiseerde inlogscripts of andere hulpmiddelen die een gebruiker in staat stellen in te loggen zonder te authenticeren MAG NIET mogelijk zijn.

Beveiliging van gebruikersapparaten

Aankoop en uitgifte van gebruikersapparaten

Rapportering van verlies

Implementatiemaatregel

• Er MOETEN procedures gedocumenteerd en beschikbaar zijn voor de aankoop van apparaten voor eindgebruikers..

• Gebruikersapparatuur MOET worden besteld bij leveranciers die voldoen aan de eisen die worden gesteld volgens het beleid Leveranciersrelaties.

• De gebruiker MOET bij in ontvangstname confirmeren te voldoen aan dit bedrijfsbeleid, in het bijzonder de beleidsregels met betrekking tot het aanvaardbaar gebruik, zie https://vlaamseoverheid.atlassian.net/wiki/spaces/ISMS/pages/edit-v2/6330811307#Aanvaardbaar-gebruik-van-gebruikersapparatuur.

• De uitgifte en aanname van het apparaat MOET worden geregistreerd.

• Elk apparaat en zijn gebruiker (eigenaar) MOET worden geregistreerd in een CMDB (Configuration Management Database).

Rapportering van verlies

Beheer van PC's

Configuratie

Software

Implementatiemaatregel

• Elk apparaat MOET worden voorzien van een door de organisatie bepaalde basis software image inclusief antimalware software.

• De klok van elk apparaat MOET bij registratie worden geconfigureerd met de door de organisatie goedgekeurde tijdsbron.

• Elk apparaat MOET worden gekoppeld aan een binnen de organisatie geregistreerde gebruiker.

• Elk apparaat MOET worden geconfigureerd zo dat een gebruiker zich steeds moet authenticeren conform het beleid Toegangsbeveiliging:

  • Het initiële wachtwoord MOET ONMIDDELLIJK veranderd worden door de gebruiker bij het eerste gebruik in een nieuw vertrouwelijk wachtwoord;

  • Gebruikersaccounts MOETEN worden opgezet zonder admin-rechten; en

  • Gebruikers die admin-rechten nodig hebben op hun PC voor het uitoefenen van hun taken, MOETEN worden geregistreerd en goedgekeurd.

• Apparaten MOETEN worden voorzien van hardware-encryptie dat voldoet aan het beleid Cryptografie.

• Apparaten MOETEN worden voorzien van een door de organisatie goedgekeurde en beheerde configuratie voor werken van op afstand. De gebruiker MOET deze configuratie gebruiken en MAG GEEN andere configuratie voor werken van op afstand gebruiken.

Software

Bring Your Own Device (BYOD)

Implementatiemaatregel

• PC's die niet door de organisatie wordt beheerd en het eigendom zijn van een medewerker of een bedrijf waarvoor de medewerker werkzaam is, zijn toegestaan voor bedrijfsdoeleinden enkel en alleen indien de medewerker het volgende heeft geverifieerd en bevestigd:

  • Het gebruik voor bedrijfsdoeleinden geschiedt uitsluitend via een gebruikersaccount en een wachtwoord zoals beschreven in het beleid Toegangsbeveiliging;

  • De PC wordt enkel gebruikt door de medewerker zelf;

  • Beveiligingspatches op het apparaat zijn up-to-date;

  • Een commercieel antimalware product is geïnstalleerd en operationeel (d.w.z. niet uitgeschakeld) met up-to-date definities;

  • Een commerciële desktop-firewall is geïnstalleerd en operationeel (d.w.z. niet uitgeschakeld);

  • Er is geen peer-to-peer (P2P) bestandsuitwisselingssoftware geïnstalleerd;

  • Er is geen illegale software geïnstalleerd of software waarvoor geen licentie is verkregen;

  • Er is geen software geïnstalleerd die voorkomt op de lijst van verboden software;

  • Er is geen opslag van bedrijfsgegevens op het apparaat zelf; en

  • Het gebruik van bedrijfstoepassingen is beperkt en enkel mogelijk via een browser.

Beheer van mobiele gebruikersapparatuur

Registratie en Authenticatie

Implementatiemaatregel

• Gebruik van een mobiel apparaat dat niet door de organisatie wordt beheerd en het privé eigendom is van een medewerker, is toegestaan voor bedrijfsdoeleinden.

  • Voor mobiele apparatuur die niet het eigendom is van de organisatie MOET een lijst bestaan van goedgekeurde merken die mogen gebruikt worden voor bedrijfsdoeleinden.

  • Gebruik voor bedrijfsdoeleinden van een toestel dat geroot of jailbroken is (modifiëren van het operating systeem voor specifiek gebruik), is NIET toegestaan.

• Mobiele apparaten MOETEN worden geregistreerd voordat toegang wordt verleend tot een ICT-service of informatiesysteem.

• De gebruiker en/of het mobiele apparaat MOETEN worden geverifieerd zoals gespecificeerd in het beleid Toegangsbeveiliging voordat toegang wordt verleend tot een ICT-service of informatiesysteem op het interne netwerk van de organisatie.

Toegang

Configuratie

Apparaat wissen

Aanvaardbaar gebruik van gebruikersapparatuur

Verantwoordelijkheden

Implementatiemaatregel

Indien U een apparaat gebruikt beheerd door de organisatie, moet U voldoen aan de ICT-code | Vlaanderen.be.

In het bijzonder MOET U aan de volgende regels voldoen:

Toegang

Configuratie

Apparaat wissen

Aanvaardbaar gebruik van gebruikersapparatuur

Verantwoordelijkheden

Persoonlijk gebruik van apparaten beheerd door de organisatie

Implementatiemaatregel

Gebruik van een PC en andere apparatuur (zoals bijvoorbeeld printers of kopieerapparaten) beheerd door de organisatie voor privé doeleinden is toegestaan, mits dergelijk gebruik incidenteel en onbeduidend is en de normale werkactiviteiten niet verstoort. Elk privé gebruik van apparatuur beheerd door de organisatie:

• Mag enkel gebeuren door de werknemer zelf en niet door anderen zoals bijvoorbeeld familieleden of vrienden;

• Mag geen verzoeken om geld of gunsten omvatten;

• Mag niet in verband worden gebracht met een politieke entiteit;

• Mag geen externe bedrijfsactiviteit promoten of voor persoonlijk gewin worden gebruikt; en

• Mag de reputatie van de organisatie niet schaden of mogelijk schaden.

Verboden gebruik van apparaten beheerd door de organisatie

Implementatiemaatregel

Indien U een apparaat gebruikt beheerd door de organisatie, MOET het gebruik voldoen aan de ICT-code | Vlaanderen.be en de Deontologische code Vlaamse overheid | Vlaanderen.be. In het bijzonder gelden het volgende:

Aanvaardbaar gebruik van eigen PCs (“Bring Your Own Device”)

Implementatiemaatregel

Gebruik van een PC die niet door de organisatie wordt beheerd en het eigendom is van uzelf of van het bedrijf waarvoor U werkt, is toegestaan voor bedrijfsdoeleinden, indien U voldoet aan de volgende regels:

• Het gebruik voor bedrijfsdoeleinden geschiedt uitsluitend door U zelf en via een gebruikersaccount en een wachtwoord zoals beschreven in het beleid Toegangsbeveiliging;

• Beveiligingspatches op het apparaat zijn up-to-date;

• Een commercieel antimalware product is geïnstalleerd en operationeel (d.w.z. niet uitgeschakeld) met up-to-date definities;

• Een commerciële desktop-firewall is geïnstalleerd en operationeel (d.w.z. niet uitgeschakeld);

• Er is geen peer-to-peer (P2P) bestandsuitwisselingssoftware geïnstalleerd;

• Er is geen illegale software geïnstalleerd of software waarvoor geen licentie is verkregen;

• Er is geen software geïnstalleerd die voorkomt op de lijst van verboden software; en

• Er is geen opslag van bedrijfsgegevens op het apparaat zelf.

Aanvaardbaar gebruik van mobiele apparaten

Implementatiemaatregel

Mobiele apparaten zoals smartphones en tablets, bieden gemakkelijke toegang tot informatie en informatiesystemen, maar het gebruik van deze apparaten voor bedrijfswerkzaamheden moet worden gecontroleerd om de bescherming van bedrijfsinformatie te waarborgen. Gebruik van een mobiel apparaat dat niet door de organisatie wordt beheerd en het eigendom is van uzelf of het bedrijf waarvoor U werkt, is toegestaan voor bedrijfsdoeleinden, indien U voldoet aan de volgende regels:

Regelgeving en standaarden (L1)

ISO 27001:2022 (Annex A)

Informatieclassificatieraamwerk van de Vlaamse overheid (L2)

Zie hier voor meer informatie.