Page Comparison

IC klasse

Minimale maatregelen

Image Removed

 Image AddedImage AddedImage AddedImage AddedImage AddedImage AddedImage AddedImage AddedImage AddedImage AddedImage AddedImage AddedImage AddedImage AddedImage Added

Klasse 1 t/m Klasse 5 kennen dezelfde maatregelen: 

• De organisatie moet bij elk proces en bij elk project een risico-beoordeling rond informatieveiligheid en privacy uitvoeren, valideren, communiceren en onderhouden (Ref. KSZ 5.2.2 a). 

• Alle risico-beoordelingen met een hoog residueel risico communiceren naar de directie voor bespreking en beslissing : behandelen of aanvaarden (Ref. KSZ 5.2.2 b). 

• De richtlijn rond risico-beoordeling toepassen zoals vermeld in bijlage C van de beleidslijn ‘Risico-beoordeling’ (Ref. KSZ 5.2.2 c):  

  • In de regel beslist de verwerkingsverantwoordelijke vrij over de procedure en methodologie die hij wenst te hanteren bij het inschatten en beheren van risico’s, op voorwaarde dat deze beantwoordt aan een aantal minimumkenmerken van betrouwbaarheid en objectiviteit. Zo moet het risicobeheer volgende elementen bevatten: Methodologisch onderbouwd, gestructureerd, op maat, begrijpelijk, voldoende genuanceerd. Met voldoende communicatie, consultatie, beheer en nazicht.  

• De controlemaatregelen afstemmen op de risico’s, waarbij rekening dient te worden gehouden met technische mogelijkheden en de kosten van de te nemen maatregelen (Ref. 5.5.1 f).  

• Elke organisatie moet een risico analyse in het begin van het project uitvoeren om de noodprocedures te definiëren. Deze moeten bevatten:  

  • De verwerking bij verminderde beschikbaarheid van informatiesystemen 

  • De beschrijving van alternatieve informatiesystemen met inbegrip van de uitrol, de exploitatie modaliteiten en de eventuele ontwikkeling van de noodsystemen 

  • De kerntaken en kernprocedures in geval van systeemonderbreking 

  • De taken, de sleutelrollen en de in te zetten middelen om tot een optimale beschikbaarheid te komen Ref. KSZ 5.11.9 f). 

• Een risico-beoordeling uitvoeren om de gepaste methode te bepalen voor het wissen van een informatiedrager (Ref. KSZ. 5.8.3 c). 

• Gebeurtenissen en zwakheden over informatieveiligheid of privacy die verband houden met informatie en informatiesystemen van de organisatie zodanig kenbaar maken dat de organisatie tijdig en adequaat corrigerende maatregelen kan nemen (Ref. KSZ 5.13.1 c).