De voortdurende digitalisering van de Vlaamse overheid (hierna afgekort als “Vo”) en de toename van de informatieveiligheidsrisico’s noodzaken een consistente aanpak van de informatieveiligheid voor alle entiteiten van de Vlaamse overheid. De Informatieclassificatie past in deze strategie: het helpt u om informatie te classificeren binnen uw entiteit en de nodige maatregelen vast te leggen die uw informatie beschermen.
Met het Informatieclassificatieraamwerk (ICR) biedt de Vlaamse overheid alle entiteiten beleidslijnen aan om informatie onder te verdelen in informatieklassen en via een risico-evaluatie de nodige minimummaatregelen te voorzien. Deze gecoördineerde aanpak en de toepassing ervan op niveau van de entiteit sluit de rangen tegen cyberaanvallen. Dit raamwerk is bekrachtigd door de Vlaamse regering en is aldus bindend voor alle entiteiten zoals beschreven in het bestuursdecreet.
Een gecoördineerde aanpak: van beleidslijnen tot een plan op maat van de entiteit
De Informatieclassificatie kwam tot stand en wordt continu verbeterd en aangepast dankzij de validatie door de Werkgroep Informatieveiligheid en de goedkeuring door het Stuurorgaan Vlaams Informatie – en ICT-beleid. De documenten die hieruit voortvloeien zijn bindend voor de Vlaamse administratie. De entiteiten volgen de bindende bepalingen maar moeten zelf de risico’s goed afwegen tussen de beschikbaarheid van vrije en open data en de bescherming van data in lijn met de informatieklassebepaling.
Formele documentatie van het Informatieclassificatieraamwerk
Het Informatieclassificatieraamwerk is beschreven in een set van documenten over het ICR welke zijn goedgekeurd door het Stuurorgaan Vlaams Informatie – en ICT-beleid. Deze set documenten zijn vastgelegd in PDF en zijn leidend.
Er zijn twee documenten die de context en de werking van het ICR beschrijven:
Het document 'Organisatie informatieclassificatie: informatieveiligheid' geeft het brede kader weer rond informatieveiligheid, beschrijft de verschillende niveaus van documentatie en documenteert de processen voor beheer van het ICR. Het geeft bovendien inzicht in het raamwerk, hoe het tot stand komt en wie het beheert. Dit document is belangrijk voor iedereen binnen een entiteit met verantwoordelijkheid op het gebied van informatieveiligheid, dus met name leidinggevend topkader, de CISO, de DPO, de eigenaar en gedelegeerd eigenaar.
Het tweede document, genaamd ‘Vo informatieclassificatie – Organisatie_Informatieclassificatieraamwerk’, beschrijft het raamwerk zelf, de verschillende klassen, het principe van de minimale maatregelen en hoe het raamwerk moet worden toegepast. Dit document is belangrijk voor wie het raamwerk moet implementeren, dus met name de CISO en uitvoerders.
Aanvullend is er een set van documenten van die de minimale maatregelen beschrijven die onderdeel uitmaken van het ICR. Deze zijn te vinden op Informatieclassificatieraamwerk | Vlaanderen.be.
Het Informatieclassificatieraamwerk in Confluence
Op deze confluence-pagina’s is de formule documentatie toegankelijker gemaakt, en interactiever. Deze pagina’s zijn voortdurend in ontwikkeling, er worden tools en instrumenten toegevoegd, en links naar aanvullende informatie. Niet alle aangeboden documentatie heeft al een formele status, daarom is bij twijfel de set van documenten over het ICR vastgelegd in PDF leidend.
Opzet van het ICR in Confluence
Dit hoofdstuk 1 Informatieclassificatieraamwerk (ICR) geeft de kaders weer voor het beleid en het gebruik van het ICR voor de invulling van informatieveiligheid binnen de Vo.
Paragraaf 1.0. Uitleg gebruik ICR geeft in het kort het stappenplan weer voor het gebruik van het ICR.
Paragraaf 1.1 Al wat je moet weten over informatieveiligheid (in het kader van ICR) geeft het brede kader weer rond informatieveiligheid, beschrijft de verschillende niveaus van documentatie en documenteert de processen voor beheer van het ICR. Het geeft bovendien inzicht in het raamwerk, hoe het tot stand komt en wie het beheert. Dit document is belangrijk voor iedereen binnen een entiteit met verantwoordelijkheid op het gebied van informatieveiligheid, dus met name leidinggevend topkader, de CISO, de DPO, de eigenaar en gedelegeerd eigenaar.
Paragraaf 1.2. Beschrijving van het ICR beschrijft het raamwerk zelf, de verschillende klassen, het principe van de minimale maatregelen en hoe het raamwerk moet worden toegepast. Dit document is belangrijk voor wie het raamwerk moet implementeren, dus met name de CISO en uitvoerders.
Paragraaf 1.3. Risicobeheer beschrijft de risicomethodiek en de risicoanalyse.
Hoofdstuk 2 Richtlijnen voor toepassing van het ICR is nog in ontwikkeling. Hier gaan we in het kort de te volgen stappen beschrijven voor de implementatie van het ICR binnen een entiteit
Hoofdstuk 3 Beheersmaatregelen - Technologieën beschrijft de beheersmaatregelen die genomen kunnen worden om informatieveiligheid technisch in te regelen
Hoofdstuk 4 Beheersmaatregelen - Service management beschrijft de IT Service Management beheersmaatregelen die genomen kunnen worden om informatieveiligheid te waarborgen
Hoofdstuk 5 Beheersmaatregelen - Processen beschrijft de proces beheersmaatregelen die genomen kunnen worden om informatieveiligheid te waarborgen
Hoofdstuk 6 Beheersmaatregelen - Fysieke beveiliging beschrijft de fysieke beheersmaatregelen
Hoofdstuk 7 Beheersmaatregelen op L3 - Varia beschrijft een aantal beheersmaatregelen die op L3 niveau toegepast kunnen worden
Hoofdstuk 8 Tools omvat de verzameling tools en instrumenten die ontwikkeld zijn voor de toepassing van het ICR, zoals beslisbomen, een tool voor de informatieklassebepaling en de selectie van de bijbehorende beheersmaatregelen.
Hoofdstuk /wiki/spaces/ICR/pages/6375964812 is nog in ontwikkeling. Hier gaan we in het kort de te volgen stappen beschrijven voor de toepassing van de PDCA-cyclus (Plan, Do, Check, Act)
Hoofdstuk 10 Termen en definities omvat onder andere een verklarende woordenlijst.
Hoofdstuk 11 Contact wijst u de weg mocht u nog vragen hebben of aanvullingen.
Aanvullende documentatie en ondersteuning
Op de website van Digitaal Vlaanderen stelt het team Informatieveiligheid al haar communicatiemateriaal ter beschikking. Daar vindt u onder andere: