De vertrouwelijkheid, integriteit en beschikbaarheid van informatie waarborgen. Dit houdt in dat de informatie wordt beschermd tegen onbevoegde toegang, wijziging, vernietiging of openbaarmaking, evenals tegen onbedoelde verlies of schade. Door het beschermen van informatie zorgt de organisatie ervoor dat bedrijfsprocessen correct en efficiënt verlopen, dat ze voldoet aan wettelijke en contractuele verplichtingen en dat de reputatie en vertrouwelijkheid van zowel de organisatie als haar belanghebbenden behouden blijven.
DOELSTELLINGEN
|
In dit beleid verwijzen we veelvuldig naar de term ‘informatieasset’. We definiëren een informatieasset als volgt: “Een informatieasset is een set informatie die waarde heeft voor de organisatie of het individu welke gedeeld of vastgelegd kan worden in elke vorm, zoals fysiek of digitaal.”
Toelichting
Een informatieasset is een term die wordt gebruikt om een specifieke verzameling informatie of gegevens binnen een organisatie te beschrijven. Het kan verwijzen naar zowel digitale als niet-digitale informatiebronnen, zoals documenten, databases, afbeeldingen, video's, audio-opnamen en andere soorten informatie.
Informatieassets worden beschouwd als waardevolle bezittingen van een organisatie omdat ze cruciale gegevens bevatten die nodig zijn voor het functioneren en de besluitvorming. Ze kunnen variëren in grootte en complexiteit, van individuele bestanden tot complete systemen of databases.
Het beheer en de bescherming van informatieassets is van groot belang voor organisaties, vooral vanwege de toenemende afhankelijkheid van informatie en de waarde ervan. Het omvat het vaststellen van beleid, procedures en technische maatregelen om ervoor te zorgen dat informatieassets veilig, nauwkeurig, beschikbaar en vertrouwelijk blijven.
Kortom, een informatieasset is een term die wordt gebruikt om te verwijzen naar de waardevolle verzameling informatie of gegevens binnen een organisatie die strategisch worden beheerd en beschermd.
Ter verduidelijking van het onderwerp informatieassets, is er vanuit Informatieclassificatieraamwerk (ICR) hieromtrent een handreiking ontwikkeld: Handreiking informatieassets
Het classificeren van informatie is essentieel voor informatiebeveiliging binnen de organisatie. Deze classificatie helpt de organisatie te bepalen welke informatieassets het meest gevoelig zijn en welke beveiligingsmaatregelen vereist zijn. Het stelt de organisatie in staat om aan wettelijke en regelgevende verplichtingen te voldoen, verhoogt de efficiëntie van beveiligingsprocessen, bevordert het bewustzijn van medewerkers over informatiebeveiliging en speelt een rol in gegevensretentie. Bij beveiligingsincidenten helpt classificatie bij het beoordelen van de impact en de noodzakelijke respons. Informatieclassificatie vormt daarmee de basis voor een robuust informatiebeveiligingsbeheersysteem.
Informatie labelen betekent specifieke classificatiekenmerken toekennen aan informatie om hun belang en gevoeligheid te definiëren. Dankzij deze labels kan de organisatie vaststellen hoe deze data beveiligd, opgeslagen en gedeeld moet worden. Het ondersteunt zowel medewerkers als systemen om de significantie van de data te begrijpen en de bijbehorende beveiligingsrichtlijnen na te leven.
Registraties (of ‘records’) verwijzen naar alle gegevens (data) die de organisatie opslaat en/of hanteert ter ondersteuning van haar reguliere bedrijfsvoering. Elke verzameling van gegevens, onafhankelijk van haar structuur of formaat, kan als een registratie worden beschouwd.
Activiteiten m.b.t. het doorlichten van informatieassets moeten zorgvuldig worden gepland en afgestemd met de verantwoordelijke operationele teams, om bedrijfsprocessen zo min mogelijk te verstoren en niet-geautoriseerde toegang tot data te vermijden.
Bij het maskeren van gegevens worden de werkelijke gegevens onherkenbaar gemaakt (zoals willekeurige tekens of waarden), waarbij de bruikbaarheid voor bepaalde doeleinden, zoals testen of analyseren, behouden blijft. Dit betekent dat de gemaskeerde gegevens in veel opzichten lijkt op de originele gegevens, maar geen werkelijke waarde of betekenis heeft vanuit een privacy- of beveiligingsperspectief.
Dit is ondermeer belangrijk in ontwikkel- en testomgevingen, waar echte gegevens nodig zijn om systemen en toepassingen te testen, maar waar gevoelige informatie beschermd moet worden.
Enkele gangbare technieken voor het maskeren van gegevens:
Substitutie: Hierbij worden echte waarden vervangen door andere waarden uit een vervangende dataset. Bijvoorbeeld, echte namen kunnen worden vervangen door namen uit een fictieve lijst.
Versleuteling: Gegevens worden omgezet in een gecodeerde vorm met behulp van een algoritme en een sleutel. Alleen degenen met de juiste sleutel kunnen de oorspronkelijke gegevens herstellen.
Shuffling of Permutatie: Hierbij worden waarden binnen een kolom gemengd zodat de oorspronkelijke correlaties tussen datarecords verloren gaan.
Redactie: Specifieke delen van de gegevens, zoals de laatste vier cijfers van een rijksregisternummer, worden verwijderd of vervangen door andere tekens zoals asterisken.
Maskeren op basis van regels: Hierbij worden waarden gemaskeerd volgens vooraf gedefinieerde regels. Bijvoorbeeld, e-mailadressen kunnen worden gemaskeerd door de domeinnamen te vervangen.
Pseudonimisatie: Gevoelige gegevens worden vervangen door fictieve, maar realistisch ogende gegevens, waarbij het mogelijk is om de originele gegevens te herstellen met behulp van een specifieke methode of sleutel.
Generatie van willekeurige gegevens: Originele waarden worden vervangen door willekeurig gegenereerde waarden.
Hashing: Gegevens worden omgezet in een vaste reeks tekens met behulp van een hash-functie. Het is moeilijk (zo niet onmogelijk) om de originele gegevens uit de hash-waarde te herleiden.
Bij het toepassen van gegevensmaskeringstechnieken raden wij aan de volgende richtlijnen in acht te nemen:
Beperk de toegang tot gegevens voor gebruikers en ontwerp query's en maskering zodanig dat enkel de strikt noodzakelijke informatie voor de gebruiker zichtbaar is.
Hou rekening met situaties waar bepaalde gegevens binnen een dataset niet getoond mogen worden aan een gebruiker. Als voorbeeld: wanneer een patiënt wenst dat specifieke informatie niet toegankelijk is voor al het ziekenhuispersoneel - zelfs in noodgevallen - zouden alleen bevoegde medewerkers toegang moeten hebben tot essentiële details voor de juiste zorgverlening.
Als gegevens zijn gemaskeerd, overweeg de betrokkene de optie te bieden om te bepalen of gebruikers kunnen zien dat gegevens zijn gemaskeerd. Deze 'dubbele maskering' kan bijvoorbeeld van pas komen als een patiënt niet wil dat medisch personeel ziet dat bepaalde informatie, zoals zwangerschapsstatus of labresultaten, is afgeschermd.
Houd rekening met wettelijke vereisten, zoals het verplicht maskeren van creditcardinformatie tijdens verwerking of opslag.
Verder, bij de toepassing van maskering, pseudonimisering of anonimisering van gegevens, raden we aan:
De diepgang van de datamaskering te evalueren in relatie tot het beoogde gebruik van de gegevens.
Een robuuste beveiliging van de toegang tot verwerkte gegevens te waarborgen.
Helderheid te verschaffen over het gebruik van de verwerkte gegevens middels specifieke afspraken.
Te voorkomen dat verwerkte gegevens met andere datasets worden samengevoegd om identificatie te realiseren.
De distributie en ontvangst van verwerkte gegevens nauwgezet te documenteren.
Bij het kiezen van testgegevens is het van cruciaal belang om ervoor te zorgen dat de geselecteerde testdata aansluit op de functionaliteit die getest moet worden. Tevens is het essentieel om altijd te handelen in overeenstemming met de geldende wet- en regelgeving, met name als het gaat om het gebruik van persoonsgegevens. Het wordt sterk afgeraden om productiedatabases met persoonlijke of andere vertrouwelijke informatie te gebruiken voor testdoeleinden, en dit geldt eveneens voor het testen van API's/webservices die persoonsgegevens verwerken. In plaats daarvan is het raadzaam om gebruik te maken van mock-upservices die automatisch testdata genereren of die een beroep doen op een specifieke testdataset. Mocht er in uitzonderlijke situaties toch gebruik gemaakt worden van echte gegevens, zorg dan dat hiervoor de nodige goedkeuringen zijn verkregen en bepaal vervolgens zorgvuldig hoe deze gegevens beschermd zullen worden.
Dataminimalisatie is een concept uit de AVG/GDPR wetgeving en houdt in dat je als organisatie niet meer gegevens mag verzamelen dan strikt noodzakelijk voor het beoogde doel. Hoewel dus wettelijk verplicht voor persoonsgegevens, is dit principe ook van toepassing op andere types informatie met een hoge graad van vertrouwelijkheid. Dataminimalisatie is waardevol om een eenvoudige reden: wat je niet bezit, kun je ook niet verliezen of verkeerd verwerken. Dankzij dataminimalisatie verkleint de kans op een verkeerde verwerking. Denk aan inzage door een onbevoegd persoon, of diefstal door hackers. Data die een organisatie niet bezit, kan niet op straat belanden of onder verkeerde ogen komen.
Informatieoverdracht is het proces van het delen van informatie van een bron naar een ontvanger. Dit kan op verschillende manieren gebeuren, via elektronische media, fysieke media of mondelinge communicatie.
Algemeen
Om informatieoverdracht te beschermen, is het belangrijk om procedures, maatregelen en overeenkomsten op te stellen die de volgende aspecten aangaan:
Beveiliging: Zorg ervoor dat de informatie adequaat wordt beschermd tegen diverse bedreigingen zoals onderschepping, onbevoegde toegang, vernietiging, enz. Dit kan door passende beveiligingsmaatregelen toe te passen die aansluiten bij de classificatie van de informatie (zoals Toegangsbeveiliging en Cryptografie)
Traceerbaarheid en onweerlegbaarheid: Log de informatie tijdens het transport zodat duidelijk is wie er toegang heeft gehad en wanneer.
Contactpersonen: Identificeer specifieke personen of teams die verantwoordelijk zijn voor de informatieoverdracht.
Aansprakelijkheid: Leg duidelijk de verantwoordelijkheden en aansprakelijkheden vast voor mogelijke beveiligingsincidenten met betrekking tot informatie.
Labelsysteem: Implementeer een systematisch labelproces om de classificatie en de vereiste beveiligingsmaatregelen te identificeren.
Betrouwbaarheid: Zorg ervoor dat de dienst die wordt gebruikt voor de overdracht van informatie zowel betrouwbaar als beschikbaar is.
Richtlijnen: Stel duidelijke richtlijnen op over hoe informatiesystemen op een aanvaardbare manier moeten worden gebruikt.
Bewaring en verwijdering: Zorg voor een veilige opslag en verwijdering van informatie volgens vastgestelde protocollen.
Elektronische overdracht
Elektronische overdracht verwijst naar het doorsturen van informatie met behulp van elektronische apparatuur, waaronder computers, netwerken en mobiele toestellen. Dit omvat onder meer het zenden van een e-mail, het plaatsen van een bestand in een cloudservice, het opladen van informatie via een website of FTP-dienst, of het zenden van een bericht via instant messaging (MS Teams, Whatsapp, SMS, …).
Om informatie te beschermen bij elektronische overdracht, adviseren wij om rekening te houden met de volgende aspecten:
Detectie en bescherming tegen malware en ongeoorloofde toegang
Implementeer detectiemechanismen voor malware, inclusief het scannen van berichten en bijlagen, om zowel kwaadaardige content (zoals kettingbrieven, spam en aanstootgevende inhoud) als onbedoeld verlies van informatie te identificeren.
Zorg voor afdoende beveiliging van bijlagen die gevoelige informatie bevatten.
Configuratie en beheer van elektronische berichtendiensten
Configureer elektronische berichtendiensten met aandacht voor beveiligingsaspecten, zoals limieten voor inbox- en berichtgroottes, en de mogelijkheid berichtlussen te identificeren en te annuleren.
Versterk de authenticatieniveaus bij het overbrengen van informatie via publiekelijk toegankelijke netwerken.
Stel beperkingen op voor het gebruik van elektronische communicatiemiddelen, zoals het voorkomen van geautomatiseerde doorsturing naar externe e-mailadressen.
Gebruik van externe diensten en communicatiekanalen
Stel een lijst op van geautoriseerde externe openbare diensten (zoals instant messaging en clouddiensten) alsook voor welke toepassing en/of informatieklasse deze gebruikt mogen worden.
Bewustwording
Informeer gebruikers over de potentiële juridische en contractuele implicaties van elektronische berichten en de mogelijke onzekerheden bij de bezorging ervan.
Informeer medewerkers om geen essentiële informatie via onbeveiligde kanalen, zoals sms en instant messaging, te verzenden.
Fysieke overdracht
Fysieke opslagmedia zijn alle objecten die informatie kunnen bewaren, zoals papier, USB-sticks, harde schijven, enz.
Om de veiligheid van fysieke opslagmedia te garanderen, adviseren wij om rekening te houden met de volgende aspecten:
Verantwoordelijkheden vaststellen
Bepaal wie verantwoordelijk is voor het beheersen en notificeren van overdracht, verzending en ontvangst?
Bepaal wie verantwoordelijk is voor het garanderen van correcte adressering en overdracht?
Fysieke bescherming
Verpak media zodat ze bestand zijn tegen fysieke schade.
Gebruik een door het management goedgekeurde lijst van betrouwbare koeriers.
Verifieer de identiteit van koeriers.
Gebruik beveiligingsmaatregelen om manipulatie te voorkomen.
Registratie
Houd een register bij van de inhoud van de media, de toegepaste bescherming, de bevoegde ontvangers en de overdrachtsgeschiedenis.
Mondelinge overdracht
Bij het mondeling overdragen van informatie kunnen volgende voorzorgsmaatregelen in acht worden genomen:
Voer vertrouwelijke gesprekken niet op openbare plaatsen of via risicovolle communicatiemiddelen, aangezien deze door onbevoegden kunnen worden afgeluisterd.
Laat geen geheime gegevens achter op voicemailsystemen of in spraakberichten.
Zorg ervoor dat alleen personen die vooraf zijn gescreend en bevoegd zijn, toegang hebben tot vertrouwelijke gesprekken.
Kies voor een geschikte locatie voor vertrouwelijke gesprekken, bijvoorbeeld een kamer die geluidsdicht is en waarvan de deur gesloten kan worden.
Start elk gesprek dat gevoelige informatie bevat met een waarschuwing (disclaimer), zodat alle deelnemers zich bewust zijn van het belang en de vertrouwelijkheid van de besproken zaken.
Vertrouwelijkheids- of geheimhoudingsovereenkomsten zijn juridische contracten tussen twee of meer partijen waarin wordt vastgelegd dat bepaalde informatie, die wordt gedeeld voor specifieke doeleinden, vertrouwelijk moet blijven en niet buiten de overeenkomende partijen mag worden verspreid. Het doel van dergelijke overeenkomsten is het beschermen van gevoelige informatie, bedrijfsgeheimen, patenten in wording, klantgegevens, en andere waardevolle en vertrouwelijke gegevens.
De partij die de informatie verstrekt, wordt vaak de 'openbaarmakende partij' genoemd, terwijl de partij die de informatie ontvangt, de 'ontvangende partij' wordt genoemd. De overeenkomst bepaalt doorgaans wat als vertrouwelijke informatie wordt beschouwd, hoe deze informatie kan worden gebruikt, de duur van de vertrouwelijkheid, en de gevolgen bij schending van de overeenkomst.
Het is van belang dat vertrouwelijkheids- of geheimhoudingsovereenkomsten de behoeften van de organisatie op het gebied van informatiebescherming adequaat weerspiegelen. Deze overeenkomsten moeten duidelijk zijn, gedocumenteerd worden, regelmatig herzien worden en ondertekend zijn door zowel het personeel als de leveranciers, en indien noodzakelijk, door specifieke medewerkers van de betreffende leverancier.
Data Leakage Prevention (DLP) is een methode om te voorkomen dat gevoelige informatie, zoals persoonsgegevens of vertrouwelijke bedrijfsinformatie, het beveiligde netwerk van een organisatie verlaat zonder de juiste autorisatie. Het hoofddoel van DLP is het beschermen van de informatie waarover een organisatie beschikt en het waarborgen dat deze niet in verkeerde handen valt, hetzij door kwaadwillige acties, hetzij door onopzettelijke fouten van medewerkers.
DLP-oplossingen kunnen zowel op inhoud als op context scannen en bepalen of een bepaald stuk informatie mag worden overgedragen. Hierbij kan het gaan om data-overdracht via e-mails, webapplicaties, USB-sticks, cd's, mobiele apparaten en andere communicatie- of opslagkanalen.
DLP-oplossingen kunnen worden gebruikt om:
Gevoelige informatie te identificeren en monitoren, zoals in niet-gestructureerde gegevens op het systeem van een gebruiker.
De openbaarmaking van gevoelige informatie te detecteren, zoals wanneer deze wordt geüpload naar niet-vertrouwde clouddiensten of wordt verzonden.
Handelingen van gebruikers of netwerktransmissies te blokkeren die gevoelige informatie kunnen blootstellen, zoals het kopiëren of plakken van gevoelige informatie naar diensten, apparaten of opslagmedia buiten de organisatie.
Om de risico's van gegevenslekken te beperken, kan de organisatie volgende maatregelen overwegen:
Zorg ervoor dat gebruikers geen gegevens kunnen kopiëren en plakken naar externe diensten, apparaten en opslagmedia.
Vereis goedkeuring van de informatie eigenaar voor het exporteren van gevoelige informatie.
Stel gebruikersvoorwaarden op voor het maken van schermafbeeldingen en foto's.
Bescherm back-ups van gevoelige informatie met behulp van encryptie, toegangsbeveiliging en fysieke bescherming.
Om te voorkomen dat gevoelige informatie in verkeerde handen valt, moet deze na de bewaartermijn worden verwijderd.
Bijkomende aanbevelingen waarmee de organisatie rekening kan houden bij het wissen van informatie:
Configureer systemen om informatie automatisch te wissen wanneer deze niet langer nodig is.
Wis alle verouderde versies, kopieën en tijdelijke bestanden.
Gebruik geautoriseerde en veilige wissoftware waardoor informatie blijvend wordt gewist en wordt gegarandeerd dat de informatie niet met behulp van gespecialiseerde herstel- of forensische instrumenten kan worden hersteld.
Gebruik erkende, gecertificeerde aanbieders van beveiligde verwijderingsdiensten.
Gebruik verwijderingsmechanismen die geschikt zijn voor het type apparaat of opslagmedia.
Indien gebruik wordt gemaakt van clouddiensten:
Ga na of de wismethode van de clouddienstaanbieder aanvaardbaar is.
Maak gebruik van de door de aanbieder voorgestelde wismethode of vraag hen de informatie te verwijderen.
Automatiseer het wissen waar mogelijk.
Afhankelijk van de gevoeligheid van de data, gebruik logbestanden om na te gaan of het wisproces correct is uitgevoerd.
Bescherm gevoelige informatie door storage en geheugen te verwijderen voordat de apparatuur het gebouw en/of terrein van de organisatie verlaat.
Naast de bescherming van bedrijfsinformatie dienen eveneens de nodige maatregelen en principes in rekening worden gebracht bij het verwerken van persoonsgegevens door medewerkers van de organisatie. Deze maatregelen en principes houden rekening met de wettelijke verplichtingen volgend uit de Algemene Verordening Gegevensbescherming (“AVG”) en de Belgische wetgeving die daarmee samenhangt.
Voor meer informatie zie https://intranetdigitaal.vlaanderen.be/ict/informatiebeheer en https://www.vlaanderen.be/digitaal-vlaanderen/over-ons/gegevensverwerking-en-uitwisseling, of neem contact op met de functionaris voor gegevensbescherming (FG) / Data Protection Officer (DPO) van Digitaal Vlaanderen via privacy@digitaal.vlaanderen.be
Regelgeving en standaarden (L1)
ISO 27001:2022 (Annex A)
Algemene verordening Gegevensbescherming (AVG)
Informatieveiligheidsstrategie van de Vlaamse overheid (L2)
Zie 2.2. Informatieklassebepaling informatieassets en 10.2. Standaard data types voor meer informatie over informatieclassificatie.
Processen
De gerelateerde processen staan beschreven op volgende pagina:
Proces - Informatieklassebepaling
Oplossingen
Titel | Auteur | Datum | Versie | Status | Opmerkingen |
|---|---|---|---|---|---|
Beleid voor informatiebescherming | Fabrice Meunier | 30/10/2023 | 1.0 | FINAAL CONCEPT | |
Beleid voor informatiebescherming | Fabrice Meunier | 21/05/2024 | 1.0 | GEVALIDEERD | Goedgekeurd door Directie Comité |