De vertrouwelijkheid, integriteit en beschikbaarheid van informatie waarborgen. Dit houdt in dat de informatie wordt beschermd tegen onbevoegde toegang, wijziging, vernietiging of openbaarmaking, evenals tegen onbedoelde verlies of schade. Door het beschermen van informatie zorgt de organisatie ervoor dat bedrijfsprocessen correct en efficiënt verlopen, dat ze voldoet aan wettelijke en contractuele verplichtingen en dat de reputatie en vertrouwelijkheid van zowel de organisatie als haar belanghebbenden behouden blijven.

Het classificeren van informatie is essentieel voor informatiebeveiliging binnen de organisatie. Deze classificatie helpt de organisatie te bepalen welke informatieassets het meest gevoelig zijn en welke beveiligingsmaatregelen vereist zijn. Het stelt de organisatie in staat om aan wettelijke en regelgevende verplichtingen te voldoen, verhoogt de efficiëntie van beveiligingsprocessen, bevordert het bewustzijn van medewerkers over informatiebeveiliging en speelt een rol in gegevensretentie. Bij beveiligingsincidenten helpt classificatie bij het beoordelen van de impact en de noodzakelijke respons. Informatieclassificatie vormt daarmee de basis voor een robuust informatiebeveiligingsbeheersysteem.

Informatie labelen betekent specifieke classificatiekenmerken toekennen aan informatie om hun belang en gevoeligheid te definiëren. Dankzij deze labels kan de organisatie vaststellen hoe deze data beveiligd, opgeslagen en gedeeld moet worden. Het ondersteunt zowel medewerkers als systemen om de significantie van de data te begrijpen en de bijbehorende beveiligingsrichtlijnen na te leven.

Activiteiten m.b.t. het doorlichten van informatieassets moeten zorgvuldig worden gepland en afgestemd met de verantwoordelijke operationele teams, om bedrijfsprocessen zo min mogelijk te verstoren en niet-geautoriseerde toegang tot data te vermijden.

Bij het toepassen van gegevensmaskeringstechnieken raden wij aan de volgende richtlijnen in acht te nemen:

• Beperk de toegang tot gegevens voor gebruikers en ontwerp query's en maskering zodanig dat enkel de strikt noodzakelijke informatie voor de gebruiker zichtbaar is.

• Hou rekening met situaties waar bepaalde gegevens binnen een dataset niet getoond mogen worden aan een gebruiker. Als voorbeeld: wanneer een patiënt wenst dat specifieke informatie niet toegankelijk is voor al het ziekenhuispersoneel - zelfs in noodgevallen - zouden alleen bevoegde medewerkers toegang moeten hebben tot essentiële details voor de juiste zorgverlening.

• Als gegevens zijn gemaskeerd, overweeg de betrokkene de optie te bieden om te bepalen of gebruikers kunnen zien dat gegevens zijn gemaskeerd. Deze 'dubbele maskering' kan bijvoorbeeld van pas komen als een patiënt niet wil dat medisch personeel ziet dat bepaalde informatie, zoals zwangerschapsstatus of labresultaten, is afgeschermd.

• Houd rekening met wettelijke vereisten, zoals het verplicht maskeren van creditcardinformatie tijdens verwerking of opslag.

Verder, bij de toepassing van maskering, pseudonimisering of anonimisering van gegevens, raden we aan:

• De diepgang van de datamaskering te evalueren in relatie tot het beoogde gebruik van de gegevens.

• Een robuuste beveiliging van de toegang tot verwerkte gegevens te waarborgen.

• Helderheid te verschaffen over het gebruik van de verwerkte gegevens middels specifieke afspraken.

• Te voorkomen dat verwerkte gegevens met andere datasets worden samengevoegd om identificatie te realiseren.

• De distributie en ontvangst van verwerkte gegevens nauwgezet te documenteren.

Bij het kiezen van testgegevens is het van cruciaal belang om ervoor te zorgen dat de geselecteerde testdata aansluit op de functionaliteit die getest moet worden. Tevens is het essentieel om altijd te handelen in overeenstemming met de geldende wet- en regelgeving, met name als het gaat om het gebruik van persoonsgegevens. Het wordt sterk afgeraden om productiedatabases met persoonlijke of andere vertrouwelijke informatie te gebruiken voor testdoeleinden, en dit geldt eveneens voor het testen van API's/webservices die persoonsgegevens verwerken. In plaats daarvan is het raadzaam om gebruik te maken van mock-upservices die automatisch testdata genereren of die een beroep doen op een specifieke testdataset. Mocht er in uitzonderlijke situaties toch gebruik gemaakt worden van echte gegevens, zorg dan dat hiervoor de nodige goedkeuringen zijn verkregen en bepaal vervolgens zorgvuldig hoe deze gegevens beschermd zullen worden.

Algemeen

Om informatieoverdracht te beschermen, is het belangrijk om procedures, maatregelen en overeenkomsten op te stellen die de volgende aspecten aangaan:

• Beveiliging: Zorg ervoor dat de informatie adequaat wordt beschermd tegen diverse bedreigingen zoals onderschepping, onbevoegde toegang, vernietiging, enz. Dit kan door passende beveiligingsmaatregelen toe te passen die aansluiten bij de classificatie van de informatie (zoals https://vlaamseoverheid.atlassian.net/wiki/spaces/ISMS/pages/6330811523 en https://vlaamseoverheid.atlassian.net/wiki/spaces/ISMS/pages/6330876077)

• Traceerbaarheid en onweerlegbaarheid: Log de informatie tijdens het transport zodat duidelijk is wie er toegang heeft gehad en wanneer.

• Contactpersonen: Identificeer specifieke personen of teams die verantwoordelijk zijn voor de informatieoverdracht.

• Aansprakelijkheid: Leg duidelijk de verantwoordelijkheden en aansprakelijkheden vast voor mogelijke beveiligingsincidenten met betrekking tot informatie.

• Labelsysteem: Implementeer een systematisch labelproces om de classificatie en de vereiste beveiligingsmaatregelen te identificeren.

• Betrouwbaarheid: Zorg ervoor dat de dienst die wordt gebruikt voor de overdracht van informatie zowel betrouwbaar als beschikbaar is.

• Richtlijnen: Stel duidelijke richtlijnen op over hoe informatiesystemen op een aanvaardbare manier moeten worden gebruikt.

• Bewaring en verwijdering: Zorg voor een veilige opslag en verwijdering van informatie volgens vastgestelde protocollen.

Elektronische overdracht

Om informatie te beschermen bij elektronische overdracht, adviseren wij om rekening te houden met de volgende aspecten:

Detectie en bescherming tegen malware en ongeoorloofde toegang

• Implementeer detectiemechanismen voor malware, inclusief het scannen van berichten en bijlagen, om zowel kwaadaardige content (zoals kettingbrieven, spam en aanstootgevende inhoud) als onbedoeld verlies van informatie te identificeren.

• Zorg voor afdoende beveiliging van bijlagen die gevoelige informatie bevatten.

Configuratie en beheer van elektronische berichtendiensten

• Configureer elektronische berichtendiensten met aandacht voor beveiligingsaspecten, zoals limieten voor inbox- en berichtgroottes, en de mogelijkheid berichtlussen te identificeren en te annuleren.

• Versterk de authenticatieniveaus bij het overbrengen van informatie via publiekelijk toegankelijke netwerken.

• Stel beperkingen op voor het gebruik van elektronische communicatiemiddelen, zoals het voorkomen van geautomatiseerde doorsturing naar externe e-mailadressen.

Gebruik van externe diensten en communicatiekanalen

• Stel een lijst op van geautoriseerde externe openbare diensten (zoals instant messaging en clouddiensten) alsook voor welke toepassing en/of informatieklasse deze gebruikt mogen worden.

Bewustwording

• Informeer gebruikers over de potentiële juridische en contractuele implicaties van elektronische berichten en de mogelijke onzekerheden bij de bezorging ervan.

• Informeer medewerkers om geen essentiële informatie via onbeveiligde kanalen, zoals sms en instant messaging, te verzenden.

Fysieke overdracht

Om de veiligheid van fysieke opslagmedia te garanderen, adviseren wij om rekening te houden met de volgende aspecten:

Verantwoordelijkheden vaststellen

• Bepaal wie verantwoordelijk is voor het beheersen en notificeren van overdracht, verzending en ontvangst?

• Bepaal wie verantwoordelijk is voor het garanderen van correcte adressering en overdracht?

Fysieke bescherming

• Verpak media zodat ze bestand zijn tegen fysieke schade.

• Gebruik een door het management goedgekeurde lijst van betrouwbare koeriers.

• Verifieer de identiteit van koeriers.

• Gebruik beveiligingsmaatregelen om manipulatie te voorkomen.

Registratie

• Houd een register bij van de inhoud van de media, de toegepaste bescherming, de bevoegde ontvangers en de overdrachtsgeschiedenis.

Mondelinge overdracht

Bij het mondeling overdragen van informatie kunnen volgende voorzorgsmaatregelen in acht worden genomen:

• Voer vertrouwelijke gesprekken niet op openbare plaatsen of via risicovolle communicatiemiddelen, aangezien deze door onbevoegden kunnen worden afgeluisterd.

• Laat geen geheime gegevens achter op voicemailsystemen of in spraakberichten.

• Zorg ervoor dat alleen personen die vooraf zijn gescreend en bevoegd zijn, toegang hebben tot vertrouwelijke gesprekken.

• Kies voor een geschikte locatie voor vertrouwelijke gesprekken, bijvoorbeeld een kamer die geluidsdicht is en waarvan de deur gesloten kan worden.

• Start elk gesprek dat gevoelige informatie bevat met een waarschuwing (disclaimer), zodat alle deelnemers zich bewust zijn van het belang en de vertrouwelijkheid van de besproken zaken.

Het is van belang dat vertrouwelijkheids- of geheimhoudingsovereenkomsten de behoeften van de organisatie op het gebied van informatiebescherming adequaat weerspiegelen. Deze overeenkomsten moeten duidelijk zijn, gedocumenteerd worden, regelmatig herzien worden en ondertekend zijn door zowel het personeel als de leveranciers, en indien noodzakelijk, door specifieke medewerkers van de betreffende leverancier.

Om de risico's van gegevenslekken te beperken, kan de organisatie volgende maatregelen overwegen:

• Zorg ervoor dat gebruikers geen gegevens kunnen kopiëren en plakken naar externe diensten, apparaten en opslagmedia.

• Vereis goedkeuring van de informatie eigenaar voor het exporteren van gevoelige informatie.

• Stel gebruikersvoorwaarden op voor het maken van schermafbeeldingen en foto's.

• Bescherm back-ups van gevoelige informatie met behulp van encryptie, toegangsbeveiliging en fysieke bescherming.

Om te voorkomen dat gevoelige informatie in verkeerde handen valt, moet deze na de bewaartermijn worden verwijderd.

Bijkomende aanbevelingen waarmee de organisatie rekening kan houden bij het wissen van informatie:

• Configureer systemen om informatie automatisch te wissen wanneer deze niet langer nodig is.

• Wis alle verouderde versies, kopieën en tijdelijke bestanden.

• Gebruik geautoriseerde en veilige wissoftware waardoor informatie blijvend wordt gewist en wordt gegarandeerd dat de informatie niet met behulp van gespecialiseerde herstel- of forensische instrumenten kan worden hersteld.

• Gebruik erkende, gecertificeerde aanbieders van beveiligde verwijderingsdiensten.

• Gebruik verwijderingsmechanismen die geschikt zijn voor het type apparaat of opslagmedia.

• Indien gebruik wordt gemaakt van clouddiensten:

  • Ga na of de wismethode van de clouddienstaanbieder aanvaardbaar is.

  • Maak gebruik van de door de aanbieder voorgestelde wismethode of vraag hen de informatie te verwijderen.

  • Automatiseer het wissen waar mogelijk.

  • Afhankelijk van de gevoeligheid van de data, gebruik logbestanden om na te gaan of het wisproces correct is uitgevoerd.

• Bescherm gevoelige informatie door storage en geheugen te verwijderen voordat de apparatuur het gebouw en/of terrein van de organisatie verlaat.

Naast de bescherming van bedrijfsinformatie dienen eveneens de nodige maatregelen en principes in rekening worden gebracht bij het verwerken van persoonsgegevens door medewerkers van de organisatie. Deze maatregelen en principes houden rekening met de wettelijke verplichtingen volgend uit de Algemene Verordening Gegevensbescherming (“AVG”) en de Belgische wetgeving die daarmee samenhangt.

Voor meer informatie zie https://intranetdigitaal.vlaanderen.be/ict/informatiebeheer en https://www.vlaanderen.be/digitaal-vlaanderen/over-ons/gegevensverwerking-en-uitwisseling, of neem contact op met de functionaris voor gegevensbescherming (FG) / Data Protection Officer (DPO) van Digitaal Vlaanderen via privacy@digitaal.vlaanderen.be

Regelgeving en standaarden (L1)

ISO 27001:2022 (Annex A)

Algemene verordening Gegevensbescherming (AVG)

https://europa.eu/youreurope/business/dealing-with-customers/data-protection/data-protection-gdpr/index_nl.htm

Informatieveiligheidsstrategie van de Vlaamse overheid (L2)

Zie https://vlaamseoverheid.atlassian.net/wiki/spaces/ICR/pages/6375965010 en https://vlaamseoverheid.atlassian.net/wiki/spaces/ICR/pages/6375964897 voor meer informatie over informatieclassificatie.

Processen

De gerelateerde processen staan beschreven op volgende pagina:

https://vlaamseoverheid.atlassian.net/wiki/spaces/ISMS/pages/6329500034

Oplossingen

https://vlaamseoverheid.atlassian.net/wiki/spaces/GAEP/pages/6377409190