De voortdurende digitalisering van de Vlaamse overheid (hierna afgekort als “Vo”) en de toename van de informatieveiligheidsrisico’s noodzaken een consistente aanpak van de informatieveiligheid voor alle entiteiten van de Vlaamse overheid. De Informatieclassificatie past in deze strategie: het helpt u om informatie te classificeren binnen uw entiteit en de nodige maatregelen vast te leggen die uw informatie beschermen.
Met het Informatieclassificatieraamwerk (ICR) biedt de Vlaamse overheid alle entiteiten beleidslijnen aan om informatie onder te verdelen in informatieklassen en via een risico-evaluatie de nodige minimummaatregelen te voorzien. Deze gecoördineerde aanpak en de toepassing ervan op niveau van de entiteit sluit de rangen tegen cyberaanvallen. Dit raamwerk is bekrachtigd door de Vlaamse regering en is aldus bindend voor alle entiteiten zoals beschreven in het bestuursdecreet.
Een gecoördineerde aanpak: van beleidslijnen tot een plan op maat van de entiteit
De Informatieclassificatie kwam tot stand en wordt continu verbeterd en aangepast dankzij de validatie door de Werkgroep Informatieveiligheid en de goedkeuring door het Stuurorgaan Vlaams Informatie – en ICT-beleid. De documenten die hieruit voortvloeien zijn bindend voor de Vlaamse administratie. De entiteiten volgen de bindende bepalingen maar moeten zelf de risico’s goed afwegen tussen de beschikbaarheid van vrije en open data en de bescherming van data in lijn met de informatieklassebepaling.
Formele documentatie van het Informatieclassificatieraamwerk
Het Informatieclassificatieraamwerk is beschreven in een set van documenten over het ICR welke zijn goedgekeurd door het Stuurorgaan Vlaams Informatie – en ICT-beleid. Deze set documenten zijn vastgelegd in PDF en zijn leidend.
Er zijn twee documenten die de context en de werking van het ICR beschrijven:
Het document 'Organisatie informatieclassificatie: informatieveiligheid' geeft het brede kader weer rond informatieveiligheid, beschrijft de verschillende niveaus van documentatie en documenteert de processen voor beheer van het ICR. Het geeft bovendien inzicht in het raamwerk, hoe het tot stand komt en wie het beheert. Dit document is belangrijk voor iedereen binnen een entiteit met verantwoordelijkheid op het gebied van informatieveiligheid, dus met name leidinggevend topkader, de CISO, de DPO, de eigenaar en gedelegeerd eigenaar.
Het tweede document, genaamd ‘Vo informatieclassificatie – Organisatie_Informatieclassificatieraamwerk’, beschrijft het raamwerk zelf, de verschillende klassen, het principe van de minimale maatregelen en hoe het raamwerk moet worden toegepast. Dit document is belangrijk voor wie het raamwerk moet implementeren, dus met name de CISO en uitvoerders.
Het Informatieclassificatieraamwerk in Confluence
Op deze confluence-pagina’s is de formule documentatie toegankelijker gemaakt, en interactiever. Deze pagina’s zijn voortdurend in ontwikkeling, er worden tools en instrumenten toegevoegd, en links naar aanvullende informatie. Niet alle aangeboden documentatie heeft al een formele status, daarom is bij twijfel de set van documenten over het ICR vastgelegd in PDF leidend.
Opzet van het ICR in Confluence
Het hoofdstuk geeft het brede kader weer rond informatieveiligheid, beschrijft de verschillende niveaus van documentatie en documenteert de processen voor beheer van het ICR. Het geeft bovendien inzicht in het raamwerk, hoe het tot stand komt en wie het beheert. Dit document is belangrijk voor iedereen binnen een entiteit met verantwoordelijkheid op het gebied van informatieveiligheid, dus met name leidinggevend topkader, de CISO, de DPO, de eigenaar en gedelegeerd eigenaar.
Het tweede document, genaamd ‘Vo informatieclassificatie – Organisatie_Informatieclassificatieraamwerk’, beschrijft het raamwerk zelf, de verschillende klassen, het principe van de minimale maatregelen en hoe het raamwerk moet worden toegepast. Dit document is belangrijk voor wie het raamwerk moet implementeren, dus met name de CISO en uitvoerders.