Gemeentebreed informatieveiligheidsbeleid

Acceptatieprocedure

Procedure om vast te stellen of een nieuw (informatie)systeem voldoet aan de gestelde eisen Applicatiebeheer Onderhoud en exploitatie van de geautomatiseerde gedeeltes (software) van een informatiesysteem.

Afdelingsoverstijgend informatiesysteem (AIS)

Systeem dat door meer dan één afdeling wordt gebruikt en waarin gegevens van meerdere organisatie-onderdelen worden vastgelegd.

Application controls

Geprogrammeerde maatregelen binnen een applicatie ter waarborging van de vertrouwelijkheid, juistheid en volledigheid van de data. We kunnen hierbij denken aan het afschermen van menukeuzes, waardoor informatie niet oproepbaar is of het controleren van input op juistheid (postcode check) of volledigheid.

Audit (informatieveiligheids-)

Het door een onafhankelijke deskundige kritisch beoordelen van de opzet, het bestaan en de werking van de (beveiligings-) voorzieningen en de organisatie voor informatietechnologie op betrouwbaarheid, doeltreffendheid en doelmatigheid.

Authenticatie

Verificatie van de geclaimde identiteit, bijvoorbeeld door gebruik van wachtwoord, token, biometrie of een combinatie hiervan.

Autorisatie / autoriseren

Toekenning / toekennen van rechten (aan (groepen van) personen, processen en/of systemen).

Back-up

Reservekopie van een computerbestand of programmatuur.

Bedrijfskritisch

Van essentieel belang voor de continuïteit van de bedrijfsprocessen.

Beschikbaarheid

Zie Continuïteit.

Beveiligingsincident

Voorval dat de betrouwbaarheid, beschikbaarheid of vertrouwelijkheid van de Informatievoorziening verstoort, en daarmee de informatieveiligheid kan aantasten.

Calamiteit

Gebeurtenis die een zodanige verstoring van de geautomatiseerde gegevensverwerking tot gevolg heeft, dat aanzienlijke maatregelen moeten worden genomen om het oorspronkelijke werkingsniveau te herstellen.

Change management

Beheer en beheersing van alle wijzigingen van componenten van (informatie)systemen en de ICT-infrastructuur.

Classificatie

Indeling in risicoklassen voor de aspecten beschikbaarheid, betrouwbaarheid en vertrouwelijkheid.

Clean desk

Een opgeruimde werkplek waar geen vertrouwelijke of privacygevoelige documenten of andere informatiebronnen rondslingeren.

Clear screen

Een uitgeschakeld of afgesloten beeldscherm dat alleen met een inlogprocedure weer actief gemaakt kan worden.

Compliance

Het begrip waarmee wordt aangeduid dat een persoon of organisatie werkt in overeenstemming met de geldende wet- en regelgeving.

Configuratie management

Beheer en beheersing van de samenstelling en de status van de ICT-infrastructuur en de (informatie)systemen die er gebruik van maken.

Configuratieschema

Overzicht van de onderdelen waaruit een (informatie)systeem is opgebouwd.

Continuïteit (bedrijfs-)

De mate waarin bedrijfsprocessen ongestoord doorgang kunnen hebben.

Continuïteitsmanagement

Stelsel van samenhangende activiteiten, mensen en middelen met als doel de continuïteit van de (kritische) bedrijfsprocessen te waarborgen.

Database

Een bestand waarin gedigitaliseerde gegevens op een gestructureerde manier zijn opgeslagen en bevraagd kunnen worden.

Datakluis

Brand- en inbraakwerende ruimte voor de opslag van (elektronische) gegevensdragers.

Document Structuurplan (DSP)

Een DSP biedt een overzicht van alle aanwezige informatie- en archiefbestanden van een organisatie in relatie tot het werk dat in die organisatie gedaan wordt.

Eigenaar

De eigenaar van een proces of een systeem is vanuit het informatieveiligheidsbeleid verantwoordelijk voor het stellen van eisen en de inrichting van de controle hierop, zodat voldaan wordt aan het informatieveiligheidsbeleid en aan de wettelijke eisen.

Escrow

Specifiek in de softwaresector wordt escrow aangewend ter vrijwaring van de belangen van de softwareklant indien die zich wil indekken tegen bepaalde risico's in hoofde van de softwareleverancier (het meest gevreesde daarbij wellicht het faillissement van de leverancier).

De softwareleverancier zal de broncode van de software (en de bijhorende documentatie) in bewaring geven bij de escrowagent, en deze broncode regelmatig updaten indien nieuwe versies op de markt gebracht worden. Indien de leverancier dan failliet zou gaan, heeft de klant tenminste de broncode van haar applicatie en kan zij alsnog trachten haar applicatie aan de praat te houden.

Functiescheiding

Het scheiden van gerelateerde taken en bevoegdheden met als doel het voorkomen van fouten en fraude.

Fysieke beveiliging

Beveiliging die met behulp van fysieke (bouwkundige, technische en/of organisatorische) middelen gerealiseerd wordt.

Gateway

Verbinding tussen verschillende netwerken waarop wordt bijgehouden welke computers c.q. protocollen met elkaar verbonden mogen worden.

Gebruiker / gebruikende partij

Degene die geautoriseerd gebruik maakt van een (informatie)systeem.

Gegevensdrager

Een fysiek object waarin/waarop informatie is vastgelegd, bijvoorbeeld een boek, harde schijf, DVD of USB-stick.

Gegevensverwerking

Handeling of geheel van handelingen met betrekking tot gegevens.

Hardening

Het proces van het beveiligen van een systeem en het verminderen van kwetsbaarheden door middel van het reduceren van bijvoorbeeld (onbenodigde) software, functies, gebruikersnamen, logins of diensten. (Deze zouden namelijk toegang tot het systeem kunnen genereren via achterdeurtjes).

Informatie- en communicatietechnologie (ICT)

Het vakgebied dat zich bezighoudt met informatiesystemen, telecommunicatie en computers.

Hieronder valt het ontwikkelen en beheren van systemen, netwerken, databanken en websites. Ook het onderhouden van computers en programmatuur en het schrijven van administratieve software valt hieronder. Vaak gebeurt dit in een bedrijfskundige context.

ICT-component

Onderdeel van de informatie- en communicatie infrastructuur, zoals netwerk, bekabeling, servers, werkstations.

Identificatie

Bepaling van de identiteit van een persoon, bijvoorbeeld door een unieke gebruikersnaam of netwerkadres.

Incident

Onverwachte of ongewone gebeurtenis.

Incident management

Beheer en beheersing van de afhandeling van incidenten.

Informatieveiligheid

Samenhangend stelsel van activiteiten, methoden en middelen ter waarborging van beschikbaarheid, betrouwbaarheid en vertrouwelijkheid.

Informatieveiligheidsbeleid

Strategie van een organisatie met betrekking tot informatieveiligheid.

Informatieveiligheidscontroller

Medewerker die zich richt op de verbijzonderde interne controle op de naleving van het informatieveiligheidsbeleid en de escalatie van beveiligingsincidenten.

CISO

Medewerker die gemeentebreed adviseert over informatieveiligheidsvraagstukken in brede zin en activiteiten op het gebied van informatieveiligheid coördineert.

Informatiesysteem

Een samenhangende, gegevensverwerkende functionaliteit voor de besturing of ondersteuning van één of meer bedrijfsprocessen.

Informatieveiligheidsanalyse

Document waarin beschreven staat welke beveiligingsmaatregelen getroffen worden/zijn op basis van het informatieveiligheidsbeleid.

Informatievoorziening

Het geheel aan processen, bestaande uit het verzamelen, het opslaan, het verwerken van gegevens en het beschikbaar stellen ervan.

Internet Protocol (IP)

Veel gebruikt protocol voor netwerkverkeer

Information Technology Infrastructure Library (ITIL)

Een referentiekader voor het inrichten van de beheerprocessen binnen een ICT-organisatie. ITIL is geen methode of model, maar eerder een reeks van best practices (de beste praktijkoplossingen) en concepten.

Local Area Network (LAN)

Zie Lokaal netwerk.

Logische (toegangs)beveiliging

(Toegangs)beveiliging die met behulp van programmatuur gerealiseerd wordt.

Lokaal netwerk (LAN)

Fysiek afgegrensd, instellinggebonden netwerk.

Maatwerkprogrammatuur

Op specifiek (deel)proces toegesneden programmatuur.

MARAP

Management Rapportage.

Medium (opslag-)

Fysieke gegevensdrager.

Netwerk

Een verzameling objecten voor communicatie tussen tenminste twee knooppunten van apparatuur en programmatuur, waarbij gebruik gemaakt wordt van voorgeschreven communicatieprotocollen.

Netwerkadres (IP Adres)

Unieke identificatie van een element in een netwerk.

Netwerkconfiguratie

Overzicht van de objecten waaruit het netwerk bestaat en de relaties tussen deze objecten.

Noodplan

Document waarin beschreven staat welke acties een organisatieonderdeel moet ondernemen in een noodsituatie.

Ontruimingsplan

Document waarin beschreven staat op welke wijze een gebouw ontruimd moet worden in een noodsituatie.

OTAP

Een methodiek die wordt gebruikt in de ICT. Dit geeft een pad aan dat wordt doorlopen tijdens onder andere softwareontwikkeling of het implementeren van nieuwe applicaties.

Het pad dat wordt doorlopen is als volgt: Een programma of component wordt eerst ontwikkeld in de ontwikkelomgeving. Als de programmeur denkt klaar te zijn wordt het gekopieerd naar de testomgeving. Daar kan gecontroleerd worden of het programma of component naar behoren werkt en of het goed kan communiceren met zijn omgeving. Als het goed is bevonden wordt het gekopieerd naar de acceptatieomgeving. Dit is een omgeving waar een gebruiker in kan kijken maar waar normaal gesproken geen gebruikers bij kunnen. De gebruiker kan dan beoordelen of aan zijn eisen en specificaties is voldaan. Indien de gebruiker het programma of component goedkeurt wordt het gekopieerd naar de productieomgeving waar het gebruikt kan worden door alle gebruikers van het systeem.

Personal Digital Assistant (PDA)

Kleine computer, formaat "binnenzak".

PKI (Public Key Infrastructure)

Een Public Key Infrastructure (PKI) is een systeem waarmee uitgiften en beheer van digitale certificaten kan worden gerealiseerd. Een onafhankelijke partij waarborgt de integriteit en authenticiteit van het certificaat. Hiermee wordt gegarandeerd dat de identiteit van de certificaatbezitter klopt ("je bent wie je zegt dat je bent") en dat gegevens veilig kunnen worden uitgewisseld.

Privacybeheerder

Medewerker die adviseert over privacybescherming en activiteiten ter bescherming van persoonsgegevens en privacy coördineert.

Proces

Een samenhangende serie activiteiten ten behoeve van een van tevoren bepaald doel.

Procesverantwoordelijkheid / procesverantwoordelijke

Verantwoordelijkheid / verantwoordelijke voor het geheel van activiteiten van een bepaald proces.

Programmatuur

Het geprogrammeerde deel van (informatie)systemen.

Recovery

Herstel van een computerbestand of programmatuur.

Risicoanalyse

Methode die informatie oplevert over de schadeverwachting van bepaalde gebeurtenissen.

Routering

Het bepalen van de weg die berichten volgen Security scan Gericht onderzoek naar de mate van implementatie van beveiligingsmaatregelen.

Service Level Agreement (SLA)

Schriftelijke overeenkomst tussen een aanbieder (service provider) en een afnemer (klant) van bepaalde diensten.

Smartphone

Programmeerbare telefoon die voor vele uiteenlopende doeleinden gebruikt kan worden, zoals internet.

SNMP

Simple Network Management Protocol: een protocol voor netwerk management en beheer.

Systeem

Een verzameling van één of meer samenhangende objecten met tezamen een gespecificeerde functionaliteit. Objecten kunnen zowel fysiek (computersysteem) als logisch (besturingssysteem) zijn.

Systeemeigenaar

Verantwoordelijke voor een (informatie)systeem.

Systeemhulpmiddel

Hulpprogramma voor beheer en onderhoud van (informatie)systemen en ICT-infrastructuur.

Systeemklok

Interne klok in een computersysteem.

Systeemprivilege

Recht op het gebruik van of toegang tot (een onderdeel van) een (informatie)systeem.

Systeemprogrammatuur

Fundamentele, ondersteunende programmatuur die behoort tot de technische infrastructuur van een (informatie)systeem.

Technisch beheer

Opslag en onderhoud van digitale informatie door middel van technische Maatregelen.

Telewerken

Thuis of op een andere locatie werken op het netwerk van de organisatie met behulp van een externe lijnverbinding.

Third Party Mededeling (TPM)

Verklaring van een onafhankelijke derde partij die door betrokken partijen vertrouwd wordt.

Utility

Zie Systeemhulpmiddel.

Voice over IP (VOIP)

Gebruik van dezelfde netwerkbekabeling voor zowel spraak- als datacommunicatie.

Webapplicatie

Toepassingsprogrammatuur die via een internetbrowser benaderd kan worden.

Wide Area Network (WAN)

Netwerk dat zich niet beperkt tot één fysieke locatie en waaraan meerdere lokale netwerken (LAN's) gekoppeld kunnen zijn.

Beveiligingsrollen

Naam

Vervanger

1Chief Information Security Officer (CISO)

-

-

2Controller Informatieveiligheid

-

-

3Functionaris Gegevensbescherming

-

-

4Privacybeheerder

-

-

5Beveiligingsbeheerder BRP

-

-

6Beveiligingsbeheerder Suwinet

-

-

7Beveiligingsbeheerder Waardedocumenten

-

-

8Beveiligingsbeheerder BAG

-

-

9Beveiligingsbeheerder BGT

-

-

10Beveiligingsbeheerder CORV

-

-

11Beveiligingsbeheerder DigiD

-

-

12Beveiligingsbeheerder ICT

-

-

13Beveiligingsbeheerder HRM

-

-

14Beveiligingsbeheerder IV

-

-

15Beveiligingsbeheerder FZ

-

-

16Algemeen Contactpersoon Informatiebeveiliging (ACIB)

-

-

17Vertrouwd Contactpersoon Informatiebeveiliging (VCIB)

-

-

I. Voorwoord

I.I Totstandkoming

I.II Leeswijzer en ambitieniveau

II. Waarom informatieveiligheid?

II.I Inleiding

II.II De informatieveiligheidspiramide

II.III Toelichting op ISO 27001 en ISO 27002 (code voor informatieveiligheid)

II.IV Verantwoordelijkheid en bevoegdheid informatieveiligheidsbeleid

II.V Wettelijke basis en controle beveiligingsnormen

1.Informatieveiligheidsbeleid

1.1 Beleidsdocument voor informatieveiligheid

1.2 Scope van het informatieveiligheidsbeleid

1.3 Informatieveiligheidsanalyse

1.4 Aanvullende maatregelen

1.4.1 Afwijkend beveiligingsniveau

1.4.2 Persoonsgegevens

1.4.3. Aansluitbeleid SUWI

1.5 Borging van het informatieveiligheidsbeleid

2.Organisatie van de informatieveiligheid

2.1 Verantwoordelijkheidsniveaus binnen de gemeenten Amstelveen en Aalsmeer

2.1.1 Beleidsbepalende, regisserende en coördinerende verantwoordelijkheden op organisatieniveau

2.1.2 Gemandateerde verantwoordelijkheden en taken op organisatieniveau

2.1.3 Verantwoordelijkheden en taken op afdelingsniveau en teamniveau

2.1.4 Chief Information Security Officer (CISO)

2.1.5 De controller informatieveiligheid

2.1.6 De beveiligingsbeheerder

2.1.7 Privacybeheerder

2.1.8 Functionaris voor de gegevensbescherming

2.1.9 Afdeling Informatiebeheer

2.1.10 Het team facilitaire zaken

2.1.11 Het team HRM

2.1.12 Functioneel en gegevensbeheerder

2.1.13 De medewerkers

2.3 Overleg en afstemmingsorganen

2.4 ICT crisisbeheersing

2.5 Rapporteren beveiligingsincidenten

2.6 Verantwoordelijkheden afdelingsoverstijgende (informatie)systemen

2.7 Externe partijen

2.7.1 Service level agreement (niveau van dienstverlening)

2.7.2 Inhuur derden

2.7.3 Toegang derde partijen tot ICT-voorzieningen

2.7.4 Overeenkomsten met een derde partijen met betrekking tot ICT voorzieningen

2.7.4.1 Verwerkers van persoonsgegevens

3.Classificatie en beheer van informatie en bedrijfsmiddelen

3.1 Inventarisatie van informatie en (informatie) bedrijfsmiddelen

3.2 Eigendom van informatie en bedrijfsmiddelen

3.3 Aanvaardbaar gebruik van bedrijfsmiddelen

3.4 Classificatie van informatie en bedrijfsmiddelen

4.Beveiligingsaspecten ten aanzien van personeel

4.1 Algemene uitgangspunten ten aanzien van personele beveiligingsaspecten

4.2 Voorwaarden tewerkstelling vast personeel

4.3 Voorwaarden tewerkstelling externen

4.4 Kwetsbare functies

4.5 Toegang en bevoegdheden personeel

4.6 Opleiding en communicatie

4.7 Bijzondere situaties

5.Fysieke beveiliging

5.1 Algemene uitgangspunten ten aanzien van fysieke beveiliging

5.2 Inventarisatie van bedrijfsmiddelen

5.3 Servicetaken

5.4 Verwijderen apparatuur en gegevensdragers

5.5 Datakluizen en reserve apparatuur

5.6 Clean desk en clear screen beleid

5.7 Beveiliging van (mobiele) apparatuur

6.Beheer van communicatie- en bedieningsprocessen

6.1 Organisatorische uitgangspunten ten aanzien van communicatie- en bedieningsprocessen

6.2 Technische uitgangspunten ten aanzien van communicatie- en bedieningsprocessen

6.3 Beheerprocedures en verantwoordelijkheden

6.4 Uitgangspunten voor controle en logging

6.5 Beheer van de dienstverlening door een derde partij

6.6 Telewerken

6.7 Mobiele (privé-)apparatuur

6.8 Gebruik internet en email

6.9 Sociale media

6.10 Beleid en procedures voor informatie-uitwisseling

7.Logische toegangsbeveiliging

7.1 Beleid voor logische toegangsbeveiliging

7.2 Beheer van toegangsrechten

7.3 Externe toegang

7.4 Mobiel werken, thuiswerken en internetfaciliteiten

7.5 Controle op toegangsrechten

7.6 Toegangsbeveiliging met betrekking tot netwerkdomeinen en componenten

7.7 Toegangsbeveiliging met betrekking tot werkstations

7.8 Toegangsbeveiliging met betrekking tot (informatie)systemen

8.Verwerving, ontwikkeling en onderhoud van systemen

8.1 Beveiligingseisen voor (informatie)systemen

8.2 Cryptografische beveiliging

8.3 Digitale handtekening

8.4 Uitbesteding ontwikkeling van (informatie)systemen

8.5 Hardening van systemen

8.6 Hardening van websites

9.Beveiligingsincidenten

9.1 Definitie beveiligingsincident

9.2 Procedure melding en omgang beveiligingsincidenten

10.Continuïteitsbeheer

10.1 Proces van continuïteitsmanagement

10.2 Relatie met nood- en ontruimingsplan

10.3 Veiligstelling programmatuur

10.4 Monitoring capaciteit

11.Naleving

11.1 Organisatorische uitgangspunten

11.2 Naleving van informatieveiligheidsbeleid en -plan

11.3 Naleving van wettelijke voorschriften

11.4 Beoordeling van de naleving