Strategisch informatiebeveiligingsbeleid Noaberkracht Dinkelland Tubbergen 2023-2026

3.4.1 Uitgangspunten

Noaberkracht draagt er zorg voor dat de informatiebeveiliging (en als onlosmakelijk onderdeel daarvan privacy) goed georganiseerd wordt en blijft. De volgende uitgangspunten en leidende principes worden gehanteerd bij het informatiebeveiligingsbeleid:

•Alle informatie en informatiesystemen zijn van belang voor de gemeenten; bepaalde informatie is van vitaal en kritiek belang. De colleges van B en W zijn eindverantwoordelijke voor de informatiebeveiliging.

•De uitvoering van de informatiebeveiliging is een verantwoordelijkheid van het lijnmanagement (directie en teammanagers). Alle informatiebronnen en -systemen die gebruikt worden door Noaberkracht hebben een interne eigenaar die de vertrouwelijkheid en/of waarde bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie.

•Informatiebeveiliging vraagt een onafhankelijke regie en soms ingrijpen in bestaande structuren, en dus om centrale en onafhankelijke functionarissen.

•Noaberkracht voldoet aan de wet- en regelgeving op het gebied van informatiebeveiliging en privacy.

•Risicomanagement vormt een basispeiler onder informatiebeveiliging. Dit vereist inzicht in en waardering van mogelijke kwetsbaarheden en dreigingen en de mogelijke impact van verstoringen.

•Het tactisch informatiebeveiligingsbeleid van Noaberkracht wordt gevormd door de BIO, uit te breiden met onderwerpspecifieke beleidsdocumenten waar dat in de BIO vereist wordt. De gemeente conformeert zich tevens aan toekomstige wijzigingen in de BIO.

•Door periodieke controle, organisatiebrede planning én coördinatie wordt de kwaliteit van de informatievoorziening verankerd binnen de organisatie. Het informatiebeveiligingsbeleid vormt samen met het informatiebeveiligingsplan het fundament onder een betrouwbare informatievoorziening. In het informatiebeveiligingsplan wordt de betrouwbaarheid van de informatievoorziening organisatiebreed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en risicoanalyses.

•Informatiebeveiliging is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van informatiebeveiliging. Er wordt aansluiting gevonden bij de bestaande P&C-systematiek.

•Noaberkracht stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen volgens de wijze zoals gesteld in dit beleid.

•Regels en verantwoordelijkheden voor het beveiligingsbeleid dienen te worden vastgelegd en vastgesteld.

•Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken.

3.4.2 Invulling van de uitgangspunten

Praktisch wordt als volgt invulling gegeven aan de uitgangspunten:

•De colleges van B en W stellen als eindverantwoordelijke het strategisch informatiebeveiligingsbeleid vast.

•De directie stelt jaarlijks het informatiebeveiligingsplan vast.

•De directie is verantwoordelijk voor het (laten) uitwerken en uitvoeren van onderwerpspecifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid.

•De directie is verantwoordelijk voor het vragen om informatie bij de teammanagers en ziet erop toe dat de teammanagers adequate maatregelen genomen hebben voor de bescherming van de informatie die onder hun verantwoordelijkheid valt.

•De Chief Information Security Officer (CISO) ondersteunt vanuit een onafhankelijke centrale positie alle onderdelen van de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover rechtstreeks aan de directie, voorafgaand aan de voortgangsgesprekken in het kader van de P&C-cyclus.

•Tijdens P&C-gesprekken dient aandacht te zijn voor de informatiebeveiliging n.a.v. de rapportage van de CISO. De onderwerpen, die als risicovol worden gezien, moeten tevens worden opgenomen in de auditplannen.

•De teammanagers zijn verantwoordelijk voor het realiseren van de informatiebeveiliging binnen de processen waar zij verantwoordelijk voor zijn. Dit geldt ook voor onderdelen die uitbesteed zijn of worden uitgevoerd bij samenwerkingsverbanden, ketenpartners of leveranciers. Deze vallen onverminderd binnen de scope van het informatiebeveiligingsbeleid van Noaberkracht.

•Hoewel de basisregistraties (zoals BRP, BAG, BGT) belangrijk zijn in het kader van informatiebeveiliging, krijgen zij niet meer of minder voorrang dan andere (primaire) processen binnen de organisatie. Het samenspel van alle processen binnen de bedrijfsvoering is belangrijk voor de missie en de visie van de organisatie en het behalen van de doelen die zijn gesteld.

•Alle medewerkers van de gemeente worden getraind in het gebruik van beveiligingsprocedures.

•Medewerkers gaan verantwoord om met persoonsgegevens en andere informatie.

•Teammanagers zien erop toe dat de controle op het verwerken van persoonsgegevens regelmatig wordt uitgevoerd, zodat zij kunnen vaststellen dat alleen rechthebbende medewerkers de juiste persoonsgegevens ingezien en verwerkt hebben.

•De beveiligingsmaatregelen worden bepaald op basis van risicomanagement. Teammanagers voeren risicoscans informatiebeveiliging uit om deze risico-afwegingen te kunnen maken.

3.4.3 Randvoorwaarden

Belangrijke randvoorwaarden zijn:

•De informatiebeveiliging maakt deel uit van afspraken met samenwerkingsverbanden, ketenpartners en leveranciers.

•Kennis en bewustzijn van informatiebeveiliging en het omgaan met persoonsgegevens binnen de organisatie dienen actief bevorderd en geborgd te worden.

•Jaarlijks wordt een informatiebeveiligingsplan opgesteld onder leiding van de CISO, gebaseerd op:

○ de uitkomsten van de uitgevoerde informatiebeveiligingsanalyse;

○ de uitkomsten van de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA) en andere uitgevoerde IT-audits;

○ de uitkomsten van de jaarlijkse zelfevaluaties BRP en PNIK;

○ het dreigingsbeeld gemeenten van de IBD;

○ de door de teammanagers ingebrachte onderwerpen voor de informatievoorziening waarvoor zij verantwoordelijk zijn.

5.1.1 Controle en toetsing door de gemeenteraad

De gemeenteraad draagt een specifieke bevoegdheid voor de controle en de toetsing op de werking van beleid binnen de eigen gemeente, zo ook voor informatiebeveiliging. Het college van B&W legt in lijn met de P&C-cyclus jaarlijks verantwoording af aan de raad, door middel van een collegeverklaring/ICV – waarop door een auditor assurance wordt afgegeven – en in het jaarverslag met een passage over informatiebeveiliging in de paragraaf bedrijfsvoering. [18.2.2.1]

5.1.2 Beleidsbepalende, regisserende en coördinerende verantwoordelijkheden op organisatieniveau

Het college van B en W draagt als eigenaar van gemeentelijke informatieprocessen en (informatie)systemen de eindverantwoordelijkheid voor een passend niveau van informatiebeveiliging. Verder stellen ze met het voorliggende beleidsdocument de kaders ten aanzien van informatiebeveiliging op basis van landelijke en Europese wet- en regelgeving vast. Het college informeert de gemeenteraad over de informatiebeveiliging van de gemeente, door een aparte paragraaf op te nemen in de jaarrekening van de gemeente. Hierin wordt de gemeenteraad op de hoogte gebracht over de stand van zaken, de uitgevoerde plannen van het afgelopen jaar en de planning en plannen voor het volgende jaar. Daarnaast worden de Chief Information Security Officer (CISO) en de controller informatiebeveiliging op basis van een vastgesteld functieprofiel aangesteld door het college van B en W. [6.1.1.2; 6.1.1.3; 6.1.1.4]

5.1.3 Gemandateerde verantwoordelijkheden en taken op organisatieniveau

De directie van Noaberkracht voert onder mandaat van de colleges activiteiten uit voor informatiebeveiliging. Dit wordt in een mandaatbesluit vastgelegd. De directie stelt in overleg met het managementteam en de CISO het gewenste niveau van informatiebeveiliging vast voor de gemeente. De beveiligingseisen worden per bedrijfsproces vastgesteld. De directie is verantwoordelijk voor de juiste implementatie van de beveiliging in de bedrijfsprocessen en in de in- en externe (informatie)systemen en wijst voor ieder (informatie)systeem een procesverantwoordelijke of systeemeigenaar aan. Deze is verantwoordelijk voor het stellen van eisen aan een systeem en de inrichting van de controle hierop, zodat voldaan wordt aan het informatiebeveiligingsbeleid en aan de wettelijke eisen. [8.1.2]

De directie heeft in ieder geval de volgende verantwoordelijkheden:

•Het stellen van operationele kaders en het geven van sturing ten aanzien van informatiebeveiliging;

•Het sturen op risico’s omtrent informatiebeveiliging;

•Het periodiek evalueren van beleidskaders en deze bijstellen waar nodig;

•Het (laten) controleren of de getroffen beveiligingsmaatregelen overeenstemmen met de betrouwbaarheidseisen en of deze beveiligingsmaatregelen voldoende bescherming bieden;

•Het beleggen van de verantwoordelijkheid voor informatiebeveiligingscomponenten en -systemen;

•Het inrichten van functiescheiding tussen uitvoerende, controlerende en beleidsbepalende taken met betrekking tot informatiebeveiliging om fraude en/of fouten te voorkomen.

5.1.4 Verantwoordelijkheden en taken op teamniveau

De teammanagers (proceseigenaren) zijn eigenaar van en integraal verantwoordelijk voor de (informatie) beveiliging van de informatieprocessen en -systemen binnen hun organisatieonderdeel.

De teammanagers hebben in ieder geval de volgende verantwoordelijkheden:

•Het classificeren van opgeslagen data in applicaties en gegevensverzamelingen;

•Medewerkers attenderen op hun verantwoordelijkheid ten aanzien van informatiebeveiliging in hun dagelijkse werkprocessen;

•Het (laten) uitvoeren van maatregelen uit de informatiebeveiligingsanalyse die op het team van toepassing zijn;

•Het opstellen van betrouwbaarheidseisen voor de informatiesystemen van het team;

•De keuze voor en de implementatie en het uitdragen van de maatregelen die voortvloeien uit de betrouwbaarheidseisen;

•Het sturen op beveiligingsbewustzijn, bedrijfscontinuïteit en op naleving van regels en richtlijnen;

•Het oplossen van beveiligingsincidenten (voorval dat de betrouwbaarheid, beschikbaarheid of vertrouwelijkheid van de Informatievoorziening verstoort, en daarmee de informatiebeveiliging kan aantasten) [16.1.2.5];

•Het expliciet vaststellen van relevante wettelijke, statutaire, regelgevende, en/of contractuele eisen en de aanpak van de organisatie om aan deze eisen te voldoen voor elk informatiesysteem (een samenhangende, gegevensverwerkende functionaliteit voor de besturing of ondersteuning van één of meer bedrijfsprocessen) en de organisatie [18.1.1];

•Het waarborgen van privacy en bescherming van persoonsgegevens conform relevante wet- en regelgeving [18.1.4];

•Opdrachtgeven tot en toezien op het uitvoeren van periodieke beveiligingsaudits;

•Het rapporteren, via de CISO, over compliance (voldoen) aan wet- en regelgeving en algemeen beleid van de organisatie in de P&C-rapportages.

5.1.5 Chief Information Security Officer (CISO)

Deze rol is op organisatieniveau verantwoordelijk voor het actueel houden van het informatiebeveiligingsbeleid, het coördineren van de uitvoering van het beleid, het adviseren bij projecten, het beheersen van risico’s en het opstellen van rapportages.

De CISO heeft in ieder geval de volgende verantwoordelijkheden:

•Rapporteert rechtstreeks aan de directie, gemeentesecretaris en het bestuur;

•Coördineert het formuleren van informatiebeveiligingsbeleid en privacybeleid;

•Coördineert de uitvoering van de informatiebeveiligingsanalyse en zorgt voor de actualisatie hiervan;

•Coördineert de prioritering van informatiebeveiligingsmaatregelen uit de informatiebeveiligingsanalyse en de uitvoering van het actieplan informatiebeveiliging;

•Stelt een plan op voor overleg en rapportage met betrekking tot informatiebeveiliging;

•Ondersteunt bestuur, gemeentesecretaris, directie en managementteam met kennis over informatiebeveiliging, zodat zij hun verantwoordelijkheid voor de betrouwbaarheid van de informatievoorziening juist kunnen invullen;

•Is het aanspreekpunt voor medewerkers van Noaberkracht en de gemeenten over informatiebeveiliging en privacy;

•Volgt de externe invloeden die van invloed zijn op het informatiebeveiligingsbeleid en de informatiebeveiligingsanalyse;

•Geeft gevraagd én ongevraagd advies over informatiebeveiliging en privacy aan de gehele organisatie;

•Bevordert het bewustzijn ten aanzien van informatieveiligheid en privacy in de organisatie;

•Houdt de registratie van informatiebeveiligingsincidenten bij in een incidentenregister en is verantwoordelijk voor de juiste afhandeling en evaluatie van informatiebeveiligingsincidenten;

•Ondersteunt het college bij het maken van de rapportage over de informatiebeveiliging van de gemeente in het jaarverslag;

•Onderhoudt contact met relevante overheidsinstanties;

•Rapporteert over de informatiebeveiliging van de organisatie in de P&C-managementrapportages en levert een In Control Statement. Hierbij bundelt de CISO de deelbijdragen van het teammanagement.

5.1.6 De controller informatiebeveiliging

Deze rol is op organisatieniveau verantwoordelijk voor het verbijzonderde toezicht op de naleving van het informatiebeveiligingsbeleid, de realisatie van voorgenomen beveiligingsmaatregelen en de escalatie van beveiligingsincidenten.

De controller informatiebeveiliging is in ieder geval verantwoordelijk voor:

•De periodieke toetsing op de juiste naleving, de werking, de effectiviteit en de kwaliteit van de maatregelen ten aanzien van informatiebeveiliging; dit gebeurt in samenwerking met de beveiligingsbeheerders;

•De controle op de voortgang van het uitvoeren van de maatregelen uit de informatiebeveiligingsanalyse en het actieplan informatiebeveiliging;

•De controle op de periodieke actualisatie van het informatiebeveiligingsbeleid en de informatiebeveiligingsanalyse;

•De bewaking van het niveau van informatiebeveiliging;

•De toetsing van evaluatieproces van beveiligingsincidenten;

•De rapportage van bevindingen aan gemeentesecretaris en het college van B en W.

De rol van controller informatiebeveiliging heeft op twee specifieke deelgebieden een voorgeschreven benaming. Dit betreft het gebied van reisdocumenten en rijbewijzen. Het betreft de volgende benamingen:

•Beveiligingsfunctionaris reisdocumenten: verantwoordelijk voor het toezicht op de naleving van de beveiligingsprocedures reisdocumenten.

•Beveiligingsfunctionaris rijbewijzen: verantwoordelijk voor het toezicht op de naleving van de beveiligingsprocedures rijbewijzen.

5.1.7 De beveiligingsbeheerder

Deze rol is verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatiebeveiliging binnen een specifiek deelgebied. In wetgeving worden verschillende benamingen aan rollen gegeven voor veelal dezelfde taken en verantwoordelijkheden ten aanzien van specifieke gegevensverzamelingen. Om eenduidigheid in naamgeving te verkrijgen wordt in dit beleidsdocument de beveiligingsverantwoordelijkheid ten aanzien van een specifieke gegevensverzameling toegewezen aan de zogenoemde beveiligingsbeheerder. Op de volgende deelgebieden is een beveiligingsbeheerder aangewezen; met vermelding van eventuele officiële rolbenaming: DigiD, BRP, Waardedocumenten (officieel: autorisatiebevoegde Reisdocumenten/Aanvraagstations en Autorisatiebevoegde Rijbewijzen), SUWI (officieel: Security Officer SUWI) en de BAG, BGT en BRO. Daarnaast worden er (indien mogelijk) beveiligingsbeheerders aangewezen op verschillende aspecten van de gemeentelijke bedrijfsvoering (zoals facilitaire zaken, ICT, DIV (archivering) en HR/personeelszaken) en de primaire processen (bijvoorbeeld sociaal domein, financiën, beveiliging & handhaving, publieksdiensten (eventueel gecombineerd met BRP en waardedocumenten), ruimte/omgeving).

Specifiek verplichte beveiligingsbeheerdersrollen:

•Autorisatiebevoegde Reisdocumenten/Aanvraagstations: verantwoordelijk voor het beheer van de autorisaties (het toekennen van rechten in informatiesystemen aan personen of groepen) voor de reisdocumentenmodules (RAAS en aanvraagstations).

•Autorisatiebevoegde Rijbewijzen: verantwoordelijk voor het beheer van de autorisaties voor rijbewijzen, inclusief aanmelding bij de RDW.

•Security Officer SUWI: verantwoordelijk voor het beheer van beveiligingsprocedures en maatregelen in het kader van Suwinet. De Security Officer SUWI verzorgt minimaal tweemaal per jaar een rapportage met betrekking tot de beveiligingsstatus van Suwinet aan het college en vraagt daarnaast meerdere keren per jaar een rapportage op bij het BKWI over het gebruik van Suwinet door de gemeente.

De beveiligingsbeheerder is voor het toegewezen deelgebied verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatiebeveiligingsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden.

5.1.8 Verantwoordelijkheden bedrijfsvoeringsapplicaties

Bedrijfsvoeringsapplicaties zijn teamoverstijgende (informatie)systemen binnen de organisatie en worden onder de verantwoordelijkheid van het team Informatiemanagement en facilitair (IMF) gefaciliteerd en onderhouden. Deze systemen, die door meer dan één organisatieonderdeel worden gebruikt, bevatten gegevens die door meerdere organisatieonderdelen worden vastgelegd. Voor iedere bedrijfsvoeringsapplicatie heeft het management de zorg dit te mandateren aan een organisatieonderdeel dat daarmee verantwoordelijk wordt voor de gehele gegevensverzameling of het (informatie)systeem. De procesverantwoordelijke van een bedrijfsvoeringsapplicatie draagt er zorg voor dat bij het gebruik ervan de wettelijke eisen en de gemeentelijke voorschriften (waaronder de juiste classificatie) worden nageleefd en dat de verantwoordelijkheden voor beveiliging voor alle betrokken partijen duidelijk omschreven zijn.

De gemandateerd eigenaar maakt minimaal de volgende schriftelijk afspraken met het gemeentelijke organisatieonderdeel of de externe organisatie dat van het teamoverstijgend (informatie)systeem gebruik maakt:

•Voorwaarden voor het toegestane gebruik van het teamoverstijgend (informatie)systeem;

•De verantwoordelijkheden van de gebruikende partij binnen zijn organisatieonderdeel voor de gegevens uit het teamoverstijgend (informatie)systeem;

•Voorwaarden met betrekking tot de bescherming van het verwerken van persoonsgegevens;

•Voorwaarden die de gebruikende partij verplichten voorzieningen te treffen voor een passend niveau van informatiebeveiliging;

•Procedure(s) betreffende autorisatie van medewerkers;

•Procedure(s) betreffende toezicht op de naleving van afspraken en oplossen van eventuele geschillen;

•Het recht op inzage in de resultaten van de externe audits en zelfevaluaties bij de gebruikende partij waaruit blijkt in welke mate deze aan het gemeentelijk informatiebeveiligingsbeleid voldoet.

5.1.9 Functionaris gegevensbescherming (FG)

De FG is conform de algemene verordening gegevensbescherming (AVG) de interne toezichthouder op de verwerking van persoonsgegevens binnen de gemeente. [18.1.4.1] Het is in die hoedanigheid een functie; geen rol. De FG heeft de volgende wettelijke taken (AVG Art. 39), vertaald naar de situatie bij Noaberkracht:

Het takenpakket van de FG bestaat uit de volgende punten (art. 39 lid 1 AVG):

•Informeren en adviseren van het college, het management, de raad en de medewerkers over hun verplichtingen met betrekking tot gegevensbescherming;

•Toezien op naleving van zowel de AVG als andere wetten met betrekking tot gegevensbescherming als ook het beleid met betrekking tot de bescherming van persoonsgegevens van de verwerkingsverantwoordelijke of de verwerker. Hierbij hoort tevens toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits;

•Adviseren omtrent gegevensbeschermingseffectbeoordelingen, ook wel Data Protection Impact Assessments (DPIA) genoemd, en toezien op de uitvoering daarvan;

•Toezichthouden op de registraties en afhandeling van beveiligingsincidenten waarbij persoonsgegevens betrokken zijn en toezichthouden op het melden van een datalek bij de Autoriteit Persoonsgegevens en bij de betrokkenen;

•Samenwerken met en als contactpunt optreden voor de Autoriteit Persoonsgegevens (AP);

•Rekening houden met risico’s naar de aard, omvang en context van verwerkingen van persoonsgegevens;

•Contactpersoon binnen de organisatie;

•Rapporteren aan de hoogste leidinggevende van de verwerkingsverantwoordelijke, zijnde in veel gevallen het college van B en W of de burgemeester en in sommige gevallen de gemeenteraad.

De FG vervult dezelfde functie voor de Wet politiegegevens (Wpg).

De FG heeft voor privacy een toezichthoudende taak, vergelijkbaar met de taak van controller informatiebeveiliging voor informatiebeveiliging. De uitvoering en implementatie van het beleid is belegd bij een of meerdere privacybeheerders, al dan niet specifiek voor een bepaald team, zoals bijvoorbeeld het sociaal domein.

5.1.10 De privacy officer (privacybeheerder)

Deze rol is gericht op de uitvoering en de naleving van de Algemene verordening gegevensbescherming (AVG). Daarnaast adviseert de medewerker over privacybescherming en over activiteiten ter bescherming van persoonsgegevens.

De privacy officer heeft in ieder geval de volgende verantwoordelijkheden:

•Beoordelen van de verwerking van persoonsgegevens tegen de achtergrond van de kaders van privacywetgeving en adviseert het management bij wijzigingen in procesuitvoering, bedrijfsvoering en de toepassing van een gegevensbeschermingseffectbeoordeling (DPIA).

•Als adviserend lid deelnemen aan programma’s en projecten waarvan het resultaat gevolgen kan hebben voor de wijze van verwerking van persoonsgegevens.

•Uitleggen van de privacyvoorschriften in de AVG en de sectorale en andere wetgeving;

•Coördineren van privacywerkzaamheden, informeren en het verzorgen van meldingen bij de AP;

•Coördineren, samenvoegen en openbaar maken van de overzichten van gegevensverwerkingen die worden aangeleverd door de organisatieonderdelen van de gemeente;

•Coördineren van verzoeken om inzage, correctie, verwijdering en verzet ten aanzien van persoonsgegevens en adviseren over de afhandeling;

•Bijdragen aan rapportages aan het directieteam;

•Inrichten van procedures voor het afhandelen van datalekken waarbij persoonsgegevens betrokken zijn;

•Beheer en onderhoud van de standaarddocumenten voor verwerkersovereenkomsten, convenanten en reglementen;

•Adviseren en ondersteunen bij het besluitvormingsproces en het afsluiten van verwerkersovereenkomsten en convenanten en de vaststelling van reglementen.

5.1.11 De medewerkers

Alle medewerkers dragen verantwoordelijkheid voor de beveiliging van de activiteiten die behoren tot hun eigen functie en taken. Zij betrachten zorgvuldigheid en discipline bij het omgaan met informatie en (informatie)systemen. Zij zijn zich bewust van de eisen ten aanzien van de betrouwbaarheid, de integriteit, de beschikbaarheid en de controleerbaarheid van de informatieprocessen waarbij zij zijn betrokken. Extra zorgvuldigheid wordt betracht bij het omgaan met persoonsgegevens. In het tactisch informatiebeveiligingsbeleid zijn gedragsregels in het kader van informatiebeveiliging en privacy uitgewerkt. Iedere medewerker wordt geacht deze gedragsregels te kennen en uit te dragen bij het uitoefenen van zijn of haar functie.