I. Voorwoord
I.I Totstandkoming
I.II Leeswijzer en ambitieniveau
II. Waarom informatieveiligheid?
II.I Inleiding
II.II De informatieveiligheidspiramide
II.III Toelichting op ISO 27001 en ISO 27002 (code voor informatieveiligheid)
II.IV Verantwoordelijkheid en bevoegdheid informatieveiligheidsbeleid
II.V Wettelijke basis en controle beveiligingsnormen
1.Informatieveiligheidsbeleid
1.1 Beleidsdocument voor informatieveiligheid
1.2 Scope van het informatieveiligheidsbeleid
1.3 Informatieveiligheidsanalyse
1.4 Aanvullende maatregelen
1.4.1 Afwijkend beveiligingsniveau
1.4.2 Persoonsgegevens
1.4.3. Aansluitbeleid SUWI
1.5 Borging van het informatieveiligheidsbeleid
2.Organisatie van de informatieveiligheid
2.1 Verantwoordelijkheidsniveaus binnen de gemeenten Amstelveen en Aalsmeer
2.1.1 Beleidsbepalende, regisserende en coördinerende verantwoordelijkheden op organisatieniveau
2.1.2 Gemandateerde verantwoordelijkheden en taken op organisatieniveau
2.1.3 Verantwoordelijkheden en taken op afdelingsniveau en teamniveau
2.1.4 Chief Information Security Officer (CISO)
2.1.5 De controller informatieveiligheid
2.1.6 De beveiligingsbeheerder
2.1.7 Privacybeheerder
2.1.8 Functionaris voor de gegevensbescherming
2.1.9 Afdeling Informatiebeheer
2.1.10 Het team facilitaire zaken
2.1.11 Het team HRM
2.1.12 Functioneel en gegevensbeheerder
2.1.13 De medewerkers
2.3 Overleg en afstemmingsorganen
2.4 ICT crisisbeheersing
2.5 Rapporteren beveiligingsincidenten
2.6 Verantwoordelijkheden afdelingsoverstijgende (informatie)systemen
2.7 Externe partijen
2.7.1 Service level agreement (niveau van dienstverlening)
2.7.2 Inhuur derden
2.7.3 Toegang derde partijen tot ICT-voorzieningen
2.7.4 Overeenkomsten met een derde partijen met betrekking tot ICT voorzieningen
2.7.4.1 Verwerkers van persoonsgegevens
3.Classificatie en beheer van informatie en bedrijfsmiddelen
3.1 Inventarisatie van informatie en (informatie) bedrijfsmiddelen
3.2 Eigendom van informatie en bedrijfsmiddelen
3.3 Aanvaardbaar gebruik van bedrijfsmiddelen
3.4 Classificatie van informatie en bedrijfsmiddelen
4.Beveiligingsaspecten ten aanzien van personeel
4.1 Algemene uitgangspunten ten aanzien van personele beveiligingsaspecten
4.2 Voorwaarden tewerkstelling vast personeel
4.3 Voorwaarden tewerkstelling externen
4.4 Kwetsbare functies
4.5 Toegang en bevoegdheden personeel
4.6 Opleiding en communicatie
4.7 Bijzondere situaties
5.Fysieke beveiliging
5.1 Algemene uitgangspunten ten aanzien van fysieke beveiliging
5.2 Inventarisatie van bedrijfsmiddelen
5.3 Servicetaken
5.4 Verwijderen apparatuur en gegevensdragers
5.5 Datakluizen en reserve apparatuur
5.6 Clean desk en clear screen beleid
5.7 Beveiliging van (mobiele) apparatuur
6.Beheer van communicatie- en bedieningsprocessen
6.1 Organisatorische uitgangspunten ten aanzien van communicatie- en bedieningsprocessen
6.2 Technische uitgangspunten ten aanzien van communicatie- en bedieningsprocessen
6.3 Beheerprocedures en verantwoordelijkheden
6.4 Uitgangspunten voor controle en logging
6.5 Beheer van de dienstverlening door een derde partij
6.6 Telewerken
6.7 Mobiele (privé-)apparatuur
6.8 Gebruik internet en email
6.9 Sociale media
6.10 Beleid en procedures voor informatie-uitwisseling
7.Logische toegangsbeveiliging
7.1 Beleid voor logische toegangsbeveiliging
7.2 Beheer van toegangsrechten
7.3 Externe toegang
7.4 Mobiel werken, thuiswerken en internetfaciliteiten
7.5 Controle op toegangsrechten
7.6 Toegangsbeveiliging met betrekking tot netwerkdomeinen en componenten
7.7 Toegangsbeveiliging met betrekking tot werkstations
7.8 Toegangsbeveiliging met betrekking tot (informatie)systemen
8.Verwerving, ontwikkeling en onderhoud van systemen
8.1 Beveiligingseisen voor (informatie)systemen
8.2 Cryptografische beveiliging
8.3 Digitale handtekening
8.4 Uitbesteding ontwikkeling van (informatie)systemen
8.5 Hardening van systemen
8.6 Hardening van websites
9.Beveiligingsincidenten
9.1 Definitie beveiligingsincident
9.2 Procedure melding en omgang beveiligingsincidenten
10.Continuïteitsbeheer
10.1 Proces van continuïteitsmanagement
10.2 Relatie met nood- en ontruimingsplan
10.3 Veiligstelling programmatuur
10.4 Monitoring capaciteit
11.Naleving
11.1 Organisatorische uitgangspunten
11.2 Naleving van informatieveiligheidsbeleid en -plan
11.3 Naleving van wettelijke voorschriften
11.4 Beoordeling van de naleving