Op verschillende plaatsen in het informatiebeveiligingsbeleid komt het woord “risico” voor. Wat houdt dat in?
We maken een inschatting gemaakt van mogelijke schade voor het geval dat:
informatiesystemen (tijdelijk) niet beschikbaar zijn,
de informatie niet integer is en/of
vertrouwelijke informatie in verkeerde handen valt.
Ook wordt een inschatting gemaakt van de dreigingen waartegen beschermd moet worden. De inschatting van mogelijke schade en dreigingen leidt tot beveiligingseisen om risico’s te beperken. Om deze eisen af te dekken worden passende maatregelen getroffen of wordt het (rest)risico geaccepteerd.
Alle gemeenten staan voor deze uitdaging en daarom zijn de Baselines zo nuttig. De BIO is een stelsel van samenhangende “controls”. Deze zijn te beschouwen als “geleerde lessen” uit de wereldwijde praktijk van deskundigen op het terrein van informatiebeveiliging. Deze lessen zijn verwoord in de ISO-norm 27002. Op basis daarvan en van allerlei wet- en regelgeving onderkent de BIO verplichte overheidsmaatregelen en optionele handreikingen.
Eén van de vernieuwingen van de BIO is dat er onderscheid is naar drie Basis beveiligingsniveaus (BNN):
BNN1: laag voor systemen waar de beveiligingseisen bewust lager worden gesteld:
BNN2: standaardniveau van beveiliging.
BNN3: hoog niveau van beveiliging. Denk aan: Basisregistratie Personen en de administratie uitvoering Jeugdwet.
Het bepalen van de Basisbeveiligingsniveaus moet gezien worden in relatie tot de implementatie van de baseline. De verwachting is dat de meeste systemen uitkomen op BNN2. Het uitgangspunt van de BIO is dat een organisatie die de baseline volledig heeft geïmplementeerd de generieke beveiliging op orde heeft. Daarom hoeft de organisatie weinig aanvullende maatregelen hoeft te treffen voor de systemen van BNN2 (en 1) maar mogelijkerwijs wel voor de systemen op BNN3. Daarnaast geldt dat het bepalen van de beveiligingsniveaus een project is dat in drie jaar wordt uitgevoerd en telkens per onderzocht systeem inzicht oplevert of en welke aanvullende maatregelen nodig zijn. De uitvoering van die maatregelen kan dus vrijwel meteen beginnen mits gelijktijdig aan de implementatie van de BIO wordt gewerkt.
Het behoort tot de rol van het management van de organisatie om met ondersteuning door de Coördinator Informatiebeveiliging door middel van een risicoanalyse per systeem vast te stellen welk beveiligingsniveau nodig is. Dat geldt voor bestaande en nieuwe informatiesystemen. Het aanpassen van bestaande systemen is echter arbeidsintensief en kostbaar. In het vorig beleidsplan is daarom al de weg gekozen van “security by design”. Dit principe houdt in dat elk project voor de vernieuwing of wijziging van informatievoorziening en/of ICT start met een risicoanalyse om te bepalen òf en welke beveiligingsmaatregelen nodig zijn. Vervolgens moeten deze maatregelen ook daadwerkelijk worden uitgevoerd als onderdeel van het project. Vooraf maatregelen treffen is namelijk veel effectiever en goedkoper dan achteraf repareren.
De taakstelling voor deze planperiode is daarom drieledig:
toepassing van de volledige BIO op de gehele gemeentelijke informatiehuishouding;
in elk IV/ ICT-project wordt het principe van security by design toegepast;
uiterlijk aan het eind van de planperiode is voor elk gemeentelijke informatiesysteem bepaald welke Basisbeveiligingsniveau van toepassing is en welke eventuele extra beveiligingsmaatregelen nodig zijn.
Hoofdstuk 1
Artikel 1.4
Risicobewuste informatiebeveiliging
Onderdeel van Gemeentelijk Informatiebeveiligingsbeleid (GIBB) 2019-2021