Art. 3.7 Informatiebeveiligingsbeleid gemeente Lingewaard — Beheersmaatregelen m.b.t. de classificatie van informatie

De baseline maakt onderscheid in de volgende specifieke beheersmaatregelen voor dit domein: De eigenaar van de gegevens is de proceseigenaar, dat wil zeggen de lijnmanager die de integrale verantwoordelijkheid heeft over het bedrijfsproces. De classificatietabel heeft betrekking op alle in beheer zijnde gegevensverzamelingen, gegevensdragers, informatiesystemen, servers en netwerkcomponenten. Het object van classificatie is informatie. We classificeren op het niveau van informatiesystemen (of informatieservices). Alle classificaties van alle bedrijfskritische systemen zijn centraal vastgelegd door de CISO en dienen jaarlijks gecontroleerd te worden door de eigenaren van gegevens. Informatie kan meer of minder gevoelig of kritisch zijn. Voor bepaalde informatie kan een extra niveau van bescherming of een speciale verwerking nodig zijn. De eigenaar van de gegevens bepaalt het vereiste beschermingsniveau (classificatie). Indien sprake is van wettelijke eisen, wordt dit expliciet aangegeven. De eigenaar van de gegevens bepaalt wie toegang krijgt tot welke gegevens en met welke rechten. Er wordt gestreefd naar een zo ‘laag’ mogelijk classificatieniveau; te hoge classificatie leidt tot onnodige kosten. Bovendien dient informatie in beginsel voor zoveel mogelijk mensen beschikbaar te zijn (transparante overheid). Er wordt gestreefd naar een balans tussen het te lopen risico en de kosten van tegenmaatregelen Een technische oplossing verdient altijd de voorkeur boven gedragsverandering of een administratieve procedure. Informatie classificeren met betrekking tot de waarde, wettelijke eisen, gevoeligheid en onmisbaarheid voor de organisatie. Opstellen en uitdragen classificatiebeleid binnen de gemeente. Er dienen geschikte samenhangende procedures te worden ontwikkeld en geïmplementeerd voor de classificering en verwerking van informatie overeenkomstig het classificatiesysteem dat formeel is vastgesteld. Niveau Vertrouwelijkheid Integriteit Beschikbaarheid Geen Openbaar informatie mag door iedereen worden ingezien (bv: algemene informatie op de externe website van de gemeente Niet zeker informatie mag worden veranderd (bv: templates en sjablonen) Niet nodig gegevens kunnen zonder gevolgen langere tijd niet beschikbaar zijn (bv: ondersteunende tools als routeplanner) Laag Bedrijfsvertrouwelijk informatie is toegankelijk voor alle medewerkers van de organisatie (bv: informatie op het intranet) Beschermd het bedrijfsproces staat enkele (integriteits-) fouten toe (bv: rapportages) Belangrijk informatie moet vrijwel altijd beschikbaar zijn, continuïteit is belangrijk (bv: primaire proces informatie) Midden Vertrouwelijk informatie is alleen toegankelijk voor een beperkte groep gebruikers (bv: persoonsgegevens, financiële gegevens Hoog het bedrijfsproces staat zeer weinig fouten toe (bv: bedrijfsvoeringinformatie en primaire procesinformatie zoals vergunningen) Noodzakelijk informatie mag incidenteel niet beschikbaar zijn bv: administratieve gegevens) Hoog Geheim informatie is alleen toegankelijk voor direct geadresseerde(n) (bv: zorggegevens en strafrechtelijke informatie) Absoluut het bedrijfsproces staat geen fouten toe (bv: informatie op de website) Essentieel informatie mag alleen in uitzonderlijke situaties uitvallen, bijvoorbeeld bij calamiteiten (bv: basisregistraties)

Rechtspraak bij dit artikel