Informatiediensten
Onder informatiediensten vallen alle systemen en bestanden. Informatiediensten dienen te zijn gegroepeerd op basis van het informatieclassificatieniveau van de informatie waar zij toegang tot hebben. Informatiediensten dienen infrastructureel gescheiden te zijn van informatiediensten met een andere informatieclassificatie.
Gebruikers
Alle gebruikers van netwerken dienen te zijn ingedeeld in groepen op basis van het informatieclassificatieniveau waartoe zij toegang mogen krijgen. Het classificatieniveau van de groep bepaalt de toegang tot de verschillende netwerken. Gebruikers in groepen met classificatieniveau Midden of Hoog mogen alleen de informatiediensten bereiken waartoe zij specifiek of via hun rol zijn geautoriseerd.
Netwerken
Netwerken dienen te zijn ingedeeld op basis van het informatieclassificatieniveau van de informatie die in het netwerk wordt gecommuniceerd. Informatiediensten zijn geplaatst in het netwerk met hetzelfde informatieclassificatieniveau. Netwerken met verschillende informatieclassificatieniveaus mogen niet de mogelijkheid hebben om met elkaar te communiceren.
Daarnaast gelden de volgende specifieke eisen per informatieclassificatieniveau:
Informatieclassificatieniveau Openbaar.
Netwerken waarbij geen onderscheidt wordt gemaakt met welke specifieke apparaten mogen verbinden dienen een maximale duur aan de verbinding te stellen van 1 uur.
De gebruiker van het apparaat dient akkoord te geven op de voorwaarden die ten grondslag liggen aan het gebruik van het netwerk. De voorwaarden dienen minimaal te bevatten:
Akkoord voor monitoring en opslag:
van uniek apparaat kenmerk;
hoeveelheid bandbreedte die wordt gebruikt;
duur van verbinding;
tijd en datum van verbinding;
bezochte webadressen;
duur van opslag van minimaal 24 uur en maximaal 1 week.
Maximale bandbreedte die per gebruiker geboden wordt.
De gemeente is niet aansprakelijk voor alle gevolgen inzake het gebruik van de verbinding en de gebruiker zich hiervan bewust is en akkoord geeft.
De gebruiker zich conformeert aan het volgen van de wet- en regelgeving die toepasselijk is op deze dienst.
Informatieclassificatieniveau Laag
Netwerken waarbij geen onderscheidt wordt gemaakt met welke specifieke apparaten mogen verbinden zijn niet toegestaan.
Gebruikers die met het netwerk willen verbinden mogen dit alleen na identificatie en autorisatie middels een door de gemeente verstrekt account én apparaat.
Het apparaat dient in beheer te zijn van de gemeente.
Informatiediensten dienen te zijn geautoriseerd om met het netwerkverbinding te maken.
Informatieclassificatieniveau Midden
Alle eisen van classificatieniveau Laag.
Het netwerk mag enkel beschikbaar zijn binnen de fysieke locaties van gemeente Medemblik daar waar de werkzaamheden het noodzakelijk achtten.
Uitzondering hierop is een versleutelde beveiligde verbinding waarmee alleen vooraf geautoriseerde personen toegang mogen krijgen tot het netwerk. Deze versleutelde beveiligde verbinding mag enkel gebruikt worden vanaf andere locaties in Nederland.
Voor het verbinden met het netwerk is voor gebruikers verplicht om gebruik te maken van een door de gemeente voorgeschreven multi-factor authenticatie techniek.
Informatieclassificatieniveau Hoog
Alle eisen van classificatieniveau Midden.
Voor het verbinden met het netwerk dient een door de gemeente beheerde hardware token gebruikt te worden ten behoeve van de multi-factor authenticatie.
De hardware tokens gelden als bedrijfsmiddelen (zie hoofdstuk 6). Het eigenaarschap is belegd bij CISO.
Enkel geautoriseerde apparaten mogen verbindingen maken met het netwerk van de gemeente.
Referentie: BIO versie 1.04zv beheersmaatregel 13.1.3.
Hoofdstuk 11. › Paragraaf 11.1.
Artikel 11.1.3.
Scheiding in netwerken
Onderdeel van Informatiebeveiligingsbeleid 2024-2027