Informatiebeveiligingsbeleid

Het document waarin uw organisatie vastlegt wat zij wil bereiken met informatiebeveiliging en wie waarvoor verantwoordelijk is. Het is het startdocument: alle andere documenten verwijzen ernaar terug.

Wat erin hoort

• waarom uw organisatie informatiebeveiliging belangrijk vindt, in eigen woorden
• de reikwijdte: welke onderdelen, locaties en systemen het betreft
• wie eindverantwoordelijk is en welke rollen er zijn
• de uitgangspunten waar u zich aan houdt
• hoe u omgaat met overtredingen
• wanneer en door wie het herzien wordt

Wie stelt het vast

Vaststelling gebeurt door het bestuur of de directie, met datum en handtekening. Zonder datum en zonder vaststeller heeft een document geen status, en dan telt het bij een controle niet mee als bewijs.

Hoe vaak herzien

Herzien: jaarlijks, en eerder bij een wezenlijke wijziging in organisatie of dienstverlening. Zet de volgende herzieningsdatum in het document zelf, dan is het bij een controle meteen duidelijk of het actueel is.

Hoe lang moet het zijn

drie tot zes pagina's is genoeg. Langer wordt niet gelezen en daarmee waardeloos.

Fouten die er het vaakst in zitten

• Een sjabloon dat over een andere organisatie gaat, herkenbaar aan doelen die niets met uw werk te maken hebben.
• Geen datum en geen vaststeller, waardoor het geen status heeft.
• Zo lang en abstract dat geen medewerker het ooit heeft gelezen.

Een werkbare opzet

Deze indeling werkt in de praktijk en past op vijf pagina's:

1. Waarom dit beleid er is. Twee alinea's over wat uw organisatie levert en welke informatie daarvoor onmisbaar is.
2. Reikwijdte. Welke onderdelen, locaties en systemen vallen eronder, en wat bewust niet.
3. Uitgangspunten. Vijf tot acht regels waar u zich aan houdt, in gewone taal. Bijvoorbeeld: toegang alleen als de functie het vraagt, gegevens versleuteld buiten kantoor, incidenten binnen een uur intern gemeld.
4. Rollen. Wie is eindverantwoordelijk, wie voert uit, wie controleert. Met namen of functies, niet met afdelingen.
5. Naleving. Wat er gebeurt bij overtreding, en dat dit onderdeel is van de arbeidsvoorwaarden.
6. Beheer van dit document. Wie herziet het, hoe vaak, en wanneer de volgende herziening staat.

Vermijd verwijzingen naar normen in de tekst zelf. Een medewerker leest geen beleid dat over ISO-hoofdstukken gaat. Zet de koppeling met de norm in een aparte bijlage of in uw verklaring van toepasselijkheid.

Schrijf het zelf, of laat het niet schrijven

Van alle documenten in een beveiligingsdossier is dit degene die het slechtste resultaat oplevert als u hem koopt. Een gekocht beleid beschrijft een organisatie die de uwe niet is, en dat merkt iedereen die het leest: de auditor, uw medewerkers en uw klanten.

Het schrijven zelf is minder werk dan het lijkt. Beantwoord vier vragen op papier: wat leveren wij, welke informatie hebben we daarvoor nodig, wat gebeurt er als die informatie wegvalt of uitlekt, en wie mag daarover beslissen. Dat is uw beleid, in uw eigen woorden. Een middag werk levert een beter document op dan een sjabloonpakket van tweeduizend euro.

Verhouding tot de Cyberbeveiligingswet

Dit document is de kern van maatregel 1 van de zorgplicht. De wet vraagt niet om een bepaald document, maar om aantoonbare maatregelen. Dit document is de gebruikelijke manier om dat aan te tonen.

Verhouding tot ISO 27001

ISO 27001 eist dit expliciet in hoofdstuk 5. Zonder vastgesteld beleid is certificering niet mogelijk. Zie de ISO 27001-checklist voor het volledige overzicht.

Drie rollen die vaak door één persoon worden ingevuld

Bij het informatiebeveiligingsbeleid lopen opstellen, goedkeuren en onderhouden vaak door elkaar, zeker in een kleinere organisatie. Dat is geen probleem, zolang de rollen zelf wel apart benoemd zijn.

De opsteller is meestal degene die het dagelijks overzicht heeft: een ICT-verantwoordelijke, een office manager of de eigenaar zelf. Die persoon verzamelt de uitgangspunten en zet ze op papier. De goedkeuring hoort daarna bij het bestuur te liggen, ook als het bestuur uit één persoon bestaat. Het verschil is formeel maar wel belangrijk: pas met een handtekening en een datum krijgt het document status, en dat is precies wat een toezichthouder of auditor controleert.

De beheerder is de derde rol en wordt het vaakst vergeten. Dat is degene die bijhoudt wanneer het document voor het laatst is gelezen, wie er wijzigingen in heeft aangebracht en wanneer de volgende herziening op de kalender staat. Zonder die rol ligt het beleid na de eerste vaststelling stil, en dat is precies het patroon dat een auditor er in twee vragen uit haalt.

Verschil met het toegangsbeleid

Een veelgemaakte aanname is dat het informatiebeveiligingsbeleid al beschrijft wie waar bij mag, en dat een apart toegangsbeleid dan overbodig is. Dat klopt niet. Het informatiebeveiligingsbeleid legt het uitgangspunt vast, bijvoorbeeld dat toegang beperkt is tot wat de functie vereist. Het toegangsbeleid werkt dat uit in een procedure: wie vraagt toegang aan, wie keurt goed, hoe wordt hij weer ingetrokken. Zonder die uitwerking is het uitgangspunt een intentie zonder werkwijze.

Veelgestelde vragen

Kan ik hiervoor een sjabloon gebruiken?

Als startpunt voor de structuur wel. De inhoud moet over uw organisatie gaan, anders valt het bij de eerste controle door de mand. Een auditor vraagt een medewerker naar iets wat erin staat; kent niemand het, dan is dat een bevinding.

Is dit document wettelijk verplicht?

De Cyberbeveiligingswet schrijft geen documenten voor, maar wel dat u passende maatregelen neemt en kunt aantonen. In de praktijk is vastleggen de enige manier om dat aan te tonen.

Moet het beleid openbaar zijn?

Nee. Wel moet het bekend zijn bij uw medewerkers. Een samenvatting voor klanten of op uw website is optioneel en kan commercieel handig zijn.

Hoeveel losse beleidsstukken heb ik nodig?

Eén overkoepelend beleid plus enkele specifieke stukken volstaat voor de meeste organisaties. Dertig losse documenten die niemand kent is geen sterker dossier maar een zwakker.

Mag de opsteller van het beleid ook de goedkeurder zijn?

Niet ideaal. Is de organisatie te klein voor een scheiding, laat dan in elk geval iemand anders het concept lezen voordat het wordt vastgesteld.

Wat als niemand het beleid ooit leest na vaststelling?

Dan bestaat het alleen op papier. Plan een vast moment, bijvoorbeeld bij de directiebeoordeling, waarop het beleid expliciet wordt langsgelopen.

Moet elke medewerker het beleid ondertekenen?

Niet verplicht, wel aan te raden bij indiensttreding. Een aantekening dat het is uitgereikt en besproken is meestal voldoende.

Verandert de eigenaar van het beleid als de ICT-manager vertrekt?

Ja, en dat moet u direct vastleggen. Een beleid zonder actuele beheerder is een van de eerste dingen die bij een controle opvalt.