Informatiebeveiligingsbeleid opstellen

Zoek je op dit onderwerp, dan kom je al snel uit bij voorbeelddocumenten van dertig pagina's, geschreven voor organisaties met een ICT-afdeling. Voor een gezinshuis of een kleine zorgaanbieder is dat het verkeerde startpunt. Deze gids laat zien wat er echt in moet, hoe kort het mag zijn, en waar het bij een beoordeling op stukloopt.

Wat het wel en niet is

Een informatiebeveiligingsbeleid is een bestuursdocument, geen technisch stuk. Het zegt waar je voor staat als het om gegevens gaat, wie waarvoor verantwoordelijk is, en hoe je het bijhoudt. Het beschrijft niet hoe lang je wachtwoorden moeten zijn of hoe vaak de back-up draait. Dat soort afspraken verandert, en beleid dat je elke keer opnieuw moet vaststellen wordt vanzelf achterhaald.

De norm vraagt inhoudelijk vier dingen: het beleid past bij wat je organisatie doet, het bevat doelstellingen of het kader om die vast te stellen, je zegt toe te voldoen aan de eisen die op je van toepassing zijn, en je zegt toe het systeem te blijven verbeteren. En qua vorm drie: het is vastgelegd, het is binnen de organisatie gecommuniceerd, en het is beschikbaar voor wie het aangaat.

De negen onderdelen

• Waar dit beleid over gaat. Welke locaties, welke systemen en welke gegevens eronder vallen. Dit is het toepassingsgebied, en het is meteen het antwoord op de eerste vraag die een beoordelaar stelt.
• Waarom je dit doet. Kort: je werkt met gegevens van kwetsbare mensen, en daar hoort zorgvuldigheid bij. Verwijs naar de wettelijke basis die op jou van toepassing is, niet naar een rijtje normen dat indruk moet maken.
• Je uitgangspunten. Drie tot vijf regels waar je op terugvalt als je een keuze moet maken. Bijvoorbeeld: cliëntgegevens verlaten onze systemen niet zonder reden, en iedereen ziet alleen wat hij voor zijn werk nodig heeft.
• Wie waarvoor verantwoordelijk is. In een kleine organisatie is dat kort: de eigenaar is eindverantwoordelijk, medewerkers melden incidenten, en de externe ICT-partij doet het technische beheer. Zet erbij wat je van die partij verwacht.
• Hoe je met risico's omgaat. Dat je jaarlijks de scenario's langsloopt, hoe je bepaalt wat groot genoeg is om iets aan te doen, en wie beslist over risico's die je accepteert.
• Wat je van mensen verwacht. Verwijs naar je gedragsregels in plaats van ze hier over te schrijven. Eén regel volstaat: iedereen die bij ons met gegevens werkt, houdt zich aan die afspraken.
• Wat er gebeurt bij een incident. Waar iemand het meldt en wie beoordeelt of het een datalek is. De uitwerking hoort in je datalekprocedure, hier alleen de lijn.
• Hoe je bijhoudt of het werkt. Wanneer je toetst, wanneer je het beleid opnieuw bekijkt, en dat het meegaat in je directiebeoordeling.
• Vaststelling. Datum, naam, functie, handtekening. Zonder dat is het een notitie en geen beleid.

Over voorbeelden van internet

Er circuleren goede modellen, en als checklist van onderwerpen zijn ze bruikbaar. Als tekst om over te nemen zijn ze dat niet, om twee redenen.

De eerste is juridisch: de meeste modellen staan onder een licentie die commercieel of ongewijzigd hergebruik verbiedt, of vragen naamsvermelding in elk document dat je ermee maakt. De tweede weegt zwaarder. Bij een beoordeling wordt niet getoetst of je beleid er professioneel uitziet, maar of het klopt met hoe jij werkt. Een overgenomen stuk valt daar altijd door de mand, omdat het rollen en processen beschrijft die je niet hebt.

Vijf fouten die je kunt overslaan

• Overgeschreven van een ziekenhuis. Je herkent het aan termen als three lines of defence, een security officer en een informatiebeveiligingscommissie. Bij de beoordeling wordt gevraagd wie die rollen invult. Dan blijkt dat je ze niet hebt, en is het beleid ongeloofwaardig geworden.
• Alles erin willen zetten. Wachtwoordregels, back-upschema's en instellingen van systemen horen niet in het beleid. Die veranderen, en dan zou je elke keer je beleid opnieuw moeten vaststellen. Beleid is het kader; de rest zijn losse afspraken waar je naar verwijst.
• Geen handtekening. De meest voorkomende en de makkelijkst te vermijden. De norm legt de vaststelling expliciet bij de leiding.
• Nooit meer aangeraakt. Een beleid uit 2022 dat verwijst naar een systeem dat je niet meer gebruikt, doet meer kwaad dan goed. Het laat zien dat het papier is.
• Niet gedeeld met het team. De norm vraagt letterlijk dat het beleid binnen de organisatie is gecommuniceerd. Een document in een map dat niemand kent, voldoet daar niet aan. Eén keer bespreken in een teamoverleg en dat vastleggen in de notulen is genoeg.

Wat er na het beleid komt

Het beleid is het kader. Daaronder hangen de stukken die het concreet maken: je gedragsregels, je datalekprocedure, je verwerkingsregister, en de Verklaring van Toepasselijkheid waarin je per maatregel aangeeft of die bij jou geldt. Welke stukken dat precies zijn en waarom, staat in de gids over of NEN 7510 verplicht is.