leidraad voor informatiebeveiligingpublicaties.minienm.nl/download-bijlage/6984/... · minirterie...

IrwaJem UD mya/i uw ~VOISIYIW ......................... I**

Colofon

Uitgave:

Ministerie van Verkeer en Waterstaat Directie Organisatie en Informatie

Vormgeving:

Hiemstra van Geest bNO, Den Haag

Dwk:

De Longte Klomp en Bosman Drukkers, Dordrecht

Redactie en samenstelling:

Coördinatie met betrekking tot de distributie van deze bundel voor informatiebeveiliging en behandeling van eventueel voorgestelde wijzigingen en/of aanvullingen:

Ing. G.J. van den Toorn Directie Organisatie en Informatie telefoon 070 - 3516641 telefax 070 - 3562749

augustus 1997

............................ Minirterie van Verkeer en Watsmtaat infoimat~e en Documeniatie Poribiir 20901 2500 EX Ven Hadg Tel. üJ6.3517086 I Fax. 070.3516430

In deze bundel is opgenomen:

Leidraad voor informatiebeveiliging

Handleiding bewustwording

Overzicht relevante weten regelgeving

Veilig telewerken

VOORWOORD

De betrouwbaarheid van onze informatievoorziening en daarmee de kwaliteit van de taakuitvoering van Verkeer en Waterstaat wordt mede bepaald door de beschikbaarheid, de juistheid (integriteit) en vertrouwelijkheid (exclusiviteit) van de binnen VenW gehanteerde gegevens.

Om die reden acht ik het van groot belang dat die betrouwbaarheid van onze informatievoorziening wordt gewaarborgd door het realiseren van een verantwoord niveau van informatiebeveiliging.

In 1995 is de bundel 'Beleid voor de informatiebeveiliging' verschenen, die vooral ingaat op uw en mijn verantwoordelijkheid als lijnmanager en de wijze waarop ik mij een oordeel vorm over de invulling van de informatiebeveiliging.

De drie bundels die u hierbij ontvangt, vormen een aanvulling op deze eerste bundel, maar hebben meer het karakter van een handreiking bij de inrichting van uw informatiebeveiliging. Naast de 'Leidraad voor informatiebeveiliging' bevatten deze drie bundels ook de tekst van de belangrijkste brochures zoals die door het Advies- en Coördinatiepunt Informatie- Beveiliging (ACIB) zijn uitgegeven.

Ik ga ervan uit dat u mede aan de hand van de vier bundels die nu tot uw beschikking staan, in staat zult zijn het voor Verkeer en Waterstaat noodzakelijke niveau van informatiebeveiliging te realiseren.

DE SECRETARIS-GENERAAL,

Ir. A.B.M. van der Plas,

Leidraad voor informatiebeveiliging

............................ Minirterie van Verkcer en Watemit Infoimatie en Documentihe Postbus 20901 25W EX Oen Haag Tel 070.3517086 i Fax. 070-35164Y)

Delft, 25 februari 1997

Ministerie van Verkeer en Waterstaat DO1 Rijkswaterstaat Meetkundige Dienst, afdeling IBI

LEIDRAAD VOOR INFORMATIEBEVEILIQINQ 1

In houdsopgave

i. Inleiding . . . . . . . . . . . ........................................ ...... 5

2. Aanpak informatiebeveiliging ............................ 6

3. Personeel ...................... ................................. 9

4. Organisatie van de informatiebeveiliging .. .... 11 4.1. Functies voor beheer en gebruik van informatiesystemen .......... 1 i 4.2. Functies voor ontwikkeling van informatiesystemen . . . . . . . . . . . . 12 4.3. Algemene functies 4.4. Taakbeschrijvingen beheer en gebruik ..

4.4.1. Verantwoordelijke ............ 4.4.2. Functioneel Beheerder .... 4.4.3. Gebruiker ......... 4.4.4. Technisch Beheerder. .................... . . 4.4.5. Applicatiebeheerder .......

4.5.2. Applicatiebeheerder ........ 4.5.3. Systeemontwikkeiaar ................................................ 14

4.6.2. Beveiligingscoördinator ....

4.5. Taakbeschrijvingen voor ontwik 4.5.1. Functioneel Beheerder ..,

4.6. Taakbeschrijvingen algemene functies .................................. 15 4.6.1. Netwerkbeheerder

5. Ontwikkeling en beheer van informatiesystemen ........................... 17 5.1. Ontwikkeling van informatiesystemen ..................................... 17 5.2. Beheer van informatiesystemen ....................................... 18

...................................... 18 5.2.2. Beheer van datacommunicatiefaciliteiten ......................... 19 5.2.1. Algemeen beheer .....

6. Logische toegang tot en gebruik van gegevens ..... 6.1. Classificatie van gegevens .............................................. 20 6.2. Gebruik van gegevens . . . .

6.2.1. Aanvullende eisen voor 6.2.2. Logische toegang tot informatiesystemen en gegevens .... 21

6.4. Controle op toegang en gebruik van gegevens . . . . . . . . . . . . . . . 22

.................................... ische transacties ........

6.3. Toepassing wettelijke bepalingen 22

2 LEIDRAAD VOOR INFORMATIEBEVEILIGING

7. Fysieke beveiliging van IT-voorzieningen . . . . . . . . . . . . . . . . . 23 7.1. Maatregelen ter voorkoming van diefstal . . . . . . . . . . . . . . . . . . . . . . . 23 7.2. Werkplekken .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24 0 7.3. Opslag van gegevensdragers . . . . . . . . . . . . . . 24 7.4. Centrale voorzieningen ,.. , .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25

. . . . . . 8. Continu'iteitsplanning . . . . . . . . . 8.1. Calamiteitenplan . . . . . . . . . . . . . . . .

8.2. Uitwijkplan ...................................... ............. 26

9. Omgaan met externen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29

10. Overige communicatie ...................................................... 30

.............................................. 31 11 .I Samenvatting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31 11.2Samenvatting wijzigingen als gevolg nieuwe wetgeving (Wbp) . 35

12. Certificering . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 6

Bijlage 1: Omgaan met staatsgeheimen . . . . . . . . . . . . . . 37

Bijlage 2: Verklarende woordenlijst . . . 41

i i . Privacywetgeving

Bijlage 3: Overzicht van Wet- en Regelgeving .................................

Bijlage 4: Model privacyreglement Verkeer en Waterstaat

48

. . . . . . . . . . . 50

Bijlage 5: Geraadpleegde literatuur . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

O 60

I LEIDRAAD VOOR INFORMATIEBNEIUGING 3

1. inleiding

Deze leidraad bevat aanbevelingen voor het samenstellen van een beveiligingsplan per informatiesysteem of per verantwoordelijkheidsgebied conform het Besluit VIR'94. Met deze aanbevelingen kan een verantwoordelijke voor informatiebeveiliging controleren of hij voldoende maatregelen heeft genomen om de betrouwbaarheid van zijn informatiesysteem te waarborgen.

De in deze leidraad opgenomen aanbevelingen gelden: - voor alle wel- en niet-geautomatiseerde informatiesystemen: - voor alle formele en informele informatiesystemen. Onder formele informatiesystemen worden informatiesystemen verstaan

Informele informatiesystemen zijn door medewerkers voor eigen gebruik zelf ontwikkeld.

N.B.: Waar in deze leidraad gesproken wordt over 'informatiesysteem' kunt u ook 'verantwoordelijkheidsgebied' lezen.

Deze leidraad is gebaseerd op het door de Ministerraad bekrachtigde 'Besluit Voorschrift informatiebeveiliging Rijksdienst 1994' (Besluit VIR'94). Conform de aanwijzingen in het Besluit VIR'94 heeft het Ministerie van Verkeer en Waterstaat in februari 1995 de speciaal op dit ministerie toe- gesneden uitwerking van dit Voorschrift vastgelegd in het 'Beleid voor de informatiebeveiliging'.

De informatiebeveiliging bij Verkeer en Waterstaat dient te voldoen aan het 'Besluit VIR'94' en het 'Beleid voor de informatiebeveiliging'. Daarnaast dient de informatiebeveiliging bij Verkeer en Waterstaat te voldoen aan de algemene weten regelgeving op dit gebied. De aan de aanbevelingen ten grondslag liggende weten regelgeving staat beschreven in bijlage 3. De privacywetgeving is nader toegelicht in hoofdstuk 11.

Deze leidraad is in de eerste plaats bedoeld als checklist voor degenen die te maken hebben met het maken van beveiligingsplannen. Voor het management zijn vooral hoofdstuk 2,3 en 4 van belang.

0 die volgens een gestructureerd traject in de organisatie zijn ingevoerd.


2. Aanpak informatiebeveiliging

2.1

Onderscheid bij het maken van een beveiligingsplan de volgende stappen (zie ook de figuur op de volgende pagina):

I Inventariseer:

Het maken van een beveiligingsplan

- oriënteer u op de uit te voeren beveiliging en baken het 'gebied' af (welke bedrijfsprocessen, welke informatiesystemen enz.).

II Voer de afhankelijkheidsanalyse uit: - voor een informatiesysteem:

- identificeer de bedrijfsprocessen; - bepaal de relatie tussen het informatiesysteem en de verschillende

bedrijfsprocessen; - bepaal de mate waarin het bedrijfsproces afhankelijk is van het

informatiesysteem (bijvoorbeeld onder te verdelen in zeer hoog, hoog, midden, laag);

- voor een verantwoordelijkheidsgebied: - identificeer de informatiesystemen waarmee een binding is: - bepaal de relatie tussen het informatiesysteem en het

- bepaal de mate waarin de informatiesystemen afhankelijk zijn van verantwoordelijkheidsgebied;

het verantwoordelijkheidsgebied;

- formuleer de betrouwbaarheidseisen, dat wil zeggen de eisen voor integriteit, beschikbaarheid en exclusiviteit die het proces stelt aan het informatiesysteem;

- formuleer de betrouwbaarheidseisen, dat wil zeggen de eisen voor integriteit, beschikbaarheid en exclusiviteit die het informatiesysteem stelt aan het verantwoordelijkheidsgebied.

111 Voer de kwetsbaarheidsanalyse uit: - bepaal de kwetsbaarheid aan de hand van:

- de betrouwbaarheidseisen; - de bedreigingen; - de noodzakelijke en voldoende maatregelen:

- stel maatregelen voor en maak een gemotiveerde keuze,


IV Stel een informatiebeveiligingcplan op: - leg de gekozen maatregelen vast in een informatiebeveiligingcplan

f Informatiebeveilieinesbeleid h I en beleidsdoc&&t I

I

O

LEIDRAAD VOOR INFORMRTIEBEVEILIGING 7

2.2 De onderverdeling van maatregelen

De te treffen maatregelen kunnen worden onderverdeeld in preventieve, detectieve, correctieve en repressieve maatregelen.

Preventieve maatregelen Met preventieve maatregelen voorkomt de verantwoordelijke dat er problemen met de informatiebeveiliging ontstaan. Bijvoorbeeld een back- upprocedure, wijzigingsbeheer.

e l

Detectieve maatregelen Met detectieve maatregelen draagt de verantwoordelijke er zorg voor dat tijdens het gebruik van informatiesystemen maatregelen worden getroffen om de goede werking van het informatiesysteem voor wat betrefi informatiebeveiliging te controleren. Bijvoorbeeld een audittrail of integriteits- testen van de database.

Correctieve maatregelen Maatregelen die achteraf de gevolgen van een verstoring van de informatiebeveiliging teniet doen. Bijvoorbeeld een checklist voor herstel van de produktie na een calamiteit, een procedure om gegevens van de vorige dag als uitgangspunt voor verdere vemerking te gebruiken.

Repressieve maatregelen Maatregelen die ervoor zorgen dat het door het informatiesysteem ondersteunde bedrijfsproces geen hinder ondervindt van een gedetecteerd probleem met de informatiebeveiliging. Bijvoorbeeld het blussen van een brand, het afsluiten van een werkstation van het netwerk in geval ven virusdetectie.

*

e


3. Personeel

De verantwoordelijke moet voor alle medewerkers die een functie vervullen in zijnlhaar beveiligingsorganisatie (zie hoofdstuk 4) een aantal basisafspraken maken. Voorts dien! de verantwoordelijke te bepalen in welke mate de functies binnen de organisatie voor informatiebeveiliging (zie hoofdstuk 4) een vertrouwelijk karakter hebben.

Basisafspraken voor alle medewerkers in de organisatie voor informatiebeveiliging Nieuwe medewerkers dient u op de hoogte te stellen van het beveiligingsbeleid. Zij moeten zich formeel binden aan de in dit opzicht gestelde regels.

Maatregelen dienen te zijn genomen om te voorkomen dat medewerkers die te kennen hebben gegeven dat zij het dienstverband met het Ministerie zullen beëindigen, waardevolle informatie kunnen verminken of meenemen.

De gebruikers moet u opleiden voor informatiebeveiliging en voor het gebruik van informatiesystemen. Zij moeten op de hoogte zijn van de organisatie van de informatiebeveiliging (zie hoofdstuk 4) en van hun eigen verantwoordelijkheden.

leder heeft de verantwoordelijkheid om het slecht functioneren of ontbreken van informatiebeveiliging te rapporteren aan de 0 beveiligingscoördlnator.

LEIDRAW VOOR INFOAMATIEBNEILIGING 9

Vertrouwensfuncties Functionarissen die uit hoofde van hun functie toegang hebben tot gerubriceerde gegevens vervullen per definitie een vertrouwensfunctie. Er zijn drie type vertrouwensfuncties:

Vertrouwens- Staatsgeheim NATO WEU functies

A Stg zeer geheim Cosmic TOP Focal Top

- Secret Secret

B Stg geheim NATO secret WEU secret

C Stg NATO WEU Confidentieel Confidential Confidential

In bijlage 1 vindt u een nadere toelichting van deze begrippen en de eisen die op basis hiervan moet stellen aan de beveiliging.

Voor medewerkers die een vertrouwensfunctie bekleden kunt u een veiligheidsonderzoek of een antecedentenonderzoek aanvragen. De DGIHID dient een verzoek voor het uitvoeren van een dergelijk onderzoek in bij de beveiiigingsambtenaar van het ministerie van Verkeer en Waterstaat (werkzaam bij het bureau SG).

Er zijn twee soorten onderzoeken: - een veiligheidsonderzoek (volgens de Wet veiligheidsonderzoeken 1997). De SG dient het verzoek in bij de Binnenlandse Veiligheidsdienst, dan wel bij de Militaire Inlichtingendiensi;

- een antecedentenonderzoek (volgens de Beschikking antecedentenonderzoeken 1994). De SG dient een verzoek voor een antecedentenonderzoek in bij de Justitiële Documentatiedienst.

Het officiële beleid van VenW is om vertrouwensfuncties zoveel mogelijk te beperken. Na de komst van geautomatiseerde informatievoorziening zijn echter functies ontstaan als netwerkbeheerder en technisch beheerder. Beide functies hebben toegang tot nagenoeg alle gegevens in grote informatiesystemen. De verantwoordelijke voor een informatiesysteem moet afwegen of, voor zijn informatiesysteem, de technisch beheerder d o f netwerkbeheerder een vertrouwensfunctie bekleedt.

10 LEIDRAAD VOOR INFORMATIEBEVEILIGINQ

4. Organisatie van de informatiebeveiliging

De aanbevelingen in dit hoofdstuk zijn voor alle informatiesystemen en verantwoordelijkheidsgebieden van toepassing.

4.1.

Het beheer en gebruik van informatiesystemen vraagt: - om het vastleggen van taken, bevoegdheden en verantwoordelijkheden; - om het vastleggen van procedures en eventueel werkinstructies. Samen noemt men dit de administratieve organisatie (AO). Dit hoofdstuk gaat alleen in op de taken, bevoegdheden en verantwoordelijkheden rond een informatiesysteem. U moet alle functies in uw beveiligingsorganisatie schriftelijk vastleggen.

De beheerorganisatie rond een geautomatiseerd informatiesysteem bestaat uit de volgende functies:

Verantwoordelijke; 1 Functionele Eigenaar; - Functioneel Beheerder; - Gebruiker; - Technisch Beheerder; - Applicatiebeheerder. De functie technisch beheerder komt alleen voor bij geautomatiseerde informatiesystemen.

Functies voor beheer en gebruik van informatiesystemen

LEIDRAAD VOOR INFORMATIEBEVEILIGING 11

4.2 Functies voor ontwikkeling van informatiesystemen

Bij VenW zijn informatiesystemen in gebruik waarin regelmatig ontwikkelingen plaatsvinden door eigen medewerkers. Te onderscheiden functies hierbij zijn: - Functioneel Beheerder; - Applicatiebeheerder; - Systeemontwikkelaar; - Opdrachtgever; - Projectleider. Wanneer extern personeel wordt ingeschakeld, zie hoofdstuk 9.

4.3 Algemene functies

Er zijn vanuit zowel gebruik en beheer als vanuit de ontwikkeling van een informatiesysteem relaties met een aantal algemene functies: - Gebouwbeveiliging; - Juridische zaken; - Interne controle; - Accountantsdienst - Informatiemanager, informatiecoördinator; - Netwerkbeheerder; - Beveiligingscoördinator.

4.4 Taakbeschrijvingen beheer en gebruik

4.4.1. Verantwoordelijke De verantwoordelijke heeft zeggenschap over een gegevensverzameling.

De verantwoordelijke heeft tot taak - de gegevens in te delen in categorieën; - de beveiligingsniveau's te specificeren die passen bij het karakter van

de gegevens (kritische, gevoelige of overige gegevens); - de procedures voor het autoriseren van toegang na te leven; - een afhankelijkheidsanalyse, een kwetsbaarheidsanalyse en, afhankelijk

van de conclusies, een daarop gebaseerd beveiligingsplan te laten maken;

- fysieke en procedurele beveiligingen voor het opslaan en overbrengen van gegevens te laten realiseren.


4.4.2. Functioneel Beheerder De functioneel beheerder coflrdineert namens de verantwoordelijke het gebruik van de applicatie en de daarbij behorende gegevensbestanden. Vanuit het oogpunt van functiescheiding mag de functioneel beheerder niet tegelijkertijd ook gebruiker van de applicatie of de gegevens zijn. De functioneel beheerder heeft tot taak - het op schrift vastleggen en bijhouden van de administratieve

organisatie, inclusief het uitvoeren van procedures: - het onderhouden van een relatie met de technisch en netwerkbeheerder

en het verstrekken van opdrachten voor wijzigingen (autorisatie, nieuwe versies, enzovoort):

- het beheren van documentatie: - het begeleiden van de invoer van nieuwe versies.

0 Als voor het informatiesysteem een grote database gebruikt wordt, is het gebruikelijk het beheer van de database onder te brengen in een aparte functie.

4.4.3. Gebruiker De gebruiker is geautoriseerd om een (deel van een) gegevensverzameling te bewerken.

De gebruiker heeft tot taak: - een terugkoppeling te leveren aan de functioneel beheerder over de

gevoeligheid van de door de gebruiker bewerkte gegevens: - de controles uit te voeren, zoals die door de verantwoordelijke zijn gespecificeerd:

- de informatie te gebruiken binnen de grenzen die door de verantwoordelijke zijn bepaald;

- inbreuken op beveiliging te melden.

4.4.4. Technisch Beheerder De technisch beheerder voert in opdracht van de functioneel beheerder een aantal technische beheertaken uit. Vanuit het oogpunt van functiescheiding mag de technisch beheerder niet tegelijkertijd de gebruiker ven de applicatie of de gegevens zijn.

De technisch beheerder heeft tot taak: - het onderhouden van een relatie met de functioneel en

netwerkbeheerder en het uitvoeren van opdrachten voor wijzigingen

- het beheren van configuratiegegevens en het logboek van wijzigingen; - het begeleiden van de invoer van nieuwe versies.

(autorisatie, nieuwe versies, enzovoort);

LEIDRAAD VOOR INFORMATIEBEVEIUGING 13

4.4.5. Applicatiebeheerder De applicatiebeheerder voert in opdracht van de functioneel beheerder een aantal beheertaken uit die direct samenhangen met de werking van het informatiesysteem.

De applicatiebeheerder heeft tot taak: - wijzigingen in het informatiesysteem aan te brengen in opdracht van de

functioneel beheerder; - fouten in het informatiesysteem na melding van de functioneel

beheerder te herstellen; - zowel fouten als wijzigingen technisch en functioneel te testen; - een door hem geteste versie aan te bieden aan de functioneel

beheerder voor een acceptatietest; - een produktieversie gereed te maken; - de documentatie up-to-date te houden.

4.5

In het volgende worden de taken en bevoegdheden beschreven van de functies zoals die voorkomen bij de ontwikkeling van informatiesystemen. Algemeen geldt dat functionarissen met ontwikkelingsbevoegdheden geen vetwerkingsbevoegdheden mogen hebben en omgekeerd.

4.5.1. Functioneel Beheerder Zie paragraaf 4.4.2

4.5.2. Applicatiebeheerder Zie paragraaf 4.4.5

4.5.3. Systeemontwikkelaar De systeemontwikkelaar ontwikkelt informatiesystemen conform de vereiste functionele specificaties.

De systeemontwikkelaar heeft tot taak: - het vastleggen van de functionele eisen voor een informa tiesysteem; - het ontwikkelen van de voor het informatiesysteem benodigde

programmatuur; - het onderhouden van een relatie met de Technisch en

Netwerkbeheerder voor het verkrijgen van de benodigde hardwarematige en infrastructurele componenten.

Taakbeschrijvingen voor ontwikkeling van informatiesystemen

o

o 14 LEIDRAAD VOOR INFORMATIEBEVEILIGING

4.5.4 Opdrachtgever De opdrachtgever geefl opdracht tot het uitvoeren van werkzaamheden

4.5.5. Projectleider De projectleider is verantwoordelijk voor de uitvoering van de door opdrachtgever verstrekte opdracht.

De projectleider heeft tot taak - het rapporteren van de voortgang van het project aan de opdrachtgever.

4.6 Taakbeschrijvingen algemene functies

4.6.1. Netwerkbeheerder De netwerkbeheerder heefl een facilitaire functie. Hij levert het door de verantwoordelijke geëiste service-niveau.

De netwerkbeheerder heefl tot taak: - het zorgdragen voor operationele beveiligingsaspecten van het netwerk; - het adviseren over de aanschaf en het gebruik van netwerkcom

ponenten en -apparatuur in relatie tot de geëiste beveiliging en de behoefte aan datacommunicatie;

- afstemming met de beheerder van VenWnet wanneer hiervan gebruik gemaakt wordt; - het ondersteunen en adviseren van de technisch beheerder over het functioneren van het netwerk; - het bewaken van de samenhang van de toegangsbeveiliging binnen het netwerk en de applicatie.

0

0 4.6.2. Beveiligingscoördinator De beveiligingscoördinator is belast met de invoering van en het toezicht op de beveiligingsvoorzieningen. De Beveiligingscoördinator rapporteert direct aan de verantwoordelijke.

De beveiligingscoördinator heefl tot taak - het ondersteunen van de verantwoordelijke bij het opstellen van een af-

hankelijkheidsanalyse, een kwetsbaarheidsanalyse en een beveiligingsplan; - het toetsen van de naleving van het beveiligingsbeleid en de

beveiligingsplannen; - het adviseren over de uitvoering van beveiligingsmaatregelen;

het uitdragen van het beveiligingsbeleid; I het verzorgen van een rapportage aan het Directie-team over de toepassing van het beveiligingsbeleid;


16

- het registreren en onderzoeken van gevallen waarin het beveiligings- systeem van een informatiesysteem en van de organisatie faalt;

- het onderhouden van externe contacten over beveiliging van informatiesystemen;

- de controle op het sleutelbeheer van de cryptofaciliteiten, waar dit van toepassing is;

- de departementale beveiligingscoördinator is lid van het Overlegplat- form Beveiliging Informatiesystemen;

- contacten met VenW CERT. Daarnaast speelt de Beveiligingscoördinator een adviserende rol bij de ontwikkeling van informatiesystemen.

0

LEIDRAAD VOOR INFORMATIEBEVEILIGING

5. Ontwikkeling en beheer van informatiesystemen

O

Deze aanbevelingen zijn altijd van toepassing. a

5.1 Ontwikkeling van informatiesystemen

Bij de ontwikkeling van een informatiesysteem dient u de beveiligings- functionaris te betrekken en dient u een afhankelijkheidsanalyse en een kwetsbaarheidsanalyse uit te voeren.

Bij de ontwikkeling van informatiesystemen op een speciaal vakgebied (bijvoorbeeld op bestuurlijk-juridisch en financieel gebied) dient u de betreffende diensten/afdelingen (bestuurlijk juridische zaken, accountantsdienst) te betrekken.

Als het nieuw te ontwikkelen informatiesysteem gebruik maakt van een bestaande infrastructuur (bijvoorbeeld als communicatie via een LAN of via VenWnet geiinplementeerd wordt) moet u de beveiiigingseisen van deze infrastructuur integreren in het beveiligingsplan van het nieuwe informatiesysteem. Ook moeten de datacommunicatiebehoeften van het informatiesysteem en de beschikbare netwerkcapaciteit op elkaar afgestemd worden. Voor VenWnet kunt u hietvoor gebruik maken van de checklist 'Datacommunicatieparagraaf' van de Meetkundige Dienst (aldaar opvraagbaar).

De ontwikkeling van informatiesystemen dient gescheiden plaats te vinden van de verwerking, en op een gescheiden computersysteem.

0


De overdracht van programma’s vanuit de ontwikkelings- naar de verwerkingsomgeving dient u formeel vast te leggen.

Functiescheidingen in een gebruikersorganisatie die uit hoofde van de interne controle gewenst zijn, mogen niet door het informatiesysteem worden doorbroken.

5.2. Beheer van informatiesystemen

5.2.1 Algemeen beheer De beheerorganisatie dient schriftelijk te zijn vastgelegd (zie ook hoofdstuk 4).

Voorts zijn er procedures nodig voor: - het onderhouden van de documentatie van het informatiesysteem

(Configuratiebeheer); - de documentatie dient up-to-date te zijn en aan te sluiten op de

actuele versie(s) van de programmatuur. Zij dient een consistent geheel te vormen en toegankelijk te zijn voor degenen die er uit hoofde van hun functie gebruik van moeten maken;

- het bewaken van de probleemafhandeling bij het gebruik (Probleembeheer); - de procedures voor probleemafhandeling hebben een sterke relatie

met de geëiste beschikbaarheid: - het bewaken van de wijzigingen door middel van afnamecriteria en

acceptatietesten (Wijzigingsbeheer); - procedures voor de uitgifte, het beheer, wijziging en inname van

informatiesystemen of onderdelen daarvan (ook sleutels voor cryptografie) dienen te zijn vastgelegd;

- het detecteren en onschadelijk maken van virussen.

voorts: - u mag alleen het gebruik van geaccordeerde programmatuur toestaan,

alle overige programmatuur wordt beschouwd als illegaal en het gebruik daarvan is verboden:

- ingenomen gegevensdragers die opnieuw worden gedistribueerd mogen geen (leesbaar te maken) informatie bevatten:

- u moet de benodigde capaciteit en beschikbaarheid van de IT- infrastructuur regelmatig en tijdig inschatten;

- van alle gegevens die voor het functioneren van de organisatie van belang zijn, dienen periodiek kopieën te worden gemaakt;

- de back-up procedures dient u duidelijk vast te leggen en bij de betrokken medewerkers bekend te maken.


5.2.2. Beheer van datacommunicatiefaciliteife~ De datacommunicatiefaciliteiten dienen voldoende beveiligd te zijn, zowel binnen het gebouw als bij verbindingen tussen gebouwen: e - de coördinatie van de netwerkbeveiliging dient op het niveau van de

dienstleiding plaats te vinden; - indien gebruik wordt gemaakt van een extern netwerk dienen de af-

spraken over de beschikbaarheid van het netwerk en de verdeling van verantwoordelijkheden tussen de externe partij(en) en het departement duidelijk te zijn vastgelegd, tetwijl binnen het departement adequate maatregelen dienen te zijn genomen betreffende de beschikbaarheid van communicatielijnen;

- gerubriceerde informatie mag slechts via een beveiligde verbinding d o f in cryptografische vorm via enig telecommunicatiemiddel worden doorgegeven (zie hiervoor ook bijlage 1);

maatregelen te nemen; - ook het niet-elektronisch transport van gegevensdragers dient

beschermd te zijn tegen misbruik en verlies.

0 - voor benadering via het telefoonnet dient u adequate aanvullende

Indien u gebruik maakt van VenWnet zijn voor bovenstaande punten afdoende oplossingen beschikbaar. De MD kan u informeren over de binnen VenW geldende afspraken hierover.

I LEIDRAAD VOOR INFORMATIEBEVEILIGING 19

e

e

e

I) suanaBa6

UBA ypqa6 ua $01 6ueBao$ ayw!601 '9

6.2 Gebruik van gegevens

In het beveiligingspian voor het informatiesysteem legt u, gebaseerd op de uitkomsten van de afhankelijkheids- en kwetsbaarheidsanalyse, maatregelen vast. Een aantal van de maatregelen heeft betrekking op de toegang tot gegevens.

6.2.1 Aanvullende eisen voor kritische transacties Voor transacties en mutaties die plaats vinden op gerubriceerde en vitale gegevens (kritische transacties genoemd) dient u aan aanvullende eisen te voldoen: - de informatiesystemen dienen voldoende mogelijkheden te bieden om

door middel van gebruikerscontroles de juistheid en de volledigheid van kritische transacties te kunnen vaststellen. De verantwoordelijke dient dit stelsel van gebruikerscontroles te controleren:

- personen die toegang wensen tot kritische transacties dienen eenduidig te worden geidentificeerd;

- personen die geautoriseerd zijn om kritische transacties in te voeren, dient u persoonlijk verantwoordelijk te stellen voor de transacties die met gebruik van zijn/haar gebruikersidentificatie worden ingevoerd;

- in geval van gedistribueerde opslag dient u de consistentie van de gegevens te waarborgen;

- gerubriceerde gegevens dient u In crypto-vorm te versturen (cryptografie, zle ook bijlage i):

- vitale gegevens dient u over het telefoonnet in cryptovorm te transporteren: - het werkstation waaivandaan kritische transacties uitgevoerd worden dient traceerbaar te zijn.

6.2.2 Logische toegang tot informatiesystemen en gegevens Er dienen procedures te zijn ten behoeve van het verlenen van toegangsrechten tot informatiesystemen aan gebruikers. Toegang tot informatlesystemen moet gecontroleerd plaatsvinden: - toegang tot informatiesystemen dient te geschieden via een veilige

inlog procedure: - toegang tot informatiecystemen mag u pas verlenen na identifcatie en

verificatie van de gebruiker; - wanneer als gevolg van het falen van het informatiesysteem of door

andere onvoorziene omstandigheden systeemontwikkelaars toegang moeten hebben tot programma’s voor lopende bedrijfsactiviteiten, moet di! uitdrukkelijk door de verantwoordelijke worden geautoriseerd. Deze toegang moet worden geregistreerd:


- de toegang mag niet verder gaan dan het informatieniveau dat in verband met de functie is toegestaan:

- de functiescheiding binnen de automatiseringsorganisatie tussen ontwikkelings- en verwerkingspersoneel dient binnen de logische toegangsbeveiliging in het informatiesysteem gehandhaafd te blijven;

- in speciale gevallen dienen inactieve verbindingen tussen gebruiker en informatiesysteem na zekere tijd verbroken te worden;

- toegang tot handleidingen en overige documentatie dient beschermd te zijn.

6.3 Toepassing wettelijke bepalingen

Twee wetten zijn direct van toepassing op de informatiebeveiiiging: - de Wet computercriminaliteit (WCC); - de Wet persoonsregistraties (Wpr).

Voor toepassing van de Wpr zie hoofdstuk 11, voor alle wettelijke regelingen zie bijlage 3.

6.4

Waar nodig moet u gegevens zo bewaken, dat u de toegang tot en gebruik ven die informatiesystemen en gegevens kunt controleren: - activiteiten op een informatiesysteem moet u kunnen traceren zodanig

dat de gebruiker geïdentificeerd kan worden (audit traii); - ongeautoriseerde toegang dient u op te sporen: - pogingen tot illegale toegang moeten worden gesignaleerd; - bij het constateren van onrechtmatig gebruik dient u maatregelen te

nemen.

Controle op toegang en gebruik van gegevens

O


7. Fysieke beveiliging van IT-voorzieningen

* De aanbevelingen 1, 2 en 3 gelden altijd. Aanbeveling 4 is van toepassing als er centrale voorzieningen aanwezig zijn.

De getroffen fysieke voorzieningen dient u periodiek te testen. Hiertoe stelt u een testplan op. De resultaten van de tests legt u vast in een testrapport.

7.1

De volgende maatregelen op het gebied van fysieke beveiliging kunt u overwegen: - toegangsregelingen voor personeel en bezoekers; - AO-procedures voor het uit het gebouw voeren van apparatuur en

programmatuur; - opbergen van apparatuur en gegevens in afsluitbare kasten; - afscherming van elektromagnetische straling ter voorkoming van

spionage van buitenaf (in zeer speciale gevallen).

Maatregelen ter voorkoming van diefstal


7.2 Werkplekken

Onder ‘werkplekken’ wordt hier verstaan: alle apparatuur en programmatuur die geen deel uitmaakt van het netwerk, gerekend vanaf de netwerkaansluiting in de muur. Bijvoorbeeld: - PC’s en andere werkstations zoals CAD-stations in de kamers van

eindgebruikers; - draagbare PC’s; - uitvoerapparatuur, zoals printers en plotters; - apparatuur die extern is opgesteld voor telewerken; - bekabeling.

Voor deze voorzieningen kunt u de volgende maatregelen treffen: - apparatuur moet u zo opstellen of beschermen dat het risico op fysieke

inbreuk en schade zo klein mogelijk is; - werkstations moeten bij vertrek worden uitgeschakeld - zo mogelijk moet u gebruik (iaten) maken van screensavers; - niet gebruikte netwerkaansluitingen mogen niet zijn geactiveerd. Indien op werkplekken exclusieve gegevens aanwezig zijn, dient u deze met behulp van extra maatregelen te beveiligen (zie ook hoofdstuk 6 en li).

7.3 Opslag van gegevensdragers

Onder gegevensdragers worden ondermeer verstaan: - papier: - diskettes, winchesters en harde schijven; - tapes, banden en cassettes; - optische schijven; - WORM’S; - flash geheugens; - CD-ROM’S.

Voor deze voorzieningen kunt u de volgende maatregelen treffen: - gegevensdragers dienen bij de opslag beschermd te zijn tegen

ondermeer diefstal, warmte, vocht, magnetisme en statische elektriciteit;

- floppy’s en dergelijke mogen niet in onbeheerde stations worden achtergelaten;

- vertrouwelijke informatie mag niet onbeheerd op vrij toegankelijke printers liggen. U moet ofwel extra persoonlijke printers aanschaffen, of

24 LEIDRAAD WOR INFORMATIEBEVEILIGING

O

O

een toegangssysteem dat de prints pas laat afdrukken wanneer de eigenaar op de printer zelf hiertoe opdracht ge i t (hietvoor zijn hulpmiddelen te koop);

gecontroleerd te worden. 0 - gegevensdragers die archiveringsgegevens bevatten, dienen periodiek

7.4 Centrale voorzieningen en datacommunicatiefaciliteiten

Tot centrale voorzieningen worden ondermeer gerekend: - (fi1e)servers: - host-systemen: - centrale back-up-faciiiteiten;

(nood)stroomvoorzieningen; 0 1 koelaggregaten: - netwerkapparatuur zoals concentrators, routers, bridges,

datacommunicatieapparatuur, modems, clustercontrollers, apparatuur voor toegangscontroles en gateways:

- telefooncentrales.

Voor deze voorzieningen kunt u de volgende maatregelen treffen: - bewaking van de temperatuur conform de specificaties van de

apparatuur; - warmte- en rookdetectoren: - een rookverbod: - een verbod om te eten en te drinken in de ruimten met computer-

apparatuur: - brandalarm en brandblusapparatuur: - afspraken met de plaatselijke brandweer;

opslag van brandbare stoffen op een veilige afstand van computer-

- controle op interferentie via de elektriciteitsvoorziening: - bescherming tegen stroomuitval; - installatie ter voorkoming van schade door blikseminslag: - reseivekopieën op veilige afstand bewaren (om te voorkomen dat ze

beschadigd raken als zich een calamiteit voordoet op de hoofdlocatie); - het stellen van aanbevelingen voor aanleg van bekabelingen en

leidingen: - het voorkomen van afklemming of beschadiging van netwerksnoeren; - het bijhouden van bouw- en configuratietekeningen over de loop van

- bekabelingssystemen voor zowel telecommunicatie als elektriciteitsvoorziening dient u te beschermen tegen beschadiging en afluisteren:


e - voorzieningen:

leidingen en bekabeling;

- de ruimtes waarin deze voorzieningen staan opgestsld zijn alleen toegankelijk voor geautoriseerde medewerkers;

- telefoonaansluiting aanwezig voor het melden van problemen en contacten met leveranciers:

- afzonderliike ruimtes voor de levering van goederen; - toegang tot diagnose-poorten moet gecontroleerd worden (via

diagnosepoorten is het netwerk toegankelijk); - de noodprocedures dienen up-to-date te zijn en regelmatig te worden

getest.

e

a

e 26 LEIDRAAD VOOR INFORMATIEBEVEILIGING

- 'onmisbare' informatiesystemen mogen geen gebruik maken van apparatuur die niet meer verkrijgbaar is;

- het calamiteitenplan moet aangeven: - wie verantwoordelijk is voor het in werking stellen van

- welke alternatieve (hu1p)middelen vereist zijn; - welke procedures worden gehanteerd;

- het calamiteiten- en uitwijkplan dient u op elkaar af te stemmen en regelmatig te actualiseren.

Er moeten regelmatig oefeningen worden gehouden.

noodmaatregelen;

8.2 Uitwijkplan

Via een afhankelijkheids- en kwetsbaarheidsanalyse besluit u tot het maken o van een uitwijkplan voor een bedrijfsproces d o f een informatiesysteem. Het uitwijkplan is onderdeel van het calamiteitenplan: - Voor de vastgestelde bedrijfsprocessen of informatiesystemen moet u

een uitwijkplan opstellen zodat deze bedrijfsprocessen of informatiesystemen binnen een vastgestelde periode weer normaal kunnen functioneren.

- Het uitwijkplan geeft onder meer aan: - naar welke locatie(s) kan worden uitgeweken; - welke apparatuur daar beschikbaar is; - welke gegevensbestanden daar aanwezig zijn; - welk personeel aanwezig is; - welke procedures dienen te worden gehanteerd; - welke documentatie waar aanwezig dient te zijn.

28 LEIDRAAD VOOR INFORMATIEBEVEILIGINQ

verzamelde gegevensbestanden, mits deze systematisch toegankelijk zijn. Voor de goede orde: de Wpr zondert een aantal persoonsregistraties van de werking van de wet uit. Het betreft registraties voor persoonlijk of huiselijk gebruik, voor pers, radio of tv, schriftelijke pubiikaties (boeken ad), registraties in openbare archieven, bij de wet ingestelde openbare registers, registraties t.b.v. inlichtingen- en veiligheidsdiensten en politieregisters.

Normen De Wpr stelt een aantal normen waaraan alle persoonsregistraties moeten voldoen. Deze hebben betrekking op het doel, de opslag en het gebruik van persoonsgegevens en het verstrekken van gegevens aan derden. Aan de doelomschrijving van de registratie wordt getoetst of opslag en gebruik wel toelaatbaar zijn. De belangrijkste normen zijn de volgende. - een persoonsregistratie moet een bepaald doel hebben, dat niet in strijd

is met de wet, de openbare orde of de goede zeden; - de gegevens moeten rechtmatig zijn verkregen en in overeenstemming

zijn met het doel van de registratie; - er geldt een zorgplicht voor de juistheid en de volledigheid van de

gegevens; - de opgenomen persoonsgegevens mag u slechts gebruiken voor

doeleinden die verenigbaar zijn met doel van de registratie.

O

Daarnaast gelden voor persoonsregistraties die in de publieke sector worden aangelegd als extra eis: - de persoonsregistratie dient noodzakelijk te zijn voor een goede

vervulling van de taak van de registratiehouder.

O Verplichtingen veranîwoordelijke De Wpr kent voor de verantwoordelijke (in de Wpr de 'houder' genoemd) van een persoonsregistratie: - een reglements- of een meldingsplicht; - een mededelingsplicht; - een beveiligingsplicht.

Het bestaan en de werking van persoonsregistraties dient u kenbaar te maken. Voor de (semi-) overheid geldt, dat dit moet gebeuren door middel van een reglement, dat moet worden vastgesteld volgens de regels van de wet (regiementsplicht). De particuliere sector kan volstaan met het invullen van een formulier van aanmelding (meldingsplicht). O


De regiemenkplicht geldt niet voor een aantal typen registraties met een min of meer standaard karakter. Deze zijn vrijgesteld van de reglementsverplichting ingevolge het op de Wpr gebaseerde Besluit genormeerde

geformuleerde - eisen). Dit zijn ondermeer: - personeelsadministraties; - salarisadministraties; - administraties betreffende personen aan wie een vergunning, ontheffing

of machtiging is verleend; - administraties die aan een meldingsplicht hebben voldaan. Deze vrijstellingsregeling, die alleen op de reglementsverplichting betrekking heeft en alle overige bepalingen van de Wpr dus onverlet laat, kan ook binnen VenW worden benut. Hetzij doordat reeds aan de gestelde eisen wordt voldaan, hetzij door de betrokken registraties dusdanig op te schonen dat alsnog aan de eisen wordt voldaan.

Binnen VenW is, door Directie Juridische Zaken (DJZ) in samenspraak met de diensten en na overleg met de Registratiekamer (het orgaan dat is belast met het toezicht op de naleving van de Wpr) een model-privacyreglement met korte bijbehorende toelichting ontwikkeld. (Zie bijlage 4). Deze stukken zijn, na vaststelling door de Departementsraad, door de SG en ook door DJZ in ruime mate verspreid onder de diensten, die verantwoordelijk zijn voor het voldoen aan de reglementsplicht.

De mededeiingsplicht van de houder houdt in, dat hij een ieder over wie voor de eerste keer persoonsgegevens in een registratie worden opgenomen schriftelijk moet mededelen dat dit het geval is. Dit is niet nodig wanneer de betrokkene weet of redelijkerwijze kan vermoeden dat gegevens over hem zijn opgenomen, of wanneer de houder een gewichtig belang heeft geen mededeling te doen. De houder van een persoonsregistratie heeft tenslotte een beveiilgingspiicht. Hij is verantwoordelijk voor de beveiliging van de registratie tegen verlies of aantasting van de gegevens, en tegen onbevoegde kennisneming, wijziging of verstrekking daatvan. De Wpr verplicht de houder daartoe de nodige voorzieningen van technische en organisatorische aard te treffen.

Rechten van de geregistreerde Op grond van de Wpr heeít de geregistreerde de volgende rechten: - recht op kennisneming van gegevens omtrent hemzelf; - recht op verbetering;

recht op kennisneming van derdenverstrekkingen; 1 recht op schadevergoeding; - beroep op de rechter.

vrijstelling (mits is voldaan aan bepaalde - vooraf in het Besluit

e

0


Recht op kennisneming Wanneer een burger verzoekt of er gegevens over hem zijn opgenomen, en zo ja welke, dient de houder - in beginsel schriftelijk, binnen een maand na het verzoek - te antwoorden met een volledig overzicht van de gegevens en met inlichtingen over de herkomst daarvan. De houder mag de gegevens niet zomaar verstrekken: hij moet zich vergewissen van de identiteit van de aanvrager om te voorkomen dat iemand het recht op kennisneming gebruikt om gegevens op te vragen over een ander. Weigering van een verzoek om kennisneming is slechts in enkele, in artikel 30 van de Wpr omschreven, gevallen mogelijk.

Recht op verbetering Na kennisneming van de gegevens kan de geregistreerde verzoeken deze te verbeteren, aan te vullen of te verwijderen als ze feitelijk onjuist zijn, voor het doei van de registratie onvolledig of niet ter zake dienend, dan wel als zij in strijd met een wettelijk voorschrift in de registratie voorkomen. De houder draagt er zorg voor, dat een beslissing tot verbetering, aanvulling of verwijdering zo spoedig mogelijk wordt uitgevoerd. De houder is overigens verplicht de aangebrachte correcties te melden aan degenen aan wie hij naar zijn weten eerder de betrokken gegevens over de geregistreerde heeft verstrekt.

Verstrekking van gegevens aan derden De geregistreerde heeft recht op kennisneming van de personen of instanties aan wie gegevens over hem in het jaar voorafgaande aan het verzoek zijn verstrekt. De houder moet, tegen de achtergrond van dit recht van de geregistreerde, van incidentele gegevensverstrekkingen aantekening maken in een zogenaamd protocol. De structurele verstrekkingen worden vermeld in het privacyreglement.

De hoofdregel is, dat verstrekking slechts is toegestaan voor zover dit voortvloeit uit: - het doel van de registratie; - wordt vereist ingevolge een wettelijk voorschrift; - gebeurt met schriftelijke toestemming van de geregistreerde; - ten behoeve van wetenschappelijk onderzoek en statistiek Alles tenzij daardoor de persoonlijke levenssfeer van de geregistreerde onevenredig zou worden geschaad.

Voor het verstrekken van persoonsgegevens tussen overheidsinstanties onderling geldt nog een aanvullende mogelijkheid. Uit door de overheid gehouden persoonsregistraties kunnen desgevraagd gegevens worden

34 LEIDRAAD VOOR INFORMATIEBEVEILIBING

verstrekt aan personen of instanties met een publiekrechtelijke taak, voor zover zij die gegevens behoeven voor de uitvoering van hun taak en de persoonlijke levenssfeer van de geregistreerden daardoor niet onevenredig

Verstrekking blijft achterwege indien een geheimhoudingsverplichting geldt. 8 wordt geschaad.

11.2 Samenvatting wijzigingen als gevolg nieuwe wetgeving (Wbp)

Uiterlijk 24 oktober 1998 zal de nieuwe Wet bescherming persoonsgegevens (Wbp) in werking treden. De Wbp zal de huidige Wpr vervangen, Op dit moment verkeert de Wbp in de ontwerpfase. In de Wbp wordt de Europese richtlijn geïmplementeerd (nr 95/46/EG. Pb EG 1995, L 281/31). Deze betreft de bescherming van natuurlijke personen in verband met de 0 verwerking van persoonsgegevens en het vrije verkeer van die gegevens.

De normen van de Wbp en de huidige Wpr vertonen veel gelijkenis, de verschillen zijn ondermeer: - anders dan de in de Wpr is in de Wbp niet zozeer de

'persoonsregistratie' maar het ruimere begrip, de 'verwerking van persoonsgegevens' het uitgangspunt:

- de reglementsplicht voor de publieke sector verdwijnt. In plaats daarvan dienen onder de Wpb geautomatiseerde verwerkingen van persoonsgegevens in zowel de publieke als de private sector te worden aangemeld bij de Registratiekamer. Uitgezonderd van de meldingsplicht zijn de openbare registers die bij de wet zijn ingesteld. Bepaalde vormen van verwerkingen kunnen in aanmerking komen voor een vrijstelling van de meldingsplicht. Hiertoe zal een op de Wbp gebaseerd Vrijsteilingsbesluit worden vastgesteld: het regime inzake gevoelige gegevens wordt enigszins aangescherpt. 8 - De Europese richtlijn stelt namelijk als algemene eis dat deverwerking van gevoelige gegevens slechts is toegestaan voor zover noodzakelijk ten behoeve van een zwaarwegend algemeen belang.

In de Wpb zullen ten opzichte van de huidige Wpr nieuw zijn: - de bevoegdheid van de Registratiekamer tot toepassing van

bestuursdwang ter handhaving van de normen die bij of krachtens de Wbp zijn vastgesteld; ook kan de Registratiekamer de voor een verwerking verantwoordelijke die in strijd handelt met bepaalde voorschriften van de Wbp, een bestuurlijke boete opleggen.

- de voorschriften voor gegevensverkeer met landen buiten de Europese Unie.


12. Certificering

e DOEL: Het verkrijgen van een ISO-certificaat voor de informatie-

beveiiing.

AANBEVELINQEN: 1. Combineer deze certificering met een beveiligingscertlficering. 2. Gebruik de Code voor Infomatiebeveiliging.

Het is mogelijk en in sommige gevallen wenselijk de informatiebeveiliging niet alleen vast te leggen in een informatiebeveiiigingsplan, maar ook een ISO-certificering aan te vragen. Voordeel van een ISO-certificaat is dat met een zekere frequentie het functioneren van de informatiebeveiiiging gecontroleerd wordt.

Certificeren moet altijd geschieden op basis van het Besluit VIR'94. Deze leidraad kan een checklist zijn voor het beschrijven van de A 0 en het bepalen van de maatregelen. De certificering vindt meestal plaats op basis van de Code of Practlce BS 77 99. Een vertaling hiervan is de Code voor informatiebeveiiiging van het Nederlands Normaiisatie-instituut, versie 1 van november 1994.

36 LEIDRARD VOOR INFORMATIEBEVEILIGING

Bijlage 1: Omgaan met staatsgeheimen

Een staatsgeheim is een gegeven waarvan de geheimhouding door het belang van de Staat of zijn bondgenoten wordt gevorderd. in het algemeen kan worden gezegd dat het gegevens betreit waarvan kennisneming door onbevoegden in meer of mindere mate schade aan de staatsveiligheid of andere gewichtige belangen van de Staat of van zijn bondgenoten kan veroorzaken. In grote lijnen kunnen hierbij de volgende gebieden worden onderscheiden: 1. Staatsgeheimen (Stg confidentieel, Stg geheim, en Stg zeer geheim). 2. Gegevens van onmiddellijk en wezenlijk belang voor ‘s lands defensie. 3. Gegevens afkomstig van inlichtingen- en veiligheidsdiensten. 4. Gegevens welke volgens verdrag of andere internationale overeenkomst

aan Nederland beschikbaar zijn gesteld, onder meer onder voorwaarde dat siechts toegang tot dergelijk gegevens wordt verleend aan personen, tegen wie blijkens het resultaat van een ingesteld veiiigheids- onderzoek geen veiiigheidsbezwaren bestaan.

5. Gegevens noodzakelijk voor het bepalen van het beleid ten aanzien van ernstige bedreigingen van de openbare orde.

6. Gegevens dienende voor de besluitvorming ten aanzien van internationale staatkundige verhoudingen.

7. Gegevens ten behoeve van intergouvernementele samenwerking op natuurwetenschappelijk gebied.

8. Gegevens noodzakelijk voor het bepalen van het algemeen beleid ten aanzien van de civiele verdediging.

9. Gegevens met betrekking tot vreemdelingen- en grensbewakingszaken. 1O.Gegevens betreffende belangrijke maatregelen welke de regering

voornemens is te treffen op financieel of economisch gebied, waarvan door (voortijdige) kennisneming door onbevoegden ernstige schade zou

11 .Gegevens inzake de aanwijzing van vitale onderdelen van het ministerie 12.Gegevens inzake de aanwijzing van voor dit ministerie vitale bedrijven.

In beide gevallen is er sprake van ‘vitaal onderdeel of bedrijf‘ wanneer in buitengewone omstandigheden het uitvallen ervan het functioneren van het overheidsapparaat of van het maatschappelijk ieven op onaanvaardbare wijze kan verhinderen.

onderraden en ministeriële commissies.

e kunnen ontstaan.

13.De notulen alsmede de volledige besluiteniijst van de ministerraad,

0 Deze criteria zijn door de Commissie Hetwaardering Vertrouwensfuncties in 1980 vastgesteld, op voordracht van de Commissie Veiligheidsonderzoek Vertrouwensfuncties Rijkswaterstaat.

LEIDRAAD VOOR INFORMATIEûEVEILIGINQ 37

Zodra van een document wordt vastgesteld dat het een staatsgeheim is, wordt dit bevestigd door er een rubricering aan toe te kennen. Er bestaan drie gradaties, die bepalend zijn voor de mate van beveiliging die aan document wordt toegekend - Stg. confidentieel; - Stg. geheim; - Stg. zeer geheim. Het is strikt noodzakelijk om het voorvoegsel Stg. te gebruiken, aangezien bij het ontbreken ervan de rubricering niet rechtsgeldig is.

De opsteller van het betrokken document is degene die verantwoordelijk is voor het toekennen van de (c0ncept)rubriceringsgraad. De (nog te benoemen) rubriceringsambtenaar van het ministerie of van de dienst is degene die de uiteindelijke rubricering vaststelt. Bovendien moet worden aangegeven tot welke datum de rubricering geldt. In het verlengde van voornoemd beveiligingsplan zullen voor VenW rubriceringslijsten worden opgesteld: lijsten waarin categorieën van gegevens zijn opgenomen die als staatsgeheim kunnen worden beschouwd.

De beveiliging van gerubriceerde gegevens is geregeld in de Aanwijzingen voor de beveiliging van staatsgeheimen en vitale "onderdelen bij de Rijksdienst 1989". Een vitaal onderdeel is een onderdeel van de rijksdienst, waarvan de minister in overleg met de minister van Binnenlandse Zaken heeft bepaald dat dit van vitaal belang Is voor de defensie of voor het in stand houden van het maatschappelijk leven. Bij het Ministerie van Defensie en bij de Krijgsmachtdelen worden de begrippen "rubriceren" en "rubricering" aangeduid met respectievelijk "classificeren" en "classificatie". Met betrekking tot het kennisnemen van gegevens van internationale organisaties kunnen de volgende classificaties gelden: - NATO Cosmic Top Secret; - NATOSecret; - NATO Confidential; - NATO restricted. De eerste drie van deze classificaties kunnen gevolgd worden door de toevoeging ATOMAL in het geval dat er sprake is van gegevens over kernwapens en kernenergie. Het begrip "NATO Unclassified" wordt gebruikt voor alle niet-geclassificeerde gegevens. De beveiliging van deze geclassificeerde gegevens is geregeld in de "C- M (55) 15 (Final), Security within the North Atlantic Treaty Organization".

o

o 38 LEIDRAAD VOOR INFORMATIEBEVEILIGING

WEU-classificaties: - Focal Top Secret; - WEU Secret;

WEU Confidential. De beveiliging van deze geclassificeerde gegevens is geregeld in de SEC(û0)I Security Procedures within WEU.

Functionarissen die uit hoofde van hun functie kennis kunnen nemen van staatsgeheimen dlenen onderworpen te worden aan een veiligheidsonderzoek. Basis hiervoor is de Wet veiligheidsonderzoeken 1997. De intensiteit van zo'n veiligheidsonderzoek is afhankelijk van de mate van rubricering of classificatie van de gegevens waarin betrokkene inzage heeft. Door de minister wordt op voordracht van de beveiligingsambtenaar (EVA) een lijst van functies vastgesteld, waarvoor dit van toepassing is. De Beveiligingsambtenaar van dit ministerie is geplaatst bij Bureau Secretaris- Generaal.

In toenemende mate wordt bij de informatievoorziening binnen de overheid in nationaal en internationaal verband gebruik gemaakt van systemen die gerubriceerde informatie bevatten. Hierdoor neemt de afhankelijkheid van deze systemen bij de uitvoering van overheidstaken toe. De grote betekenis van datacommunicatie in de verwerking van gerubriceerde gegevens is door de regering onderkend en als volgt geformuleerd: "Zonder goede telematicavoorzieningen kan aan geen van de hoofddoei- stellingen binnen genoemd beleidsterrein, gestalte worden gegeven".

Indien zeer geheim gerubriceerde gegevens moeten worden verwerkt, dient tijdens de uitvoering van die opdracht de daarbij gebruikte apparatuur in principe uitsluitend voor de betreffende verwerking te worden toegewezen. 0 Daarbij dienen de eindstations, die niet mogen worden ingeschakeld bij de verwerking van zeer geheime gegevens of die geen toegang mogen hebben tot deze gegevens, automatisch te worden uitgeschakeld vanuit het centrale computersysteem.

Indien het in de praktijk bij de verwerking van deze gegevens zeer bezwaarlijk is de apparatuur exclusief voor die opdracht toe te wijzen, mogen tegelijkertijd andere gegevens met een lagere rubricering worden verwerkt indien voldaan is aan alle volgende voorwaarden: - de andere gegevens in nauwe relatie staan tot de zeer geheim

gerubriceerde gegevens, en de kans op inbreuk op het "need to know"- beginsel aanvaardbaar wordt geacht;

- alle ingeschakelde eindstations en de te gebruiken verbindingen zijn

LEIDRAAD M O R INFORMATIEBEVEILIGING 39

e

6

goedgekeurd voor inschakeling bij de geautomatiseerde verwerking van zeer geheim gerubriceerde gegevens;

- v66r gebruik of verdere distributie van alle uitvoer-gegevens nauwkeurig wordt gecontroleerd of de aangebrachte rubricering correct is vermeld. Deze controlehandeiing is nodig om ervan verzekerd te zijn dat er gedurende de geautomatiseerde verwerking geen ongewenste vermenging van zeer geheim en lager gerubriceerde gegevens heeft plaatsgevonden.

Staatsgeheimen of andere gerubriceerde informatie mag niet via een telecommunicatiemiddel worden doorgegeven, tenzij gebruik wordt gemaakt van een beveiligde verbinding en/of een vercijfersysteem die door de Nationale Verbindingsbeveiligingsraad (NVBR) zijn goedgekeurd voor het doorgeven van deze gerubriceerde informatie. Dit geldt voor zowel telefoon- als computer- en faxverbindingen. In het bijzonder dient uiterst voorzichtig te worden omgegaan met draadloze telefoons. Deze zijn, zonder uitzondering, in principe af te luisteren. In de NVBR wordt het Ministerie van Verkeer en Waterstaat vertegenwoordigd door de Hoofddirectie Telecommunicatie en Post (HDTP).

De hard- en software waarmee gerubriceerde informatie wordt verwerkt en opgeslagen dient aan speciale normen en eisen te voldoen. Dit beleidsterrein is ten aanzien van het Ministerie van Verkeer en Waterstaat ondergebracht bij de HDTF?

De Secretaris-Generaal is belast met de algemene zorg voor de beveiliging. De beveiligingsambtenaar is belast met de dagelijks zorg voor de beveiliging. Binnen het kader van de gerubriceerde gegevens oefent de beveiligingsambtenaar toezicht uit op de deugdelijkheid van de beveiliging. In de regelgeving hieromtrent is vastgelegd dat elke ambtenaar verplicht is de beveiligingsambtenaar onverwijld mededeling te doen van een inbreuk op de beveiliging die het naar behoren functioneren van een vitaal onderdeel redelijkerwijs kan schaden.

Voor de bovengenoemde beleidsterreinen kunnen de beveiligingsambtenaar en de Beleidsafdeling Veiligheid (HDTP) zo nodig van advies dienen.

40 LEIDWAD VOOR INFORMATIEBEVEILIGINQ

Bijlage 2: Verklarende woordenlijst

Kwaliteit en beveiliging van informatiesystemen O Kwaliteitseisen zijn:

betrouwbaar duurzaam (flexibel, onderhoudbaar, aanpasbaar); gebruiksvriendelijk (bedieningsgemak, inzichtelijk, overdraagbaar); integreerbaar (passend in organisatie, standaardisatie)

Beveiliging betreft betrouwbaarheid van het produkt en het bedrijfsproces: 0 I beschikbaarheid

integriteit exclusiviteit I

Applicatiebeheerder zie hoofdstuk 4

Accountantsdienst zie hoofdstuk 4

Accountability De eis van accountability binnen een geautomatiseerd informatiesysteem, houdt in dat functionaris verantwoordelijk gesteld moet kunnen worden voor de door hem binnen het informatiesysteem gepleegde acties. Het informatiesysteem moet dus voldoende mogelijkheden bieden de acties van iedere functionaris individueel te volgen.

Afhankeiijkheidsanaiyse het vaststellen in hoeverre bestuurs- of bedrijfsprocessen die door informatiesystemen ondersteund worden, afhankelijk zijn van de betrouwbaarheid van het informatiesysteem, het vaststellen welke potentiële schades kunnen optreden als gevolg van het falen van deze informatiesystemen.

Architectuur De architectuur van een computer is het bouwplan van de machine. Deze is leveranciergebonden. Verschillen in architectuur maken het moeilijk computers samen te laten werken, bijvoorbeeld op het punt van beveiliging.

LEIDRAAD VOOR INFORMATEBEVEIUGING 41

Audit-trail Spoor in een geautomatiseerd informatiesysteem waarmee vastgesteld kan worden welke acties binnen het informatiesysteem hebben plaatsgevonden en door wie deze acties zijn uitgevoerd.

Authenticatie Het vaststellen van de integriteit van afzender enlof inhoud van een bericht.

Back-up en recovery Een back-up van een bestand is een kopie van dit bestand, die wordt bewaard ingeval het oorspronke liike bestand beschadigd raakt of verloren gaat. Onder recovery wordt het geheel van acties verstaan dat plaats moet vinden om een informatiesysteem waarop de verwerking op niet correcte wijze is beëindigd, weer in de lucht te brengen.

Beschikbaarheid de mate waarin een informatiesysteem in bedrijf is op het moment dat de organisatie het nodig heeft.

Beveiligingscoördina tor zie hoofdstuk 4

Calamiteitenparagraaf opsomming van alle maatregelen welke tot uitvoering moeten komen indien zich een situatie voordoet waarbij de beschikbaarheid, integriteit enlof exclusiviteit van een informatiesysteem in beduidende mate niet aan de eisen voldoet.

Concentrator Indien meerdere eindgebruikerstations samen de beschikking hebben over een enkele verbinding met een netwerk draagt een concentrator zorg voor de organisatie van het berichtenverkeer over deze lijn.

Controleerbaarheid De mate waarin onterechte wijzigingen, al dan niet frauduleus, binnen het informatiesysteem kunnen worden getraceerd.

Cryptografie De vercijfering van klare tekst tot onleesbare tekst.

Datasharing Er is sprake van datasharing als meerdere functionarissen dezelfde gegevens gebruiken.


Downloading Het overbrengen van een bestand vanaf een hoofdsysteem naar een PC.

0 EDP-audit De beoordeling van informatiesystemen en de hiermee samenhangende organisatie op betrouwbaarheid en continuïteit. Sinds enige tijd wordt de beoordeling van efficiency en effectiviteit ook onder dit begrip gebracht.

End-to-end crypt0 Methode om de integriteit van datatransmissie te waarborgen. Voor een crypto-boodschap de lijn overgaat, wordt deze door speciaal hiervoor bestemde hard- of software vercijferd. Na transmissie wordt de boodschap voor deze de gebruiker bereikt, ontcijferd.

O Exclusiviteit De mate waarin de toegang tot en de kennisname van een informatiesysteem en de informatie daarin is beperkt tot een gedefinieerde groep van gerechtigden.

File server Een schijfgeheugeneenheid met een grote capaciteit of een computer die door elke computer in het netwerk benaderd kan worden om toegang te verkrijgen tot bestanden die door de verbonden computers gezamenlijk kunnen worden gebruikt, De toegang tot een bestand wordt gewoonlijk bestuurd door de programmatuur van de file-seiver in plaats van door het besturingssysteem van de computer die toegang zoekt tot het bestand.

Functioneel Beheerder zie hoofdstuk 4

Functionele Eigenaar zie hoofdstuk 4

Gebouwbeveiliging zie hoofdstuk 4

Gebruiker zie hoofdstuk 4

Gevoeligheid De mate waarin belangen worden geschaad door onrechtmatige handelingen met de informatie. 0


Host systemen Een computer binnen een netwerk die gebruikt wordt voor de verwerking van gegevens ten behoeve van andere punten op het netwerk.

Informatie Feiten en opvattingen, op een zodanige wijze geselecteerd en bewerkt door een mens of een machine, dat de verschijningsvorm geschikt is om een boodschap over te brengen.

Informatiebeheer Het gebruiken en exploiteren van een informatiesysteem, inclusief het uitoefenen van gebruiksbevoegdheden met betrekking tot de informatie (zie ook systeembeheer).

Informatiebeveiliging Het treffen en onderhouden van een samenhangend pakket van maatregelen ter waarborging van de beschikbaarheid, integriteit en exclusiviteit van een iniormatiesysteem en daarmee van de informatie daarin.

Informatiebeveiligingspian Opsomming van alle beveiligingsmaatregelen en/of de vindplaatsen daarvan welke voor een informatiesysteem of een verantwoordeliikheids- gebied van kracht zijn

Informatiecoördinator zie hoofdstuk 4

Intormatiemanager zie hoofdstuk 4

Informatiesysteem Een geheel van gegevensverzamelingen, personen, procedures, programmatuur en opslag-, verwerkings-, vetwerkings- en communicatie- apparatuur.

Informatievoorriening Het geheel van activiteiten dat nodig is om een organisatie-eenheid te voorzien van de informatie die nodig is om de toegewezen taken te vervullen. Integriteit De mate waarin een informatiesysteem zonder fouten is.

e

e 44 LEIDRAAD VOOR INFOAMATIEBEVEILILIINQ

Kwaliteit De mate waarin het geheel van eigenschappen van een informatiesysteem voldoet aan de uit het gebruiksdoel voortvloeiende eisen.

Kwetsbaarheidsanalyse Het vaststellen van de invloed van het manifest worden van bedreigingen op het functioneren van een informatiesysteem of van een verantwoordelijkheidsgebied.

LAN Local area network. Een netwerk dat zich slechts binnen een beperkt gebied, bijvoorbeeld een afdeling of een bedrijf, uitstrekt.

O

Logging Het vastleggen van gebeurtenissen die hebben plaatsgevonden op een geautomatiseerd informatiesysteem. Uit oogpunt van beveiliging wordt logging gebruikt om bijvoorbeeld na te gaan of ongeautoriseerde toegang tot het informatiesysteem heeft plaatsgevonden.

Messageauthenticiteit Het vaststellen van de integriteit van een ontvangen boodschap. Hierbij wordt enerzijds de integriteit van de herkomst van het bericht vastgesteld en anderzijds de integriteit van de inhoud van het bericht.

Need-to-know basis Kennisname van gegevens kan plaatsvinden op een nice-to-know basis of op een need-to-know basis. In het tweede geval wordt alleen toegang gegeven tot gegevens, wanneer dit noodzakelijk Is voor de functie-uitoefening van de betrokken 0 functionaris.

Netwerkbeheerder zie hoofdstuk 4

Opdrachtgever zie hoofdstuk 4

Object bibliotheek Programma-bibliotheek ten behoeve van de van source en executable code gescheiden opslag van object code. Het apart opslaan van deze code vormt een onderdeel van de procedures ten behoeve van beheersbare overdracht van software.


Object code Fase tussen voor mensen leesbare source code en een door een computer uitvoerbaar programma.

Operating Functie binnen een rekencentrum. Operating zorgt voor het uitvoerende werk (zoals het klaarzetten van programma's en bestanden) ten behoeve van de produktie.

Projectleider zie hoofdstuk 4

Responsietijd Het tijdsverloop tussen het geven van een opdracht en de beëindiging daarvan. Deze tijd wordt bepaald door de wachttijd en door de sneiheid waarmee de opdracht wordt uitgevoerd.

Service level measurement Systeem ten behoeve van het meten van de beschikbaarheid van een netwerk voor zijn eindgebruikers.

Source code Voor mensen leesbare tekst in een hogere program meertaal. Deze tekst moet enkele vertaalslagen doormaken om er machine-leesbare, uitvoerbare code van te maken.

Systeembeheer Het tot stand brengen, verwerven, in stand houden en uitbreiden van een informatiesysteem, inclusief het opstellen en onderhouden van de procedures voor het informatiebeheer.

Systeemexploitatie De zorg voor het functioneren van een deel van een informatiesysteem,

Systeemontwikkelaar zie hoofdstuk 4

Systeemverwerving De zorg voor het ontwikkelen, kopen, huren e.d. en het uitvoeren van aanpassingen aan (delen van) een informatiesysteem zoals procedures, programmatuur en/of apparatuur.

e 46 LEIDRAAD VOOR INFORMATIEBEVEILIGINQ

Technisch Beheerder zie hoofdstuk 4

Telematica Alle soorten telecommunicatie, met uitzondering van telegrafie en telefonie.

Toegankelijkheid Het gemak waarmee toegang tot de informatie kan worden verkregen binnen de grenzen van de geldende bevoegdheden.

Tijdigheid De mate waarin wordt voldaan aan de gestelde tijdseisen op het gebied van de informatievoorziening.

Up-time De tijd gedurende welke een netwerk in de lucht is.

Utilities Aan systeemprogrammatuur toegevoegde software om specifieke werkzaamheden te vereenvoudigen. Een voorbeeld hiervan vormen ontwikkelutilities.

Verantwoordelijke zie hoofdstuk 4

Verantwoordelijkheidsgebied Een geheel van voorzieningen dat ter beschikking staat aan een of meerdere informatiesystemen en waarvoor de verantwoordelijkheid eenduidig is toe te wijzen aan één organisatorische eenheid.

De kate waarin de informatievoorziening beschermd is tegen ongeautoriseerde kennisname, wijziging of vernietiging.

Vercijferde opslag Het vastleggen van gegevens op een versluierde manier. Dit heeft ten doel ongeautoriseerde kennisname van gegevens te voorkomen.


Bijlage 3: Overzicht van Wet- en Regelgeving

Wet

Grondwet

Beveiiingsvoorschrift-i 1949

Aanwijzingen voor de beveiliging van staatsgeheimen en de vitale onderdelen bij de Rijksoverheid 1989

Wet Bescherming Staatsgeheimen 1951

Wet Computercriminaliteit 1993

Voorschrift informatiebeveiliging Rijksdienst (besluit ViR'94)

Wet persoons-registraties (1989)

Verbindingsbeveiligingsvoor- schrift VEV 41000 (1982)

Leidraad rubricering 1891

Security within NATO Document C-M 55 (15) finai

Toelichting

Bevat voorschriften voor de organisatie van de beveiliging blj de departementen van Algemeen Bestuur

Bevat instructies ter beveiliging van de staatsgeheimen en vitale objecten bij d< Rljksoverheid

Regeit voorzieningen met betrekking tot de bescherming van staatsgeheimen.

Beoogt bescherming te bieden tegen ongewenste inbreuken op geautomatiseerde informatievoorziening.

Bevat voorschriften voor het gebruik van computers en datacommunicatie bij do Rijksoverheid.

Regels ter bescherming van de persoonlijke levenssfeer in verband met persoons registraties; bevat onder andere de verplichting tot beveiliging.

Bevat instructies inzake het fysieke aspec van de beveiliging van verbindingen als ei sprake is van staatsgeheimen.

~

Bevat richtlijnen met betrekking tot de opstelling van rubriceringslijsten en de aanwijzing van rubriceringsambtenaren.

Bevat instructies voor de bewaring van di beveiliging van NATO-gegevens bij de NATO-lidstaten.

O

O

O

e LEIDRPAO VOOR INFORMATIEBEVEILIGINO

O

O

O

Wet Toelichting

W.E.U. Security RegulBtions c (90) 53

Beschikking Antecedenten- onderzoeken 1994 onderzoeken

Bevat instructies voor de bewaring van W.E.U-gegevens bij de W.E.U.-lidstaten

Regelt het instellen van antecedenten

Regelt het instellen van veiligheids- I onderzoeken Wet Veiligheidheids- onderzoeken 1997

De beveiliging van Ministeries en Bewindspersonen 1993

Bevat richtlijnen met betrekking tot de beveiligingc van ministeries en bewindspersonen

Geheimhoudingsbesluit Kernenergiewet 1971

ABDO Algemeen beveiiigingseisen Defensie. opdrachten

Aanwijzing inzake Ministerraad- notulen met ministerraadstukken.

Ambtenarenwet

Richtlijnen met betrekking tot het omgaar

Algemeen Rijksambtenaren reglement

ARBO-wet

Auteurswet Richt zich op originele geschriften I

Octrooiwet Regeling om originele ideeën, handelinge I en methoden te beschermen.

Te verwachten nieuwe regelingen: NATO Document C-M (55) 15 FINAL (herziening)

- Nieuwe Wet bescherming persoonsgegevens (Wbp) 0 : W.E.U. Security Regulations c (90) 53 (herziening)

LEIDRAAD VOOR INFORMATIEBEVEI LIGING 49

Bijlage 4: Model privacyreglement Verkeer en Waterstaat

O Deze bijlage bestaat uit: - het model privacyregiement; - noten bij het privacyreglement; - een toelichting bij de toepassing van het privacyreglement

Het model privacyreglement

MINISTERIE VAN VERKEER EN WATERSTAAT Directie Juridische Zaken

MçEu

Reglement houdende beschrijving van de werking van de degistratie (...) (citeertitel)

DE MINISTER VAN VERKEER EN WATERSTAAT/.. . Geiet op artikel 19 van de Wet persoonsregistraties (Stb. 1988, 665);

BESLUIT:

Artikel i. In dit reglement' wordt verstaan onder: a. wet : Wet persoonsregistraties (Stb. 1988, 665); b. houder : Minister van Verkeer en Waterstaat/...;* c. degistratie : . . .; d. geregistreerde : natuurlijke persoon ten aanzien van wie gegevens zijn

e. (be~erker)~ : ... opgenomen in de ... registratie;

Artikel 2. Dit reglement is van toepassing op de ... registratie.

50 LEIDRAAD VOOR INFORMATIEBNEIL1QlNG

Artikel 3. Het doel van de degistratie' is het systematisch vastleggen, opslaan en ter beschikking stellen van gegevens ten behoeve van: 0 a. ..: b. ...

~

c. ...

Artikel 4. De ... registratie bevat uitsluitend gegevens over de volgende categorieën van personen: a. ... b. ...

Artikel 6. 1. De ... registratie bevat over de in artikel 4, onder a, bedoelde personen

uitsluitend de volgende soorten van gegevens:O a. ... b. ... uitsluitend de volgende soorten van gegevens: a. ... b. ...

2. De ... registratie bevat over de in artikel 4, onder b, bedoelde personen

Artikel 6. De in het ... register opgenomen gegevens worden verkregen van: a. ... voorzover het betrefl ... icoorten van aeaevensY b. ... idem c. ... Idem

Artikel 7. 1. De houder van de ... registratie verwijdert de persoonsgegevens uit de

degistratie uiterlijk ... (gefixeerde periode te koppelen hetzij aan de opname van de gegevens, hetzij aan een bepaald voorval), tenzij - ... (eventuele uitzonderingen).

2. Indien ... (uitzondering eerste lid), worden de gegevens bewaard ten hoogste ... (termijn).

3. Indien ... (uitzondering eerste lid), worden de gegevens niet uit de ... registratie verwijderd. e


Artikel 8. Gegevens uit de ... registratie kunnen binnen de organisatie van de houder uitsluitend worden verstrekt aan: a. ... (diensthoofdlhoofd van een uitvoerende dienst); b. personen die zijn belast met of leiding geven aan het invoeren, wijzigen

en verwijderen van gegevens; c. personen die zijn belast met op leiding geven aan ... (de zaak).

Artikel 9. 1. Gegevens uit de ... registratie kunnen buiten de organisatie van de

houder desgevraagd worden verstrekt aan: a. ... (de bewerker) b. de geregistreerde voor zover het betreft ... (soorten van gegevens); c. derden die schriftelijk toestemming van de geregistreerde hebben

verkregen voor zover het betreft ... (soorten van gegevens): d. derden indien zulks voortvloeit uit een wettelijk voorschrift$ voor

zover het betreft ... (soorten van gegevens). 2. Van het verstrekken van gegevens aan derden houdt de houder een

protocol waarin staat vermeld aan wie, op welk tijdstip welke gegevens zijn verstrekt.

verstrekking van gegevens rechtstreeks uit het reglement kan worden afgeleid.

4. De houder verwijdert ten minste jaarlijks de aantekening uit het protocol betreffende de verstrekkingen die meer dan een jaar daarvoor hebben plaatsgevonden.

~

3. De in het tweede lid neergelegde verplichting geldt niet voor zover

Artikel 10. 1. De ... registratie is uitsluitend toegankelijk op de volgende persoons-

gegevens: a. ... b. ... c. ..I

2. Rechtstreekse toegang tot de degistratie hebben’: a. ... (diensthoofdihoofd van een uitvoerende dienst) voor zover het

betreft ... (soorten persoonsgegevens); b. personen die zijn belast met of leiding geven aan het invoeren,

wijzigen en verwijderen van gegevens (waaronder begrepen de bewerker);

c. personen die zijn belast met of leiding geven aan ... (de zaak) voor zover het betreft ... (soorten persoonsgegevens);

52 LEIDRAAD VOOA INFORMATIEBEVEILIGING

O

O

d. personen die daartoe krachtens wettelijk voorschrift5 zijn gerechtigd voor zover het betreft ... (soorten persoonsgegevens).

Artikel li. O Uit de ... registratie worden persoonsgegevens verstrekt aan de volgende persoonsregistraties: a. ... (persoonsregistratie en houder noemen) b. ...

Artikel 12. 1. Verzoeken om inzage als bedoeld in artikel 29 van de wet en verzoeken

om mededeling van verstrekking van gegevens aan derden als bedoeld in artikel 32 van de wet, worden gericht aan de houder en ingediend bij

2. De houder kan van de verzoeker verlangen dat deze in persoon verschijnt voor een door hem aangewezen persoon en zich legitimeert.

3. Desgewenst wordt aan de verzoeker een afschrift van de betrokken gegevens verstrekt."

...

Artikel 13. Verzoeken om correctie als bedoeld in artikel 31 van de wet worden schriftelijk gericht aan de houder en ingediend bij ... onder vermelding van de gewenste correctie.

Artikel 14. De houder van de ... registratie ziet er op toe dat ten aanzien van de technische en organisatorische beveiliging de maatregelen in acht worden genomen die zijn beschreven in het 'Beleid voor de informatiebeveiliging'."

Artikel 15. Dit reglement treedt in werking met ingang van de tweede dag na de dagtekening van de Staatscourant waarin mededeling wordt gedaan van de terinzagelegging van dit reglement, en werkt terug tot en met 1 juli 1990.

53

Artikel 16. Dit reglement kan worden aangehaald als .. Dit reglement zal voor een ieder ter inzage worden gelegd ...la en in afschrift worden gezonden aan de Registratiekamer. Van deze terinzagelegging alsmede van de aanmelding bij de Registratiekamer zal mededeling worden gedaan in de Staatscourant.

DE MINISTER VAN VERKEER EN WATERSTAAT/ ....

(namens deze:”)

54 LEIDRARD VOOR INFORMATIEBEVEILIGING

De noten bij het privacyreglement

i. In de wet zelf worden reeds andere relevante begrippen als "persoons gegeven", "persoonsregistratie", "verstrekken van gegevens uit een persoonsregistratie" en "verstrekken van gegevens aan een derde" gedefinieerd.

2. Zie de toelichting bij de toepassing van het model-privacyreglement onder punt 1.

3. De wet reserveert het begrip bewerker voor een service-bureau of een rekencentrum, dat voor de persoonsregistratie van een ander apparatuur ter beschikking stelt of met betrekking tot die registratie diensten verleent. Zo treedt het RCC als bewerker op ten behoeve van de salarisadmini- stratie van Verkeer en Waterstaat. Ook op andere terreinen kunnen externe instanties als bewerker van een persoonsregistratie optreden. Is dit het geval, dan dient deze bewerker in artikel 1 uitdrukkelijk te worden benoemd.

0

4. Zie de toelichting bij de toepassing van het model-privacyregiement onder punt li.

5. Indien in het reglement wordt gerefereerd aan wettelijke voorschriften, dienen deze gespecificeerd te worden vermeld.

6. Indien specificatie leidt tot ais te omvangrijke artikeionderdelen, kan men één en ander uitwerken in een bijlage. In dat geval komt artikel 5 te luiden: De ... registratie bevat ten aanzien van de onderscheiden in artikel 4 bedoelde categorieën van personen uitsluitend de in bijlage .. opgesomde soorten van gegevens.

7. De rechtstreekse toegang tot een persoonsregistratie moet worden beschouwd als een bepaalde vorm van gegevensverstrekking uit een dergelijke registratie. Hieruit vloeit voort dat de kring van personen of instanties voor wie een dergelijke rechtstreekse toegang openstaat nimmer andere categorieën kan bevatten dan die genoemd in de artikelen 8 en 9.

8. Desgewenst kan een kostenregeling worden opgenomen (zie artikel 36 van de Wet persoonsregistraties juncto het uitvoeringsbesluit van 5 juli

In de parlementaire stukken wordt uitgegaan van aansluiting aan de kostenregeling van de Wet openbaarheid van bestuur.

1989, Stb. 1989,281).


9. In de formulering wordt gerefereerd aan het Beleid voor de informatiebeveiliging dat begin 1995 door de Bestuursraad is vastgesteld. Dit beleid is gebaseerd op het "Besluit Voorschrift Informatiebeveiliging Rijksdienst 1994".

10.Voorgeschreven is terinzagelegging op het adres waar de houder van de registratie gevestigd is en op alle overige plaatsen waar de houder gewoonlijk het contact met de geregistreerden onderhoudt of doet onderhouden.

11.Zie de toelichting bij de toepassing van het model-privacyreglement onder punt 111.

56 LEIDRAAD VOOR INFORMATIEBEVEILIQINQ

De toelichting bij de toepassing van het privecyreglement

NB in deze toelichting wordt de term ‘Houder’ toegepast conform de betekenis zoals de Wpr aan deze functie geeft. 0 1.

Artikel 1 van de Wpr omschrijft het begrip ‘Houder’ als degene die zeggenschap heefl over een persoonsregistratie. De wet stelt geen nadere eisen aan de voor het houderschap kenmerkende zeggenschap over een persoonsregistratie.

In de praktijk worden persoonsregistraties veelal aangelegd ten behoeve van een wettelijk opgedragen bestuurstaak. Uit de parlementaire geschiedenis blijkt dat in dergelijke gevallen als houder dient te worden aangewezen degene aan wie voor de vervulling van die taak uitdrukkelijke bevoegdheden zijn toegekend. Op rijksniveau gaat het dus in de eerste plaats om een minister voor wat betreft zijn ministerie, met inbegrip van de daaronder ressorterende diensten, instellingen en bedrijven. Daarnaast betreft het functionarissen of organen, waaraan de wetgever bestuurs- bevoegdheden heefl geattribueerd of waaraan krachtens de wet bevoegdheden zijn gedelegeerd.

Met deze aanpak blijven zeggenschap over de registratie en de bevoegdheid ten dienste waarvan deze is aangelegd in één hand. De concrete uitoefening van beide kan via de gebruikelijke mandaatsverhoudingen verlopen. Zo zal op verzoek om inzage of correctie (zie artikelen 12 en 13) niet steeds door de minister zelf behoeven te worden beslist.

Naast de vorenbesproken categorie van persoonsregistraties die verband houden met wettelijke bestuurstaken is bij de overheid sprake van registraties die naar hun aard een zelfstandig karakter hebben. Het betreft hier doorgaans interne registraties, die zich veelal bevinden in de sfeer van de feitelijke uitvoering of ondersteunende dienstverlening. Ter wille van een doelmatig gebruik van deze registraties dient ook hier het houderschap te worden gelegd bij de minister. Immers, de uitwisseling van de gegevens binnen het ministerie valt zodoende onder het regime van ‘interne gegevensverstrekking’, waaraan de wet minder vergaande eisen stelt. Aldus is binnen het ministerie een adequate gegevensuitwisseling optimaal gewaarborgd. Vanzelfsprekend kunnen de activiteiten die verband houden met de uitoefening van het houderschap op basis van de geldende mandaatregelingen worden afgewikkeld.


Wie is aan te merken als de ‘houder’ van de registratie

0

Conclusie: In beginsel dient ter zake van de binnen Verkeer en Waterstaat aanwezige reglementsplichtige persoonsregistraties de minister te worden aangewezen als houder. Dit beginsel lijdt slechts uitzondering in geval van attributie of delegatie van bevoegdheden.

ll. Waf is het doel van de registratie

Artikel 4, eerste lid, Wpr dwingt de houder tot specificatie van de doelstelling. Ingevolge artikel 18 Wpr mag bij de overheid slechts een persoonsregistratie worden aangelegd indien dit noodzakelijk is voor een goede taakvervuiling van de houder. De formulering van de doelstelling is cruciaal, omdat de wet het doel van de registratie aanmerkt als toetsings- criterium bij de beantwoording van de vraag over wie welke gegevens mogen worden opgenomen, en of het gebruik van de persoonsregistratie en de verstrekkingen aan derden toelaatbaar zijn. De begrippen doel, opslag en gebruik worden wel de ‘ijzeren driehoek’ genoemd, waarbij het accent ligt op het doel. Een effectieve bescherming van de persoonlijke levenssfeer vereist het trekken van nauwkeurige grenzen bij de doelomschrijving. (Als rechtmatige gronden voor het aanleggen van persoonsregistraties zijn bijvoorbeeld aan te merken de uitvoering van nauwkeurig aan te geven wettelijke taken, de opsporing van strafbare feiten en het uitvoeren van exact te omschrijven beieids- en beheerstaken). Gestreefd dient te worden naar een stringente formulering. In de praktijk wordt een persoonsregistratie veelal aangelegd ten dienste van bepaalde rechtsverhouding tussen de houder en de geregistreerde. Bij dergelijke registraties ligt het voor de hand bij de doelomschrijving aan te sluiten op hetgeen uit de onderliggend relatie voortvloeit. Dit in overeenstemming met de persoonlijke levenssfeer, omdat de gegevens die de geregistreerde van zijn kant beschikbaar stelt, ook zijn verstrekt in het kader van die onder- liggende relatie. In de praktijk zijn er ook registraties waaraan niet een duidelijke registratie met de geregistreerden ten grondslag ligt. Te denken valt aan registraties ten behoeve van wetenschappelijk onderzoek of statistiek.

lll.

In de Wpr is niet bepaald door welk orgaan het privacyreglement moet worden vastgesteld. In de toelichting op artikel 19 wordt opgemerkt dat bij de overheid op dit punt zal kunnen worden aangesloten bij de bestaande verdeling van bevoegdheden. Het ligt in de rede dat het reglement vastgesteld wordt door de houder van de betrokken persoonsregistratie. Voor de beantwoording van de vraag wie

58 LEIDRAAD MOR INFORMATIEBEVEILIGINQ

Wie stelt het privacyreglement vast

als houder dient te worden aangemerkt zij volstaan met een verwijzing naar hetgeen hier onder I is opgemerkt. Voor de goede orde nog h d volgende. Indien de minister de houder is van de registratie, behoeít deze toch niet steeds het reglement zelf vast te stellen. Gelet op de mandaatregeling voor Verkeer en Waterstaat kan voor die registraties die niet van zodanige betekenis zijn dat het reglement door de minister zelf moet worden ondertekend, het reglement in mandaat worden afgedaan. Ondertekening in mandaat is in dergelijke gevallen alleen toegestaan aan de Secretaris-Generaal en de plaatsvervangend Secretaris- Generaal en aan het hoofd van de betrokken dienst en diens plaatsvervanger.

o LEIDRAAD VOOR INFORMATIEBEVEILIGING 59

Bijlage 5: Geraadpleegde literatuur

Beleid en statuut voor de beveiliging van Geautomatiseerde Informatiesystemen (1 989)

A Code of Practice, Engiish depatiment for Enterprise

Code voor Informatiebeveiliging, november 1994

Information Technology Security Evaiuation Criteria (ITSEC)

Besluit Voorschrift Informatiebeveiliging Rijksdienst 1994

Beleid voor de informatiebeveiliging (Verkeer en Waterstaat februari 1995)

Informatiebeveiliging Rijksdienst 1995 (uitgave van ACIB)

e

e 60 LEIDRAAD VOOR INFORMATIEBEVEILIGING

Handleiding bewustwording

Identificatieblad

Afdeling : ACIB Advies- en Coördinatiepunt Informatiebeveiliging

Docurnentnaam: Handleiding Bewustwording

Versie : 0.0

Status : voorlopig ontwerp *)

Opgesteld door: drs H.C. de Visch Eijbergen met behulp van IMPACT

Goedgekeurd : mr J.J. Moelker MPA, hoofd ACIB

Uitgiftedatum :

Referentie : ACIB.Hdl-bew

Archief : ACIB secretariaat

*) ACIB brengt deze brochure uit als voorlopig ontwerp. Op basis van ervaringen met het opzetten van bewustwording op het gebied van informatiebeveiliging zal de brochure worden bijgesteld en aangepast.

a

a

a

Voorwoord

In januari 1995 is het raamwei door de beveiliging van ir rmatie binnen de- Rijksoverheid, het Voorschrift Informatiebevhliging Rijksdienst WIR), in werking getreden. De ministeries zijn momenteel volop bezig om informatiebeveiliging inhoud te geven. Een belangrijk onderdeel van het informatiebeveiiigingsbeieid is de wijze waarop het beveiligingsbewustzijn wordt bevorderd.

Informatiebeveiiiging gaat ons aiien aan. Alle medewerkers en medewerksters binnen de Rijksoverheid, van hoog tot laag, hebben in meerdere en mindere mate te maken met informatie waarbij wordt verwacht dat die met de grootst mogelijke zorg en vertrouwelijkheid wordt behandeld. Daar staat tegenover dat informatiebeveiliging over het algemeen wordt gezien als een technisch probleem. En dat is maar zeer ten deie waar. Het gaat bij informatiebeveiliging om een scala van maatregelen, te onderscheiden in personele, organisatorische en technische maatregelen. Het gaat bovenal om de wijze waarop met informatie wordt omgegaan. Zo strekt informatiebeveiliging zich niet slechts uit tot de eiextronische informatie, maar ook de papieren informatie. Wat derhalve essentieel is, is dat medewerkers binnen de Rijksoverheid zich bewust zijn van het belang van informatie en de beveiliging daarvan en dat zij daar ook naar handelen. Zolang wij er evenwel niet in slagen om de mensen die met informatie en informatiesystemen werken duidelijk te maken dat het gegevens betreft die iedereen raken, zal informatiebeveiliging in de sfeer van technische oplossingen blijven. En dat is natuurlijk niet de bedoeling.

De mens bepaalt in hoeverre informatie ook daadwerkelijk betrouwbaar en vertrouwelijk blijft. Zelfs de meest geavanceerde beveiligingssystemen helpen niet wanneer de mens achter het het systeem zich niet of onvoldoende bewust is van het belang van informatiebeveiliging. Het is daarom van het grootste belang dat wij allen bewust zijn van ons gedrag in deze. En dat het handelen daarmee ook samenhangt. Dat betekent een wijziging van de attitude.

Gedragsverandering vereist bewustwording en inzicht. Ook als het gaat om informatiebeveiliging. Dat inzicht kan worden verkregen door over het onderwerp te communiceren en mensen te wilzen op hun rol daarin. Bij het op gang brengen en houden van dit proces kan deze handleiding goede diensten bewljzen. De schrijvers wensen u daarom veel succes bij het ontwikkelen van uw communicatie.

Inhoudsopgave

Hoofdstuk 1 Inleiding

....................... 6 ......................... 7

1.3 Communicatieproces . . . . . . . . . . . . . . . . . . . . . . . . 8 1.4 Reiatie met het Voorschrift ..................... 9 1.5 Professionele hulp ............................................ . 9

Hoofdstuk 2 Informatiebaveiliging en Communicatie

2.1 Inleiding e .............................................................................. 10 2.2 Informatiebeveiligingsproces ......................................... 10 2.3 Communicatie.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12 2.4 Het AiDA-model ......................................................... 15

Hoofdstuk 3 De voorbereidingsfase

............................................. . . . . . . 18

................................................................... 18 ustwording ................................................ 21

3.4 Communicatieplan ................................................................. 22 3.5 Checklist .... ............................................

Hoofdstuk 4 De planningsfase

4.1 inleiding .......................................................... 4.2 Tactiek ..................... 4.3 Communicatiemiddelen. . . . . . . . . . . . . 4.4 Timing. ............................................................. 4.5 Budget . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4.6 Checklist . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

e

e

Hoofdstuk 5 Middelenimplementatie

5.1 Inleiding ....................................................................... 47 5.2 Checklist productie bmchure . . . . . . . . . . . . . . . . . . . . . . . . 48 5.3 Checklist organisatie bijeenkomst ..................................... 51 5.4 Checklist audiovisuele productie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53 5.5 Checklist keuze communicatie-adviesbureau . . . . . . . . . . . . . . . . . 55

Hoofdstuk 6 Evaluatiemomenten

6.1 Inleiding .................. . . . . . . 6.2 Test- en evaluatiemo . . . . . . . . . . . . . . . . . . . 6.3 De O-meting ............................................ 6.4 Pretests ............................................ 6.5 Evaluatie-onderzoek . . . .

6.6 i-Meting . . . . . . . . . . . . . 6.7 Onderzoek in de praktijk 6.8 Uitbesteden van onderzo 6.9 Timing en budget . . . 6.1OConclusie ............. 6.1 1 Checklist . . . . . . . . . .

.................... 58 . . . . . . . . . . . . . . . . . . . 58

.................... 58

. . . . . . . . . . . . . . . 59 ...................... 59 . . . . . . . . . . . . . . . . . 61 . . . . . . . . . . . . . . . . . . . 61 .................... 64

. . . . . . . . . . . . . . . . 64

. . . . . . . . . . . . . . . . . . . 64 . . . . . . . . . . . . . 66

Hoofdstuk 7 Begrippenlijst ................................................ 67

Literatuurverwijzing ................................................. 71

1. Inleiding

1.1 Inleiding

Deze handleiding is bedoeld voor personen die binnen de verschillende overheidsorganisaties belast zijn met het implementeren van informatiebeveiliging.

De overheid streeft in het kader van het kwaliteitsdenken naar een zorgvuldige omgang met informatie door haar medewerkers en medewerksters. Deze handleiding is ontwikkeld om u te helpen het bewustwordings- en gedragsveranderingsproces met betrekking tot informatiebeveiliging binnen uw organisatie door middel van communicatie een extra stimulans te geven. Het helpt u een solide en effectieve communicatie te ontwikkelen. Daarbij wordt ervan uitgegaan dat het initiëren en opzetten van communicatie niet uw dagelijks werk is. leder hoofdstuk geeft u daarom informatie over elke fase die in zo'n proces kan worden onderscheiden. Zonder overigens kant-en-klare oplossingen aan te dragen. Oplossingen moeten op basis van de specifieke situatie van het ministerie en de diensten worden bepaald. Deze handleiding pretendeert ook niet de perfecte oplossing te bieden voor de beveiligingsproblematiek binnen uw organisatie. Het is uitsluitend bedoeld het effect van uw communicatieve activiteiten met betrekking tot informatiebeveiliging te optimaliseren. Deze handleiding geeft u daartoe achtergrondinformatie, voorbeelden en checklists aan de hand waarvan u uw initiatieven in deze kunt vormgeven of op basis waarvan u gewoon kunt controleren of u niets vergeten bent.

Informatiebeveiliging is een relatief nieuw begrip waarbij de factor menselijk gedrag in belangrijke mate doorslaggevend is voor het succesvol implementeren daarvan. Daarom zijn in deze handleiding de verschillende fases in een bewustwordings- en aîtitudeveranderingsproces met opzet in verschillende hoofdstukken beschreven. Aan de hand van uw kennis over de stand van zaken met betrekking tot informatiebeveiliging binnen uw eigen organisatie en uw ervaring met Communicatietrajecten kunt u zelf bepalen welke delen voor u het belangrijkste zijn. De handleiding is gericht op het ontwikkelen van een communicatiecampagne met betrekking tot informatiebeveiliging binnen uw eigen organisatie en pretendeert geenszins volledig te zijn maar dient veeleer te worden beschouwd als een leidraad voor uw communicatieve initiatieven in deze.

6 HANDLEIDING BEWUSTWORDING

Communicatie is evenwel geen tovermiddel. Het is een noodzakelijk element in een stelsel aan activiteiten dat tot doel heeft de overheid beter om te laten gaan met informatie. In de vorm van informatie-overdracht is communicatie een prima middel om het begrip te kweken voor de activiteiten die op het gebied van informatiebeveiliging gaande zijn en om een gedragsverandering teweeg te brengen. Door communicatie kan e duidelijk gemaakt worden wat informatiebeveiliging inhoudt.

Communicatie kan helpen bij het aanvaarden en stimuleren van gedragsverandering, Door aan te geven wat van mensen wordt verwacht, door te laten zien waartoe bestaand gedrag kan leiden en door te tonen dat kleine aanpassingen in de dagelijkse gang van zaken al voldoende zijn om te komen tot een effectieve beveiliging van de informatie waarmee wij allen werken. Bedacht dient echter te worden dat communicatie nimmer kan dienen ais vervanging van het beleid of dat communicatie het beleid kan bijstellen. Met andere woorden: een slecht beleid kan niet beter worden door communicatie.

1.2 Hoe de handleiding werkt

leder hoofdstuk geeft volgordelijk informatie over een fase in de ontwikkellng van een gestructureerde communicatie (-campagne). Daarbij is onderscheid gemaakt tussen de beleidsmatige fase en het operationele deei van de ontwikkeling van een communicatiecampagne. Tot slot wordt aandacht besteed aan de wijze waarop de effecten van een communicatiecampagne kunnen worden gemeten.

Bij ieder hoofdstuk worden naast achtergrondinformatie over technieken die behoren bij de betreffende fase, ook praktische tips gegeven en wordt ieder hoofdstuk afgesloten met een checklist aan de hand waarvan u uw eigen plannen kunt controleren of vormgeven. Door de opzet van de handleiding kunt u aan de hand van uw kennis over communicatie zelf bepalen of u de gegeven achtergrondinformatie leest, of

e

I HANDLEIDING BEWUSTWORDING 7

dat u uitsluitend gebruik maakt van de in de kaders weergegeven tips en de checklists. Mocht u bij een communicatieve vakterm even vergeten zijn waar deze voor staat, dan treft u achterin deze handleiding een begrippenlijst aan waarin voor de meest voorkomende termen de algemeen gehanteerde definitie is gegeven.

O

1.3 Communicatieproces

Communicatie is het overbrengen van informatie. In dit geval heeft communicatie te maken met het overbrengen van informatiebeveiliging. Net als informatiebeveiliging is ook communicatie een proces dat stelselmatigheid en consistentie vereist. Deze handleiding is daarom gebaseerd op het AlDA- communicatiemodel (AIDA staat voor Attention, Interest, Desire en Action), waarbij wordt aangenomen dat iedere stap in het communicatieproces pas effectief kan zijn wanneer de daaraan voorafgaande fase met succes is afgerond. In hoofdstuk 2 wordt nader op het AIDA-model ingegaan.

Er is evenwel nog een reden dat het AIDA-model ais basis is genomen voor deze handleiding. Het is pas sinds korte tijd dat de overheid zich bewust is geworden van het feit dat informatiebeveiliging niet per definitie uitsluitend om technische oplossingen vraagt. Met de totstandkoming van het VIR heeft de overheid geconcludeerd dat een goede informatiebeveiligings- structuur staat of valt met het gedrag van de mensen die met deze informatie werken. Zijn mensen zich In het kader van het kwaliteitsdenken binnen de overheid bewust van het belang van informatiebeveiliging en gedragen zij zich daarnaar, dan mogen wij verwachten dat met de daarvoor in aanmerking komende informatie zorgvuldig wordt omgegaan. Daarom is het ons primaire doel mensen te stimuleren zich met betrekking tot informatiebeveiliging anders te iaten gedragen. Het AIDA-model is er primair op gericht, door middel van verschillende vormen van communicatie, bewustwording en gedragsverandering te bewerkstelligen.

Er is in deze handleiding voor gekozen het ontwikkeiings- en impiemen- tatieproces van de communicatie zodanig te beschrijven dat de AIDA- model als logische elementen in de planmatige aanpak zijn verweven. Wordt het omschreven proces in de praktijk gevolgd, dan mag worden verwacht dat tevens wordt voldaan aan de eisen die volgens de AIDA- theorie zijn vastgelegd. Waardoor tevens mag worden verwacht dat door de communicatie daadwerkelijk een breed gedragen en geaccepteerde attitudeverandering met betrekking tot informatiebeveiliging plaats kan vinden.

!


1.4 Relatie met het Voorschrift

Deze handleiding bewustwording kunt u gebruiken als een leidraad die de activiteiten die voortvloeien uit het VIR ondersteunt in uw communicatie naar de verschillende doelgroepen. In de planning en uitvoering van deze activiteiten - denk aan een A&K-analyse, opstellen van een beveiligingsplan, implementatie van maatregelen, etc. - kunt u aan de hand van deze leidraad de diverse communicatieve mogelijkheden kiezen, plannen en (laten) uitvoeren. Op deze wijze kunt u uw communicatieplan in de tijd laten samenvallen met de activiteiten in het kader van het VIR.

Zo kunt u aan de oprichting en start van een projectgroep informatiebeveiliging aandacht schenken in het informatieblad van het ministerie, bijvoorbeeld via een interview met de voorzitter van de projectgroep. Om meer bekendheid te geven aan het VIR en/of het beleidsdocument kunt u voorlichtingsbijeenkornsten voor specifieke doelgroepen (ambtelijke staf, management, gebruikers, automatiseringspersoneel) organiseren. Invoering van nieuwe maatregelen kunt u bijvoorbeeld doen laten vergezellen van handleidingen, brochures en/of posters. Zo kan een nieuw calamiteitenplan communicatief ondersteund worden door middel van trainingen van direct betrokkenen en publiciteit in de gehele organisatie. Een juiste keuze en gebruik van de communicatieve mogelijkheden kunnen helpen te voorkomen dat informatiebeveiliging een 'papieren wereld' is van documenten en plannen.

1.5 Professionele hulp

Wij gaan etvan uit dat u als lezer verantwoordelijk bent voor de ontwikkeling en uitvoering van activiteiten die gericht zijn op het stimuleren van een betere informatiebeveiliging. Aangenomen wordt dat u niet noodzakelijkerwijs zelf alle teksten schrijft, brochures ontwerpt, effecten meet of bijvoorbeeld een interne workshop organiseert. Daartoe zult u zonder twijfel de hulp van de afdeling Voorlichting of andere ondersteuning inhuren. De handleiding geeft daarom bij de operationele fase in het communlcatieproces ook de nodige aandacht aan het selecteren, briefen, begeleiden en controleren van derden. Zodat u in die fase professioneel, efficiënt en effectief invulling kunt geven aan uw campagne-activiteiten.

Uiteraard zijn de medewerkers van ACIB beschikbaar voor de nodige

0

@ advisering en ondersteuning.

HANDLEIDING BEWUSTWORDING 9

2. Informatiebeveiliging en communicatie

2.1 Inleiding

In het land van de informatiebeveiliging voltrekt zich langzaam maar gestaag een cultuuromslag. Verlaten worden ideeën ais 'informatiebeveiliging is een technisch probleem, dat technische oplossingen vraagt', 'informatiebeveiliging behoort aan de (technische) specialisten' en 'informatiebeveiliging is computerbeveiliging'. Steeds meer wordt ingezien dat de kwaliteit van de informatievoorziening (in brede zini) binnen een organisatie steeds belangrijker wordt naarmate de afhankelijkheid daarvan ook toeneemt. En dat dit een zaak is wat iedereen binnen de organisatie aangaat: iedereen is dus (voor een deel) verantwoordelijk voor een betrouwbare informatievoorziening.

Hier doet zich echter ook een aantal problemen voor: niet iedereen is zich hiervan bewust, niet iedereen spreekt dezelfde 'taal', er bestaan diverse invullingen van 'het belang' van betrouwbare informatie en over tal van zaken bestaat nog onduidelijkheid. Onduidelijkheid over verantwoordelijkheden, over normen, over te stellen eisen aan de kwaliteit van bedrijfsprocessen en daaruitvolgend informatieprocessen en onduidelijkheid over de weg die bewandeld moet worden om informatiebeveiliging in alle bedtljfs- processen geïntegreerd te krijgen. We moeten met ons allen vaststellen dat informatiebeveiliging nog geen 'volwassen' terrein is en dat er nog veel gedaan moet worden om dit stadium te bereiken.

Om dit stadium te kunnen bereiken moeten we een proces ingaan, waarvan we nog niet alle details weten: de contouren zijn echter wel duidelijk en sommige onderdelen staan ons helder voor ogen. In dit hoofdstuk wordt ingegaan op het informatiebeveiligingsproces en het belang van goede communicatie hierbij.

2.2 Informatiebaveiiigingaproces

De rijksoverheid moet voldoen aan verschillende formele en ongeschreven betrouwbaarheidseisen, ook op het terrein van de informatievoorziening. Formele eisen komen bijvoorbeeld vanuit de weten regelgeving: denk maar aan de WPR, de Wet Computercriminaliteit en het ViR. Bij ongeschreven eisen kunt u denken aan de invulling van het begrip 'goed huisvaderschap': de burgers mogen er van uitgaan dat de overheid op een betrouwbare en vertrouwelijke wijze met hun gegevens omgaat. Verstoring

10 HANDLEIDINQ BEWUSTWORDING

Zowel informatiebeveiliging als goede communicatie zijn geen eenmalige acties. Juist omdat we hebben moeten concluderen dat informatiebeveiliging nog niet geintegreerd is en het vooral een zaak is van mensen, vereisen beide een continuproces.

2.3 Communicatie

In deze handleiding gaan we uit van een aantal uitgangspunten van communicatie waarvan mag worden verwacht dat deze voor u van toepassing zijn. Daarom wordt in dit hoofdstuk hieraan kort aandacht besteed. Deze aandacht heeft natuurlijk wel een reden. Waarschijnlijk heeft u hierover wel enige kennis, maar toch is het nuttig de achtergronden te doorgronden om een goede basis te krijgen voor uw campagne-activiteiten.

'Communicatie is een proces, waarin een zender of groep zenders, via een medium, met een bepaalde bewuste intentie informatie van welke aard dan ook doorgeeft aan een ontvanger, die deze informatie op de e b of andere wijze verwerkt' (Prof. dr. A. van der Melden).

Communicatie is in dit geval het overbrengen van informatie over informatiebeveiliging. Bijvoorbeeld: u (zender) stuurt een uitnodiging voor een bijeenkomst met als onderwerp informatiebeveiliging (de boodschap) in de vorm van een brief (medium) via de post (kanaal) naar een van uw collega's (ontvanger). Hierbij is een aantal elementen van belang: een zender, een boodschap, een medium, een kanaal waarlangs de boodschap wordt getransporteerd en een ontvanger.

Met het verzenden van de boodschap hoopt u op een reactie van uw collega: feedback. Het geven van een reactie om aan te geven det de boodschap is ontvangen is eigenlijk weer een nieuw communicatieproces, maar nu in tegengesteide richting. De ontvanger wordt zender en stuurt de boodschap naar de voormalige zender die nu ontvanger Is geworden.

In het kader van informatiebeveiliging is het van belang dat goed wordt nagedacht wie nu de zender en wie nu de ontvanger is. Gaat u als 'specialist' de missie uitdragen of laat u dat het management doen. Wie is de ontvangende doelgroep? Welke boodschap wilt u dat uitgedragen wordt. Kortom, allemaal zaken die gemakkelijk gezegd dan gedaan zijn

Het kan zijn dat het communicatieproces op een of andere manier verstoord wordt, waardoor de boodschap niet, of in een andere vorm dan de zender heeft bedoeld, bij de ontvanger aankomt. Deze verstoring noemen we ruis.


Bij alle elementen van het communicatieproces kan ruis ontstaan en in veel gevallen heeft het miscommunicatie tot gevolg. Het is dus van groot belang de boodschap op een zodanige wijze te formuleren en te operationaliseren dat er in het communicatieproces geen ruis optreedt.

Omdat binnen de overheid geen eenduidige normen worden gehanteerd met betrekking tot informatiebeveiliging, kan het heel goed zijn dat verschillende organisaties informatiebeveiliging anders interpreteren. Ook dat is een vorm van ruis. Lastiger wordt het wanneer binnen één organisatie verschillend wordt gedacht over (aspecten van) informatiebeveiliging. Deze vorm van ruis dient uiteraard zo veel als mogelijk te worden voorkomen.


Communicatie loopt zoals vermeld van zender naar ontvanger en vice versa. Afhankelijk van de situatie waarin communicatie plaatsvindt spreken we van éénrichtings- of tweerichtingsverkeer. Op boodschappen die via massamedia (televisie, radio, dagbladen etc.) verspreid worden kan een ontvanger niet direct reageren. In dat geval is er sprake van éénrichtings- verkeer. In een situatie waarbij zender en ontvanger wel op elkaar kunnen reageren spreken we van tweerichtingsverkeer. Voorbeelden daarvan zijn een gesprek, een discussie, een briefwisseling of een enquête.

Voor uw informatiebeveiligingscampagne is het van belang te doorgronden waar mogelijke ruis op kan treden en hoe uw doelgroepen uw boodschappen waarschijnlijk zullen ontvangen en op waarde zullen beoordelen. Het woord ‘waarschijnlijk’ is hier zeker op z’n plaats: het persoonlijk referentiekader van ieder lid van uw doelgroep is anders, bepaald door wat deze persoon heeft meegemaakt en wat deze persoon beweegt. Het is daarom nuttig bij de doelgroep te zoeken naar elementen die de doelgroep gemeenschappelijk heeft: de elementen die de individuele personen tot één groep maakt. Spreken wij deze individuen daarop aan, dan mag worden aangenomen dat zij uw booschappen redelijkerwijze eenduidig ontvangen en dientengevolge reageren.

Het overdragen van kennis op een groep mensen wordt steeds moeilijker. De laatste jaren signaleren we een enorme toename in kennisoverdracht. Mensen worden duizenden keren per dag, direct en indirect, bestookt met boodschappen, regelgevingen en richtlijnen. Omdat er zo veel informatie wordt gegeven, is het steeds moeilijker om doelgroepen te overtuigen van het belang van een bepaalde boodschap.

Gesimplificeerd kunnen wij het menselijk brein vergelijken met een natte spons. Als de spons eenmaal doorweekt is, kan alleen water worden toegevoegd ten koste van water dat al in de spons aanwezig is. Voor het menselijk brein betekent dat: worden wij geconfronteerd met teveel informatie dan wordt die informatie snel op zijn merites beoordeeld en op basis van deze kwalitatieve beoordeling in het geheugen opgeslagen of niet.

In het bijzonder geldt dat voor het management dat u wilt bereiken. We spreken wel van de integrale manager, maar door het intergrale karakter is hij of zij wel overbelast met verschillende soorten informatie. Hoe kan dus de manager worden bereikt op het gebied van informatiebeveiliging?

Het is om deze reden dat het belangrijk is de over te dragen informatie te doseren, zoveel mogelijk te richten en af te stemmen op de geformuleerde doelgroep en de te communiceren boodschappen waar mogelijk (in andere


2.4 Het AIDA-model a Zoals hlervoor is aangegeven is informatiebeveiliging voor veel mensen een relatief nieuw begrip. Door het in werking treden van het VIR wordt van medewerkers van de rijksoverheid verwacht dat zij op een goeddeels vastgestelde manier met informatie omgaan. Een attitudewijziging pas plaats kan vinden nadat een doelgroep voldoende is geïnformeerd over het onderwerp. Pas nadat voldoende informatie over (het belang van) informatiebeveiliging is overgebracht, kunnen personen uit de doelgroep hun attitude ten opzichte van het onderwerp in positieve zin veranderen en zodoende uiteindelijk op de juiste wijze omgaan met informatie. Het bewerkstelligen van een attitudeverandering door middel van informatie- overdracht wordt over het algemeen inhoud en vorm gegeven aan de hand

0 i


van het genoemde AIDA-model.

Het AIDA-model wordt gebruikt voor vele communicatie- en reclamedoeleinden. AIDA staat voor Attention, Interest, Desire en Action. Het model gaat uit van het principe dat het doorlopen van elke voorgaande fase een voorwaarde is voor het succesvol implementeren van de volgende. Volgens het AIDA-model wordt ‘communicatie’ gebruikt om zo veel mogelijk personen uit de doelgroep stap voor stap door deze fasen heen te helpen.

Laten wij het AIDA-model eens volgen. Attention: als eerste dient de aandacht van de doelgroep voor informatiebeveiliging getrokken te worden.

Interest: wanneer dat is gebeurd zullen personen uit de doelgroep interesse krijgen in het onderwerp.

Desire: op basis van de gecommuniceerde informatie zal de doelgroep concluderen dat het (voor hen persoonlijk entof voor de organisatie) wenselijk is om actie op het onderwerp te ondernemen.

~ Action: I tenslotte mag daadwerkelijke actie (bijvoorbeeld in de vorm van een

attitudeverandering) worden verwacht.

Het AIDA-model gaat ervan uit dat een persoon of doelgroep aangezet kan worden tot het doen van handelingen door middel van informatie-overdracht. En dat het doen van handelingen pas plaats zal vinden als ieder individu zich persoonlijk aangesproken en overtuigd voelt van het nut en de noodzaak van de verwachte handeling. In het kader van informatiebeveiliging kunnen wij constateren dat de omgang met informatie een andere opstelling (lees: een andere handeling) van de doelgroep eist. Dat proces gaat In eerste instantie gepaard met het verstrekken van informatie; het geven van kennis over het onderwerp aan de doelgroep (attention). De AIDA-formule geeft de volgordelijkheid weer waarmee wij in de keuze van onze strategie en tactiek terdege rekening dienen te houden: om aandacht voor het onderwerp te genereren gebruiken wil uiteraard een andere benadering dan wanneer wij zijn aangeland bij het aanzetten tot actie of verandering van houding. Met andere woorden: wanneer de doelgroep ai voldoende kennis over het onderwerp bezit, kan worden

16 HANDLEIDING BEWUClWORDING

begonnen met het inzetten van middelen die (acceptatie van) houdingsverandering bewerkstelligen. Bij de keuze in deze fase moet rekening worden gehouden met het feit dat zij inzicht moeten geven in de acceptatie van het onderwerp. Daarnaast moet de tactiek die Ingezet wordt om houdings- en gedragsverandering te verwezenlijken de mensen ook daadwerkelijk betrekken bij het onderwerp; ze moeten door het middel in de goede richting gestuurd worden (de feitelijke verandering van houding). Geven wij in onze campagne invulling aan de elementen van het AIDA- model, dan zijn wij er in ieder geval zeker van dat wij voldoen aan alle voorwaarden die volgens dit model vereist zijn om de doelgroep tot een andere attitude te bewegen.

Informatiebeveiliging is iets wat ons allen aangaat. Niet alleen omdat in het VIR richtlijnen met betrekking tot informatiebeveiliging ziin vastgelegd,

verwacht dat wij zorgvuldig omgaan met de informatie die ons uit hoofde van ons werk ter beschikking wordt gesteld. Die bewustwording ral van de betrokkenen in eerste instantie een aanpassing van het werkpatroon eisen. Is men zich evenwel eenmaal bewust van het belang van informatiebeveiliging, dan zal het gedrag dat daarbij hoort routine worden. En hebben wij gezamenlijk bereikt waar wij ons voor inspannen: een bewuste omgang met informatie.

0 maar vooral omdat van ons als overheidsmedewerkers mag worden


Hoofdstuk 3 De voorbereidingsfase

3.1 Inleiding

De kwaliteit en de effectiviteit van informatiebeveiliging worden bdinvloed door twee factoren: de menselijke en de organisatorische en technische factor. Deze handleiding behandelt uitsluitend de menselijke kant van het onderwerp. Bij het verder uitwerken van de handleiding gaan wij ar daarom van uit dat de organisatorische en technische voorzieningen met betrekking tot informatiebeveiliging binnen uw organisatie naar behoren zijn of aan de hand van de afhankelijkheids-en kwetsbaarheidsanalyse (A&K-analyse) op niveau zullen worden gebracht.

Voordat een aanvang wordt gemaakt met het stimuleren van bewustwording of het aanzetten tot een andere grondhouding, is het uiteraard van belang te weten waar de organisatie met betrekking tot informatiebeveiliging op dit moment staat. In dit hoofdstuk geven wij u daarom een aantal richtlijnen welke kunnen worden gebruikt bij het ontwikkelen van een zeiftoets. Het doel van deze toets is te bepalen in welke fase van het bewustwordingsproces uw organisatie zich bevindt. Aan de hand van de resultaten van deze toets kan vervolgens een nadere invulling worden gegeven aan de wenselijke of noodzakelijke activiteiten. Daarmee wordt uitgesloten dat u uw organisatie confronteert met informatie die voor de medewerkers overbodig is of waaraan zij nog niet toe zijn.

3.2 Toets

Om een goed beeld te verkrijgen over de wijze waarop uw organisatie nu 'denkt en handelt' met betrekking tot informatiebeveiliging, is het wenselijk om door middel van een toets een antwoord te krijgen op een aantal vragen.

De toets kan op twee manieren ten uitvoer worden gebracht. Op basis van uw eigen kennis en ervaring, danwel aan de hand van de wetenschap van direct of indirect bij het onderwerp betrokken collega's (binnen of buiten de oraanisatieì,

O

Bilhet onderzoek gaat het om de volgende vragen:

- wie is binnen uw organisatie verantwoordeliik voor informatiebeveiliging O _ _ enlof handhavinghivoering van het VIR;


- wie zijn per onderdeel, dienst of afdeling belast met het toezicht op de uitvoering/handhaving van informatiebeveiliging; is de organisatie breed op de hoogte gesteld over de voorschriften met

* indien de vorige vraag met 'neen' is beantwoord, waarom is dat dan

* indien de vorige vraag met 'ja' is beantwoord, op basis waarvan en

- hoe is de informatiebeveiliging bij uw organisatie door de Algemene Rekenkamer beoordeeld en waarom denkt u dat de ARK tot die beoordeling is gekomen;

- welke vormen van informatie kent uw organisatie en is aan deze vormen een kenmerk gegeven of te geven (variëren van hoog tot laag geklassificeard);

prioriteit moet worden gegeven ten behoeve van informatiebeveiliging; - welke kenmerken ziin aan te geven ten aanzien van de medewerkers,

zoals bijvoorbeeld betrokkenheid met informatiebeveiliging, opleidingsniveau;

- welke personele, organisatorische en technische maatregelen zijn er tot op heden genomen ten behoeve van informatiebeveiliging;

- welke interne communicatiemiddelen heeft uw organisatie ter beschikking (informatiebulletin. personeelsblad, mededelingenbord, interne memo's etc.);

- is ar iemand van de afdeling voorlichting die u zou kunnen helpen bij het opzetten en uitvoeren van de bewustwordingscampagne;

- heeft de organisatie ook te maken met externen die vertrouwelijke informatie onder ogen krijgen (accountants, adviseurs etc.);

- heeft zich bij uw organisatie ooit een voorval voorgedaan van gelekte of

0 - betrekking tot informatiebeveiliging:

niet gebeurd;

met welke middelen is dit gebeurd;

- zijn er afdelingen of departementen binnen uw organisatie waaraan

0 'verdwenen' informatie;

Naast het beantwoorden van deze feitelijke vragen is het tevens nuttig inzicht te krijgen in de attitude van uw collega's met betrekking tot informatiebeveiliging. De proef op de som nemen is daarbij vaak bijzonder verhelderend. Simpele voorbeelden hoe u inzicht krijgt in de huidige cultuur en handelen met betrekking tot informatiebeveiliging zijn ondermeer:

- liggen er veel documenten op de bureaus; - staat de computer onbeheerd aan of is deze afgesloten, heeft deze een

schermbeveiliging; - liggen er briefjes met passwords; - hangen of liggen er instructies ten behoeve van netwerkgebruik.

0


Ook de technische kant van de beveiliging van gegevens mag niet worden onderschat. Bekijk de onderstaande technische aspecten van informatiebeveiliging eens binnen uw organisatie. Hierbij gaat het om een algemene indruk te krijgen van de situatie in uw organisatie:

- zijn computers beveiligd, is het netwerk beveiligd; - hoe worden documenten bewaard; - liggen vertrouwelijke gegevens in afgesloten ruimten; - hoe worden persoonlijke gegevens van medewerkers bewaard; - kunnen deuren van kamers afgesloten worden; - is een afdeling specifiek belast met de technische kant van

informatiebeveiliging; - hoe is toegangsbeveiliging geregeld.

Aan de hand van de antwoorden op de bovenstaande vragen en uw eventuele eigen aanvullingen hierop, kunt u een eerste inzicht verwerven van de stand (van de bewustwording) van informatiebeveiliging in uw organisatie. We raden u aan het één en ander samenvattend op papier te zetten. Later in dit handboek kunt u aan de hand van deze aantekeningen, bekijken in welke fase van het bewustwordingsproces uw organisatie zich bevindt.

Wanneer u goed inzicht heeft in de situatie binnen uw organisatie, kan worden gestart met de voorbereidingsfase van de bewustwording- (scampagne).


3.3. Voorbereiding bewustwording

nog maar pas echt gaan nadenken over informatie- ook bestaan er nog geen vaste afspraken over hoe wij

Gaan wij ervan uit dat lang niet alle medewerkers weten hoe zij op een juiste manier met informatie om moeten gaan, dan is dat het probleem. Het middel communicatie zal in dat geval ingeschakeld worden ter ondersteuning van een veranderingsproces in de organisatie. En net als bij ieder ander probleemoplossand middel, dient dus ook bij het gebruik van de communicatie eerst nauwkeurig vastgesteld te worden welk doel moet worden bereikt. In deze fase van het proces zou dit doel als volgt kunnen worden omschreven:

‘Medewerkers van mijn organisatie dienen zich bewust te zijn van het

handelen’.

Geen enkele organisatie is evenwel volstrekt eenduidig in samenstelling. Daarmee moet natuurlijk rekening worden gehouden. Het is daarom goed de verschillende groeperingen binnen uw organisatie te onderkennen en de door u te omschrijven hoofddoelstelling onder te verdelen in subdoelen op verschillende niveaus. Het gaat hierbij om het kennis-, attitudeniveau en gedrag.

Ten eerste onderscheiden wij het doel op kennisniveau. Dat betekent mensen bijvoorbeeld moeten weten:

- wat concreet met informatiebeveiliging wordt bedoeld; - welke uitgangspunten en normen de organisatie hierbij hanteert; - welke weten jegelgeving relevant is voor de medewerkers; - welke informatie binnen de organisatie gerubriceerd of gevoelig is,

waarom dat is en hoe er mee omgegegaan dient te worden; - welke procedures bestaan en belangrijk zijn (denk aan incidenten-

melding, back-upprocedure, uitwijk, etc.); - bij wie kan een medewerker terecht voor vragen en problemen.

Bovenstaande voorbeelden zijn niet uitputtend. Van belang is dat eerst nagegaan dient te worden welke kennis ontbreekt en aangevuld dient te worden.

Vervolgens onderscheiden wij het attitudeniveau of in andere woorden: de grondhouding van de mensen ten opzichte van informatiebeveiliging. Mensen moeten zich ook bewust zijn van het feit dat er op zorgvuldige

HANDLEIDING BEWUCNYORDING 21

0 belang van zorgvuldigheid bij de omgang met informatie en daarnaar te

0

wijze met informatie moet worden omgegaan. Daarbij dient te worden omschreven wat uw organisatie verstaat onder 'zorgvuldig' en in welke mate deze zorgvuldigheid voor iedere functioneel niveau toepasbaar is.

Het laatste niveau heeft te maken met gedrag. De medewerkers zijn nu in de ideaalsituatie op de hoogte van het belang van informatiebeveiliging en tevens van mening dat daar secuur mee omgegaan most worden en moeten daar naar gaan handelen. Let wel: gedrag is iets anders dan grondhouding. In de basis kan iemand zich bewust zijn van het belang van informatiebeveilging (de grondhouding), maar daar nog niet naar handelen (het gedrag). bijvoorbeeld omdat zij niet weten hoe zij conform deze grondhouding zouden moeten handelen. Wanneer er op alle te inventariseren niveaus meetbaar een verandering in het gedrag is te bespeuren, is het voornaamste doel van onze inspanningen bereikt.

3.4 Communicatieplan

Om de doelen op alle drie de niveaus (kennis, attitude en gedrag) effectief en efficiënt te verwezenlijken, kan het beste een plan van aanpak worden opgesteld. Dit communicatieplan dient als handleiding om activiteiten te ontwikkelen die tot doel hebben individuen en groepen zich bewust (kennisniveau) te laten worden en tot actie te stimuleren (attitude- en gedragsverandering). Het communicatieplan vormt daarbij het raamwerk waarbinnen doelen, doelgroepen, kernboodschappen, strategie, de organisatie van de communicatie en activiteiten als één geheel worden samengevoegd. Het is daarmee de leidraad en het referentiekader op basis waarvan het communicatieproces wordt gestuurd en zo nodig wordt bijgestuurd. Daarnaast dient een dergelijk plan een beschrijving van de uitgangssituatie te geven dat ais referentie kan worden gebruikt bij de meting van vorderingen.

Zoals eerder gesteld, gaat dit hoofdstuk in op de voorbereidende fase, die vooraf gaat aan de ontwikkeling en implementatie van activiteiten. In deze fase wordt het operationele deei van de bewustwording(-scampagne) verantwoord. Deze verantwoording is vormgegeven als een nauwkeurige omschrijving van een aantal uitgangspunten waarop de keuze voor strategie en middelen is gebaseerd.


Kort samengevat komen in een communicatieplan de volgende onderdelen aan de orde:

e 1 . situatieschets 2. doelgroepen 3. doelstellingen 4. boodschappen 5. strategiekeuze 6. tactiekbepaling 7. timing 8. budgetten 9. organisatie en evaluatie

De eerste vijf, beleidsmatige, onderdelen van het plan worden in dit hoofdstuk behandeld. De uitvoerende elementen tactiek, timing, budgetten en de organisatie en evaluatie van de communicatie-activiteiten komen in volgende hoofdstukken aan de orde.

Ad 1 Situatieschets De situatieschets is het uitgangspunt voor het communicatieplan. Het geeft voor uzelf en voor degenen die u bij de campagne gaat betrekken, duidelijk weer hoe de situatie binnen uw organisatie met betrekking tot informatiebeveiliging is, waar lacunes zijn aangetroffen, welke weerstanden (door bijvoorbeeld onbekendheid met het onderwerp, de werkdruk, etc.) kunnen worden tegengekomen en in hoeverre reeds aandacht aan informatiebeveiliging is geschonken. In deze schets geeft u daarom een goede beschrijving van de huidige situatie op basis van hetgeen u aan de hand van het vorige hoofdstuk heeft geinventariseerd: waar staan wij nu, wie is er bij dit onderwerp betrokken, hoe past de gewenste houding en het gewenste gedrag blnnen de bestaande cultuur, etc. Een weergave van de probieemstehng en uw argumentatie waarom het plan noodzakelijk is, komen eveneens logischerwijs in de schets aan de orde.

De situatieschets rechtvaardigt in feite waarom u actie onderneemt. Deze omschrijving kan evenwel ook worden gezien als een O-meting. Door de situatie zo goed als mogelijk te omschrijven en te kwantificeren, kan met deze gegevens in volgende instantie worden bezien of uw communicatiecampagne daadwerkelijk effect sorteert.

Ad 2 Doelgroepen Wanneer u de huidige situatie duidelijk omschreven heeft, kan begonnen worden met het formuleren van de doelgroep(en).

0

HANDLEILINO BEWUSTWORDING 23

AI eerder in dit hoofdstuk hebben wij onderscheid gemaakt tussen de subdoelen op verschillend niveau. Deze segmentatie vindt plaats door het maken van onderscheid tussen verschillende groepen binnen uw organisatie: de doelgroepen.

Een doelgroep is een groep mensen welke wordt gesegmenteerd aan de hand van gemeenschappelijke kenmerken. Aan de hand van onderstaande kenmerken kunnen bijvoorbeeld aparte doelgroepen binnen een willekeurige organisatie worden onderscheiden:

- functioneel, in te delen in alle leidinggevenden of een bepaalde groep leidinggevenden, de betrokkenen bij een bepaald bedrijfs- of bestuurs- proces, of van een dienst of verantwoordelijkheidsgebied:

- fysieke kenmerken, zoals mate van blootstelling aan het probleem (omgang met kwetsbare informatie en informatiessystemen) of omgeving van de individuen en de locatie waar de personen zich bevinden (centraal versus decentraal);

- gedrags- en cultuurkenmerken. waaronder ervaring met mediagebruik en -voorkeuren, hierbij kan ook gedacht worden aan de verschillen tussen de diverse onderdelen, gaat het om een beleids-, uitvoerings- of ondersteunende afdeling:

- sociaal-psychologische kenmerken, zoals attitudes, opvattingen, persoonlijke eff ectiviteitsvetwachtingen.

e

Met dit soort informatie krijgt u, als opsteller van een plan van aanpak, een goed beeld over uw eigen Organisatie. Op basis van deze informatie is het voor u bijvoorbeeld mogelijk doelgroepen te onderscheiden die met betrekking tot informatiebeveiliging belangrijker zijn dan andere of naar alie waarschijnlijkheid sneller genegen zijn de nieuwe normen en waarden van de organistie met betrekking tot informatiebeveiliging te accepteren dan anderen.

Natuurlijk zult u lang niet alle bovenstaande elementen gebruiken om uw interne doelgroepen te segmenteren. Van belang is dat u uw doelgroepen segmenteert naar het niveau waarop het personeel geconfronteerd wordt met informatie en daarmee omgaat. Binnen uw organisatie zult u uw doelgroepen daarom waarschijnlijk het beste naar bijvoorbeeld functioneel niveau of positie kunnen clusteren. Het is daarbij van belang uw doelgroepen zo effectief als mogelijk in te delen zodat u niet te maken krijgt met veel kleine doelgroepjes waardoor de efficiëntie van uw communicatieplan kan worden aangetast.

Deze indeling in groepen is noodzakelijk omdat binnen iedere organisatie


a

verschillende groepen met elk een andere achtergrond vanuit het eigen referentiekader kijkt naar de boodschappen die u over wilt brengen, en dienovereenkomstig zal handelen. Voor een effectieve communicatie is het daarom van belang de boodschappen aan te passen aan de referentie- kaders die bij de verschillende doelgroepen passen en mogelijk zelfs voor iedere groep verschillende communicatieve middelen in te zetten.

Een laatste, maar beslist belangrijke groep bestaat uit personen binnen de organisatie die van cruciaal belang zijn voor het slagen van uw campagne. Het is goed op voorhand te weten wie uiteindelijk zijn goedkeuring aan de campagne zal moeten geven en wie bijvoorbeeld de budgetten hiertoe zal moeten vrijmaken. Deze groep (bijvoorbeeld het [top-]management) zult u waarschijnlijk al in een vroegtijdig stadium moeten betrekken bij de ontwikkeling van uw campagne om daarmee het noodzakelijke draagvlak voor uw activiteiten te creëren en het belang van informatiebeveiliging aan te geven.

Hebben wij eenmaal een goede inventarisatie van de verschillende te onderscheiden doelgroepen op schrift gesteld, dan kan worden overgegaan tot het precisiëren van doelstellingen, zo nodig of mogelijk per doelgroep

Ad 3 Doelstellingen Een doelstelling is de formulering van het resultaat dat binnen een bepaald tijdsbestek bij een doelgroep dient te worden bereikt.

Hoe preciezer de doelstellingen geformuleerd zijn, hoe eenvoudiger het wordt om de strategie te bepalen en de middelen te kiezen. Maar goed omschreven en gekwantificeerde doelstellingen geven tevens de mogelijkheid door middel van resultaatmeting te oordelen over het effect van onze inspanningen. Het is daarom raadzaam zo veel als mogelijk in concrete

0

a ' termen te formuleren wat er uiteindelijk bereikt moet worden.

Zoals al eerder gesteld, onderscheiden wij doelen met betrekking tot kennis, houding en gedrag. Helaas is het niet zo dat de mens zomaar zondermeer ander gedrag aan de dag kan leggen. De psyche van de mens eist binnen onze cultuur rechtvaardiging voor die verandering. Het is om deze reden, dat het noodzakelijk is gedragsverandering stapsgewijs af te dwingen. Het is daarom raadzaam in het formuleren van de doelstellingen niet al te opportunistisch te werk te gaan. Wees daarom bij het omschrijven van uw doelen realistisch en stem deze af op het niveau van uw doel-

@ groepen.

Het is daarom belangrijk volgordelijk per doelgroep aan te geven welke


subdoeien u denkt te moeten en kunnen bereiken voor u het volgende doel kunt realiseren. Met andere woorden: in welke mate dient u kennisvermeerdering over en inzicht in informatiebeveiliging te bewerkstelligen alvorens u kunt overgaan tot het bevorderen van een verandering in houding. En omschrijf simpelweg welke houding op z'n minst wenselijk is eer wij ons finale doel, gedragsverandering, mogen verwachten.

Uw plan kan daaropvolgend worden opgedeeld in kennisverhogende activiteiten, houdingveranderende elementen en activiteiten die erop gericht zijn het gedrag zoais gewenst te bdinvloeden. Daarmee zijn wij inmiddels bezig vorm te geven aan een plan dat door de doelgroepen als een logisch continuproces zaí worden ondergaan, maar voor u ais initiator overzichtelijk en stapsgewijs is opgesteld.

a

O A d 4 Boodschappen Hebben wij onderscheid gemaakt tussen verschillende doelgroepen en op de doelgroepen afgestemde doelen, dan kunnen wij de boodschappen formuleren die wij willen overbrengen. Op basis van hetgeen in de vorige paragrafen is gesteld en afhankelijk van de situatie binnen uw organisatie, dienen deze boodschappen

- belangstelling op te wekken: - kennis te vermeerderen; - begrip te kweken: - weerstanden weg te nemen; - grondhoudingen te veranderen: - de effecten voor individu en samenleving van bepaalde gedragingen

duidelijk te maken; - de bereidheid om maatregelen te nemen te stimuleren.

Hoewel de door u per doelgroep en doei te omschrijven boodschappen waarschijnlijk nimmer letterlijk als zodanig zullen worden gecommuniceerd, geeft uw omschrijving in ieder geval een prima houvast bij de vertaling van de boodschappen in het middelentraject.

Ad 5 Strategiekeuze Een strategie vormt de overgang tussen de doelen en de praktische elementen van het plan en is een richtlijn voor het invullen van het programma. Met de overige informatie zoais besproken in Ad 1 tot en met Ad 4 vormt de strategie de basis van uw plan.

O

O

26 HANDLEIDINLI BEWUSTWOADINQ

Bij het ontwikkelen van de strategie dient een keuze gemaakt te worden uit verschillende mogelijkheden die in communicatief opzicht gebruikt kunnen worden. Het gaat daarbij niet om concrete elementen maar om de wijze waarop de gestelde doelen bereikt kunnen worden. De elementen in de strategie vormen de parameters waaraan de te ontwikkelen activiteiten kunnen worden getoetst. Een solide strategie dient omschrijvend in te gaan op ondermeer de volgende elementen:

- de invaishoek welke wordt gekozen; - de stijl waarop wordt gecommuniceerd: - de keuze voor of mix van communicatiekanaien en middelen; - de volgordelijkheid waarin verschillende middelen en kanalen warden

ingezet:

0 - divoigordeiijkheid waarin verschillende boodschappen worden gebracht.

i HANDLEIDING BEWUCWORDINQ 27

Bij het ontwikkelen van de strategie dient rekening te worden gehouden met de cultuur en de ethiek van uw organisatie. Binnen bepaalde organisaties is het bijvoorbeeld gemeengoed om direct en confronterend te werk te gaan, waar anderen uitsluitend via de lijn communiceren. Als strategie kan vervolgens met opzet worden gekozen voor een wijze van benaderen die binnen de organisatie geen gemeengoed is. Omdat mag worden verwacht dat het plan daardoor bijvoorbeeld effectiever ten uitvoer kan worden gebracht.

De keuze voor een bepaalde strategie wordt ook ingegeven door de financiële mogelijkheden en organisatorische beperkingen die een organisatie met zich meebrengt. Zo is persoonlijke communicatie natuurlijk prachtig, maar bij een organisatie van 1.000 medewerkers uitermate kostbaar en bepaald tijdrovend.

De te kiezen strategie dient natuurlijk verantwoord te worden, ook al ligt deze nog zo voor de hand. Het omschrijven en verantwoorden van de strategie dwingt ons ertoe te doorgronden welke methode van aanpak het meest effectief zal zijn gegeven de situatie waarin de organisatie verkeert, de doelgroepen die wij hebben gdinventariseerd en de doelen die wij ons gesteld hebben.

Tot slot wordt strategie mede bepaald door het element waar het in feite om gaat: de te kiezen communicatiestructuur. Een solide inzicht in de verschillende tot onze beschikking staande communicatiestrategieën en - middelen is noodzakelijk om te komen tot een weloverwogen keuze. Het inschakelen van een communicatiestrateeg of -specialist van uw eigen afdeling Voorlichting of derden is in deze fase daarom de moeite van het overwegen waard, al is het alleen maar om uw ideeën in deze te spiegelen. Aan de hand van de situatieschets, de omschreven doelgroepen, uw doeisteliingen en de boodschappen, kan voor hen een perfecte brieíing worden opgesteld. Dit zijn per slot van rekening de elementen waarop de strategie dient te worden gebaseerd.

Met de omschrijving van uw strategie heeft u het beleidsmatige fundament gelegd voor een succesvolle communicatiecampagne met betrekking tot informatiebeveiliging. Het is aan te bevelen te overwegen in dit stadium uw werk voor te leggen aan uw leidinggevende en zijn committering te vragen voor de uitgangspunten zoals u die heeft geformuleerd. Worden uw situatieschets en uw doelstellingen door de top van uw organisatie gedragen en geratificeerd, dan heeft u een redelijke mate van zekerheid dat de tactiek en activiteiten in het operationele deei van uw plan ook kan rekenen op steun en goedkeuring. Simpelweg omdat dit deel van uw plan


een logische invulling is van de inmiddels goedgekeurde uitgangspunten die u nu op papier heeit gezet.

HANDLEIDING BEWUSTWORDING I 29

3.5 Checklist De onderstaande checklist kunt u gebruiken om de behandelde onder- werpen duidelijk voor uzelf te formuleren. Deze checklist dient als uitgangspunt voor het opstellen van uw plan. Het is de bedoeling dat u duidelijk en gemotiveerd aangeeft voor welke doelstellingen, doelgroepen, boodschappen en strategie u gekozen heek

0 De situatie binnen mijn organisatie met betrekking tot

e

informatiebeveiliging kan ik op basis van de uitkomsten uit het vorige hoofdstuk het beste als volgt omschrijven: .............................................................................................................................................................

0 Op basis van de informatie die ik verkregen heb over de status en het

a beleid van de organisatie met betrekhlng tot informatiebeveiliging is mijn generieke doelstelling:

0 Het uiteindelijke doel wil ik bereiken op (datum): ............................. ....................................................................................................................

@ Deze doelstelling denk ik te kunnen bereiken door de volgende subdoelstellingen (met bijbehorend tijdschema) te verwezenlijken: . . . . . . . . ......................... ...............

Q De doelgroepen onderscheid ik op basis van de volgende kenmerken: ..............................................................................................................................................

@ Aan de hand van deze kenmerken kan ik een onderscheid maken tussen de volgende doelgroepen: .........................................................

@ Doelgroepen die van groot belang zijn voor het slagen van het communicatieplan/de bewustwordingscampagne zijn:

...........................................................................................................................................

0 De kernboodschappen die ik per fase wens te communiceren zijn: ................... ....................................................

Q De strategie waarvoor ik gekozen heb is: ............................................... .................... ...... ...............

@ Mijn verantwoording hiervoor is: ..................................................................................................................................

30 HANDLEIMNG BEWUSTWORDING

O

Hoofdstuk 4 De Planningsfase

4.1 Inleiding

Aan de hand van de checklist in het vorige hoofdstuk heeft u voor uzelf verschillende aspecten van het communicatieplan kunnen omschrijven en verantwoorden. Zoals al eerder gemeld zijn doelstellingen, doelgroepen, boodschappen en strategie onderdelen van het beleidsmatige deel van het communicatieplan.

In dit hoofdstuk wordt nader ingegaan op het operationele deel van het plan. Het gaat om de concrete invulling en de details van het communicatieplan: de voorbereiding op de implementatie. De tijd is nu aangebroken dat de verbinding tussen het probleem en de doelstelling wordt gelegd. In deze fase kunt u de geïnventariseerde en geformuleerde uitgangspunten, inzichten en ervaringen van de verschillende onderdelen verwerken tot een solide en concreet plan.

0

In de eerste plaats is het van belang dat de tactiek vastgesteld en omschreven wordt, omdat duidelijk moet worden waarom en op welke manier u middelen gaat inzettten. Vervolgens dient er logischerwijs een keuze gemaakt te worden uit beschikbare middelen en kanalen die u gaat inzetten om medewerkers bewust te maken van het belang van goede Informatiebeveiliging. Wanneer u heeft bepaald welke middelen en kanalen u wilt gaan gebruiken, dient er een zo precies als mogelijke timing opgezet te worden. Deze tijdsplanning kan worden gezien als een gedetailleerd draaiboek; een handleiding voor het plannen en uitvoeren van de elementen uit de campagne. Tenslotte besteden wij in dit hoofdstuk ook aandacht aan de budgettering van het plan.

4.2 Tactiek

Inmiddels heeft u duidelijk voor ogen hoe de doelgroepen eruit zien, wat de doelstellingen zijn en welke strategie u gaat voeren. Met deze zaken in het achterhoofd kunt u aan de slag met het bepalen van de tactiek. Uw tactiek is in feite de invulling van uw strategie. Het is daarom raadzaam aan het begin van het operationele deel van het plan eerst nog even kort de door u gekozen strategie te lezen.


In feite is het omschrijven van de te volgen tactiek voor u niet meer dan een steun in de rug bij het gestructureerd kiezen en inzetten van de verschillende communicatiemiddelen. Indien u eenmaal gekozen hebt voor een

vullen. tactiek, dan wordt het wezenlijk eenvoudiger om deze met middelen in te

4.3 Communicatiemiddelen

De vastgestelde tactiek kunt u nu in gaan vullen door de verschillende kanalen en middelen te bepalen, die u wilt gaan gebruiken om de doelgroepen te bereiken. Helaas wordt maar al te vaak gekozen de oplossing voor een probleem te zoeken in voor de hand liggende middelen. De kans is daarbij groot dat effectievere middelen worden vergeten of overgeslagen omdat onvoldoende aandacht is besteed aan strategie en tactiek. Daarom kan pas nu, na het voorwerk, worden gekomen tot een effectieve middelenkeuze.

Bedenk hierbij dat mensen dagelijks een grote hoeveelheid informatie op hun af zien komen en waarbij ook nog het een en ander van hun verwacht wordt. Dit vraagt een selectieve omgang met informatie:

- wat wordt wel/niet gelezen: - wat wordt verwacht van de lezer; - wordt wel/niet overgegaan tot actie7

Het communicatiemiddel moet zodanig zijn dat het opvalt tussen de dagelijkse berg informatie en aandacht krijgt: de A(ttention) van AIDA. Een voorwaarde voor het functioneren van communicatiemiddelen is dat zij bewust en stelselmatig worden ingezet. De keuze van de in te zetten middelen is afhankelijk van verschillende aspecten, te weten:

- de doelgroepen die bereikt dienen te worden: - de fase van bewustwording waarin zij verkeren: - het doel van de communicatie: - het onderwerp van de communicatie; - de kost-effectiviteit van de te kiezen middelen.

Wanneer deze facetten bepaald zijn is het belangrijk te kijken naar de verschillende aspecten van het middel. Het gaat hierbij onder andere om het bereik bij bepaalde doelgroepen, de te verwachten leesduur, de Ieesintensiteit, de binding met een middel, de gebruiksfunctie, de impact en waardering.

0

i HANDLEIDINO BEWUSTWORDING 33

Communicatiemiddelen en doelgroepen Om informatie over te dragen aan de doelgroep(en) is het veelal aan te bevelen gebruik te maken van verschillende communicatiemiddelen. Het is hierbij vanzelfsprekend dat deze middelen doelgericht moeten worden gekozen: ga altijd uit van het te verwezenlijken doel en behoed u ervoor dat het inzetten van een bepaald middel een doel op zich wordt.

De keuze voor de middelen is ondermeer afhankelijk van de doelstelling van de communicatie, de eigenschappen van het communicatiemiddel en van de doelgroep, alsmede van het beschikbare budget. in sommige gevallen is het aan te raden om voor de verschillende doelgroepen andere communicatiemiddelen in te zetten. Wanneer u de doelgroep bljvoorbeeld indeelt naar functieniveau, is het doeltreffender de medewerkers op een andere manier te benaderen dan leidinggevenden. Ook het kennisniveau van de doelgroepen over informatiebeveiliging kan verschillend zijn. De ene doelgroep kan bijvoorbeeld al genoeg kennis over informatiebeveiliging hebben, zoals accountants, EDP auditors en adviseurs van O&I afdelingen, terwijl anderen nog niets van het onderwerp afweten. Voor het bereiken van de doelgroep die de kennis al bezit, zullen daarom middelen moeten worden gekozen die de desgewenste attitude bewerkstelligen. Voor elke doelgroep dient dus eerst bepaald te worden in welke fase van de bewustwording zij zich bevindt, voordat het middel wordt bepaald.

Soorten communicatiemiddelen Communicatiemiddelen zijn er in verschillende soorten en maten. Ze zijn in te delen in: 1. mondelinge middelen; 2. schriftelijke middelen; 3. audiovisuele middelen.

Ad 7 Mondelinge communicatiemiddelen Bij mondelinge communicatiemiddelen valt te denken aan allerlei vormen van groepsoverleg, zoals bijvoorbeeld staf-, afdelings- en werkoverleg. Een voordeel van de vormen van overleg is dat een hele groep gelijktijdig ingelicht wordt en dat er mogelijkheid is voor discussie. Vooral dat laatste is belangrijk. De interactie tussen de deelnemers geeft de mogelijkheid om beter in te spelen op de zaken die leven rondom informatiebeveiliging. Indien goed voorbereid kan dit een prima middel zijn om informatie- overdracht over informatiebeveiliging te doen plaatsvinden. Dit geldt vooral als binnen een onderdeel gesproken moet worden over de betrouwbaarheidseisen die aan de informatiesystemen binnen dat onderdeel zullen worden gesteld. Een zelfde discussie is nodig als over de te nemen maatregelen moet worden gesproken.


Informatiebeveiliging zal een onderwerp moeten worden dat regelmatig op de agenda van deze vormen van overleg zal moeten staan.

Individueel overleg, bijvoorbeeld tussen u en een lid van het management en vervolgens tussen een afdelingshoofd en medewerkers, kan een grotere impact hebben dan een breed groepsoverleg. Vanwege de omvang van de meeste organisaties binnen de overheid kan dit in het kader van een informatiebeveiligingscampagne niet op brede schaal worden toegepast. Het kan wel gehanteerd worden om alvorens overleg met een groep plaatsvindt om met enkele deelnemers vooraf individueel overleg te hebben. In het vervolg zal informatiebeveiliging echter een onderwerp moeten zijn voor individueel werkoverleg of in functioneringsgesprekken.

Met personeelsbljeenkomsten worden in Bén keer vrijwe) alle medewerkers bereikt. Dit middel wordt vanwege het grote beslag dat het op de organisatie legt, vrijwel uitsluitend in uitzonderlijke gevallen gekozen. Een belangrijk punt hierbij is dat de bijeenkomst goed wordt voorbereid, wat in de bijeenkomst bereikt moet worden. Meestal zal zo’n bijeenkomst vooraf worden gegaan door de deelnemers op een andere communicatie- wijze, bijvoorbeeld schriftelijke informatie, wat de bedoeling is.

Wordt een personeelsbijeenkomst belegd om de start van de informatiebeveiligingscampagne in te luiden, dan moeten de personeelsleden niet alleen worden gehformeerd waarom ze bijeengeroepen worden maar ook wat ze de komende tijd kunnen verwachten en wat hun rol daarin zal zijn. Het organiseren vergt een goede voorbereiiding om de inhoud van de bijeenkomst goed af te stemmen op de behoefte van de doelgroep.

Werk- en studiebijeenkomsten of congressen, waarbij de confrontatie tussen de ‘boodschapper’ en de bezoeker heel intensief kan zijn, kunnen naast een informerend karakter ook een ervaringsuitwisselingskarakter hebben. De organisatie kost evenwel vrijwel altijd veel tijd, mankracht en het nodige budget. Deze vormen kunnen heel effectief zijn voor die doelgroepen die worden ingeschakeld om het informatiebeveiligingsproces inhoud te geven, bijvoorbeeld de personen die betrokken zijn bij het uitvoeren van een afhankelijkheis- en kwetsbaarheidsanalyse.

Afhankelijk van de situatie kunt u ervoor kiezen om met behulp van deze middelen informatie mondeling over te dragen of te communiceren. Een voordeel van mondelinge communicatie is dat de hele doelgroep bereikt kan worden en dat er een mogelijkheid voor directe feedback is. Deze vorm van communicatie kan meteen uitwijzen of de boodschap door de doelgroep begrepen wordt.


0

Een nadeel van mondelinge communicatie is dat het een tijdrovende bezigheid is en niet mag worden verwacht dat iedereen deze informatie direct onthoudt.

Ad 2 Schriftelijke communicatiemiddelen Het aantal schriftelijke middelen is bijna onuitputtelijk. We noemen er een aantal, waaraan gedacht worden.

Het informatiebulletin en het personeelsblad zijn vaak de spil van de interne communicatie. Het blad biedt ruimte aan zakelijke en minder formele artikelen. Omdat het bereik van een personeelsblad groot is, is het prima geschikt voor bepaalde vormen van informatie-overdracht over informatiebeveiliging. De start van de campagne, interviews met diverse spilfunctionarissen, vorderingen en ervaringen van de implementatie vormen een goede aanleiding voor artikelen in zo’n blad.

De bekende folder is per deelonderwerp of aspect van informatiebeveiliging binnen een campagne in te zetten. Het is een simpel drukwerkje, relatief goedkoop en eenvoudig van opzet, en op de meeste ministeries zelf te ontwikkelen.

Een brochure bevat meer informatie dan een folder. In een brochure kunnen wij de diepgang aantreffen die wij nodig hebben om doelgroepen grondig te informeren: achtergronden, verschillende aspecten en de visie van de leiding. Door de enorme hoeveelheid brochures die tegenwoordig wordt gemaakt, wordt dit middel steeds minder effectief. Maar in het kader van informatiebeveiliging is evenwel toch zeker te overwegen van dit middel gebruik te maken.

Een veel gebruikt middel bij bewustwording van informatiebeveiliging is de poster. Posters zijn een doelmatig middel ter ondersteuning van de campagne. Als de campagne een bepaald motto heeft of bepaald onderdeel behandelt, kan de poster aan de terugkerende herinnering werken. Voor de poster kan ook het mededelingenbord worden gebruikt,

Een nieuwsbrief kan prima gebruikt worden om melding te maken van de vorderingen rond de implementatie van informatiebeveiliging binnen het ministerie, de dienst of afdeling. Ook hier geldt: de hoeveelheid informatie die door de doelgroepen wordt ontvangen versus de inhoudelijke relevantie bepaalt goeddeels de effectiviteit van dit medium.

Een circulaire wordt vaak bezien als een ‘herderlijk schrijven’ en is daarom alleen in te zetten als iets aan de doelgroep moet worden opgelegd. Om


a

VERSCHILLENDE MIDDELEN R VEF~SCHIOLLENDE FASES.. , , ,,

U heeft te maken met een goed in kaart te bren met wie u wenst te communicp

effectief te zijn dient een circulaire uitsluitend van de top van uw organisatie

Indien uw organisatie een personeelshandboek uitgeeft, behoort het onderwerp informatiebeveiliging daarin uiteraard gewoon thuis. Dit geldt ook voor de jaarverslagen of jaariijkse directie- en afdelingen- plannen. Dit is veelal nog geen gebruik voor de overheid. Gezien het belang van infonatiebeveiliging binnen de overheid zou dit onderwerp in feite jaarlijks in een of andere vorm van rapportage de aandacht verdienen. Door- dat dit medium over het algemeen geheel in eigen beheer wordt ontwikkeld, is het relatief eenvoudig dit medium voor uw campagne in te zetten.

Werkt uw organisatie met E-mail, dan kunt u eraan denken dit instrument af en toe in te zetten voor de overdracht van informatie of het benadrukken van boodschappen. Gebruik dit medium evenwel niet te vaak, want dan neemt de impact ernstig af.


O afkomstig te zijn.

O

Ook bij schriftelijke communicatiemiddelen is de keuze van het middel afhankelijk van de doelstelling van de communicatie en de te bereiken doelgroepen. Directe feedback is bij de meeste schriftelijke communicatiemiddelen vrilwel niet mogelijk. Daarbij is niet bekend of de informatie die in schriftelijke vorm wordt aangereikt ook daadwerkelijk wordt gelezen of hoe deze wordt beoordeeld en verwerkt.

Ook direct-marketing is in te delen onder de schriftelijke communicatiemiddelen. De definitie van direct-marketing luidt: ‘Direct-marketing is het totaal van activiteiten waarbij produkten, diensten enlof boodschappen worden aangeboden aan bestaande of gewenste relaties via één of meer media, met als doelen informatieverstrekking en het realiseren van een direct meetbare response. ’

Direct-marketing is niet alleen actiegericht, maar kan ook thematisch worden gebruikt, bijvoorbeeld om attitudes en kennis te veranderen bij de doelgroep. Het is om deze reden prima geschikt om toe te passen binnen uw campagne.

Direct mail is een onderdeel van direct-marketing. Een direct-mailcampagne bestaat uit een of meer poststukken op naam verzonden en uit nazorg, bijvoorbeeld in de vorm van telefonisch contact zoeken met de geadresseerde.

Ad 3 Audiovisuele communicatiemiddelen Audiovisuele communicatiemiddelen zijn in veel gevallen hulpmiddelen. In de meeste gevallen worden ze gebruikt om vormen van mondelinge informatie-overdracht te ondersteunen of om schriftelijke middelen te vervangen. Het zou te ver voeren hier uitgebreid in te gaan op alle mogelijkheden en onmogelijkheden van audiovisuele middelen. Ook hierin bestaat een grote verscheidenheid en de toepassingen zijn legio. Audiovisuele communicatiemiddelen zijn onder andere:

Een in het kader van informatiebeveiliging veel gevraagd medium is een video. De video kan een hoge impact hebben, maar is evenwel kostbaar als deze professioneel wordt geproduceerd. Het medium vereist wel mede gelet op de hoge kosten een goede voorbereiding wat nu moet worden gepresenteerd. De video kan worden ingezetten tijdens plenaire sessies, danwel kan aan iedere individuele medewerker een copie worden toegezonden. De film is eigenlijk door het medium video achterhaald en is door de enorm hoge kosten niet meer geschikt als medium. Diapresentaties zijn weliswaar goedkoper dan een video, maar relatief moeilijk te transporteren. Dia’s worden vrijwel uitsluitend ter ondersteuning van presentaties gebruikt.


Overheadprojectie wordt eigenlijk alleen gebruikt als ondersteunend middel bij presentaties. Hoewel relatief eenvoudig zelf te produceren, wordt over het algemeen de voorkeur gegeven aan dia’s vanwege de hogere kwaliteit en gebruiksvriendelijkheid. Ditzelfde geldt voor de flipovers. Deze zijn natuurlijk prima geschikt om in kleinere groepen ‘spontaan’ uiteen te zetten waar het om gaat. Zowel voor de sheets als voor de flipover is een goede voorbereiding welke informatie nu moet worden overgedragen, van essentieel belang voor een acceptabele en professionele presentatie. Sheets die voor de ene doelgroep gebruikt kunnen niet zonder meer voor een andere groep worden gebruikt.

Internet is een nieuw medium. Door de functie van Internet binnen de overheid Is dit medium vooralsnog niet echt geschikt voor een informatiebeveiligingscampagne, alhoewel een combinatie van introductie van Internet met infomatie over informatiebeveiliging het mes aan twee kanten snijdt. Sommige medewerkers van de overheid die inmiddels Internet ‘brievenbussen’ hebben, zouden daarvoor kunnen worden ingezet.

Casseîtebandjes of CD’s worden steeds vaker gebruikt als communicatiemiddel. Daarbij wordt vaak muziek afgewisseld door gesproken woord. Een leuk middel dat niet te gek veel geld kost en over het algemeen een hoge attentiewaarde heeft. Wij wijzen u er evenwel wel op dat dit middel over het algemeen niet vaker dan twee keer door de ontvanger wordt gebruikt.

Bij audio-visuele communicatie kunt u tenslotte nog denken aan theater (toneel, sketch, poppenkast, e.d.). Dit wordt nog niet veel ingezet, maar met creatieve ideeën kan ook dit middel goed gebruikt worden. Het voordeel van dit medium is dat in een spelsituatie de situatie op het ministerie kan worden uitgebeeld waardoor de bewustwording en herkenning op een aardige wilze in elkaar kunnen overlopen.

Audio-visuele communicatiemiddelen zijn vaak kostbaar. Daar staat tegenover dat de toevoeging van audio of beeld de boodschap vaak enorm verheldert. Indien u ovetweegt een audio-visueel middel in uw campagne te incorporeren, dan adviseren wij u een specialist in te schakelen: een slecht AA-produkt kan meer schade berokkenen dan een goed produkt goed kan maken1

Middelenmix Een zorgvuldig gekozen middelenmix kan wezenlijk effectiever zijn dan individuele middelen. Het samenstellen van een goede en effectieve mix is uiteraard afhankelijk van de situatie en de reeds beschikbare middelen binnen uw organisatie.

0

0


Stel dat een personeelsbijeenkomst wordt georganiseerd dan kan met behulp van een videofilm informatie wordt aangedragen over informatiebeveiliging waarna een enquêteformulier wordt uitgereikt om de kennis en de mening van de medewerkers over het onderwerp te achterhalen. Als dank voor de moeite kunnen kleine herinneringen (incentives) worden uitgereikt. Aan de hand van de uitslag van de enquête kan een groeps- discussie plaatsvinden en kunnen bijvoorbeeld brochures al5 direct mail aan de doelgroep worden toegestuurd en kan een verslag in het personeelsblad worden opgenomen.

In het communicatieplan zal vooral veel aandacht moeten worden besteed aan de samenhang tussen de verschillende soorten van communicatie. De effectiviteit neemt toe als de doelgroepen op verschillende wijzen met het onderwerp geconfronteerd worden.

Kanalen De geselecteerde communicatiemiddelen zullen uiteindelijk via een kanaal worden verzonden. De keuze van de kanalen is mede afhankelijk van de aard van de in te zetten communicatiemiddelen. Kanalen waarlangs de boodschap kan worden overgebracht zijn ondermeer:

Interpersoonlijke contacten hebben een hoge impact. Door de omvang van de organisatie is deze vorm van communicatie evenwel nauwelijks haalbaar. Interpersoonlijk contact met belangrijke beïnvloeders met een grote ‘span of control’ of een groot sociaal bereik binnen de organisatie kunnen evenwel bijzonder effectief blijken.

Omdat de doelgroep binnen uw organisatie beperkt is, is het gebruik van massamedia niet aan te bevelen. De overname uit de massamedia van artikelen over informatiebeveiliging in het knipseloverzicht van uw organisatie daarentegen kan evenwel wel goed werken om uw doelgroep op het onderwerp opmerkzaam te maken.

De post wordt uiteraard gebruikt bij direct mail of het versturen van een persoonlijke brief, folder enfof brochure naar het huisadres van medewerkers. Het toesturen naar het huisadres verhoogt over het algemeen de persoonlijke betrokkenheid. Door gebruik te maken van de interne post binnen uw organisatie kunnen de kosten van de campagne wezenlijk worden verlagen.

Elk kanaal heeit zijn voor- en nadelen en vereist een eigen vormgeving van de boodschap. Zo is het gebruik van massamedia in verhouding goedkoop per bereikt individu. Weet evenwel dat de inschakeling van massamedia

40 HANOLEIOING BEWUSTWORDING

voor het bereiken van uw medewerkers waarschijnlijk nutteloos is omdat teveel mensen worden bereikt die niet bij uw organisatie werkzaam zijn.

@ Ook kan gekozen worden voor het inschakelen van intermediairen: personen binnen of buiten de doelgroep die een flinke dosis kennis over het onderwerp bezitten en vanwege functie of status een bepaalde invloed op de te bereiken doelgroep kunnen uitoefenen.

Pretests Wanneer uiteindelijk een weloverwogen keuze is gemaakt voor (de combinatie van) communicatiemiddelen is het raadzaam de middelen te pretesten. Hiewoor kunnen de volgende objectieve criteria gebruikt worden:

- begrip: de doelgroep dient de boodschappen in de eerste plaats te begrijpen voordat er sprake kan zijn van acceptatie:

- herinnering: wordt de aandacht van de doelgroep getrokken en is de boodschap gemakkelijk te onthouden.

- sterke en zwakke punten van de boodschap: de boodschap kan in een meer definitieve vorm zwakke kanten vertonen, nu is daar nog wat aan te doen;

- persoonlijke relevantie: speelt de boodschap in op persoonlijke belangen van de doelgroep of blijft de boodschap in algemeenheden spreken. - relevantie met betrekking tot de doelstellingen: welhaast een vanzelfsprekendheid maar veelal toch vergeten.

Het pretesten kan plaatsvinden door het houden van schriftelijke of mondelinge enquêtes, waarbij de ‘proefpersoon’ om zijn mening over het ontworpen middel wordt gevraagd. Aspecten die getest kunnen worden zijn bljvoorbeeld: schrijfstijl. lay-out, taalgebruik, kleur, begrijpelijkheid, etc. Aan de hand van de resultaten van de pretest kan het concept alsnog worden aangepast en zo nodig worden verbeterd.

Zoals duidelijk moge zijn, vergt de keuze van een communicatiemiddel enige kennis en het nodige inzicht. Wellicht is het effectief een aantal middelen te selecteren en per middel voor- en nadelen tegen elkaar af te wegen. Voor het uiteindelijk effect van uw campagne is het van groot belang dat de juiste middelen voor het bereiken van de doelgroepen worden ingezet.


4.4 Timing

Wanneer de middelen doeltreffend gekozen zijn, dient er een tijdsplan gemaakt te worden voor de uitvoering van het communicatieplan. In de checklist uit het vorige hoofdstuk heefl u een einddatum moeten bepalen voor het bereiken van uw generieke doelstelling. Nu is het van belang dat u ook een startdatum bepaalt, De startdatum voor uw plan (campagne) is in feite het moment van interne goedkeuring. Vanaf dat moment kunt u gaan plannen. Per activiteit of doelstelling dient u een draaiboek te maken waarin de uitgangspunten vermeld staan, de verantwoordelijkheden van de betrokkenen beschreven staan en een schema staat met de te ondernemen activiteiten van dag tot dag. Deze activiteiten dienen vervolgens in een algemeen draaiboek te worden samengevat zodat u goed overzicht houdt van hetgeen gaande is.

Tevens is het van belang dat de timing zo gepland is, dat in de ogen van de doelgroep niet duidelijk is wat wanneer gaat gebeuren. De doelgroep mag niet in de gaten hebben dat er een aantal (communicatief-technische) stappen op kennis-, houding- en gedragniveau in het bewustwordingsproces plaatsvindt. De timing dient dus zo logisch en natuurlijk mogelijk te verlopen; alle fasen van het plan moeten in elkaar overvloeien. Aan de hand van de timing van de opeenvolgende middelen kan bekeken worden of de einddatum voor het behalen van de generieke (sub)doelstelling nog reëel is.

4.5 Budget

Bij de keuze voor de inzet van verschillende middelen dient uiteraard ook rekening te worden gehouden met het beschikbare budget. Als u een budget moet aanvragen, is het van belang goed inzicht te hebben in de te maken kosten. Er is een aantal voordelen verbonden aan een goede budgettering. Een degelijk budgetteringsysteem vergroot de beheersbaarheid van kosten en Inzet van menskracht en materialen. Budgettering geefl bovendien grotere mogelijkheden tot het delegeren van bevoegdheden en verantwoordelijkheden doordat in het budget vastligt hoeveel en voor welke middelen uitgaven gedaan kunnen worden zonder dat daar overleg voor nodig is. Er zijn verschillende methodieken voor budgetteren. Een budget kan een vaststaand gegeven zijn. Bij deze close-end budgettering staat het budget voor een bepaalde periode vast en zal het niet aangepast worden. Aan de hand van het vastgestelde bedrag worden de meest kost-efficiënte


middelen en kanalen gekozen die u binnen het vastgestelde budget kunt inzetten.

Bij de open-end budgettering kan het budget volgens van tevoren vastgestelde procedures tussentijds worden herzien. Deze methode is vooral gebruikelijk in gevallen waar veel onzekerheid over de te verwachten activiteiten bestaat. Aan de hand van de gekozen middelen en kanalen wordt het budget vastgesteld. Van tevoren wordt bepaald welke middelen beslist nodig en welke extra effectiviteitsverhogend zijn. Op basis daarvan kan voordurend terugkoppeling plaatsvinden tussen de persoon die verantwoordelijk is voor het budget en voor de campagne.

Een zero-base budgettering is een methode waarbij voor iedere periode opnieuw alle posten worden bediscussieerd. Dit bevordert het kritisch 0 bekijken van de uitgaven. Een nadeel is dat het veel tijd kost, terwijl veel uitgaven een min of meer vast gegeven zijn (loonkosten en bijvoorbeeld administratieve kosten). Aanbevolen wordt te werken met een open-end budgettering (alhoewel binnen de overheid een vastgestelde begroting gebruikelijker is). Nog maar weinig organisaties hebben ervaring met campagnes over


informatiebeveiliging; er kan niet zomaar vantevoren worden vastgesteld hoe groot het budget dient te zijn.

Bij budgettering moet in ieder geval rekening worden gehouden met:

- de kosten van de basistaken, zoals de vaststaande bedragen voor lonen, huur van ruimten, administratie, etc.;

- de individuele kosten van projecten, activiteiten en/of middelen; - kosten voor effectiviteitsondetzoek - onvoorziene kosten. - besteding mensdagen (onzichtbare kosten)

Vaak worden deze kostenposten in het opstellen van een budget vergeten en blijkt en campagne achteraf toch duurder te zijn geweest dan oorspronkelijk begroot. Vergeet deze posten daarom niet1 Gedurende de gehele periode van het plan is het uiteraard goed op de hoogte te blijven van de uitgaven. Dit kan met behulp van maandelijkse of kwartaaloverzichten waarin in kolommen naast elkaar zijn gebracht: de begrotingspost, de uitgaven de dato en een prognose van de kosten voor nog uit te voeren of te initiëren activiteiten. Door het vergelijken met het vooraf opgestelde budget kan de efficiëntie van het plan tussentijds gecontroleerd worden. Hiervoor is het uiteraard wel noodzakelijk dat er een budget is opgesteld waar alle activiteiten met de daarvoor begrote kosten in opgenomen zijn. Verder moet er een tijdsplanning zijn waarin wordt aangegeven wanneer een bepaalde activiteit afgerond moet zijn en het budget dient te worden vrijgemaakt.

4.6 Checklists

In het vorige hoofdstuk heeft u aan de hand van de checklist uw doei- stellingen, uw doelgroepen en uw strategie kunnen bepalen. Aan de hand van onderstaande checklist kunt u de tactiek, de middelen, de timing en het budget vaststellen. Voor meer specifieke checklists voor de produktie van communicatiemiddelen vetwijzen wij u naar het volgende hoofdstuk.

O


Tactiek Wellicht heeft u in het voorgaande hoofdstuk verschillende subdoelgroepen geformuleerd. De tactiek kan voor het bereiken van de verschillende

subdoelgroep af te werken.

0 Op basis van de door mij gekozen strategie bepaal ik als tactiek:

0 doelgroepen afwijken. Daarom is het raadzaam deze checklist verder per

........................................................................................................................ . .

0 De reden dat ik voor deze tactiek heb gekozen is: ................................................................................................................... . . . .

Q De tactiek is te gebruiken voor het bereiken van de geformuleerde

0 doelstelling op het niveau van: ............................................................ ..............................................

Middelen Communicatiemiddelen kunnen ingezet worden voor het bereiken van verschillende doelstellingen en doelgroepen. Vandaar dat wij aanraden onderstaande checklist voor communicatiemiddelen per doelstelling en per subdoelgroep in te vullen.

0 De middelen die ik wil inzetten om mijn doelstelling te bereiken zijn: ...................................................................... . . . . . . . . . . . . . . .

0 Mijn verantwoording voor de keuze van deze middelen is: .......................................................................................................

@ De middelen passen binnen de door mij gekozen tactiek omdat: .......... .............................

0 Via de volgende kanalen ga ik de middelen inzetten: ........ ........................

Q Mijn verantwoording voor de keuze van deze kanalen is: ....................................................................... . . . . . . . . . . . . . .

HANOLEIDING BEWUSTWOROING 45

Timing 0 De startdatum voor het uitvoeren van het communicatieplan is reeds

eerder vastgesteld op: ............................................................ ....................... . . .

Q Mijn globale timing voor het totale communicatieplan ziet er als volgt uit:

. . . . . ...................... ....................................................................

0 Het produktieschema per activiteit of communicatiemiddel is (per gekozen middel een schema opstellen):

.................................................................................................................................................................

Budget 0 Het budget voor het communicatieplan heb ik op de volgende manier

vastgesteld: ................... ......................................................................................................

Q Het totale budget voor het plan is: ................... ............... .........

0 Het budget is als volgt opgebouwd (per communicatiemiddel aangeven):

......... ....................... ...........................................

0 Mijn verantwoording voor het budget is: .................................................................................................................


Hoofdstuk 5 Middelenimplementatie

5.1 Inleiding

In hoofdstuk 4 is aandacht besteed aan verschillende onderdelen van het operationele gedeelte van het communicatieplan. Tactiekbepaling, de verschillende soorten communicatiemiddelen die ons ter beschikking staan, timing en budgettering kwamen achtereenvolgend aan de orde. Aan de hand van de checklist in de laatste paragraaf van dat hoofdstuk heeft u vervolgens voor uzelf bovengenoemde aspecten kunnen bepalen en verantwoorden. Nu komt het aan op de daadwerkelijke implementatie van de door u gekozen middelen. * Om u een goede keuze te laten maken wat u zelf kunt doen en wat u uitbesteedt, geven wij in dit hoofdstuk ais voorbeeld een aantal uitgebreide checklists voor de produktie van een aantal willekeurige middelen. Daarbij is gekozen drie verschillende soorten communicatiemiddelen ais voorbeeld te nemen: een brochure, een bijeenkomst en een audiovisuele produktie.

U kunt ook beslissen de produktie van de door u gekozen middelen niet zelf ter hand te nemen, maar dit uit te besteden aan externen of de afdeling voorlichting van uw organisatie. Ook daarbij kunnen de checklists u behulpzaam zijn: bij het geven van een duidelijke briefing aan derden en het controleren en bijsturen van het feitelijke produktieproces.

Ook om die reden gaan wij in dit hoofdstuk in op de wijze hoe gekomen kan worden tot een effectieve en efficiënte wijze van uitbesteden. Omdat ook uw afdeling voorlichting de feitelijke produktie vaak aan derden zal uitbesteden, geven wij tot slot een lijst welke kan worden gebruikt bij het maken van een keuze voor een communicatie-adviesbureau.

De keuze uit te besteden danwel de ontwikkeling en produktie in eigen hand te houden, zult u zonder twijfel maken aan de hand van

- de tijd die u hiervoor beschikbaar heeft - de kennis en ervaring die u in deze heeft - de complexiteit van het onderwerp; - het beschikbare budget.

Waar het natuurlijk uiteindeiijk om gaat is dat de campagne effectief is. En dat zal uiteindelijk de doorslaggevende factor moeten zijn bij uw beslissing de ontwikkeling en produktie van middelen uit te besteden.


0

Laten wij daarom eerst eens inventariseren wat er allemaal komt kijken bij de produktie van drie willekeurig gekozen middelen: een brochure, de organisatie van een bijeenkomst en de produktie van een audio-visueel middel.

5.2 Checklist produktie brochure

Als eerste voorbeeld nemen wij de produktie van een brochure. Vanzelf- sprekend dient er, voordat een aanvang wordt gemaakt met de feitelijke produktie, duidelijk omschreven te worden wat het doei van de brochure is en hoe de doelgroep waarvoor de brochure bedoeld is, is samengesteld. Tracht daarbij tevens - conform de wijze die u in Hoofdstuk 3 gehanteerd heeft -in één zin van niet meer dan 20 woorden te vertellen wat de brochure moet communiceren.

Waarschijnlijk is de brochure niet het enige middel dat door u zal worden ingezet om uw boodschap over te brengen. Als dat het geval is dient u vast te stellen hoe de samenhang is met de andere middelen die worden toegepast en of de geplande brochure een evenwichtige plaats heeft binnen de door u voorgestane campagne. Dat geldt uiteraard voor alle middelen die u wilt gaan inzetten.

Briefing Voor degene die u heeft geselecteerd voor de produktie van de brochure (verder bureau te noemen), dient een duidelijke en heidere briefing te worden opgesteld.

Let bij het opstellen van deze briefing op de volgende aandachtspunten:

- degene die de brochure gaat vervaardigen heeft waarschijnlijk weinig kennis van het onderwerp; begin dus bij het begin en geef voldoende achtergrondinformatie en verstrek de u ter beschikking zijnde feitelijke gegevens;

- verstrek informatie over de doelgroep(-en), waarbij het vooral van belang is te omschrijven welke factoren (zoals functie, soort informatiesysteem, opleidingsniveau, etc.) bij de doelgroep voorkomen;

- vertel wat de ene kernboodschap is die de brochure in ieder geval dient te communiceren;

- vermeld wat u uiteindelijk met de brochure wilt bereiken; - houdt de hoeveelheid informatie beperkt - een brochure dient één

hoofddoel; - geef instructies met betrekking tot de huisstijl van uw organisatie of stel

indien mogelijk een Handboek Huisstijl beschikbaar,

48 HANDLEIDINO OEWUCTWORDING

O

e

O

O

Gebaseerd op de door u gegeven informatie zal het bureau een voorstel doen, waarbij natuurlijk ook aandacht aan het benodigde budget dient te worden gegeven. U kunt daarbij (0n)aangenaam worden verrast indien u niet zelf op voorhand een indicatie heeft gegeven van het beschikbare budget. Nieuwe en bijzondere druktechnieken, luxe (milieuvriendelijke) papiersoorten, afwijkende formaten, drukwerkveredeling en bijvoorbeeld bijzondere fotografie werken uiteraard kostenverhogend. Indien u niet of onvoldoende aangeeft in welke orde van grootte u denkt, dan kunnen prijsverschillen van 150% of zelfs meer optreden, waarbij de beoordeling van verschillende offertes veelal lijkt op het vergelijken van appels met peren. Het geven van een grove budgetindicatie is daarom aan te bevelen.

Vervolgafspraken Nadat het bureau is gebriefd, dienen vewoigafspraken gemaakt te worden. Het bureau zal zelf een tijdsplanning moeten aandragen: de tijdsplanning waarin zij denken de brochure te kunnen ontwikkelen. Van de kant van de opdrachtgever (u dus) dient ook een deadline te worden gesteld, namelijk de datum waarop de brochure conform uw generieke planning geheel gereed (voor distributie) moet zijn.

Tijdens een volgende afspraak zal het bureau een grove opzet met daarbij een hoofdstukindeiing ter goedkeuring voorleggen. Hierover is dan uiteraard discussie mogelijk. Bepaal tenslotte of u behoefte heeft aan responsifeedback; indien dat zo is, vraag dan het bureau hoe zij denken daaraan invulling te kunnen geven.

HANDLEIDING BEWUSWORDINQ 49

Voor de goede orde: onder vetvoigafspraken verstaan wij ook de noodzakelijke bijeenkomsten tijdens de produktiefase.

De produktiefase a De door het bureau geschreven tekst zal geregeld ter goedkeuring voorgelegd dienen te worden. Wellicht is het daarbii handig iemand van de afdeling communicatie in te schakelen. Zij kunnen namens u ondermeer controleren of de huisstijl met betrekking tot de tekst op de juiste wijze gehanteerd wordt. Daarnaast kunt concept-teksten en/of drukproeven aan 'proeflezers' uit de doelgroep voorleggen voor commentaar.

Ook over de vormgeving van de brochure dient tijdens de produktiefase contact te worden onderhouden. Beeldelementen (foto's, illustraties en uitstraling) die ter ondersteuning van de tekst in de brochure dienen, moeten worden besproken; schetsen voor de lay-out worden ter goedkeuring aan u voorgelegd en ook de te gebruiken typografie zal dienen te worden beoordeeld (op basis van de door uw organisatie gehanteerde huisstijl).

Tussentijds dient gecontroleerd te worden of de planning van de produktie van de brochure nog conform de afspraken verloopt.

In de laatste fase zal het bureau een definitieve drukproef presenteren. Let op dat u alle door u gewenste aanpassingen v66r deze fase laat piaats- vinden: een drukproef is uitsluitend bedoeld als eindcontrole. Eventueel door u gewenste correcties in deze fase zijn uiterst kostbaar en veelal voor rekening van de opdrachtgever. Wanneer op de drukproef goedkeuring wordt gegeven, zal het drukproces in werking gaan.

De implementatiefase Wanneer de brochure uiteindelijk gereed en afgeleverd is,dient deze te worden verspreid. Als het goed is heeft u reeds op voorhand bepaald op welke manier dat het best kan plaatsvinden. U kunt ervoor kiezen de brochure via de interne post te verspreiden, naar het huisadres van de medewerkers te sturen, tijdens een bijeenkomst uit te delen of via management te verspreiden. Voor welke manier van distributie u ook kiest, bepaal eerst wie voor de distributie zorg gaat dragen en geef deze instantie tijdig instructies met betrekking tot de te bereiken doelgroep, de aantallen en timing.

Responslfeedback In een eerder stadium heeft u besloten of u respons/feedback op de brochure wilt ontvangen. Is dat het geval, dan heeft u daar bij de produktie

*

a 50 HANDLEIDING BEWUCTWDRDING

natuurlijk reeds rekening mee gehouden door bijvoorbeeld een antwoordkaart of een telefoon-/faxnummer in de brochure op te nemen en een postbus of antwoordnummer voor dit doel te openen. Bepaal vervolgens wie zorg gaat dragen voor de verwerking van de respons en hoe de stappen daaropvolgend vormgegeven worden en wie daarvoor verantwoordelijk is. Het is goed ook in deze fase op voorhand te bepalen hoe en door wie over de respons wordt gerapporteerd zodat u deze gegevens in uw eigen eindrapportage mee kunt nemen.

Een laatste opmerking met betrekking tot het gebruik van een brochure binnen het kader van uw informatiebeveiligingscampagne is hier wellicht nog op z'n plaats: een brochure kent beperkingen. Een brochure dient (niet meer dan) één doel, is inhoudelijk soms snel achterhaald, kent door de massaliteit aan gedrukte informatie een relatief hoge overdrachtsdrempel,

vermelde Informatie daadwerkelijk tot zich heeft genomen. De reden dat brochures desondanks toch nog steeds populair zijn, is gelegen in het feit dat dit medium ten opzichte van andere middelen relatief goedkoper is en bij uitstek geschikt is om bewaard te worden.

0

waarbij ook nog eens moeilijk is vast te stellen of de doelgroep de

5.3 Checklist Organisatie bijeenkomst

Vanzelfsprekend heeft u een weloverwogen keuze gemaakt om een bijeenkomst te organiseren. De organisatie van een effectieve bijeenkomst kost in de regel evenwel veel tijd. Net als bij checklist voor de produktie van de brochure zijn wij er bij deze checklist van uitgegaan dat u de organisatie van de betreffende bijeenkomst zult uitbesteden aan derden (verder bureau te noemen).

De briefing Het bureau dat de organisatie van de bijeenkomst op zich zal gaan nemen dient een briefing te krijgen. In deze briefing dient het volgende aan de orde te komen:

- uw motivatie voor de keuze voor de organisatie van een bijeenkomst; - wie de doelgroep voor de bijeenkomst vormt en uit hoeveel personen

die doelgroep ongeveer bestaat: - wat uw belangrijkste boodschap voor/tijdens de bijeenkomst zal zijn; - wat u met de bijeenkomst wilt bereiken; - welke sprekers en andere onderdelen u in gedachten heeft voor de

bijeenkomst; - waar en wanneer u de bijeenkomst wilt laten plaatsvinden;

0


- hoe het uitnodigingstraject moet verlopen en wie dat voor zijn rekening neemt.

Ook in deze geldt: geef voldoende achtergrondinformatie zodat het bureau met een gedegen advies en voorstel kan komen.

Met betrekking tot het budget kunt u -net als bij de produktie van de brochure- twee kanten op: u kunt op voorhand een budgetindicatie geven maar u kunt het bureau ook vragen op basis van de verstrekte informatie aan te geven hoeveel de ontwikkeling en uitvoering van een dergelijke bijeenkomst zal gaan kosten.

Vervolgafspraken Het bureau zal eerst met een summier voorstel voor de bijeenkomst moeten komen. Over de inhoud van dat voorstel dient overleg plaats te vinden, waarbij zonodig punten veranderd en bijgestuurd kunnen worden. Als dat is gebeurd kunt u toestemming verlenen om bijvoorbeeld de locatie te reserveren en sprekers uit te nodigen. Het bureau zal dus met uw goedkeuring een aantal zaken gaan vastleggen.

Tussentijds zal met het bureau contact moeten worden gehouden over de voortgang van de organisatie. Over de mogelijkheid en hei nut van responshedback kunt u tijdens een vervolgafspraak met het bureau overleggen.

De produktiefase Onder de produktiefase verstaan we in dit geval de totale organisatie van de bijeenkomst. Van planning tot uitvoering. Houdt daarbij vooral ook rekening met het uitnodigingstraject. Agenda's lopen snel vol en door de toenemende werkdruk wordt bij iedere uitnodiging een prioriteitsafweging gemaakt op basis waarvan de genodigde al-dan-niet op een uitnodiging ingaat. Over het ontwerp van de uitnodiging, de antwoordkaart, de bevestiging en vooral de tekstuele invulling van het uitnodigingstraject dient daarom intensief contact te worden gehouden met het bureau.

Het bureau dient u geregeld op de hoogte te houden over de voortgang van de organisatie van de bijeenkomst. De accommodatie en de aan- kleding daarvan, de catering, de sprekers en het draaiboek voor de dag zelf dienen gedetailleerd te worden besproken. Het is goed over deze onder- werpen op voorhand afspraken te maken.

De implementatie De dag van de bijeenkomst is de implementatie van dit communicatie-


middel. Als het goed is, zal het bureau er zorg voor dragen dat op de bijeenkomst zelf alles gladjes verloopt. Om te voorkomen dat u voor verrassingen komt te staan, kunt u van het bureau eisen dat de op te e stellen draaiboeken voor de bijeenkomst door u worden goedgekeurd,

Bij grotere evenementen is het normaal dat voor bijvoorbeeld techniek, sprekers en catering verschillende deeldraaiboeken worden opgesteld. Dat zijn elementen die tot de taken van het bureau horen. Zolang u het algemene draaiboek kent en goedkeurt, mag u verwachten dat het bureau deze specifieke taken voor u op een adequate manier ten uitvoer brengt. U blijft echter verantwoordelijk voor het uiteindelijke resultaat.

Binnen uw organisatie dienen in ieder geval een paar personen aangewezen te worden die als aanspreekpunt kunnen fungeren, het bureau O terzijde ” kunnen staan en gedurende de bijeenkomst kunnen controleren.

Uiteraard is het raadzaam na afloop van de bijeenkomst (op een later tijdstip) samen met het bureau de bijeenkomst de evalueren.

Wij hebben het reeds eerder opgemerkt. Een bijeenkomst is een relatief ‘zwaar’ middel en dient uitsluitend te worden ingezet indien een goede respons mag worden veiwacht.

5.4 Checklist audiovisuele produktie

Dat u de produktie van een audiovisueel middel zal uitbesteden aan een bureau ligt eigenlijk voor de hand. Het produceren van een audiovisual is een nauwgezet en specialistisch werk, waarbij kennis, kunde en creativiteit een zeer grote rol spelen. U kunt een bureau dat gespecialiseerd is in het maken van audiovisuals selecteren op de manier zoals beschreven staat in de checklist ‘keuze communicatie adviesbureau’.

Briefing Het bureau dat u geselecteerd hebt voor de produktie van de audiovisual dient een duidelijke briefing van u te ontvangen. Voor het opstellen van de briefing is het belangrijk dat de volgende punten aan de orde komen:

- uw motivatie voor de keuze van een audiovisuele produktie: - uw motivatie voor de keuze van een bepaalde audio-visuele techniek

(video, film, cassette, DAT, CD, CD-ROM, CD-I, etc.): - hoe luidt de kernboodschap die de audiovisual moet gaan uitdragen: - een duidelijke omschrijving van de doelgroep(en);


- wat u met de audiovisual wilt bereiken en of u dat resultaat wilt meten; - hoe, waar en wanneer het audio-visuele middel toegepast zal gaan

worden (zowel technisch als in het kader van uw totale campagne): - een indicatie hoe groot uw budget is voor de audiovisual, inclusief

eventuele van toepassing zijnde rechten. O

Vervolgafspraken Tijdens de vervolgafspraken zal het bureau moeten aangeven dat het door u gekozen audio-visuele middel ook daadwerkelijke het meest effectieve middel is. Het bureau zal in deze fase tevens een grove indicatie geven hoe de produktie inhoudelijk en beeldtechnisch vormgegeven kan worden. Het is goed hierbij te meiden, dat in deze fase geen uitgewerkte (en kostbare) synopsis van een bureau mag worden verwacht. Het voorstel zal zich beperken tot inhoudelijke hoofdlijnen, generieke vormgevings- aspecten, toe te passen technieken en kosten.

ProduMiefase Indien u een bureau heeft gekozen dat de produktie voor u zal verzorgen, zult u achtereenvolgens van het bureau kunnen verwachten:

- een synopsis waarin uw boodschap verhalend is omschreven in de vorm die de audio-visuele produktie naar de mening van het bureau dient te krijgen, inclusief een aantal technische aspecten en een voorstel voor -indien van toepassing- decors d o f locaties, acteurs, presentators enlof commentaarstemmen;

- een script waarin de audio-visuele produktie gedetailleerd is uitgewerkt; - indien van toepassing een voorstel voor muziek (iet op eventuele

rechten: STEMRNBUMAk I.

O - een tijdspad dat is verbonden aan de produktie.

U dient op elk van deze volgordelijke stappen uw goedkeuring of open aanmerkingen te geven zodat daarmee door het bureau in devolgende fase rekening ken worden gehouden.

Wanneer het script uiteindelijk is goedgekeurd vindt de feitelijke produktie plaats. Indien u dat wenselijk acht, kunt u daarbij aanwezig zijn. Wanneer de opnames gereed zijn dienen deze gemonteerd te worden. Uitelndelijk zal het bureau de audio-visual al-dan-niet in ruwe vorm aan u presenteren. Daarna kan het middel nog op bepaalde technische punten worden aangepast. Uiteindelijk zal het bureau het AV-middel met bijbehorende kopieën bij u afleveren. U kunt zelf voor de distributie zorgen of dat aan het bureau overlaten.


De implementatie De vertoning is de werkelijke implementatie van het audio-visuele communicatiemiddel. U heeft uiteraard op voorhand bepaald hoe, wanneer en waar het middel ingezet zal gaan worden. Dit heeft uiteraard te maken met het middel dat u kiest. Zo wordt een video veelal opgenomen op een professioneel systeem dat ongeschikt Is voor huiskamergebruik maar zich bij uitstek leent voor vertoning in grote zalen of reproduktie zonder al te veel kwaliteitsverlies op het gebruikelijke VHS-systeem. En zo beschikken de meeste mensen tegenwoordig wel over een CD-speler maar niet over een DAT-recorder, waarvan kopieën bij een kleine oplage veel goedkoper zijn. Het is in deze goed voorafgaande aan de produktie met het bureau op basis van uw wensen en eisen te overleggen welk medium wordt gekozen.

Ook een audio-visueel medium kent nadelen. Hoewel in deze tijd audiovisuele media niet meer zijn weg te denken, zijn deze media bijzonder vluchtig. Niemand vindt het leuk om meerdere keren naar de zelfde video te kijken of dezelfde CD af te luisteren. Daar staat evenwel tegenover dat de effectiviteit van een goed geproduceerd audio-visueel medium veelal behoorlijk hoger ligt dan van menig ander middel en voegt een audio- visueel medium elementen toe die zich niet of nauwelijks in bijvoorbeeld een brochure of op een poster laten vangen.

0

0

5.5 Checklist keuze communicatie-adviesbureau

U kunt ervoor kiezen om de feitelijke produktie van de door u gekozen middelen rechtstreeks uit te besteden aan bijvoorbeeld een communicatie- adviesbureau. Medewerkers van communicatiebureaus bezitten kennis, ervaring en creativiteit op een terrein dat niet het uwe is: de vormgeving van de inhoud van hetgeen u wenst te communiceren. Zij kunnen u daarom in deze fase prima op weg helpen. In de navolgende checklist wordt ervan uitgegaan dat u goed naar uw eigen organisatie heeft gekeken en zodoende tot de conclusie bent gekomen dat het de effectiviteit en efficiency ten goede zal komen wanneer u een extern bureau in zou schakelen.

Mocht u besluiten externen in te schakelen, dan doet u er verstandig aan van maximaal drie bureaus presentaties op te vragen. Aan de hand van hun informatie en met behulp van de navolgende checklist kunt u vervolgens een weloverwogen keuze maken.

O


Kwaliteit van het externe bureau: - hoe komt de (schriftelijke) presentatie van het bureau op u over? - kunt u bij bestaande relaties van het bureau informatie inwinnen? - heeft het bureau eerder voor overheidsopdrachtgevers gewerkt? - biedt het bureau voldoende deskundigheid op uw probleem- c.q.

werkgebied? - kan het bureau omvangrijke zaken aan? - is het bureau voldoende creatief om complexe problemen op een

andere manier te benaderen? - biedt het bureau de mogelijkheid om complexe communicatie-

problemen te helpen oplossen? - beschikt het bureau over groot netwerk van relaties (bijvoorbeeld voor

ontwerp, productie van middelen, etc.)

Kwaliteit op deelgebieden: - kan het bureau u behulpzaam zijn bij het ontwikkelen van een gerichte

(interne) communicatiecampagne? - is het bureau in staat u behulpzaam te zijn bij het (laten) uitvoeren van

onderzoek? - biedt het bureau naast advies ook hulp bij implementatie? - is het bureau bekend met uw organisatie enlof informatiebeveiliging? - heeft u vertrouwen in de personen die voor u aan het werk zuilen gaan?

Werkwijze: - is een vrijblijvende eerste oriëntatie en offerte mogelijk? - Is het bureau bereid tot een beperkt vooronderzoek of advies, alvorens

de definitieve opdracht wordt ventrekt? - zijn deelopdrachten mogelijk? - is het bureau bereid samen te werken met bijvoorbeeld uw interne

afdeling Voorlichting? - zoekt het bureau actief naar voor u kostenbesparende mogelijkheden bij

de uitvoering? - is planning binnen de door u gewenste termijn mogelijk? - biedt het bureau na afloop van het project de mogelijkheid tot

evalueren? - heeft u het gevoel dat het bureau u gaandeweg het proces

daadwerkelijk terzijde kan en zal staan?

Kosten en garanties: - werkt het bureau met vaste tarieven voor adviestaken, uitvoerende en

secretariële taken? - biedt het bureau de mogelijkheid van kostencalculatie per fase? - geeft het bureau een duidelijk inzicht in de opbouw van de kosten?

58 HANDLEIDINO BEWUSTWDRDINO

- bestaat de mogelijkheid om vooraf een totaal- (of plafond-)prijs af te spreken voor het gehele project danwel voor deeltrajecten?

- conformeert het bureau zich aan bepaalde gedragscodes? - biedt de omvang, orderportefeuille en naam van het bureau voldoende

garantie voor continuïteit? - worden afspraken schriftelijk vastgelegd? - zijn contractuele overeenkomsten zodanig dat beide partijen zich

daarop kunnen beroepen indien dat noodzakelijk is? - heeft het bureau ervaring met de toeleveringsvoorwaarden die door de

overheid worden gehanteerd?

U heeft inmiddels gemerkt dat veel van het voorbereidende werk voor elk medium vrijwel gelijk is. Een gedegen briefing is de basis voor een gedegen en effectief produkt. De kennis en ervaring ven een communicatiespecialist

kunnen wij u alleen maar aanraden contact op te nemen met uw afdeling Voorlichting of met een gespecialiseerd bureau. En met betrekking tot het briefen, begeleiden en controleren van uw externe deskundige, dat is en blijft een kwestie van gezond verstand ...

O IS in dit stadium onontbeerlijk. Indien u deze kennis en ervaring mist, dan

: o HANDLEIDING BEWUSTWORDING 57

Hoofdstuk 6 Evaluatiemomenten

8.1 Inleiding

Het bewustwordingsproces dat u op gang wilt brengen heeft als het goed is met behulp van de voorafgaande hoofdstukken duidelijk inhoud en vorm gekregen. De voorbereidingsfase, de planningsfase en de implementatiefase zijn doorlopen: uw plan kan ten uitvoer worden gebracht.

Een succesvolle implementatie van uw campagne garandeert evenwel niet per definitie ook het resultaat dat u verwacht. Dat resultaat dient daarom te worden onderzocht. Wij raden u om deze reden aan tussentijds te evalueren. De informatie die uit evaluatie is verkregen, biedt de mogelijkheid uw campagne waar wenselijk bij te sturen. Door in te spelen op geïdentificeerde lacunes en invloeden van buitenaf kunt u het resultaat van uw activiteiten optimaliseren.

Naast het verder verhogen van de effectiviteit van uw campagne, kunnen de resultaten uit evaluatie-onderzoek tevens dienen als basis voor uw rapportage aan het management. Dit hoofdstuk gaat daarom in op de verschillende evaluatiemomenten en de wijze waarop deze evaluatie kan worden vormgegeven.

6.2 Test- en evaluatiemomenten

Zoals al eerder aangegeven, is het verstandig niet alleen onderzoek naar eindresultaten te doen, maar ook tussentijds te onderzoeken en evalueren wat tot dat moment is bereikt en of de gekozen strategie en tactiek voldoende effect sorteren.

Natuurlijk kunt u zelf het beste bepalen wanneer u deze onderzoeken wenst op te zetten. Het is daarbij duidelijk, dat niet iedere activiteit onderzocht dient te worden. Een aantal momenten is evenwel bij uitstek geschikt om als evaluatiemoment aangemerkt te worden.

6.3 De O-Meting

Om gaandeweg en aan het einde van de campagne te kunnen concluderen of de campagne het effect heeft opgeleverd dat u voor ogen stond, is het noodzakelijk voor aanvang van uw activiteiten onder uw doelgroep(en) te

58 HANDLEIDINO BEWUSWRDINQ

onderzoeken welke kennis over het ondetwerp informatiebeveiliging aanwezig is, zodat solide vergelijkingen mogelijk worden. Bij deze vorm van onderzoek is het belangrijk reeds op voorhand in te schatten welke informatie u wenst als u het gehele communicatieproces doorlopen heeft. Alleen op basis van onderzoek dat voorafgaand aan de campagne en na afloop van de campagne (goeddeels) gelijkluidend is, kunt u komen tot een goede vergelijking tussen de resultaten. Dit onderzoek dient daarom te worden opgezet op basis van uw einddoelstellingen. De zogenoemde O-meting wordt veelal opgevolgd door soortgelijke metingen die eveneens genummerd worden, de zogenoemde 1 -meting, 2-meting, etc. Deze onderzoeken worden omschreven in paragraaf 6.6.

6.4 Pretests

Om voorafgaande aan de implementatie te kunnen vaststellen of de gekozen middelen ook in de praktijk zullen wecken, kan een pretest worden gedaan. Bij een brochure kan bijvoorbeeld gedacht worden aan een tekst- analyse of aan een test waarbij de gekozen vormgeving ter beoordeling wordt voorgelegd aan een representatie uii de doelgroep.

Met betrekking tot de feitelijke informatie kunt u bestaande testen gebruiken van bijvoorbeeld Flesch-Douma en Langer. Daarnaast kan de tekst worden voorgelegd aan inhoudsdeskundlgen (medewerkers belast met de zorg voor informatiebeveiliging) en andere intermediairen die inzicht in de doelgroep hebben. Dit leidt mogelijk tot een eerste revisie van de informatiedrager. Vervolgens krijgen personen uit de doelgroep een zo goed mogelijk op het definitieve produkt lijkend concept te zien. Dit is de eigenlijke pretest. Het uitvoeren van pretest wordt vaak over het hoofd gezien of onbelangrijk geacht. Toch kunnen hiermee echte missers in de implementatiefase worden voorkomen. Met behulp van de resultaten van de pretest krijgt het produkt een tweede revisie. Daarmee kan overgegaan worden tot de definitieve produktie, vermenigvuldiging en verspreiding.

I !

6.5 Evaluatie-onderzoek

Er zijn twee vormen van evaluatie-onderzoek, te weten: - effectevaluatie. - procesevaluatie;

Bij effectevaluatie gaat het om de resultaten van: - de waardering, dit is het oordeel van de doelgroep over bijvoorbeeld

de inhoud van een folder of de duidelijkheid van mondelinge

HANOLEIOING BEWUSTWORDING 59

wordt onderkend, zal de volgende fase dienen te worden uitgesteld en zal hieraan eerst iets dienen te worden gedaan. Zou u dit onderzoek niet hebben verricht terwijl de informatie bijvoorbeeld nog onvoldoende duidelijk is, den mag u verwachten dat de daaropvolgende activiteiten in versterkte mate negatief resultaat zullen opleveren, ongeacht de kwaliteit ervan.

Hoewel proces- en effectonderzoek met name geschikt is voor tussentijdse evaluatie, kan effectonderzoek prima worden opgenomen in de hierna te omschrljven i-meting. Op basis van de dan voorhanden zijnde informatie kunt u een goede en op feitelijke gegevens gebaseerde eindrapportage opstellen.

6.6 i-Meting

Deze vorm van onderzoek wordt verricht aan het einde van (een deel van) het communicatieproces. Hoewel dit onderzoek goeddeels gelijk dient te zijn aan de eerder omschreven O-meting, kunnen in dit onderzoek additionele vragen worden opgenomen die bijvoorbeeld de wijze van communiceren, de uitingsvormen, de tijdsduur van de campagne en het effect dat de campagne heeft (gehad) op het gedrag van de doelgroep. Omdat informatiebeveiliging om een continuproces vraagt, wordt aanbevolen de O-meting meerdere keren te herhalen, bijvoorbeeld aan het einde van de iedere fase. Deze onderzoeken krijgen dan een volgordelijk nummer: de zogenoemde 1 -meting, 2-meting, etc. Door deze nummering kunnen de resultaten van ieder onderzoek met elkaar worden vergeleken en kunnen de resultaten van de verschillende Initiatieven goed in kaart worden gebracht.

6.7 Onderzoek in de praktijk

Het zou te ver voeren om in dit handboek alle mogelijk te hanteren onderzoekmethodieken te behandelen. Wij beperken ons daarom tot een aantal hoofdlijnen. Indien u meer informatie wenst over de verschillende ondetzoeksvormen, dan kunt u zich daartoe wenden tot uw afdeling Voorlichting of rechtstreeks tot een van de vele gespecialiseerde onderzoeksbureaus in ons land.

De opzet van een O-meting is afhankelijk van hetgeen u wenst te bereiken. Heeft u bijvoorbeeld in uw vooronderzoek kunnen concluderen dat uw organisatie reeds goed op de hoogte is van het belang van informatie-

HANDLEIDING BEWUSTWORDINQ 61

beveiliging en wat dit inhoudt, dan kunt u uw O-meting afstemmen op uw aangepaste campagne-activiteiten door bijvoorbeeld uitsluitend te onderzoeken wat de grondhouding van uw doelgroep ten opzichte van informatiebeveiliging is. Een O-meting wordt veelal kwantitatief opgezet, waarbij aan de hand van vragenlijsten bij een representatief aantal vertegenwoordigers uit de doelgroep wordt onderzocht hoe zij over een onderwerp denken en wat zij daarvan afweten. Kwalitatief onderzoek (lees: diepte-onderzoek) wordt gehanteerd indien de initiator diepgaande informatie over een specifiek onderwerp wenst. Deze vorm van onderzoek geschiedt onder een zeer beperkt aantal representanten uit de doelgroep.

Een pretest is relatief eenvoudig zelf te ontwikkelen en uit te voeren. Twee panelgesprekken met elk maximaal 8 representanten uit de doelgroep geven veelal al voldoende informatie om te kunnen bepalen of de voorgelegde informatiedragers door uw doelgroepen worden geaccepteerd of niet. Waar het in deze fase niet om gaat, is de effectiviteit van een middel meten; het gaat erom of het gekozen middel en de uitwerking daarvan aansluiten bij het referentiekader en de gedachtengang van de doelgroep. Over het algemeen heeft een pretest daarom het karakter van een discussie, waarbij open vragen zo nu en dan worden afgewisseld met gesloten vragen.

Procesonderzoek, of dit nou tussentijds plaatsvindt of uitsluitend aan het einde van de campagne, is de meest eenvoudige vorm van onderzoek. Door iedere processtap in kaart te brengen en te bezien in hoeverre deze stappen efficiënt ten uitvoer zijn gebracht, kan worden nagegaan waar eventuele problemen zijn ontstaan en hoe deze verder kunnen worden voorkomen.

Effectonderroek is zo mogelijk de meest belangrijke vorm van onderzoek. Uit dit onderzoek blijkt per slot van rekening of de (verschillende) campagne(-elementen) ook echt effect hebben gesorteerd. Deze vorm van onderzoek is, afhankelijk van wat wordt onderzocht, niet altijd even eenvoudig. Over het algemeen wordt aangeraden hiervoor specialisten aan te trekken en deze een voorstel te laten doen.

Om u toch een indicatie te geven: kennisvermeerdering of -verandering wordt veelal onderzocht aan de hand van een vragenlijst met voorge- codeerde vragen. Houdingsverandering onderzoekt men meestal met attitudeschalen. Gedrag wordt vaak onderzocht door waarnemingen of metingen te houden.

a

62 HANDLEIDING BEWUCTWOROINQ

Bij de eindevaluatie op basis van een 1-meting, kan worden nagegaan of het communicatieplan het beoogde effect had. Criteria die hierbij gehanteerd kunnen worden zijn: de mate waarin doelstellingen van het communicatieprogramma gerealiseerd zijn, welke middelen het meest effectief zijn gebleken, en welke informatie het grootste effect heeft gesorteerd. Zoals al eerder gesteld, dient een I-meting in grote lijnen te refereren aan de eerder omschreven O-meting. Alleen dan kan een echte vergelijking worden gemaakt tussen de periode voor de campagne en de resultaten van de campagne-activiteiten.

I

a HANDLEIDING BEWUSTWORDING 63

6.8 Uitbesteden van onderzoek

Alhoewel het belangrijk is op meer informele wijze zelf te trachten feedback te verzamelen door bijvoorbeeld zelf gesprekken met representanten uit de doelgroep aan te gaan, is het ook nuttig om na te gaan of u voor het onderzoek geen gespecialiseerd bureau zou inschakelen. Dat kan een marktonderzoekbureau zijn of een communicatie-adviesbureau. Er zijn bemiddelende bureaus die adviseren over de noodzaak, aanpak en uitbesteding van onderzoek. Een voordeel van het uitbesteden van onderzoek, is dat het deskundigheid en enige distantie tot het onderwerp waarborgt.

6.0 Timing en budget

Onderzoek kost tijd. De tijd die u nodig heeft om uw onderzoek op te zetten, kan synchroon lopen met de verdere ontwikkeling van uw activl- teiten. Het onderzoek zelf, de analyse van de resultaten en het daaraan verbinden van conclusies. daarvoor dient evenwel de nodige tijd in uw tijdsplanning te worden opgenomen. Daarnaast kost onderzoek ook geid. Als het onderzoek positieve resultaten oplevert, zou u kunnen concluderen dat dit geld verspild is. indien het onderzoek evenwel informatie oplevert die de effectiviteit van de campagne kan verbeteren, dan is het budget voor onderzoek veelal ai snel terugverdiend. Bovendien geeft onderzoek u -zoals reeds eerder gesteid- goede Informatie voor interne rapportage en verantwoording: een eis die tegenwoordig door de Algemene Rekenkamer aan overheidsdiensten is opgelegd.

8.10 Conclusie

Bevindingen uit tussentijds evaluatie-onderzoek leiden veelal tot verbetering van het communicatieprogramma. Bij de evaluatie kunt u Informatie afleiden uit de volgende aandachtspunten:

- het communicatieprogramma: dienen de doelen van het huidige communicatieplan bijgesteld te worden na de resultaten van het evaluatie-onderzoek? - de programma-onderdelen: welke programma-onderdeien waren effectief en kunnen mogelijk gecontinueerd worden? Zijn deze programma-onderdelen te gebruiken in andere situaties of bij andere doelgroepen?

04 HANDLEIDING BEWUSTWORDINQ

- de kosten van het programma: vergelijk kosten en effecten van de diverse activiteiten.

- vergroten ven het draagvlak voor het programma: u kunt de verschillende onderdelen en hun effecten ook aan andere betrokkenen voorleggen, zodat acceptatie wordt gecreëerd voor uw activiteiten en de noodzaak daartoe.

Tenslotte: het beleid: welke conclusies hebben de verantwoordelijken zelf uit de onderzoekcbevindingen getrokken? Is verder onderzoek nodig en welke financiële middelen ziin hiervoor beschikbaar?


6.11 Checklist

Op basis van onderstaande checklist kunt u controleren of u de door u te initiëren en geiniteerde activiteiten voldoende heeít onderzocht.

0 Ik heb de voor mijn campagne gekozen middelen en uitingen getest onder de doelgroep op basis van de volgende criteria: ....................................................................................................................................................................................................................

0 Op basis van de uitkomsten van de pretest heb ik het programma op de volgende punten bijgesteld

Q De O-meting binnen mijn organisatie heb ik laten vormgeven op basis van de volgende te meten kwalitatieve criteria:

Q Bij de opzet van de O-meting heb ik de volgende elementen ingevoegd die ook in de 1 -meting terug zullen komen: ...........................................................................................................................................................................................................

Q De interne gang van zaken en de coördinatie tussen de verschillende betrokken partijen wordt geëvalueerd op basis van de volgende criteria: ...........................................................................................................................................................................

0 Het effect van de communicatieve inspanningen wordt vastgesteld aan de hand van de volgende op voorhand omschreven criteria ten opzichte van de vastgestelde doelen:

0 De 1 -meting zal worden gehouden na een campagnepenode van: .......................................... ..........................

0 Voor het totale onderzoektraject heb ik het volgende bedrag in mijn begroting opgenomen: ....................................................................................................................................................................

0 Dit bedrag kan ruwweg worden onderverdeeld in de volgende budgetten voor de daarbij omschreven onderzoeken: ........................................................................................................................................................................................................

66

Hoofdstuk 7 Begrippenlijst

ADA-model: Het voigordeiijkheidsmodei voor het bereiken van attitudeverendering. AiDA staat voor Attention, interest, Desire en Action.

Boodschap: Communicatie-inhoud die de zender aan de ontvanger over wenst te brengen.

Brieiing: instructie door de opdrachtgever aan de uitvoerder met betrekking tot een opdracht. Een briefing bevat achtergrondinformatie, probleemstelling, aanwijzingen, wensen, doelstelling en voorschriften ten behoeve van de uitvoering van de opdracht.

Begroting: Geraamde kosten voor een activiteit, een communicatiemiddel of het totale communicatiepian.

Budget: Ter beschikking gesteld geldbedrag (of aantal te besteden mensdagen) voor de ontwikkeling en/oi uitvoering van een activiteit, een communicatiemiddel of het totale communicatiepian.

Close-end budgettering: Vastgesteld bedrag voor een bepaalde periode. Aan de hand van dit bedrag worden de meest kost-effectieve middelen en kanalen gekozen.

. . .

Activiteit van een zender waarbij een boodschap wordt overgedragen naar één of meerdere ontvangers. De manier waarop de communicatie tot stand komt, is het communicatieproces.

Communicatie-doelstelling: Formulering van het resultaat dat met communicatie dient te worden bereikt met betrekking tot kennis, houding enlof gedrag van de ontvanger@).

Communicatekanaal: De weg die een boodschap aflegt om van zender naar ontvanger te komen.

67

Communicatiemiddel: Middel (medium) dat gebruikt wordt om een boodschap over te dragen.

Doelgroep: Qroep mensen met gemeenschappelijke kenmerken bij wie de organisatie één of meerder specifieke doelen wil bereiken.

Doelstelling: Formulering van het resultaat dat men binnen een bepaalde tijd wil bereiken. De nagestreefde doelstelling wordt zowel omschrijvend ais in meetbare termen geformuleerd.

Eenmeting: Het vaststellen van een tussentijdse- of eindsituatie. Door deze situatie te vergelijken met de situatie tijdens de nulmeting kunnen conclusies getrokken worden.

Effectevaluatie: Het beoordelen van de resultaten en het geven van een waardering aan die resultaten.

Feedback: Het proces waarbij de zender informatie krijgt over de manier waarop de ontvanger reageert op zijn boodschap.

Flesch-Douma: Door Flesch ontwikkelde en door Douma voor de Nederlandse situatie aangepaste formule en tabel voor het beoordelen van teksten op leesbaarheid 206,84 - (0,77 x woordlengte t 0,93 zinslengte).

Informatiebeveiliging: Het treffen en onderhouden van een samenhangend pakket van maatregelen ter waarborging van de beschikbaarheid, integriteit en exclusiviteit van een informatiesysteem en daarmee de informatie daarin.

Informatiesysteem: Een geheel van gegevensverzamelingen, personen, procedures, programmatuur en opslag-, vetwerkings- en communicatie-apparatuur.

68

Intermediaren: Personen binnen of buiten de doelgroep die kennis over het onderwerp bezitten en vanwege functie of status een bepaalde invloed op de te bereiken doelgroep kunnen uitoefenen.

Langer: Door Langer ontwikkelde en door Andeweg en Jaspers uitgewerkte beoordeiingsmodel voor teksten op basis van de vier dimensies 'eenvoud, bondigheid, levendigheid en structuur', waarbij de laatste als belangrijkste wordt aangemerkt.

Nulmeting.' Het door middel van onderzoek vaststellen van de beginsituatie; het totaal

I

0 aan gegevens voor evaluatie-onderzoek.

Open-end budgettering: Budget dat volgens een van tevoren vastgestelde procedure, tussentijds kan worden herzien.

Pretest: Test die voorafgaand aan de produktie- en implementatiefase wordt gehouden om te onderzoeken of het ontwikkelde communicatiemiddel aan de gestelde eisen voldoet.

Procesevaluatie: Het beoordelen van de interne gang van zaken en de coördinatie lussen de verschillende betrokken partijen bij een communicatie-activiteit.

Ruis: Technische en menselijke factoren en actoren die het communicatieproces verstoren.

Situatieschets: Uitgangspunt voor het opstellen van een communicatiepian en tevens de omschrijving van de huidige situatie.

C tategie: De structuur op basis waawan het programma inhoud wordt gegeven. De strategie vormt de overgang tussen de dosien en de praktische - - elementen van iwt plan.

O


Tactiek: invulling van de gekozen strategie.

7ïming: Tijdsplanning voor verschillende activiteiten, fasen d o f voor het totale communicatieplan.

Zero-base budgettering: Methode waarbij voor iedere periode opnieuw het budget voor alle posten wordt vastgesteld.

70 HANDLEIDINO BEWUSTWORDING

Literatuurverwijzing

De volgende praktische handboeken kunnen u van dienst zijn als u besluit zelf (een deel van) de communicatie(campagne) uit te voeren:

Beveiligingsbewustzijn bij gegevensbescherming Auteur: Werkgroep NGI (Nederlands Genootschap voor Informatica, Afdeling beveiliging) Uitgever: Kluwer Bedrijfswetenschappen, 1995 ISBN: 90-267-2247-8

CHECK-mate pr Auteur: H. Aerssens Uitgever: Bohn Stafieu Van Loghum, 1994 ISBN: 90-313-1662-8

Marketing Communicatie Strategie Auteurs: K. Floor & F. van Raaij Uitgever: Stenfert Kroese, 1989 ISBN: 90-207-1617-4 en 90-207-1 91 6-5 (luxe editie)

Van Plan tot Uitvoering Auteur: M.F. Vos Uitgever: Uitgeverij Lemma, 1988 ISBN: 90-5189-083-4

Marketing Jaarboek Auteurs: S. Boomsma e.a Uitgever: Kluwer Bedrijfswetenschappen, 1995 ISBN: 90-267-20599

Professionele Bedrijfscommunicatie Auteurs: H. van Ommen & E. van Kuppenveid Uitgever: Wolters-Noordhoff, 1991 ISBN: 90-01 -66401 -6

Begeleiding van Audio-visuele Produkties Auteur: M. Meulenberg Uitgever: Samson, 1994 ISBN-nummer: 90-1 4-04868-8

HANOLEIDINO BEWUSTWORDING 71

OVERZICHT

van relevante

WET- EN REGELGEVING

met betrekking tot

INFORMATIEBEVEILIGING

OVERZICHT VAN RELEVANTE WET. EN REGELGEVING MET BETREKKINQ TOT INFORMATIEBEVEILIGING

1

Inhoud

I. Inlelding .............................................................. 5.

................... 2. Internationale weten regelgeving ......... 6 2.1 Algemeen ...................... 6 ..................................... 2.2 Verenigde Naties ........ .................................. 7

2.2.1 Revised version of the Guideiines for the reguiation of computerized personal data files (UCN 4/1990/ d.d. 20/2/ 90) .......................................... 7

......................................... ........... 8 meen . . . . . . . . . . . . . . . 8

2.3.2 Guidelines on the Protection of Privacy and Transborder Fiows of Personal Data (OECD, 23/9/1980) . . . . . . . . . . . . . . . 8

2.3.3 Guideiines for the Security of information Systems (OECD, ...................... .. 8

.................................... 9

9

.......

n personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens

2.4.2 Aanbeveling inzake de bescherming van persoonsgebonden gegevens op het gebied van telecommunicatiediensten

2.5 Europese Unie .... . . . . . . . . . . . . . . . . 11 2.5.1 Europese o ........................... l i 2.5.2 Richtlijn over de rechtsbescherming van

computerprogramma's ............................................ 12 2.5.3 Richtlijn 90/387/EEG van de Raad betreffende de totstand-

brenging van de Interne Markt voor telecommunicatiediensten door middel van de tenuitvoerlegging van Open Network Provision (ONP) (28/6/1990) ......................

natuurlijke personen in verband met de veiwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (SVN 287) ......................................... 13

2.5.5 Ontwerp richtlijn betreffende de bescherming van persoonsgebonden gegevens en van de persoonlijke levenssfeer in het kader van de openbare digitale telecommunicatienetten, met name in het kader van digitasai netwerk voor geïntegreerde diensten (ISDN) en openbare digitale mobiele

2.5.4 Ontwerp-richtlijn betreffende de bescherming van

netwerken (COM (90) 314 (def) - SVN 288) . . . . . . . . . . . . . . . . . 14

2 OVERZICHT VAN RELEVANTE WET- EN REGELGEVING

MET BETREKKING TOT INFORMATIEBEVEILIGING

2.5.6 Richtlijn 92/44/EEG van de Raad betreffende de toepassing van Open Network Provision (ONP) op huurlijnen (5/6/1992) ....... ............................ 15

SYN 437) . . . . . . . ................................. ... 16

2.5.7 Ontwerp richtlijn inzake d van "Open Network Provision" (ONP) op spraaktelefonie (GOM (94) 46 (de9 -

2.5.8 Ontwerp richtlijn be e de rechtsbescherming van databanken (COM (93) 464(def) - SYN 393) ................... 17

2.6 NAVO ................ ............. 17 2.6.1 NAVO documenten ................................................... 17

2.7.1. Western European Union

O

2.7 West Europese Unie (WEU) ......

[draft]) .........................

................

3. Nationale wetten . . . . . . . . ................ 3.1 Grondwet . . . . . . . . . . 3.2 Wet openbaarheid van bestuur .................................................. 19 3.3 Wet persoonsregistratie ....... . . . . . . 20 3.4 Wet politieregisters ........................ . . . . . . . . 22 3.5 Wet op de telecommunicatievoorzieningen .. . . . . . . . 23 3.6 Comptabiliteitswet ............ 3.7 Wet bescherming staatsgeh 3.8 Auteurswet 1912 ................................................................... 27 3.9 Wet gemeentelijke basisadministratie persoonsgegevens

(Wet GBA) .................................................................. 3.1 O Ambtenarenwet ................ 3.11Archiefwet 1962 ... ............... 3.12 Wet computercrimina I ............... 3.13 Wet op de inlichtingen- en veiligheidsdiensten . . . . . . . . . . . . 30

4. Voorschrifien, aanwijzingen en andere regelingen binnen de 0 Rijksoverheid ,.. ......... . . . . . . . . . . , . . 31 4.1 Besluit informatievoorziening in de Rijksdienst 1990 . . . . . . . . . 31 4.2 4.3 Beveiligingsvoorschrifl 1-1 949 ................................................... 32 4.4 Aanwijzingen voor de beveiliging van staatsgeheimen en vitale

onderdelen bij de rijksdienst (Bevelligingsvoorschriít 1989) . . 32 4.5 Aanwijzingen inzake inzage van ministerraadsnotuien door

ambtenaren . . . . . . . .

4.7 Beschikking Veilighei 4.6 Voorschriften inzake

5. Uitwerking in de organi 5.1 Gegevens . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Besluit voorschrift informatiebeveiliging rijksdienst 1994 .......... 31

................ 4.6 Beschikking Antecedentenondenoek ...........

5.2 Verantwoordelijken ........................................................ 38

I OVERZICHT VAN RELEVANTE WET- EN REGELGEVING MET BETREKKING TOT INFORMATIEBEVEILIGING

3

5.3 Organisatie van de informatiebeveiligingsfunctie . . . . . . . . . . . . . . . . . . . 39

5.5 Netwerken ...................................................................... 40 5.4 Informatiesystemen ............................................................. 39

Trefwoorden

BiJlage ................................................................................................ 42 A synopsis of NATO Security Committee (AC/35) documents

OVERZICHT VAN RELEVANTE WET- EN REGELGEVING

MET BETREKKINQ TOT ~NFORMATIEBEVEILIQING

1. Inleiding

De huidige weten regelgeving ten aanzien van de informatiebeveiiiging kan als versnipperd worden gekarakteriseerd. In verschillende wetten en regelingen komen bepalingen over informatiebeveiliging voor. In deze brochure wordt een overzicht gegeven van de verschiiiende bepalingen.

De regelgeving kan als volgt worden onderscheiden:

- internationale weten regelgeving; - nationale wetten: - voorschriften, aanwijzingen en andere regelingen voor de overheid zelf.

Er is sprake van een ontwikkeling ven regelgeving op het gebied van informatiebeveiliging. Deze ontwikkeling reflecteert de steeds belangrijker rol die informatiebeveiliging speelt. Aanvankelijk waren de eisen ten aanzien van de informatiebeveiliging voornamelijk gericht op de staatsgeheimen. Naarmate toepassingen van informatietechnologie meer een rol spelen in de onderlinge maatschappelijke verhoudingen wordt aan informatiebeveiliging ook meer aandacht besteed in algemeen juridische zin.

De bepalingen met betrekking tot informatiebeveiliging in de weten regelgeving spitsen zich op de volgende aspecten toe, te weten

- gegevens (persoonsgegevens, financiële gegevens en staatsgeheimen), - verantwoordelijkheden en - maatregelen.

Omdat de invulling van de informatiebeveiiiging afhankelijk is van de aard van de organisatie en de omgevingsfactoren wordt in de regelgeving veelal een procedure beschreven om tot beveiligingsmaatregelen te komen. zodat de uitwerking in de organisatie zelf kan worden geconcretiseerd in de vorm van beleidsbeslissingen, nadere richtlijnen, maatregelen en overeenkomsten, waaronder de S W s (Service Level Agreement).

Aan de hand van de verschillende typen regelgeving worden in deze brochure de bepalingen met betrekking tot de informatiebeveiiiging weergegeven en beschreven.

0


MET BETREKKING TOT INFORMATIEBEVEILIGING 5

2. Internationale weten regelgeving

2.1 Algemeen

informatiebeveiliging krijgt in internationaal verband toenemende aandacht. In diverse regelingen worden bepalingen opgenomen die handelen over informatiebeveiliging.

Afhankelijk van de positie van het internationale orgaan (VN, OECD, Raad van Europa, Europese Unie, NAVO, WEU) waarvan de regeling afkomstig is, en de aard van regelgeving (verdrag, voorschrift, aanbeveling, guideline, verordening of richtlijn) werkt deze internationale regelgeving al dan niet direct door in de nationale weten regelgeving. Daarop kunnen burgers een beroep doen. Zo zijn bijvoorbeeld de aanbevelingen (guidelines) over de regeling van geautomatiseerde persoonsgegevens van de Verenigde Naties en van de OESO (OECD) niet bindend. Dit geldt wel ten aanzien van de regelgeving van Europese organen.

De Raad van Europa heeft zich in een toonaangevend stuk In het begin van de jaren 80 uitgesproken over informatiebeveiliging in het kader van persoonsgegevens. Een verdrag dat door Nederland is geratificeerd en dat een rechtstreekse doorwerking in de Nederlandse regelgeving heeft, is het verdrag omtrent persoonsgegevens, het zogenaamde verdrag van Straatsburg (zie onder 2.4.1) dat onder de Raad van Europa is vastgesteld (niet te verwarren met de Raad van Ministers van de Europese Unie).

Verordeningen van de Europese Unie (EU) zijn rechtstreeks van toepassing op de lidstaten en behoeven geen nadere uitwerking in de nationale regelgeving. Dat betekent dat een ieder die het aangaat rekening moet houden met de bepalingen van deze regelgeving. De bepalingen hebben zelfs voorrang boven de bepalingen van het nationale recht, zelfs als deze nationale bepalingen zijn vervat in wetten van latere datum.

Daarentegen zijn EU-richtlijnen niet rechtstreeks van toepassing en moeten met eigen nationale instrumenten worden ingevuld. Overigens kunnen mensen wel een beroep op deze regelingen doen.

Momenteel zijn er geen EU-verordeningen op het gebied van informatiebeveiliging van kracht. Wei bestaan er richtiilnen van de Europese Unie, waarin artikelen over informatiebeveiliging zijn opgenomen. Het betreffen

e

0

6 OVERZICHT VAN RELEVANTE WET- EN REQELQNINQ MET BETREKKINQ TOT INFORMATIEBEVEILIQINQ

O

ondermeer de richtlljn van 14 mei 1991 over de rechtsbescherming van computerprogramma's (zie onder 2.5.2) en de Open Network Provisions Richtlijn van 28 juni 1990 (zie onder 2.5.3). Daarnaast circuleert op het moment een aantal ontwerp-richtlijnen met daarin aspecten van informatiebeveiliging,

De NAVO-voorschriften en de WEU-regulations hebben betrekking op de gerubriceerde informatie van de betrokken organen zelf en regelen hoe deze informatie moet worden beveiligd.

2.2 Verenigde Naties

2.2.1 Revised version of the Guidelines for the regulation of computerized personal data files (EICN 411990172 d.d. 2012190)

In deze (niet bindende) Guidelines van de VN wordt een aantal aandachtsvelden aangegeven die de lid-staten kunnen gebruiken voor hun eigen wetgeving, zoals:

- principle of lawfulness and fairness - principle of accuracy - principle of purpose-specification - principle of interested-person access - principle of non-discrimination - power to make exceptions - principle of security - supervision and sanctions - transborder data flows - field of application

O

Wat betreit het genoemde "principle of security" (artikel 7) wordt gesproken over:

"Appropriate measures should be taken to protect the files against both natura1 dangers, such as accidental loss or destruction and human dangers, such as unauthorized access, fraudulent misuse of data or contamination by computer virusses".

OVERZICHT VAN RELEVANTE WET- EN REGELGEVING MET BETREKKING TOT INFORMATIEBEVEILIGING

7

2.3 OECD

2.3.1 Algemeen De Organisation for Economic Cooperation and Development (OECD), in Nederland genoemd de Organisatie voor Economische Samenwerking en Ontwikkeling (OESO), is ingesteld in 1960 met als leden de Verenigde Staten, Australië, Canada, Japan en een groot aantal Europese landen waaronder Nederland. Het hoofddoel van de OECD is een kader voor samenwerking te verschaffen, gericht op het bevorderen van economische groei en internationale handel.

2.3.2 Guidelines on the Protection of Privacy and Transborder Flows of Personal Data (OECD 2319í1980)

Vanuit de overweging dat de uitwisseling van persoonsgegevens tussen landen toeneemt, heeft de OECD het nodig geacht om zich in genoemde guidelines uit te spreken over de bescherming van de persoonlijke levenssfeer. Daarbij moet ook als overweging genoemd worden de wens om te komen tot harmonisatie van de wetgeving van de verschillende landen op dit gebied. Immers, afwijkingen tussen de wetgevingen van landen kunnen een belemmering vormen voor het uitwisselen van gegevens. Dit kan bepaalde sectoren van de samenleving negatief beïnvloeden.

Op het gebied van beveiliging is in artikel 11 van de guidelines opgenomen dat:

“Personal data should be protected by reasonabie security safeguards against such risks as loss or unauthorised access, destruction, use, modification or disciosure of data”.

Het hier vastgelegde principe van “reasonable security safeguards” komt - in meer of mindere mate uitgewerkt- ook terug in andere richtlijnen en in de Nederlandse Wet Persoonsregistraties.

Zoals hiervoor is opgemerkt, werkt deze richtlijn niet rechtstreeks door in ons rechtssteisei.

2.3.3 Guidelines for the Security of Information Systems (OECO,

In 1992 heeft de OECD (niet bindende) Guidelines op het specifieke gebied van beveiliging van informatiesystemen uitgebracht. Onder de term informatiesysteem wordt hier verstaan computers, communicatie- faciliteiten, computernetwerken en de informatie die verwerkt wordt. De

2611 111992)

8 OVERZICHT VAN RELEVANTE WET- EN REQELQEVINQ


OECD gaat uit van de bescherming van "Confidentiality, Availability en Integrity" van informatiesystemen. De Guidelines zijn bedoeld als een grondplan waarop een raamwerk voor de beveiliging van informatiesystemen gebouwd kan worden.

In de guidelines worden negen principes (hoofdstuk V Principles) gedefinieerd die alle in verband staan met de veiligheid van informatiesystemen, te weten:

- Accountability; expliciet verantwoordelijk stellen - Awareness; bekend met veiligheidsaspecten van systemen voor

betrokkenen - Ethics; het ontwikkelen en incorporeren van sociale gedragsnormen op het gebied van informatiebeveiliging in de maatschappij

- Multidisciplinary; het betrekken van iedereen bij het ontwikkelen van security features en het erkennen dat vanuit de verschillende doelen van informatiesystemen ook verschillende eisen aan beveiliging kunnen worden gesteid

- Proportionality; het op grond van analyses komen tot een toereikend beveiligingsniveau

- Integration; het opnemen van beveiliging als ontwerpcriterium - Timeliness; het adequaat inspelen op nieuwe ontwikkelingen - Reascessment het periodiek herzien van de beveiliging - Democracy; veiligheid moet in overeenstemming zijn met

democratische principes en deze ondersteunen.

Tevens wordt in het hoofdstuk VI Implementaiion aangegeven dat bij de implementatie van de informatiebeveiliging aandacht besteed zou moeten worden aan:

- policy development - education and training - enforcement and redress - exchange of information - co-operation

2.4 Raad van Europa

2.4.1 Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Verdrag van de Raad van Europa te Straatsburg van 28-1-1981)

Dit Verdrag dat door Nederland in 1993 is geratificeerd, handelt over de


9

bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Verdrag van de Raad van Europa te Straatsburg van 28-1-1981).

In dit verdrag worden de uitgangspunten voor de beveiliging als volgt weergegeven:

- Elk land dat het verdrag ondertekent, treft in zijn interne recht de noodzakelijke maatregelen om uitvoering te geven aan de grondbegin- selen van gegevensbescherming (art 4, lid 1).

- Er dienen passende beveiligingsmaatregelen te worden getroffen om persoonsgegevens opgeslagen in geautomatiseerde bestanden te beschermen tegen toevallige of ongeoorloofde vernietiging, toevallig verlies en ongeoorloofde toegang, wijziging of verspreiding (art 7).

De ratio van artikel 7 is dat rechten van anderen worden aangetast als hun gegevens makkelijk voor derden ter inzage zouden zijn.

De bepalingen in dit verdrag zijn in grote mate richtinggevend geweest voor de nationale wetgevingen op het gebied van de bescherming van de persoonlijke levenssfeer, zo ook voor de Nederlandse. Wat wel een verschil met de Wet persoonsregistraties (WPR) is, dat hier gesproken wordt over een persoonsgegeven, terwijl de WPR handelt over persoonsregistraties. Ditzelfde doet zich voor in de ontwerp richtlijn van de Europese Commissle betreffende de bescherming van persoonsgegevens (zie 2.5.4).

2.4.2 Aanbeveling inzake de bescherming van persoonsgebonden gegevens op het gebied van telecommunicatiediensten (CJIPD (92) 4)

Deze aanbeveling is bedoeld om de aandacht te vestigen op de risico's die verbonden kunnen zijn aan het aanleggen van registraties over het gebruik van telecommunicatiediensten, bijvoorbeeld het vastleggen van telefoongebruik per individuele abonnee; wanneer gebeld, naar wie, hoelang etc. Ook de Europese Commissie heeft deze materie opgepakt (zie 2.5.5).

Over informatiebeveiliging wordt in paragraaf 6 opgemerkt dat:

1. Network operators and service providers should take a11 appropriate technica1 and organisational measures to ensure the physical and logica1 security of the network, services and data which they collect and process and to prevent unauthorised interference with or interception of communications.

10 CNERLICHT VAN RELEVANTE WET- EN REGELGEVING MET BETREKKING TOT INFORMATIEBEVEILIGING

2. Subscribers to telecommunication services should be informed about network securitv risks and methods for subscribers to reduce the security risks of their messages.. e

2.5 Europese Unie

2.5.1 Inleiding Voor de informatiebeveiliging in de Europese Unie is de Senior Officials Group on Information Security Systems (SOG-IS) van belang. SOG-IS is ingesteld bij Besluit van 31/3/1992, nr. 92/242/EEC. SOG-IS zorgt voor advisering over informatiebeveiliging aan de Europese Commissie.

In Europees verband is een Groenboek (Greenbook) ontwikkeld. Het doei van het Groenboek is het delen van inzichten, die zijn verkregen door raadpleging van de betrokken partijen die geïnteresseeerd zijn in de acties van de Europese Commissie op het gebied van informatiebeveiliging.

In het actieplan van de Europese Unie staat dat er een algemene, alle aspecten van de beveiliging van informatiesystemen omvattende, strategie moet komen. De activiteiten richten zich onder andere op de betrouwbaarheidsdiensten (zoals de elektronische handtekening), de internationale ontwikkelingen en de technische harmonisatie, waarbij een internationaal systeem voor beoordeling, certificatie en wederzijdse erkenning wordt opgezet.

Voor dit laatste zijn de Information Technology Security Evaluation Criteria (ITSEC) ontwikkeld. Op basis daarvan kan de beveiliging van produkten en systemen van informatietechnologie (IT) worden geëvalueerd in een aantal klassen. Het gaat hierbij om de klassen van zekerheid (EO, El , E2 ... E6), functionaliteit (F-CI, C2, C3..C10) en sterkte van het mechanisme (laag- midden-hoog). Tevens is de Information Technology Security Evaluation Manual (ITSEM) tot stand gekomen. Dit document bevat een beschrijving van de methodes en procedures die bij een evaluatie gevolgd moeten worden.

In een Beslissing van de Europese Raad van Ministers van december 1986 wordt aan de Lid-Staten de verplichting opgelegd om bij openbare aanbesteding van opdrachten op het gebied van telecommunicatie en informatietechnologie Europese of internationale (technische) standaarden te gebruiken (87/95/EEC). De overheid moet bij openbare aanbesteding van een project op het gebied van informatiebeveiliging op grond van EG- regelgeving rekening houden met eisen ten aanzien van standaardisatie: de

0

0

OVERZICHT VAN RELEVANTE WET. EN REGELGEVING MET BRREKKINQ TOT INFORMATIEBEVEILIGING

11

randvoorwaarden voor de uitvoering van informatiebeveiliging zijn daarmee gedeeltelijk vastgelegd.

2.5.2 Richtlijn over de rechtsbescherming van computerprogramma's De richtlijn over de rechtsbescherming van computerprogramma's van de Raad van de EG van 14 mei 1991 moet het illegaal kopiëren tegengaan. Omdat computerprogramma's niet in alle Lid-Staten van de EEG door de geldende wetgeving duidelijk worden beschermd en, waar deze bescherming wel bestaat, deze uiteenlopende kenmerken vertoont heeft de Raad van de EEG, gelet op het Verdrag tot oprichting van de EEG, een Richtlijn gemaakt, om te voorkomen dat de huidige verschillen in rechtsbescherming op nationaal niveau door het uitvaardigen van nieuwe wettelijke bepalingen door de Lid-Staten steeds groter worden.

Een computerprogramma wordt beschermd wanneer het oorspronkelijk is en een eigen schepping van de maker is. Om te bepalen of het programma voor bescherming In aanmerking komt mogen geen andere criteria worden aangelegd. Onder de term "computerprogramma" valt ook het voorbereidend materiaal (art. I) .

Indien een computerprogramma door een groep van natuurlijke personen gezamenlijk gemaakt Is, zijn deze personen gezamenlijk houder van de exclusieve rechten (art 2). De maker van een computerprogramma wordt als de houder ervan beschouwd. Dit kan dus ook een organisatie zijn. De handelingen waarvoor toestemming vereist Is, zijn: reproduktie, veranderen van een programma en distributie. De Lid-Staten dienen te voorzien in passende sancties" tegen allerlei vormen van inbreuk op een computerprogramma (art 7).

Ter uitvoering van de Richtlijn is de Nederlandse wetgever bezig om de Auteurswet 1912 te wijzigen (zie onder 3.8)

2.5.3 Richtlijn 90/387/EEG van de Raad betreffende de totstandbrenging van de Interne Markt voor telecommunicatiediensten door middel van de tenuitvoerlegging van Open Network Provision (ONP) (28/6/1990)

In deze richtlijn wordt vastgelegd dat binnen de lidstaten op geharmoniseerde wijze openbare netwerkdiensten aan iedereen worden aangeboden. Harmonisatie van de voorwaarden voor een open en efficiënte toegang tot en gebruik van openbare telecommunicatienetwerken en. eventueel, openbare telecommunicatiediensten staat daarbij voorop.

12 OVERZICHT VAN RELEVANTE WET- EN REGELQEVING M E I BETREKKING TOT ~NFORMATIEBEVEILIQING

Ten aanzien van informatiebeveiliging is artikel 3, lid 2 van belang:

“ONP-voorwaarden mogen de toegang tot openbare telecommunicatienetwerken of openbare telecommunicatiediensten niet beperken, behalve om redenen gegrond op essentiële eisen in het kader van de communautaire wetgeving, welke zijn:

- de veiligheid van het functioneren van netwerken; - het behoud van netwerkintegriteit; - de interoperabiliteit van diensten, in gerechtvaardigde gevallen - de bescherming van gegevens, in passende gevallen.

De “essentiële eisen” worden gedefinieerd ais redenen van algemeen belang en van niet economische aard die een Lid-staat ertoe kunnen bewegen de toegang tot het openbare telecommunicatienetwerk of de openbare telecommunicatiediensten te beperken. Zie voor een uitwerking van de essentiële eisen ook de Richtlijn betreffende de toepassing van ONP op huurlijnen (onder 2.5.6).

De “bescherming van gegevens” kan bestaan uit de bescherming van persoonlijke gegevens, alsmede het vertrouwelijke karakter van Informatie die wordt doorgegeven d o f opgeslagen.

i 0

I

2.5.4 Ontwerp-richtlijn betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (SYN 287)

Binnen de Europese Unie is een voorstel voor een richtlijn in behandeling voor de bescherming van persoonsgegevens, te weten de Ontwerp-richtlijn privacybescherming. De verwachting is dat de richtlijn op 1 januari 1995 vastgesteld kan worden.

In de tekst van april 1994 is de beveiliging als volgt geregeld (artikel 17bis):

1. “De lidstaten bepalen dat de voor verwerking verantwoordelijke de technische en organisatorische maatregelen ten uitvoer dient te leggen die passend en noodzakelijk zijn voor de beveiliging tegen vernietiging, hetzij per ongeluk, hetzij onrechtmatig, tegen toevallig verlies, vervalsing, niet toegelaten verspreiding of toegang, met name wanneer de verwerking betrekking heeft op de doorzending van gegevens in een netwerk, danwel tegen enige andere vorm van onwettige verwerking van persoonsgegevens.


13

Deze maatregelen moeten, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveillgingsnlveau garanderen met betrekking tot de rislco's die de verwerking en de aard van te beschermen gegevens met zich meebrengen.

2. De Lidstaten bepalen dat de voor verwerking verantwoordelijke, ingeval van verwerking voor diens rekening, een subcontractant moet kiezen die voldoende waarborgen biedt ten aanzien van de maatregelen van technische beveiliging van de te verrichten verwerkingen en moet toezien op de naleving van die maatregelen.

3. De uitvoering van de verwerkingen voor rekening van derden wordt geregeld in een overeenkomst of een rechtshandeling die de subcontractanten bindt jegens de voor verwerking verantwoordelijke en waarin met name wordt bepaald dat - de verwerker slechts handelt In opdracht van de voor verwerking

verantwoordelijke, - de in lid 1 bedoelde verplichtingen, zoals gedefinieerd door de

wetgeving van de Lid-slaat waarin de subcontractant Is gevestigd, eveneens op de verwerker rusten.

O

4. De overeenkomst of rechtshandeling, bedoeld in lid 3, dient schriftelijk te zijn.

In de tekst is sprake van technische, door de commissie vast te stellen, voorschtiften. In verband hiermee kan de commisievertegenwoordiger met een voorstel komen en dat voorleggen aan het comité dat bestaat uit vertegenwoordigers van de Lid-Staten. Dit comité brengt met meerderheid van stemmen een advies uit. Is het advies positief, dan kunnen zij door de commissie worden vastgesteld. Is het advies negatief, dan moet de commissie het voorstel voorleggen aan de Raad van Ministers. De Raad van Ministers besluit met gekwalificeerde meerderheid van stemmen, met dien verstande dat indien de Raad binnen 3 maanden geen besluit neemt, de voorgestelde maatregelen alsnog door de commissie kunnen worden vastgesteld.

2.5.5 Ontwerp richtlijn betreffende de bescherming van persoonsgebonden gegevens en van de persoonlijke levenssfeer in het kader van de openbare digitale telecommunicatienetten, met name in het kader van digitale netwerk voor geïntegreerde diensten (ISDN) en openbare digitale mobiele netwerken (COM (90) 314 (de0 - SYN 288)

14 CNEAZICHT VAN RELEVANTE WET- EN REGELGEVING MET BETREKKING TOT INFORMATIEBEVEILIGING

Deze ontwerp-richtlijn, die in principe een afgeleide is van de algemene ontwerprichtlijn SYN 287 zoals hierboven beschreven, is in de periode van 1990 tot 1994 niet behandeld door de Voorbereidingswerkgroep van de Raad van Ministers. Recentelijk is een nieuwe concept richtlijn verschenen, waarin ingrijpende wijzigingen zijn aangebracht. In de nieuwe tekst wordt de nadruk gelegd op de subsidiariteit van de lidstaten en wordt aangesloten bij de algemene principes -ook ten aanzien van beveiliging- die zijn vastgelegd in de al genoemde algemene ontwerp-richtlijn persoonsgegevens.

Op het gebied van beveiliging is in artikel 4 specifiek opgenomen dat:

“Indien een bijzonder risico bestaat dat de beveiliging van een netwerk wordt doorbroken, bijvoorbeeld op het gebied van de mobiele radiotele- fonie, dient de telecommunicatieorganisatie de abonnee van deze risico’s op de hoogte te stellen en hem een versleutelingsdienst aan te bieden.”

2.5.6 Richtlijn 92144lEEG van de Raad betreffende de toepassing van Open Network Provision (ONP) op huurlijnen (51611992)

Deze richtlijn is een nadere uitwerking van de reeds genoemde ONP- richtlijn (zie onder 2.5.3) met betrekking tot de harmonisatie van de voorwaarden voor een open en efficiënte toegang tot en het gebruik van via openbare telecommunicatienetwerken aan gebruikers aangeboden huurlijnen, alsmede op de beschikbaarheid in de hele Gemeenschap van een minimumreeks huurlijnen met geharmoniseerde technische karakteristieken. Op het gebied van beveiliging wordt in artikel 6, lid 3 gespecificeerd hoe de “essentiële eisen” in de algemene ONP-richtlijn van toepassing zijn:

a. Veiligheid van het functioneren van netwerken:

0

0

“telecommunicatie-organisaties kunnen de volgende maatregelen treffen teneinde de veiligheid van het functioneren van het netwerk gedurende een noodsituatie te waarborgen: - het onderbreken van de dienst - het beperken van de dienstfaciliteiten - het ontzeggen van de toegang tot de dienst

Onder noodsituaties worden in deze context verstaan uiîzonderlijke gevallen van overmacht, zoals extreme weersomstandigheden, overstromingen, blikseminslag of brand, stakingen of lock-outs, oorlog, krijgshandelingen of rellen. 0


15

In noodsituaties stellen de telecommunicatieorganisaties alles in het werk om ervoor te zorgen dat de dienstverlening aan alle gebruikers doorgang vindt, De Lid-staten zorgen ervoor dat de gebruikers en de nationale regelgevende instantie onmiddellijk door de telecommunicatieorganisaties in kennis worden gesteld van het begin en het einde van de noodsituatie, alsmede van de aard en de omvang van de tijdelijke beperkingen van de dienst”.

e

b. Behoud van netwerkintegriteit

De gebruiker heeft, in overeenstemming met de specificaties van het netwerkaansluitpunt, recht op verlening van een volkomen transparante dienst, die hij naar eigen inzicht ongestructureerd kan gebruiken, dat wil ondermeer zeggen zonder dat daarbij kanaaltoewijzingen worden verboden of voorgeschreven. Er mogen op grond van het behoud van netwerkintegriteit geen beperkingen aan het gebruik van huurlijnen worden opgelegd zolang de toegangsvoorwaarden in verband met eindapparatuur vervuld zijn.

c. Bescherming van gegevens:

Met betrekking tot de bescherming van gegevens mogen de Lid-staten het gebruik van huurlijnen slechts beperken voor zover dit noodzakelijk is voor het waarborgen van de conformiteit met de relevante wettelijke voorschriften inzake de bescherming van gegevens, met inbegrip van de bescherming van persoonsgegevens, het vertrouwelijke karakter van verzonden en opgeslagen informatie, alsmede de bescherming van de persoonlijke levenssfeer in overeenstemming met de communautaire wetgeving.”

O 2.5.7 Ontwerp richtliin inzake de toepassing van “Open Network Provision” (ONP) op spraaktelefonie (COM (94) 48 (de9 - SYN 437)

Deze richtlijn is een nadere uitwerking van de reeds genoemde ONP- richtlijn met betrekking tot de harmonisatie van de voorwaarden voor een open en efficiënte toegang tot en benutting van zowel het openbare vaste telefoonnet als de openbare telefoondienst, alsmede op het in de gehele gemeenschap beschikbaar zljn van een geharmoniseerde spraaktelefoondienst.

In artikel 21, lid 5. van de ontwerp-richtliin onder “redenen die verband houden met essentiële eisen die verenigbaar zijn met het Gemeenschaps- recht” wordt ingegaan op de veiligheid van netwerkexploitatie, handhaving van de integriteit en gegevensbescherming in nagenoeg dezelfde

0

10 OVERZICHT VAN RELEVANTE WEI- EN REGELGEVING MET BRREKKING TOT INFORMATIEBNEILIQING

bewoordingen van de hierboven aangehaalde ontwerp-richtlijn ONP inzake Huurlijnen.

2.5.8 Ontwerp richt/ijn betreffende de rechtsbescherming van databanken (COM (93) 464(def) - SYN 393)

Deze richtlijn handelt over de rechtsbescherming van databanken in de zin van het toekennen van auteursrecht. Er wordt aangesloten bij de Berner Conventie voor de bescherming van werken van letterkunde en kunst. In de ontwerp-richtlijn wordt voorzien in een recht voor de maker van een databank om te verhinderen dat de inhoud van die databank zonder zijn toestemming voor commerciële doeleinden wordt opgevraagd en hergebruikt.

In artikel 12 is opgenomen dat: O 1. “De bepalingen van deze richtlijn doen geen afbreuk aan het

auteursrecht of enig ander recht ten opzichte van werken of materiaal die in een databank zijn opgenomen, of aan andere wettelijke bepalingen betreffende octrooien, merken, tekeningen en modellen, oneerlijke mededinging, zakengeheimen, vertrouwelijkheid, bescherming van gegevens en van de persoonlijke levenssfeer en het contractenrecht, die van toepassing zijn op de databank zelf of op de inhoud ervan.”

2.6 NAVO

2.6.1 NAVO documenten Het NATO-voorschrift C-M (55) I5(final) Enclosure “C” section X handelt over “Protection of NATO classified information handled and stored in automatic data processing systems and EDP-networks”. Dit document stelt de basisbeginselen en minimale veiligheidseisen vast, waaraan alle Lid-Staten van de NAVO zich dienen te houden. Elke Lid-Staat mag erop vertrouwen, dat NAVO-gerubriceerde informatie in elk NAVO-land op eenzelfde niveau worden beveiligd. De belangrijkste doelstellingen van deze beveiliging zijn: a. het beschermen van zogenaamde gerubriceerde gegevens tegen

spionage, bedreiging of wederrechtelijke bekendmaking; b. het beschermen van installaties (gebouwen, werken en terreinen) tegen

sabotage. Hieryj is van belang, dat de mate van beveiliging overeenkomt met het beveiligingsbelang van de te beschermen informatie. 0



17

Van andere belangrijke NAVO-documenten in de AC/35 serie, waarin in elk van de documenten een specifiek onderdeel van de informatiebeveiliging wordt belicht, is in de bijlage een overzicht opgenomen.

Verder bestaat er een serie AMSG-documenten die specifiek de beveiliging tegen ongewenste elektronische uitstraling (TEMPEST) behandelt.

2.7 Weet Europese Unie (WEU)

2.7.1. Western European Union Security Regulations (RS 100 [draft]) Ook de WEU besteedt aandacht aan informatiebeveiliging en werkt op het moment aan een richtlijn "Security Regulations". In deze richtlijn worden onder meer regels gegeven voor classificatie van informatie en informatiedragers, fysieke beveiliging van geclassificeerde informatle, toegang tot en vernietiging van geclassificeerde informatie, incidentenafhandeling en bescherming van WEU-geclassificeerde informatie die verwerkt wordt in geautomatiseerde systemen, al dan niet via netwerken. De richtlijn heeft betrekking op WEU-geclassificeerde informatie (politiek, militair, economisch, industrieel, wetenschappelijk en/of technisch materiaal dat de belangen van de WEU zou kunnen schaden bij onbevoegde openbaarmaking).


3. Nationale wetten

3.1 Grondwet

In de Grondwet wordt in de artikelen 10, gegevens moet worden omgegaan.

3n 11 O aangegeven hoe met

In artikel 10 is de eerbiediging van de persoonlijke levenssfeer grondwettelijk geregeld. Door allerlei gegevens omtrent personen te registreren, deze in verband met elkaar te brengen en vervolgens bij het nemen van beslissingen van die gegevens gebruik te maken, kan de privacy worden aangetast. Om die reden zijn wettelijke regels gesteld in verband met het vastleggen en verstrekken van persoonsgegevens. Tevens is geregeld de

gegevens en het gebruik, dat daarvan wordt gemaakt, alsmede op verbetering van zodanige gegevens. De regels over de bescherming van de persoonlijke levenssfeer zijn in afzonderlijke wetten uitgewerkt en komen in de hierop volgende paragrafen aan de orde (zie onder andere 3.3 en 3.4).

In artikel 13 is de onschendbaarheid van het brief-, telefoon- en telegraafgehelm bepaald. Inbreuken op deze grondrechten zijn ingeval van briefgeheim mogelijk op last van de rechter en in de andere gevallen bij de wet bepaald. De wet op de telecommunicatievoorieningen regelt hiervoor het nodige (zie onder 3.5).

De overheid betracht bij de uitvoering van haar taak openbaarheid volgens regels bij de wet te stellen (artikel 110). De Wet openbaarheid van bestuur geeft door middel van een algemene openbaarheidsregeling inhoud aan deze opdracht (zie hieronder 3.2).

aanspraken van personen op kennisneming van over hen vastgelegde

0 3.2 Wet Openbaarheid van bestuur

De Wet openbaarheid van Bestuur (Wob) regelt de algemene openbaarheid van de overheid ter uitvoering van de Grondwet (artikel 110).

De overheid verstrekt bij de uitvoering van zijn taak informatie, dan wel een ieder kan een verzoek om informatie neergelegd in documenten over een bestuurlijke aangelegenheid richten tot een overheidsorgaan (artikel 2 en 3).

O


MET BETREKKING TOT INFORMATIEBNEILIQING

Het verstrekken van informatie blijft achtetwege (artikel 10) voorzover dit: a. de eenheid van de Kroon in gevaar zou kunnen brengen; b. de veiligheid van de Staat zou kunnen schaden; c. bedrijfs- en fabricagegegevens betrefl, die door natuurlijke personen of

Het verstrekken van informatie biijfl eveneens achterwege voorzover het belang daarvan niet opweegt tegen de volgende belangen:

a. de betrekkingen van Nederland met andere staten en met internationale organisties;

b. de economische of finaniële belangen van de Staat, de andere publiekrechtelijke lichamen of andere overheidsorganen:

G. de opsporing en vervolging van strafbare feiten; d. de inspectie, controle en toezicht door of vanwege overheidsorganen; e. de eerbiediging van de persoonlijke levenssfeer; f. het belang, dat de geadresseerde erbij heeft als eerste kennis te kunnen

nemen van de informatie; g. het voorkomen van onevenredig bevoordeling of benadeling van bij de

aangelegenheid betrokken natuurlijke personen of rechtspersonen dan wel van derden.

rechtspersonen vertrouwelijk aan de overheid zijn meegedeeld.

Geen informatie wordt verstrekt over persoonlijke beleidsopvattingen uit documenten ten behoeve van intern beraad, tenzij de informatie in niet tot personen herleidbare vorm is dan wel dat betrokkene daarmee heeft ingestemd (artikel 11).

3.3 Wet persoonsregistraties

Een wet waarin de beveiliging uitdrukkelijk wordt genoemd, is de Wet Persoonsregistraties (Wpr). Deze wet schept waarborgen ter beschermlng van de persoonlijke levenssfeer in verband met persoonsregistraties binnen de publieke en private sector. Hiertoe stelt de Wpr eisen aan de organisatorische en technische maatregelen ten aanzien van het opzetten, in stand houden en gebruiken van persoonsgegevens. De wet is gebaseerd op artikel 10 van de Grondwet, waarin de mogelijkheid is gecreëerd om in verband met het vastleggen en verstrekken van persoonsgegevens beperkingen in de persoonlijke levenssfeer kunnen worden aangebracht. Tevens moet de wet regels stellen aan het gebruik en de verbetering van gegevens.

Ten aanzien van het begrip persoonsregistratie spelen twee elementen een rol. Er dient sprake te zijn van een samenhangende verzameling van

20 GVERZICHT VAN RELEVANTE WET- EN REGELGEVING MET BETREKKING TOT INFORMATIEBEVEILIGING

persoonsgegevens en van een systematische toegankelijkheid. Van systematische toegankelijkheid is sprake zodra in een dossiervetzameling elk dossier volgens een zodanige structuur is opgebouwd, waardoor raadpleging volgens een bepaalde systematiek mogelijk is.

Met betrekking tot de houder is bepaald, dat hij de zeggenschap heeft over een persoonsregistratie en zorgdraagt voor de nodige voorzieningen van technische en organisatorische aard ter beveiliging van een persoonsregistratie tegen verlies of aantasting van de gegevens en tegen onbevoegde kennisneming, wijziging of verstrekking daarvan. Gelijke plicht rust op de bewerker voor het geheel of het gedeelte van de apparatuur die hij onder zich heeft (art 8 WPR, vergelijk artikel 4 en 7 van het Verdrag van Straatsburg).

De wetgever heeft bewust voor de open formulering gekozen dat “de nodige voorzieningen van technische en organisatorische aard“ moeten worden getroffen. De ontwikkeling van de techniek vereist een voortdurende aanpassing aan de “state of the art”. Zou de wetgever duidelijker gaan maken wat bedoeld is, dan loopt hij noodzakelijkerwijs altijd achter de feiten aan. Deze beveiligingsopdracht vraagt om nadere invulling door de organisatie zelf. De wijze waarop en de mate waarin persoonsregistraties beveiligd moeten worden, verschilt naar de aard en het belang van de registraties. Beveiliging betreft niet alleen de persoonsregistratie zelf, ook eventuele back-up of archiefbestanden dienen hierin te worden betrokken.

In een concreet geval zal de rechter moeten beoordelen of een houder van persoonsgegevens, gelet op de zorgvuldigheid die hij is gehouden tegenover de personen over wie hij gegevens heeft opgeslagen, in toereikende mate maatregelen heefi genomen en de op de markt ter beschikking staande beveiligingsapparatuur, gelet op de stand van de techniek heeft aangewend. Hij kan zich dan niet beroepen op “onduidelijke wetgeving, waar die wetgeving hem juist zelf verantwoordelijk stelt voor het kiezen van bevelligingsmethoden. Onder “nodig” moet worden verstaan “passende voorzieningen“ gelet op de gevoeligheid van de gegevens waarom het gaat en de groep van mensen die toegang hebben tot het informatiesysteem.

In 1994 zal de Registratiekamer middels een memorandum een begin maken om invulling te geven aan de formulering van de “nodige voorzieningen van technische en organistorische aard”.

Concretisering van de beveiliging voor bepaalde sectoren of bepaalde soorten registraties zal kunnen plaatsvinden door bepalingen op te nemen

0

o OVERZICHT VAN RELEVANTE WET- EN REQELQEVING

MET BETREKKINQ TOT INFORMAT1EBEVEILIQINQ

21

in de voor de sector geldende gedragscodes of bij algemene maatregel van bestuur te stellen nadere regels. Een gedragscode is een besluit van een of meer organisaties, representatief voor de sector waarop het besluit betrekking heeft, waarin regels of aanbevelingen voor de registratie worden gedaan.

De schade welke de geregistreerde lijdt als gevolg van onvoldoende beveiliging is voor rekening van de registratiehouder, aangezien deze aansprakelijk is. De bewerker is aansprakelijk voor die schade of dat nadeel, voor zover ontstaan door zijn werkzaamheid (art. 9 lid 1). De houder heeft hierdoor een risico-aansprakelijkheid. Hierbij is nlet van belang of de schade is ontstaan door de werkzaamheden van de houder of bewerker. Hij is ook aansprakelijk in die gevallen dat hij niet zelf heeft gehandeld. Dat geldt ook voor gedragingen van anderen dan ondergeschikten. De houder kan zich niet beroepen op het ontbreken van schuld, bijvoorbeeld omdat “de schuld bij de computer” zou liggen. Relatie houder-bewerker: de aansprakelijkheid van de houder omvat mede de handelingen van de bewerker, terwijl de bewerker slechts een risico- aansprakelijkheid voor zijn eigen werkzaamheid heeft. leder is voor het geheel aansprakelijk maar niet hoofdelijk.

Degene die vanuit Nederland toegang heeft tot een zich buiten Nederland bevindende persoonsregistratie waarop deze wet niet van toepassing is, is verplicht de nodige voorzieningen te treffen voor de beveiliging van die toegang en van de daardoor verkregen persoonsgegevens (art. 49, lid 1).

3.4 Wet politieregisters

Persoonsregistraties die in het kader van de taak van de politie worden bijgehouden vallen onder de Wet politieregisters. Daarop is de Wet persoonsregistraties niet van toepassing.

In de Wet politieregisters is de beheerder verantwoordelijk voor de beveiliging. De taak van een beheerder kan gelijk worden gesteld met die van een houder, zoals vermeld in de WPR (wet persoonsregistraties, zie onder 3.3). Ten aanzien van de beveiliging gelden dezelfde soorten bepalingen als die van de WPR. De beheerder trefl de nodige voorzieningen ter bevordering van de juistheid en de volledigheid van de opgenomen persoonsgegevens (art 4, lid 3). Dit betreft een inspannings- verplichting en niet een resultaatsverplichting. Indien hem op enigerlei wijze van onjuistheden mocht blijken, dient hij onmlddellijk te corrigeren.

22 OVERZICHT VAN RELEVANTE WET- EN REGELGEVING MET BETREKKING TOT INFORMATIEBEVEILIGING

In artikel 7 wordt de algemene zorgplicht met betrekking tot de juiste werking van de registratie opgelegd. Dit houdt onder meer in dat de beheerder ervoor moet zorgen dat alle personen in zijn organisatie die betrokken zijn bij de werking van de registratie zich houden aan het voor die registratie vastgestelde reglement. De beveiligingseis in het tweede lid van artikel 7 is een algemene norm: hij (de beheerder) draagt zorg voor de nodige voorzieningen van technische en organisatorische aard ter beveiliging van het register tegen verlies of aantasting van de gegevens en tegen onbevoegde kennisneming, wijziging of verstrekking daarvan. Ook hier geldt evenals bij de Wet persoonsregistraties dat de beveiliging bestaat uit een samenstel van technische, organisatorische, personele en procedurele aspecten die per organisatie verschillen, waardoor het niet goed mogelijk, noch wenselijk is om vanuit de centrale overheid concrete eisen terzake te formuleren die voor elke beheerder gelijkelijk gelden.

In het Besluit politieregisters is bepaald dat bij de opneming van een gegeven tevens een aanduiding omtrent de betrouwbaarheid van het gegeven wordt opgenomen. De aanduiding wordt gegeven door personen die daartoe door de beheerder zijn aangewezen (art 3 lid 3).

3.5 Wet op de telecommunicatlevoorzienlngen

In de Wet op de telecommunicatievoorzieningen is de verzorging van de telecommunicatlestructuur en de aanbieding van de zogenaamde basistelecommunicatiediensten, alsmede de aanbieding van vaste verbindingen (huurlijnen) geregeld. Als houder van de consessie voor de verzorging van de telecommunicatie-infrastructuur is aangewezen: KPN. De aanleg, de aanwezigheid en het gebruik door anderen is slechts toegestaan als daarvoor een machtiging is verleend.

Ter uitvoering van de wet kan de Minister van Verkeer en Waterstaat algemene richtlijnen uitvaardigen (artikel E). De richtlijnen bevatten onder andere uitgangspunten en maatstaven voor de beveiliging van de telecommunicatlestructuur en de geheimhouding van diensten, welke betrekking hebben op het directe transport van gegevens van en naar aansluitpunten en de vaste verbindingen. Het gaat hierbij ook om de bescherming van persoonlijke levenssfeer.

Het aansluitpunt is de scheiding tussen de telecommunicatie-infrastructuur en de aan te sluiten randapparatuur. Het aansluitpunt bevindt zich doorgaans op de lokatie van de gebruiker. De toelatingseisen voor aansluiting zijn mede gebaseerd op de eigenschappen van de lijn en van de daarover

OVERZICHT VAN RELEVANTE WET- EN REGELQNINQ

MET BETREKKING TOT INFORMATIEBNEILIBING

23

te transporteren signalen ten behoeve van de verbindingsopbouw en gegevensoverdracht. Voor aansluiting op het Datanet-1 wordt aan de gebruiker een uniform en gestandaardiseerd koppelvlak geboden. Dat wil dus zeggen dat bij het aansluiten geen rekening behoefte te worden gehouden met het in de infrastructuur toegepaste transportmedium: als aan de toelatingseisen wordt voldaan is het transport van gegevens verzekerd. Voor de netwerkbeheerder bestaat hierbij tevens de mogelijk- held om, zonder gebruik te hoeven maken van de aangesloten apparatuur, op afstand de goede werking van de Infrastructuur, en met name van het traject naar het aanslultpunt, te beheersen en te controleren.

Met behulp van het zogenaamd Integrated Service Digital Network (ISDN) is er sprake van een grjintegreerd netwerk voor de afwikkeling van verschillende diensten.

Wat betreít de beveiliging van de telecommunicatie-infrastructuur moet volgens de toelichting gedacht worden aan de technische beveiliging ten behoeve van het gebruik van de infrastructuur voor de daarover te verrichten diensten. Volgens de algemene richtlijn dient de consessiehouder naar de stand van de technische mogelijkheden onder afweging van de hiermee gepaard gaande kosten de infrastructuur zo goed mogelijk te beveiligen tegen Inbreuken door derden. Hierbij valt behalve aan de bescherming tegen kennisneming door derden van de getransporteerde gegevens ook te denken aan een adequate bescherming en beveiliging tegen kennisneming door onbevoegden van gegevens omtrent contracten. Ook zullen bepalingen worden opgenomen met betrekking tot de geheimhouding van bedrijfsgegevens van de houder van de consessie. Ten aanzien van personeel van derden zullen voorts maatregelen worden getroffen met betrekking tot een adequaat toezicht op de aanwezigheid (toegangscontrole etc.) en op de door hen verrichte activiteiten in de telecommunicatie-infrastructuur (voortdurend toezicht door personeel van de houder van de consessie).

Ten aanzien van de geheimhouding van diensten en de vaste verbindingen zegt de toelichting dat het hier betreft organisatorische maatregelen welke door de houder van de consessie dienen te worden genomen ter waarborging van het grondwettelijke telegraaf- en telefoon en de bescherming van de persoonlijke levenssfeer van de gebruikers, Bij aantoonbare noodzaak tot geheimhouding van informatie kan bij de aan de machtiging te verbinden voorschriften toestemming worden verleend om door middel van technische voorzieningen de uit de zenden informatie te beschermen. Dit kan bijvoorbeeld met behulp van zogenaamd scramble of encryptie technieken.

24 OVERZICHT VAN RELEVANTE WET- EN REGELGEVING MET BETAEKKING TOT INFORMATIEBEVEILIGING

Het effect van een dergelijke bescherming kan tenietgaan indien aan het gebruik van ontvanginrichtingen, welke zijn voorzien van zogenaamde decodeerinrichtingen, geen beperkingen worden gesteld. Derhalve is voor deze inrichtingen het vereist van machtiging gesteld, behalve voor die inrichtingen die uitsluitend programma’s volgens de Mediawet kunnen ontvangen (artikel 0.1.2. en artikel G.1.2. van het Besluit radio-elektrische inrichtingen).

De Minister van Verkeer en Waterstaat geeft, na overleg met de Minister van Binnenlandse Zaken en de Minister van Defensie, aan de houder van de consessie voorschriften ten aanzien van de door deze te nemen organisatorische en personele maatregelen en te treffen bijzondere voorzieningen met betrekking tot de voorbereiding van het door hem te verzorgen elektronisch transport van gegevens in buitengewone omstandigheden (artikel 60 van de Wet op de telecommunicatievoorziening en).

De bijzondere voorzieningen hebben betrekking op:

a. de beveiliging van bepaalde onderdelen van de telecommunicatie- infrastructuur;

b. de afwikkeling van het elektronisch transport van gegevens hierover; c. aanvullende infrastructurele voorzieningen voor het elektronisch

transport van gegevens en de beveiliging daarvan.

Het gaat om maatregelen en (bijzondere) voorzieningen welke nodig worden geacht met het oog op de voorbereiding door de consessiehouder onder buitengewone omstandigheden - dit kan ook betrekking hebben op grootschalige rampen. Bij de aan de consessiehouder op te leggen bijzondere voorzieningen zal er naar worden gestreefd deze zoveel mogelijk te doen uitvoeren binnen het kader van functionaliteit van de telecommunicatie-infrastructuur, waarbij te denken valt aan capaciteits- toekenning, routering en de voor die infrastructuur nodige beveiliging. Onder beveiliging wordt ook bedoeld de beveiliging van het te verzorgen elektronisch transport van gegevens tijdens het transport.

3.6 Comptabiliteitswet

In de Comptabiliteitswet wordt niet expliciet ingegaan op beveiligingsaspecten. Wel wordt gesteld dat de administratie, rijksorganen en -diensten moet voldoen aan de eisen van doelmatig beheer en controle (art 25).

OVERZICHT VAN RELEVANTE WET- EN REGELGEVING MET BETREKKING TOT INFORMATIEBNEILIOING

25

Beveiligingsmaatregelen maken onderdeel uit van controlemaatregelen en passen ook in het kasbeheer, zoals geregeld in de wet. Geautomatiseerde betaalsystemen zonder adequate (t0egangs)beveiliging kunnen in strijd zijn met deze regelgeving.

De Minister van Financiën is belast met het toezicht op de Inrichting van de administratie, als bedoeld in artikel 25, en op de wijze waarop deze wordt bijgehouden (art 29).

In deze Beschikking tot instelling EDP AUDIT POOL is geregeld “de beoordeling van opzet en werking van de betrouwbaarheid, continuïteit, beveiliging, doelmatigheid en doeltreffendheid van ontwikkeling, onderhoud en instandhouding van de geautomatiseerde informatievoorziening.” De EDP AUDIT POOL heefi tot taak de accountantsdienst van de ministerles, waarmee dat is overeengekomen, te ondersteunen door middel van dienstverlening bij o.a. beveiliging van ontwikkeling, onderhoud en instandhouding van de geautomatiseerde informatievoorziening (zie ook artikel 2 Beschikking tot instelling van de Coördinatie commissie Automatisering t.b.v. de Accountantscontrole).

De bepaling van artikel 393 lid 4, Boek 2 van het Burgerlijk Wetboek over de verplichting van een accountant om in zijn verslag over de jaarrekeningcontrole aan een bestuurorgaan melding te maken van zijn bevindingen met betrekking tot de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking, heeft voor veel discussie gezorgd. Deze bepaling is echter niet van toepassing binnen de overheid. Het is echter niet ondenkbaar dat een vergelijkbare systematiek binnen de overheid gehanteerd zou kunnen gaan worden.

3.7 Wet bescherming staatsgeheimen (1951)

De Wet beschefming staatsgeheimen bevat nadere voorzieningen met betrekking tot de bescherming van staatsgeheimen. Plaatsen waar zich staatsgeheimen bevinden, kunnen worden aangewezen als verboden plaats (artikelen I, II en lil).

Een staatsgeheim is een gegeven, waarvan de geheimhouding door het belang van de Staat of zijn bondgenoten wordt geboden (artikel 98 van het Wetboek van Strafrecht). In het algemeen kan gezegd worden dat het gegevens betreft, waarvan kennisneming door onbevoegden in meer of mindere mate schade aan de staatsveiligheid of andere gewichtige belangen van de Staat of van zijn bondgenoten kan veroorzaken.

26 OVERZICHT VAN RELEVANTE WET- EN REQELQEVINQ MET BETREKKING TOT INFORMATIEBEVElLIQINQ

Staatsgeheimen kunnen worden onderverdeeld in de categorieën zeer geheim, geheim en confidentieel. De wijze waarop staatsgeheimen beveiligd moeten zijn, is geregeld in een besluit van de Minister-president van 20 januari 1989, nr 89M011818, getiteld: "Aanwijzingen voor de beveiliging van staatsgeheimen en vitale onderdelen bij de rijksdienst."

3.8 Auteurswet 1012

De Auteurswet 1912 regelt de bescherming van de werken van een auteur. In verband met de rechtsbescherming van computerprogramma's is de wetgever momenteel bezig met een wijziging van de Auteurswet 191 2. De wetswijziging is een uitwerking van de EEG-richtlijn van 14 mei 1991 die 0 over deze bescherming handelt.

Evenals elke andere maker in de zin van de Auteurswet 1912, heeft de maker van een computerprogramma het uitsluitend recht dit werk te verveelvoudigen of openbaar te maken (artikel 1 van de wet). Het openbaarmakingsrecht (waaronder het distributierecht valt) houdt tevens in dat het verhuren van computerprogramma's of een verveel- voudiging daarvan die rechtmatig in het verkeer zijn gebracht, dient te geschieden met toestemming van de maker van dat programma of diens rechtverkrijgende. Op de exclusieve rechten van de auteur om de ongeoorloofde reproduktie van zijn werk te verhinderen mag een beperkte uitzondering womlen gemaakt in het geval van een computerprogramma, teneinde de reproduktie toe te laten die technisch noodzakelijk is voor het gebruik van het programma door de rechtmatige verkrijger. Onder verveelvoudigen valt dus niet het laden, opslaan en onderhoud van het programma of het maken van een reservecopie, dat nodig is voor het beoogde gebruik. Hetzelfde geldt om de interoperabiliteit (het vermogen om informatie uit te wisselen en om deze uitgewisselde informatie onderling te gebruiken) van het computerprogramma met andere computerprogramma's tot stand te brengen. Opzettelijke inbreuk op een auteursrecht is strafbaar gesteld. Omstandigheden die een inbreuk kunnen vergemakkelijken, zoals bijvoorbeeld ongeautoriseerd gebruik, zijn ook strafbaar.

3.9 Wet gemeentelijke basisadministratie persoonsgegevens (Wet GBA)

Elk gemeentebestuur is houder van een geautomatiseerde basisadministratie met persoonsgegevens over de bevolking. In de wet is de beveiliging

O

OVERZICHT VAN RELEVANTE WET- EN REGELGEVING MET BETAEKKINQ TOT INFORMATIEBNEILIQINQ

27

een onderdeel van de voorwaarden. Een onderscheid wordt gemaakt tussen - beveiliging die inherent is aan het gekozen stelsel, zoais de

mogelijkheden inherent aan de keuze voor een niet-interactief berichtennetwerk, en

- specifieke aanvullende beveiiigingsmaatregeien, waaronder naast fysieke en systeemtechnische voorzieningen, ook maatregelen zoais uitwijk en het regelmatig maken van kopieën.

De Wet GBA geeft aan (artikel 6) dat bij of krachtens algemene maatregel van bestuur regels worden gesteld omtrent de technische en administratieve inrichting en werking en de beveiliging van de basisadministraties. Voor het overige hebben de gemeenten de vrije keus voor de vormgeving van hun GBA-systemen en zijn zij ook verantwoordelijk voor de goede werking ervan. Zij zijn tevens verantwoordelijk voor de inrichting en bijhouding van de basisadministratie en de verstrekkingen daarvan. Dus ook voor de juistheid, betrouwbaarheid en actualiteit van de daarin opgeslagen persoonsgegevens. Het belangrijkste risico voor de goede en veilige werking van de GBA bestaat uit onjuiste informatieverstrekking vanuit de GBA door moedwillige acties (fraude), menselijke fouten of storingen. Maatregelen die genomen zijn om onjuiste gegevensverstrekking tegen te gaan, betreffen: het gebruik van autorisatietabeilen, intensieve technische beproeving, de zogenaamde Schouwing en Toetsing, en een speciaal daartoe ontwikkelde steekproef op volledigheid en betrouwbaarheid van de GBA-bestanden.

De Minister van Binnenlandse Zaken draagt zorg voor de aanleg en de instandhouding van een beveiligd netwerk (artikel 4). Na een risico-analyse zijn een aantal organisatorische, fysieke en technische maatregelen gehnpiementeerd die tot doei hebben het verstoren van de werking van het netwerk en het moedwillig veranderen van verzonden persoonsgegevens zo mogelijk te voorkomen, maar in ieder geval moeilijk te maken. Deze maatregelen behelzen onder meer het gebruik van besloten gebruikers- groepen, de mogelijkheid om alleen vanuit een gemeente het kontakt tot stand te brengen, uitgebreide wachtwoordbeveiiiging, het gebruik van ‘smartcards’ en een controle op het fysieke adres en de identiteit van de gebruiker die verbinding zoekt met het GBA-netwerk. Ten aanzien van kwetsbare activiteiten, denk aan het netwerkbeheer, wordt gedacht aan vercijfering van het berichtenverkeer. Men is pas gerechtigd tot gebruik van het GBA-netwerk, na verkregen toestemming van de Minister van Binnenlandse Zaken. Deze toestemming wordt pas verleend, nadat is onderzocht of de beveiliging van de basisadministratie voldoet aan de gestelde eisen.

28 OVERZICHT VAN RELEVANTE WET- EN REGELGWING MET BETREKKING TOT INFOAMATIEBEVEILIGING

3.10 Ambtenarenwet

Het enige dat deze wet regeit in relatie met de beveiliging is de geheimhouding. De ambtenaar is verplicht tot geheimhouding van hetgeen hij in zijn ambt verneemt. Deze geheimhoudingsplicht bestaat echter niet tegenover degenen, aan wie deze ambtenaar ondergeschikt is en ook niet voor zover hij door een superieur van zijn geheimhoudingsplicht is ontheven (zie art. 59 van de Ambtenarenwet).

@

3.11 Archiefwet 1062

Volgens artikel 2 lid 1 van de Archiefwet 1962 zijn de overheidsorganen verplicht de onder hen berustende archiefbescheiden in goede en geordende staat te bewaren. Voor het overige zijn geen specifieke beveiligingsbepalingen in de wetgeving opgenomen.

a

3.12 Wet computercriminaliteit

De Wet computercriminaliteit bevat bepalingen tot wijziging van het Wet- boek van Strafrecht en van het Wetboek van Strafvordering. De strafbaar- stellingen richten zich op vier typen computermisbruik: - zich onbevoegd toegang verschaffen tot een systeem of daar

onbevoegd gebruik van maken: - de goede werking van een systeem verhinderen of bemoeilijken, onder

te verdelen in computersabotage. manipulatie of wegnemen van apparatuur, programmatuur of gegevens;

- onbevoegd kennisnemen of kopiëren van gegevens; - onbevoegd namaken van apparatuur of programmatuur. De Wet computercriminaliteit stelt geen expliciete eis tot adequate beveiliging van de informatievoorziening. Voor de strafbaarstelling van computewredebreuk is enige beveiliging vereist (art 138a, I e lid onder a Wetboek van Strafrecht). Computervredebreuk is het opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk. Dit artikel is niet alleen van toepassing op vervolging van zogenaamd 'hackers', maar ook op personen werkzaam binnen een organisatie. Zo kunnen medewerkers, ambtenaren, arbeidscontracten, uitzendkrachten en ingehuurd personeel vervolgd en gestraft worden wanneer zij ongeautoriseerd (bijvoorbeeld met een password van een ander) rondsnuffelen in een computer of netwerk,

0

OVERZICHT VAN RELEVANTE WET- EN REGELGEVING MET BETREKKING TOT INFORMATIEBEVEILIGINQ

29

Beveiliging is dus als vootwaarde voor strafbaarstelling geformuleerd en niet als eis. In de Memorie van Toelichting maakt de Minister van Justitie onderscheid tussen absolute, maximale, adequate, minimale en pro forma beveiliging. Onder absolute beveiliging wordt volgens de minister verstaan dat het inbreken onmogelijk is; hij geeft daarbij aan dat de praktijk heeft uitgewezen dat dit geen realistische situatie is. Maximale beveiliging betekent volgens de minister dat alle op een bepaald moment beschikbare technische mogelijkheden tot beveiliging zijn aangewend. Ook hiervan erkent hij dat dit uit kostenoverwegingen geen aanvaardbare eis kan zijn. Van adequate beveiliging is sprake wanneer er een evenwicht is tussen het te beveiligen belang en de mate waarin beveiligingsmaatregelen zijn aangebracht. Voor het ontstaan van strafbaarheid van de binnendringer wordt niet meer dan een minimale, doch wel daadwerkelijke beveiliging verlangt. Er kan niet worden volstaan met pro forma beveiliging, dat wil zeggen een beveiliging die geen daadwerkelijke beveiliging is, bijvoorbeeld de waarschuwing "verboden toegang" op het opstartscherm.

Verder is het ook van belang te weten dat het In omloop brengen van een virus strafbaar is (artikel 350b). Deze bepaling geldt voor iedereen binnen een departement door wiens schuld door virussen schade wordt opgelo- pen. Medewerkers zullen zorgvuldig met software moeten omgaan. Ook systeembeheerders zullen in verband hiermee voor virusvrije software moeten zorgen.

3.13 Wet op de inlichtingen- en veiligheidsdiensten

Deze wet handelt over de werkzaamheden van de inlichtingen- en veiligheidsdiensten. De Binnenlandse Veiligheidsdienst (EVD) heeft onder andere tot taak het bevorderen van maatregelen ter beveiliging van gegevens, waarvan de geheimhouding door het belang van de Staat wordt geboden (artikel 8). De Militaire Inlichtingendienst verricht deze taak In het kader van het verzamelen van gegevens welke nodig zijn voor het treffen van maatregelen ter beveiliging van gegevens betreffende de krijgsmacht waarvan de geheimhouding is geboden (artikel 9); Het gaat hierbij om de beveiliging van staatsgeheimen. In het kader van de beveiliging verrichten de diensten onderzoeken naar de betrouwbaarheid van personeel (zgn veiligheidsonderzoeken, zie onder 4.6.). De diensten dragen zorg voor de geheimhouding van de daarvoor in aanmerking komende gegevens en van de bronnen waaruit die gegevens afkomstig zijn (artikel 14).

30 OVERZICHT VAN RELEVANTE WET- EN REGELGEVINO MET BETAEKKING TOT INFORMATIEBEVEILIQING

4 Voorschrifien, aanwijzingen en andere regelingen binnen de Rijksoverheid

4.1

Voor de overheid is het Besluit informatievoorziening in de Rijksdienst 1990 (IVR 1990) van belang. Het besluit geefi de beginselen van het informatie- voorzieningsbeleid weer. Het IVR stelt de verdeling van verantwoordelijkheden op dit gebied vast waarbij de ministers afzonderlijk verantwoordelijk zijn voor de eigen, intra-departementale informatievoorziening en dat bepaalde ministers als coördinerend minister eerst-verantwoordelijk zijn voor het beleid op bepaalde deelgebieden van de informatievoorziening. Als algemene coördinator op het gebied van informatievoorziening van de openbare sector is de Minister van Binnenlandse Zaken aangewezen. De Minister van Binnenlandse Zaken doet voorstellen aan de Ministerraad en in voorkomende gevallen aan andere organen binnen de openbare sector om een doelmatige en doeltreffende inrichting van de informatievoorziening in de openbare sector te bevorderen. Verder is de informatieplanning, contra-expertise, informatiebetrekkingen met gemeenten en provincies en rapportage geregeld. Uit de Beleidsnotities Informatievoorziening Openbare Sector (BIOS 1 en 2) blijken datacommunicatiebeleid en standaardisatie belangrijke uitgangspunten.

Besluit informatievoorziening in de Rijksdienst I090

4.2

Het Besluit voorschrift informatiebeveiliging rijksdienst 1994 wordt 1 januari 1995 van kracht. Met het voorschrift wordt een uniform beleidskader nagestreefd, dat op hoofdlijnen vastlegt hoe het informatiebeveiligingsbeleid binnen de rijksdienst dient te worden gevormd en gevoerd. Tevens is hiermee de regelgeving geactualiseerd en worden de volgende voorschriften ingetrokken:

- de Aanwijzingen inzake de beveiliging van persoonsgegevens, verwerkt en opgeslagen in geautomatiseerde gegevensverwerkende systemen bij de Rijksoverheid, vastgesteld bij besluit van de minister-president van 16 juli 1982 en

- het Voorschrift inzake de beveiliging van gerubriceerde gegevens, verwerkt en opgeslagen in geautomatiseerde systemen bij de Rijksoverheid, vastgesteld bij besluit van de minister-president van 25 maart 1980.

Besluit voorschrift informstisbeveiliging rijksdienst 1994

0


31

Het voorschrift geeft aan dat de secretaris-generaal het informatiebeveiligingsbeleid dient vast te stellen in een beleidsdocument. Het management draagt er zorg voor dat voor elk informatiesysteem en voor elk verantwoordelijkheidsgebied op systematische wijze bepaald wordt welk stelsel van maatregelen getroffen dient te worden. Voor het overige wordt verwezen naar het voorschrift zelf en de algemene toelichting daarop.

4.3 Bevelligingsvoorschrift 1-1949

Het Beveiligingsvoorschrifi 1-1 949 omvat 9 artikelen, waarbij aan de secretaris-generaal de algemene zorg voor de beveiliging van het departement en de daaraan toevertrouwde overheidsgeheimen is opgedragen. Verder regelt dit voorschrift de instelling van een Beveiligingsambtenaar (EVA) en de instructie en aanwijzingen voor zijn werkzaamheden en bevoegdheden.

I 4.4 Aanwijzingen voor de beveiliging van staatsgeheimen en vitale

onderdelen bij de rijksdienst (zgn Beveiligingsvoorschrlft 1989)

Met ingang van 1 maart 1989 zijn de Aanwijzingen voor de beveiliging van staatsgeheimen en vitale onderdelen bij de rijksdienst in werking getreden. Door dit besluit is het Bevelligingsvoorschrifi ii 1961 ingetrokken. Deze aanwijzingen handelen over het omgaan met gerubriceerde gegevens, de zogenaamd staatsgeheimen, en vitale onderdelen bij de rijksdienst. In de aanwijzingen wordt Ingegaan op de organisatie van de beveiliging, rubriceringen van gegevens, personeel (vertrouwensfuncties), behandelen van staatsgehelmen, plaatsen waar staatsgeheimen en vitale onderdelen aanwezig zijn, en inbreuken op de beveiliging.

4.5 Aanwijzingen Inzake inzage van ministerraadsnotulen door ambtenaren

Bij hetzelfde besluit als de aanwijzingen, genoemd onder 4.3, zijn twee aanwijzingen vastgesteld waardoor onder verantwoordelijkheid van de secretaris-generaal inzage kan worden gegeven in bepaalde gedeelten uit de notulen van de ministerraad aan ambtenaren die geen vertrouwensfunctie bekleden. De ambtenaar ondertekent hiervoor een verklaring.

O


MET BEIREKKING TOT INFORMATIEBEVEILIGING I

4.6 Beschikking antecedentenonderzoek

De Beschikking antecedentenonderzoeken is een beschikking van de Minister van Bcnnenlandse Zaken, die op 1 maart 1970 in werking is aetreden. oe beschikking regelt het antecedentenonderzoek en het veiligheidsonderzoek. Het antecedentenonderzoek omvat, in verband met de beoordeling van de geschiktheid van de belanghebbende voor het vervullen van de desbetreffende functie (artikel 1):

a. het verifiëren en zonodig aanvullen van aan de belanghebbende gevraagde gegevens;

b. het inwinnen van inlichtingen omtrent de justitiële antecedenten van de belanghebbende, volgens de bepalingen van de wet op de justitiële documentatie en op verklaringen omtrent het gedrag;

c. indien het betreft de vervulling van een vertrouwensfunctie, het verrichten van een veiligheidsonderzoek.

Het onderzoek wordt ingesteld door of namens het tot aanstelling of indienstneming bevoegd gezag.

Onder een vertrouwensfunctie wordt verstaan een functie die de mogelijkheid biedt de veiligheid of andere gewichtige belangen van de Staat te schaden dan wel het naar behoren functioneren van een vitaal onderdeel van een departement van algemeen bestuur of van een daaronder ressorterende dienst, bedrijf of instelling in gevaar te brengen (artikel 3). Iedere minister wijst in overeenstemming met de Minister van Binnenlandse Zaken voor zijn departement en de daaronder ressorterende diensten, bedrijven en instellingen de functies aan die als vertrouwensfuncties worden aangemerkt.

Verder is het veiligheidsonderzoek is niet alleen in deze beschikking uitgewerkt, maar ook in een afionderlijke beschikking, de Beschikking Veiligheidsonderzoeken.

4.7 Beschikking Veiligheidsonderzoek

De Beschikking Veiligheidsonderzoeken is een beschikking van 1 O mei 1976 van de Minister van Binnenlandse Zaken. Het veiligheidsonderzoek is erop gericht vast te stellen of er al dan niet feiten en omstandigheden zijn. die bij het bevoegd gezag twijfel kunnen doen rijzen of voldoende waarborgen aanwezig zijn, dat de belanghebbende bij de vervulling van de


MET BEIREKKING TOT ~NFORMATEBNEILIGING

33

vertrouwensfunctie zijn plicht als ambtenaar of werknemer onder alle omstandigheden getrouwelijk zal volbrengen (artikel 2). Bij het veiligheidsonderzoek wordt gelet op gegevens betreffende (artikel 3):

a. deelneming of steunverlening aan staatsgevaarlijke activiteit: b. lidmaatschap van steunverlening aan organisaties, die doeleinden

nastreven c.q. ter verwezenlijking van hun doeleinden middelen hanteren, welke in strijd zijn met de grondslagen van de democratische rechtsorde;

c. persoonlijke gedragingen en omstandigheden; d. de justitiële antecedenten, verkregen met inachtneming van het

bepaalde bij of krachtens de Wet op de justitiële documentatie en op de verklaringen omtrent het gedrag.

Het onderzoek wordt ingesteld door of onder verantwoordelijkheid van de Binnenlandse Veiligheidsdienst c.q. de betrokken militalre inlichtingendienst. Indien er twijfels zijn dat wordt de belanghebbende daarvan schriftelijk in kennis gesteld onder vermelding van de aard van de gerezen bedenkingen en onder mededeling dat hij daartegen een bezwaarschrift kan indienen bij de Adviescommissie inzake de Veiligheidsonderzoeken.

Het ter zake bevoegde gezag beslist na het inwinnen van het advies van de commissie, of de belanghebbende de functie al dan niet kan vervullen.

In verband met een bepaling in de Grondwet omtrent de bescherming van de persoonlijke levenssfeer dient het verrichten van veiligheidsonderzoeken bij wet geregeld te zijn.

Momenteel is een voorstel van wet in voorbereiding. De wet komt overeen met die van de beschikking. Nieuw is dat volgens de wet een hernieuwd veiligheidsonderzoek kan worden Ingesteld, hetzij na een termijn van vijf jaar of een veelvoud daarvan hetzij indien feiten of omstandigheden zijn gebleken die een onderzoek rechtvaardigen.

4.8 Voorschriften inzake verbindingsbeveiiiging

Ten aanzien van de behandeling van gerubriceerde informatie bestaat een aantal voorschriften inzake verbindingsbeveiliging.

VEV 4 7000 (A) Fysieke Beveiliging Het doel van dit voorschrift is instructies te geven met betrekking tot het



fysieke aspect van de verbindingsbeveiliging. Dit omvat de maatregelen die nodig zijn om te voorkomen dat onbevoegden toegang kunnen verkrijgen tot of kennis kunnen verkrijgen uit documenten, gegevens, apparaten en andere middelen die in het kader van de telecommunicatie worden gebruikt bij de vetwerking van gerubriceerde informatie.

VBV 32000 (A) Beleidsadvies Compromitterende straling In dit advies worden criteria gesteld die ertoe bijdragen dat de mate van beveiliging tegen compromitterende straling (van apparatuur) in evenwicht is met de overige te nemen beveiligingsmaatregelen. Hierbij wordt rekening gehouden met de rubricering van de informatie en de afstand waarop een interceptor zich kan bevinden.

VBV 322 10 (A) Instaliatievoorschrift Gerubriceerde dataverwerkende apparatuur Dit voorschrift spreekt voor zich.

VBV 32600 (A) Nederlandse Zoneringsprocedure De zoneringsprocedure geeft een methode aan om locaties in zones in te delen. Het criterium hiervoor is de demping die eventuele straling ondervindt binnen de locatie hetgeen door middel van metingen is vast te stellen. Daarnaast kan van apparatuur worden bepaald in welke zone zij mag worden Ingezet.

VBV 93000 (A) Bundel richtlijnen en beschouwingen Deze richtlijnen hebben ten doel een zo hoog mogelijke en gelijkwaardige graad van beveiliging te bereiken voor wat betreft de nationale verbindingen. Het is van belang voor de veiligheid van de staat, dat de behandelde aspecten van de verbindingsbeveiliging zonder meer door de afzonderlijke diensten worden nagekomen, hetgeen impliceert dat er ten aanzien van de wijze van uitvoeren geen vrijheden bestaan.

De richtlijnen gaan onder andere over: het behandelen van lange teksten, de cryptobeveiliging van berichten, overzicht en gebruik van cryptossystemen, off-line vercijfering, de classificatie specificatie en het omgaan met crypto-apparatuur, inclusief het afvoeren van crypto- apparatuur.

Beschouwingen worden gegeven voor de verstrekking van achtergrondinformatie over de verschillende aspecten van de verbindingsbeveiliging. Zij dragen een informatief karakter. Het gaat hierbij om bijvoorbeeld het cryptosysteem en sleutelbeheer in hun onderlinge samenhang, toelichting op straling en de geheimhouding van geclassificeerde informatie.

OVERZICHT VAN RELEVANTE WET- EN REGELOEVING MET BETREKKING TOT INFORMATIEBEVEILIGING

35

VBV 93001 (A) Bundel Beleidsadviezen Beleidsadviezen gelden voor die aspecten van de verbindingsbeveiliging, waarvoor nakoming uit een verbindingsbeveiligingsoogpunt in samenhang met het belang van de veiligheid van de Staat wel gewenst is, doch die, gezien de belangrijke consequenties op operationeel en financieel gebied (welke van uitvoering het gevolg zijn voor de verschillende deelnemers met elk een eigen (ministeriële) verantwoordelijkheid) niet bindend aan de diensten kunnen worden opgelegd. Het NBV heeit het volgende in dit verband relevante beleidsadvies uitgebracht: -Toepassing crypto-apparatuur voor de bescherming van nationaal

gerubriceerde informatie.

VBV 93002 (A) Bundel nationale goedkeu~ngsdocumenten Goedkeuringsdocumenten bevatten een overzicht van de plaatsgevonden hebbende evaluaties en keuringsresultaten (certificatie) van verbindingsbeveiligingsapparatuur, alsmede de opstellings- en gebruiksvoorwaarden waaraan dient te worden voldaan (accreditering).

36 OVERZICHT VAN RELEVANTE WEI- EN REGELQNING

M E I BEIREKKING TOT INFORMATIEBEVEILIGINQ

5. Uitwerking in de organisatie

Bij het bepalen van het informatiebeveiligingsbeleid vormt de vigerende weten regelgeving voor elk departement een extern bepaalde rand- voowaarde. In dit hoofdstuk wordt de betekenis van de weten regelgeving aangegeven bij de vaststelling van het beleid en de invulling van de maatregelen.

5.1 Gegevens

Een belangrijk element bij de beoordeling van de noodzaak tot beveiliging en het nemen van maatregelen is de vraag met wat voor soort informatie het departement te maken heeit, in het bijzonder ten aanzien van het te beveiligen bedrijfsproces.

Ten aanzien van gegevens is het volgende overzicht te maken: - informatie (algemeen); in beginsel is de informatie bij de overheid open. De Grondwet gaat uit van openbaarheid (Grondwet, zie onder 3.1, blz 19);

- informatie volgens de Wet openbaarheid van bestuur; deze wet geeít mogelijkheden tot afscherming van gegevens (zie onder 3.2, blz 19/20);

- persoonsgegevens; de bescherming van de persoonlijks levenssfeer is een belangrijk uitgangspunt bij de beveiliging van deze gegevens. Diverse regelingen verplichten de nodige maatregelen, te weten: - passende beveiligingsmaatregelen tegen vernietiging, verlies, - toegang, wijziging of verspreiding (Verdrag bescherming

persoonsgegevens; zie onder 2.4.1, blz 9/10): - technische en organisatorische maatregelen (Ontwerp-richtlijn: zie

onder 2.5.4, blz 13/14): de maatregelen moeten, rekening houdend met de stand der techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau garanderen met betrekking tot de risico’s die de verwerking en de aard van te beschermen gegevens met zich meebrengen:

- de nodige voorzieningen van technische en organisatorische aard (Wet persoonsregistraties: zie onder 3.3, blz 20 t/m 22), de Registratiekamer zal binnenkort met een memorandum komen, waarin inhoud wordt gegeven aan dit uitgangspunt;

- de nodige voorzieningen van technische en organisatorische aard voor persoonsregistratie van de politie (Wet politiemgisters. zie onder 3.4, blz 22/23);

0

I

O

- de beveiliging van gegevens vallend onder gemeentelijke basisadrninis- tratie persoonsgegevens (wet GBA, zie onder 3.9, blz 27/28):

O

OVERIICHT VAN RELEVANTE WET- EN REGELGEVING MET BETREKKING TOT INFORMATIEBEVEILIGING

37

- gegevens in een databank; de maker van de databank heefl het recht om te verhinderen dat zonder zijn toestemming de inhoud wordt opgevraagd en hergebruikt (Ontwerp-richtlijn databanken, zie onder 2.5.8, blz 17);

- gerubriceerde gegevens; de bescherming van staatsgeheimen en de in verband daarmee aan te wijzen verboden plaatsen (Wet bescherming staatsgeheimen (1951), zie onder 3.7, biz 26/27 en Beveiligingsvoorschrifl 1989, zie onder 4.4, blz 32);

- NATO-gegevens; voor deze gegevens geldt een eigen regiem van beveiliging, vermeld in NATO-documenten (NATO-documenten, zie onder2.6.1, blz 17/18).

5.2 Verantwoordelijken

Het regelen van de verantwoordelijkheid wordt als een belangrijk uitgangspunt in diverse regelingen gehanteerd. De volgende regelingen vermelden daarover: - expliciete toewijzing van verantwoordelijkheden (OECD-Guidelines, zie

onder 2.3.3, blz 8/9 en Besluit Voorschrift Informatiebeveiliging Rijksdienst, 4.2, blz 31/33);

- de voor verwerking verantwoordelijke dient maatregelen ten uiivoer te leggen (Ontwerp-richtlijn persoonsgegevens, zie onder 2.5.4, blz 13/14); - de houder van een persoonsregistratie (d.i. degene die de zeggenschap over de registratie heeft) zorgt voor de nodige voorzieningen (Wet persoonsregistraties, zie onder 3.3, blz 20/22); - de bewerker van een persoonsregistratie (d.i. degene die de apparatuur onder zich heefl) heefl gelijke plicht als de houder om de nodige voorzieningen te treffen (Wet persoonsregistraties. zie onder 3.3, blz 20/22);

- de beheerder van persoonsregistratie ten behoeve van een politieregistratie trefl de nodige voorzieningen ter bevordering van de juistheid, de volledigheid, alsmede de juiste werking van de registratie (Wet politieregisten, zie onder 3.4, blz 22/23);

- door de beheerder van een politionele persoonsregistratie worden penonen aangewezen die zorgdragen voor de aanduiding omtrent de betrouwbaarheid van het gegeven (Wet politieregisters, zie onder 3.4, blz 22/23);

- als houder van de consessie voor de verzorging van de telecommunicatie-infrastructuur is aangewezen: de KPN; aanleg, aanwezigheid en gebniik door anderen is slechts toegestaan als daawoor machtiging is verleend (Wet op de telecommunicatievoorzieningen, zie onder 3.5, blz 23/25);

- de consessiehouder (KPN) draagt zorg voor de technische beveiliging

38 CVERZICHTVAN RE LEV AF^ WET- EN REGELGEVING MET BETREKKING TOT INFORMATIEBEVEILIGING

tegen inbreken van derden (Wet op de telecommuncatievoorzieningen, zie onder 3.5, blz 23/25);

- de houder van een gemeentelijke basisadministratie persoonsgegevens (elk gemeentebestuur) draagt zorg voor de beveiliging (Wet GBA, zie onder 3.9, blz 27/28);

- de Minister van Binnenlandse Zaken draagt zorg voor de aanleg en instandhouding van een beveiligd netwerk (Wet GBA, zie onder 3.9, blz 27/28);

- de verantwoordelijke Minister wijst vertrouwensfuncties aan (Beschikking Antecedentenonderzoek, zie onder 4.6, blz 33).

5.3 Organisatie van de informatiebeveiligingsfunctie

Op het punt van de organisatie van de informatiebeveiligingsfunctie zijn enkele regeling die vootwaarden stellen: - antecedenten- en veiligheidsonderzoek (Beschikking

0 Antecedentenonderzoek, zie onder 4.6, blz 33 en Beschikking Veiligheidsonderzoek, zie onder 4.7, blz 33/34);

- aanmerken vertrouwensfuncties (beschikking Antecedentenonderzoek, zie onder 4.6, blz 33);

- betrouwbaarheidsdiensten en technische harmonisatie (een actiepunt van de Europese Unie: zie onder 2.5.1, blz 11/12):

- adequaat toezicht op de aanwezigheid van personeel (toegangscontrole etc.) en op de door hen verrichte activiteiten in de telecommunicatie- infrastructuur (Wet op de telecommunicatievoorzieningen, zie onder 3.5, blz 23/25);

- organisatorische maatregelen welke door de consessiehouder dienen te worden ter waarborging van het grondwettelijk telegraaf- en telefoongeheim en de bescherming van de persoonlijke levenssfeer van de gebruikers (Wet op de telecommunicatievoorzieningen, zie onder 3.5, blz 23/25).

5.4 Informatiesystemen

Bij de ontwikkeling en beheer van informatiesystemen moet rekening gehouden met - de rechtsbescherming van computerprogramma’s; d.w.z. de exclusieve

rechten van de maker van een computerprogramma voor handelingen, zoals reproductie, verandering van een programma en distributie, is toestemming vereist (zie Richtlijn rechtsbescherming computerprogramma’s, zie onder 2.5.2, blz 12 en Auteurswet 1912, onder 3.8, blz 27);

0

OVERZICHT VAN RELEVANTE WEI- EN REGELGEVING MET BEIREKKING TOT INFORMATIEBEVEILIGING

39

- voorkomen van verspreiding van computervirussen (Wet computercriminaliteit, zie onder 3.12, blz 29/30);

- voldoende waarborgen ten aanzien van de beveiliging bij het kiezen van een subcontractant in verband met verwerking door derden (Ontwerp- richtlijn persoonsgegevens, zie onder 2.5.4, blz 13/14);

- de uitvoering van de verwerkingen voor rekening van derden in een schriftelijke overeenkomst of rechtshandeling (Ontwerp-richtlijn persoonsgegevens, zie onder 2.5.4, blz 13/14);

- de eis van openbare aanbesteding op grond van EU-regelgeving met tevens eisen ten aanzien van standaardisatie (Europese ontwikkelingen, zie onder 2.5.1, blz 11/12);

- een methode om de relatie tussen belanghebbenden te organiseren is een SLA (Service Level Agreement). Een SLA is een overeenkomst waarin de te leverende produkten en/of diensten, maar veeal ook de middelen, methoden, processen en structuur waamee de produkten en/of diensten worden aangeboden en de wijze waarop de kwaliteitseisen kunnen worden beheerst (zie onder 1, blz 5);

- stralingsonderzoek (TEMPEST) apparatuur (NATO-voorschriften, zie onder 2.6.1, blz 17/18);

- evaluatie en certificering van hardware en software (ITSEC zie onder 2.5.1, blz 11/12);

- beschermen van installaties tegen sabotage (NATO-voorschriften, zie onder 2.6.1, blz 17/18).

5.5 Netwerken

Op het gebied van netwerken en telecommunicatiediensten is het volgende van belang: - uitwisseling tussen landen; belang bescherming persoonlijke

levenssfeer, harmonisatie van wetgeving (OECD-Guidelines; zie onder 2.3.2, blz 8);

- technische en organisatorische maatregelen in een netwerk ter bescherming van persoonsgegevens (Ontwerp-richtlijn, zie onder 2.5.4, blz 13/14);

- beveiliging netwerk GBA (Wet GBA, zie onder 3.9, blz 27/28); - maatregelen om onjuiste gegevensverstrekking tegen te gaan (wet

GBA, zie onder 3.9, blz 27/28) - openbare netwerkdiensten moeten binnen de lidstaten van de EU op

geharmoniseerde wijze worden aangeboden en - de toegang tot openbare telecommunicatienetwerken of -diensten mag

niet worden beperkt, met uitzondering van veiligheid, netwerkintegriteit, interoperabiliteit van diensten en bescherming van gegevens (Richtlijn


telecommunicatiediensten, zie onder 2.5.3, blz 12/13, Richtlijn Open Network Provision op huurlijnen. zie 2.5.6, blz 15/16 en Ontwerp- richtliin van Ooen Network Provision OD sDraaktelefonie. zie 2.5.7. blz . . 16/1&

- de toelating tot de telecommunicatie-infrastructuur (Wet op de telecommunicatie, zie onder 3.5, blz 23/25);

- aanleg, aanwezigheid en gebruik van de telecommunicatie- infrastructuur door anderen dan de houder (KPN) is slechts toegestaan als daarvoor machtiging is verleend (Wet op de telecommunicatievoorzieningen, zie onder 3.5, blz 23/25);

- de beveiliging van de telecommunicatiestructuur en de geheimhouding van diensten, welke betrekking hebben op het directe transport van gegevens van en naar aansluitpunten. inclusief de bescherming van de persoonlijke levenssfeer (Wet op de telecommunicatievoorzieningen, zie

- technische beveiliging door de concessiehouder ten behoeve van het gebruik van de infrastructuur voor de daarover te verrichten diensten (wet op de telecommunicatrievoorieningen, zie onder 3.5, blz 23/25); het gaat hierbij om bescherming tegen kennisneming door derden van de getransporteerde gegevens en beveiliging tegen kennisneming dioor onbevoegden van gegevens omtrent contractanten;

- de beveiliging van verbindingen ten behoeve van gerubriceerde informatie (Voorschriften inzake verbindingsbeveiliging, zie onder 4.8, blz 34/36);

- ongeautonseerd toegang (Wet computercriminaliteit, zie onder 3.12, blz 29/30).

onder 3.5, bb 23/25);

OVERZICHT VAN RELEVME WET- EN REGELGEVING

MET BETREKKING TOT INFORMATIEWEILIGING

41

Trefwoorden blz

- aansprakelijkheid, onvoldoende beveiliging, Wet Persoonsregistraties - antecedentenonderzoek - beheerder, Wet politieregisters

- beveiliging en accountant - beveiliging en computercriminaliteit - beveiliging en financiën - beveiliging NATO-documenten - beveiliging netwerk, huurlijnen, EU - beveiligingsambtenaar (EVA) - beveiiigingsmaetregelen, Wet GBA - beveiligingsmaatregelen, Wet Persoonsregistraties - beveiligingsmaatregelen, Wet politieregisters - beveiligingsmaatregelen, Raad van Europa - beveiligingsmaatregelen persoonsgegevens, EU - beveiliging telecommunicatiestructuur - bewerker persoonsregistratie - briefgeheim - computermisbruik - computerprogramma’s, EU - computerprogramma, Auteurswet 1912 - computervirus en strafrecht - computervredebreuk - crypt0 - EDP Audit Pool - databanken, EU - datacommunicatiebeleid - digitale telecommunicatienetten, EU - encryptie en telecommunicatie - gedragscode - geheimhouding ambtenaar - gerubriceerde gegevens - Groenboek (Greenbook) - houder computerprogramma, EU - houder persoonsregistratie - houder telecommunicatie-infrastructuur - houder gemeentelijke basisadministratie

- huurlijnen, EU - illegaal kopiëren, EU

persoonsgegevens, GBA

O 20 33 22 25 29 25 17 15 32

20 27 O 22

9 13 23 20 19 26 12 27 29 29 34 25 17 .~

31 14 O 24 22 29 17 11 12 21 23

27 e 15 12


- implementatie, OECD - informatiesysteem, OECD - informatievoonieningsbeleid

ITSEC (Information Technology Security - Evaluation Criteria) - ITSEM (Information Technology Security Evaluation Manual) - ministerraadsnotulen - NAVO-voorschrift C-M (55) 15(final) - NAVO-documenten, AC/35 serie en AMSG-documenten - netwerkbeveiliging gerubriceerde gegevens - netwerkGBA - netwerk, bescherming gegevens, huurlijnen, EU - netwerken, veiligheid huurlijnen, EU - netwerkintegriteit, huurlijnen, EU - openbaarheid van bestuur - openbare aanbesteding - openbare netwerkdiensten

- persoonlijke beleidsopvattingen - persoonsgebonden gegevens en

- persoonsgegevens, EU - persoonsgegevens, OECD - persoonsgegevens, politieregisters - persoonsgegevens, Raad van Europa - persoonsgegevens, Wet Persoonsregistratie - principes (negen) i.v.m. veiligheid

- principles of security, VN

(Open Network Provision, ONP/EU)

telecommunicatiediensten, Raad van Europa

informatiesystemen, OECD

security safeguards, OECD 0 1 ' security regulations, WEU - staatsgeheim - standaardisatie - SOG-IS (Senior Officals Group on Information

- straling - telecommunicatiediensten, EU - telecommunicatienetten (digitaal), EU - telecommunicatienetwerk, huurlijnen, EU - telecommunicatievoorzieningen

Security Systems)

telefoon- en telegraafgeheim 0 : telefoonnet, EU - tempest, NATO

OVERZICHT VAN RELEVANTE WET- EN REGELGEVING MEI BETREKKINQ TOT INFORMATIEBEVEILIGING

8 8

31

11 11 32 17 18 34 28 16 15 16 19 11

12 20

10 13 8

22 9

20

8 7 8

18 26 31

11 35 12 14 15 23 19 16 18

43

- toegankelijkheid, systematische - toegangseisen openbare netwerken, EU - veiligheidsonderzoek - verbindingsbeveiliging - verboden plaats - vertrouwensfunctie - zoneringsprocedures gerubriceerde gegevens

21 12 33

34 26 O 34 35

I 44 OVERZICHT VAN RELEVANTE WET. EN REGELGEVING MET BEIREKKING TOT INFORMATIEBEVEILIGING

Brochure veilig telewerken I .

I .

.

Identificatieblad

Documentnaam : veilig telewerken

Uitgave : ACIB Advies- en Coördinatiepunt Informatiebeveiliging Ministerie van Binnenlandse Zaken

Versie : 0.1

Opgesteld

Goedgekeurd door: mr J.J. Moelker MPA

Uitgiftedatum : mei 1995

Referentie : acib.bro.vt

Archief : ACIB secretariaat

: B. Lubbers en ing. W.J. Berghuijs

O

Teksten van deze uitgave mogen binnen de rijksoverheid worden gebruikt en overgenomen mits de bron wordt vermeld. Voor gebruik in een andere context dient contact te worden opgenomen met ACIB. Aanvullingen of opmerkingen over deze uitgave worden op prijs gesteld.

ACIB (Advies- en Coördinatiepunt Informatiebeveiliging) Ministerie van Binnenlandse Zaken Schedeldoekshaven 200 Postbus 20011 2500 EA '3-Gravenhage telefoon: 070 - 302 6763 telefax: 070 - 302 7623 Internet: ACiB%[email protected]

O

2 BROCHURE VEILIG TELEWERKEN

inhoudsopgave

1. Inleiding ................. .............................. 5 ............ 5

6 1.1 Doel ........................... . . . . . . . . . . 1.2 Opzet brochure / leeswijzer ............................................ 1.3 Stappen bij een oriëntatie rond thuis-/telewerken ..

2. Telewerk . . . . . . . . . . . . . . . . . . ............................. 10 2.1 Is te . . . . . . . . . . . . . . . 10 2.2 Te stellen eisen ........... . . . . . . . .......... 12

3. Kwetsbaarheden .............................................. . . . . . . . 14 3.1 Uitlekken van gegevens ................................................. 14 0 3.2 Verlies van gegevens .................................................... 15 3.3 Onbevoegde wijziging van gegevens . . . . . . . . . . . . . . . . . . . . . . . . . . . 15

..................... . . . . . . . . . . . . . . . . . 16

................................................. 16 4.2 Logische maatregelen

4.2.1 Logische maatregelen t.b.v. exclusiviteit 4.2.2 Logische maatregelen t.b.v. beschikbaar 4.2.3 Logische maatregelen t.b.v. integriteit . . . . . . . . .

4.3 Organisatorische maatregelen ..... . . . . . . . . . . . .

4.3.2 Organisatorisch maatregelen t.b.v. beschikbaarheid . . . . . 29

4.4.1 4.4.2 Fvsieke maatregelen t.b.v. beschikbaarheid ................... 33

4.3.1 Organisatorische maatregel

4.4 Fysieke maatregelen ................................................... Fysieke maatregelen t.b.v. exclusiviteit .................

I

o 5. Beveiligingspakketten ..................................................... 35

A. Aandachtspunten bij beveiligingspakketten . . . . . . 37 A.1 Produktgegevens ....................................................

A.3 Setviceopties .................................................. 38 A.4 Systeemeise . . . . . . . . . . . . . . . . . .................... 38 A.5 Identificatie en authentlcatle .......................................... 38 A.6 Access Control .................... . . . A.7 Versleuteling ..................................................

A.2 Positie in de ..................................................

A.8 Logboeken en audits ............................................... 39 A.9 Overige opties ............ . . . . . . . . . . . . . . . . . 39

BROCHURE VEILIG TELEWERKEN 3

i. Inleiding

De Personal Computer (PC) is als hulpmiddel niet meer weg te denken uit de werkomgeving. Ook "thuis en onderweg" worden computers steeds vaker gebruikt om werk te doen dat tot voor kort alleen op kantoor kon worden uitgevoerd. In die situaties ontbreekt de in het algemeen met waarborgen omgeven kantooromgevlng. Het werk wordt in de woonsituatie (thuiswerken) uitgevoerd of bij gebruikmaking van portables in wisselende omgevingen. Het is daarom van belang aandacht te besteden aan de beveiligingsaspecten bjj deze wijzen van computergebruik.

Wat wordt onder thuiswerKen of telewerken verstaan? Er zijn verschillende vormen te onderscheiden. Zo is er de ambtenaar die

king heeft, maar ook materiaal mee naar huis neemt om ongestoord (binnen of buiten kantooruren) te kunnen werken. Een andere vorm is het op afstand contact leggen met de informatiesystemen op kantoor omdat de aard van de werkzaamheden om mobiliteit van de ambtenaar vraagt. Inloggen kan dan via een telefoonlijn vanaf een vaste of variabele werkpleK. Ook Is hierbij mobiele communicatie denkbaar, bijvoorbeeld vanuit de auto inloggen op een systeem (opvragen van een kenteken tijdens surveilleren). Daarnaast zijn er situaties, waarin extra dienstverlening naar de burger wordt gegeven. De loketfunctie komt als het ware naar de burger toe en de ambtenaar zoekt vanuit de desbetreffende lokatie contact met het kantoor (dienstverlening aan bejaardenhuis). Het gaat hierbij om allemaal voorbeelden van activiteiten waarbij informatie wordt bewerkt en verwerkt bulten het kantoor en waarvoor in deze brochure respectievelijk de term thuiswerken en telewerken zal worden

op kantoor een compleet ingerichte en beschermde werkplek ter beschik-

gebruikt.

1.1 Doel

Deze brochure poogt inzicht te verschaffen in de problematiek van de beveiliging van informatie, die verwerkt wordt op computers in niet-kantoor situaties (portables en thuiswerk-situaties). Tevens zal richting worden gegeven om tot een acceptabele oplossing te komen. Hoewel de beveiliging van informatie in de verschillende werksituaties conceptueel niet wezenlijk van elkaar verschilt, ligt dat in de uitvoering anders. Zo is het in principe goed mogelijk om een bepaald of eenzelfde beveiligingsregime (basisbeveiligingsniveau) te kiezen, dat zowel geldt voor de kantoorsituatie als elders. Echter in de praktijk blijken de

BROCHURE VEILIQ TELEWERKEN 5

beveiligingsuitgangspunten en maatregeien vaak niet te zijn doorgetrokken naar de werkplek buiten het kantoor. De oplossing die in de kantooromgeving is gekozen (bijvoorbeeld een veilige werkomgeving en fysieke toegangsbeheersing) zal niet zonder meer overgezet kunnen worden naar bijvoorbeeld een thuiswerk- dan wel portable-situatie.

In deze brochure wordt voorbij gegaan aan de grote hoeveelheid technische details die bij selectie en implementatie van gekozen maatregelen in ogenschouw genomen moeten worden of van belang zijn voor een succesvolle implementatie. Ook zal niet ingegaan worden op in de handel verkrijgbare beveiligingsmiddelen, gericht op het beperken van schade aan apparatuur en programmatuur (bijvoorbeeld door diefstal, verlies en 'kapotgaan'). De schade bestaat In dit soort gevallen uit verlies van beschikbaarheid en uit reconstructie- of vervangingskosten. Speciale maatregelen (reservemachines of contracten met leveranciers) kunnen echter wel nodig zijn indien de apparatuur onvervangbaar Is, bijvoorbeeld omdat het model niet meer leverbaar is. Deze maatregelen zullen echter niet in deze brochure behandeld worden. Ook zullen de specifieke netwerkbeveiligingsaspecten niet aan de orde komen indien bijvoorbeeld vanuit huis wordt ingelogd in een systeem op kantoor.

Deze brochure is een eerste verkenning over telewerken. In deze brochure wordt voor al die situaties, waarbij buiten de kantooromgeving wordt gewerkt, gesproken over telewerken of telewerk-situatie. Ongetwijfeld zullen er lezers zijn die aanvullende opmerkingen hebben op de inhoud van de brochure. Opmerkingen zijn van harte welkom, zodat we gezamenlijk aan een verdere verbetering van de brochure kunnen werken. Mochten er na het lezen van deze brochure nog vragen zijn, dan bent u natuurlijk van harte welkom om deze aan ACIB te stellen.

1.2 Opzet brochure I leeswijzer

Nadat een indruk is gegeven waar het bij telewerken omgaat in relatie tot de beschermde kantooromgeving, wordt ingegaan op de kwetsbaarheden. Kwetsbaarheden rond telewerken kunnen worden bepaald door de gestelde eisen (par. 2.2) te confronteren met dreigingen (par. 2.1) die specifiek voor de telewerk-situatie opgang doen. Deze dreigingen dienen op relevantie te worden getoetst middels het bestuderen van de gevolgen (par 3.1/3.2/3.3). Een dreiging is relevant ais de gestelde eisen voor telewerken niet worden gehaald of aangetast. Vervolgens dient een pakket maatregelen te worden gedimensioneerd op zodanige wijze dat de impact van dreigingen wordt gereduceerd of geëlimineerd. Deze maatregelen


zullen uiteindelijk moeten passen op de oorspronkelijk geformuleerde eisen. De mogelijk toepasbare beveiligingsmaatregelen worden in deze brochure in par. 4 omschreven, ingedeeld in de klassen van logische, organisatorische en fysieke maatregelen. Binnen deze indeling worden de maatregelen verdeeld naar exclusiviteit, beschikbaarheid en integriteit. Paragraai 5 geeft een aantat aandachtspunten voor de selectie van beveiligingspakketten. De appendices bevatten ten slotte een verklarende woordenlijst, een meer technische uitwerking van de criteria die bij de beoordeling van een beveiiigingspakket een rol kunnen spelen en een overzicht van de overige ACIB-publikaties.

1.3

Om een indruk te krijgen van het beveiligingsniveau bij uw organisatie kan een aantal beschouwingen worden uitgevoerd. Ook voor bedrijven die met thuis- en telewerken willen gaan beginnen is het handig om aan de hand van een aantal stappen te komen tot een weloverwogen besluit, hoe de zaken rond telewerken dienen te worden ingericht. Mogelijke stappen te doorlopen bij een oriëntatie rond telewerken zijn:

O. Stel het belang vast van het bedrijfsproces en de rol die het ondersteunende informatiesysteem hierin heeft. Honoreer thuiswerken/teiewerken en kom tot het inrichten van faciliteiten en het treffen van maatregelen overeenkomstig de gevoeiigheid van dit proces.

Stappen bij een oriëntatie rond thuWtelewerken

1. Bepaal de gevoeligheid van de informatie en kom tot een indeling in klassen. Geef aan voor welke gegevens en gevoeligheidsklassen thuis-/telewerken wordt toegestaan.

2. Bepaal van de Informatiesystemen welke kritisch zijn en welke in aanmerking komen voor telewerken.

3. Stel een gedragscode voor thuis-/telewerken op.

4. Controleer de activiteiten die middels thuis-ltelewerkvoorzieningen worden verricht en zie toe op de naleving van de gedragscode.

5. Overweeg autorisaties af te bakenen; wat is wei en wat is niet op afstand te raadplegen en te muteren.

6. Overweeg de op afstand bereikbare systemen te separeren van de operationele systemen (plaats buffers).


7. Tref specifieke voorzieningen voor communicatie, autorisatie, authenticatie, identificatie, verificatie, etc.

8. Laat regelmatig de robuustheid van het pakket maatregelen toetsen.

Bovenstaande punten geven per stap soms een compleet aandachtsgebied weer. De brochure geeft informatie hoe een en ander kan worden gerealiseerd.

De belastingdienst heeft inmiddels tien regels voor veilig gebruik van de portable PC opgesteld. Als voorbeeld wordt de integrale tekst hieronder vermeld.

Beveiliging, een zaak voor ons allen

U gebruikt een portable (draagbare) PC van de Belastingdienst. Een portable PC (of PPC) wordt meestal buiten het Belastingdienstkantoor gebruikt. Ga er daarom extra voorzichtig mee om. Niet alleen met de apparatuur, maar ook met de gegevens die u erop vetwerkt. Beveiliging blijft een zaak voor ons allen.

Tien regels voor veilig gebruik van uw PPC

Gebruik de PPC waarvoor u hem heeft gekregen. U mag de PPC ook privé gebruiken, zolang het dienstbelang niet in het gedrang komt.

Behandel uw PPC zorgvuldig. Daarmee voorkomt u beschadiging, verlies en diefstal. Zet de PPC achter slot en grendei als u hem niet gebruikt. Laat uw PPC nooit in een geparkeerde auto achter. Bij schade door onvoorzichtig gebruik van de PPC kunnen de kosten voor uw eigen rekening komen (artikel 66 ARAR).

Koppel de PPC niet rechtstreeks aan apparatuur buiten de Belastingdienst,

Een (onbekende) diskette kan een virus bevatten; gebruik altijd de virusscanner en houd deze up-to-date.

Vertel uw wachtwoord nooit aan anderen. Schrijf het niet op, maar ieer het uit uw hoofd. Is het toch bekend geworden, verander het dan onmiddellijk.

8 BROCHURE VEILIQ TELEWERKEN

Sla persoonsgegevens en gevoelige bedrijfsgegeuens altijd versleuteld op. Uw geheimhoudingsplicht geldt ook voor informatie op diskettes en op de harde schijf van uw PPC. ' Laat diskettes die u verstuurt altijd versleutelen door de faciliteitenbeheerder. Die heefî hlervoor een speciale enctyptiesleutel.

Vermoedt u dat de enctyptiesleutel is gekraakt of uitgelekt? Waarschuw direct de faciliteitenbeheerder en vraag om een nieuwe sleutel voor de gehele eenheid.

Uw PPC is ingesteld volgens de Belastingdienststandaards. Verander deze instellingen nooit zelf. Daarmee kunt u de werking van de programmatuur of beveiliging verstoren.

Een storing? Ga nooit zelf experimenteren. Ook niet als uw PPC geblokkeerd is. Verwijder gevoelige bestanden en waarschuw de faciliteitenbeheerder.

0


2. Telewerken

Bij telewerken gaat het om de vraag in hoeverre het werken buiten de kantoor-situatie met een (portable) PC anders is dan het werken met van kantoor meegenomen dossiers en waarin nu de telewerk-situatie verschilt ten opzichte van de kantoor-situatie? Voordat op de maatregelen wordt ingegaan, wordt eerst aangegeven welke mogelijke eisen vanuit het oogpunt van informatiebeveiliging aan telewerken kunnen worden gesteld.

2.1 Is telewerken anders?

Bij de vraag of telewerken anders is, gaat het mede over de vraag of het meenemen van en werken met dossiers wezenlijk anders is dan het meenemen van en werken met een portable PC of diskettes. Het is een ander medium en daardoor zijn er ook andere risico’s. Zo kan het werken op een PC veiliger zijn dan het werken met dossiers, omdat bij het toepassen van een PC gebruik kan worden gemaakt van versleutelen van informatie. Aan de andere kant heeft een (hard)disk een informatiecapaciteit die overeen kan komen met een kast voi dossiers. Eik ontsluiting van een dergelijk opslagmedium kan in één keer veel informatie in verkeerde handen vallen. In het algemeen is het bewerkelijker om een dossier te kopiëren dan elektronisch opgeslagen informatie. Ook is met betrekklng tot de integriteit een wijziging aan de inhoud van een document in een dossier moeilijker aan te brengen en eerder te herkennen dan dit elektronisch het geval is, tenzij een integriteitsbewaking (digitale handtekening) op het document van toepassing is. Besef dat aan de bronge- gevens zelf niet te zien is, dat er een kopie van is gemaakt. Of er ontsluiting van informatie heeft plaatsgevonden, is dus niet zonder meer te herleiden.

Afhankelijk van het soort werk en de aard van de informatie zal bepaald moeten worden in hoeverre werken buiten de kantooromgeving mogelijk is en welke eisen aan het telewerken worden gesteld. Als telewerken mogelijk is, is het noodzakelijk om de verschillen tussen de kantoor- en de telewerk-situatie te beschouwen en te komen tot een stelsel van maatregelen die in de telewerk-situatie te realiseren zijn. Uit een dergelijke beschouwing kan wel volgen dat er beperkingen moeten worden opgelegd aan het bewerken van bepaalde soort informatie of aan de toegang tot bepaalde systemen. Ook kan het zijn dat er aanvullende maatregelen voorgeschreven worden door de Registratiekamer (orgaan belast met toezicht op de uitvoering van


de Wet persoonsregistratie / Wpr), indien de portables of thuiswerk- computers worden gebruikt om persoonsinformatie te verwerken. Verder dient bij het werken op een eigen PC aandacht besteed te worden aan het beheer van configuraties en software versies om onoverzichtelijke situaties te voorkomen.

Wat betreft de beveiliging kan als voorbeeld van verschillen onderstaande uitwerking worden gehanteerd. Deze opsomming is niet volledig. Voor de eigen situatie kan de uitwerking met specifieke dreigingen die te maken hebben met thuis- en telewerken worden aangevuld. De belangrijkste verschillen tussen werken binnen of buiten kantoor zijn;

-lokatie thuis ten opzichte van kantoor: - geen of minder veilige bewaarplaats voor gevoelige informatie -andere huisgenoten kunnen gebruik maken van de apparatuur - binnenlopende familieleden, kennissen en relaties kunnen kennis

-aan derden laten zien wat mogelijk is binnen de systemen - gevoeiiger voor inbraak, diefstal, brand etc -geen UPS (unlnteruptable power supply) voorzieningen (portable-PC’s zijn voorzien van batterij, waarnaar bij de meeste types wordt teruggeschakeld bij uitval van de netspanning)

nemenvan informatie

-transport apparatuur vanhaar werk -verlies of diefstal van apparatuur en/of dragers - breukhemietiging (stoten/vallen)

-transport data (datacommunicatie tussen thuis en kantoor) - communicatie veelai via een openbaar netwerk

De dreigingen welke in een bepaald geval vermeden moeten worden, verschillen van situatie tot situatie.

Samenvattend kan worden geconcludeerd dat in feite de aard van de beveiliging rond telewerken niet echt anders is dan op kantoor, maar dat de inrichting en een bewuste aandacht voor de andere omgevingsomstandigheden noodzakelijk blijft. Dat brengt de noodzaak mee om eisen te stellen aan telewerken.


2.2 Te stellen elsen

De eisen die aan het omgaan met informatie moeten worden gesteld in de telewerk-situatie, zullen logischerwijs dezelfde eisen zijn als die in de kantoor-situatie. De eisen die op het kantoor voor de verschillende bedrijfs- en bestuursprocessen worden gesteld, kunnen derhalve doorgetrokken worden naar de telewerk-situatie. Zo worden dezelfde eisen gesteld aan de integriteit van degene die toegang tot de informatie heeft, het toepassen van werkmethodes en de zorgvuldigheid van werken. Wel kan gesteld worden dat de gevoeligheid van de locatie thuis of elders voor bepaalde dreigingen anders ligt dan op kantoor.

Vanwege die andere omgevingsomstandigheden is het nodig om de uitgangspunten voor het omgaan met informatie in de telewerk-situatie afionderlijk te bezien. De analyse van de afhankelijkheid en de kwetsbaarheid van de informatie in een telewerk-situatie zal afionderlijk moeten worden verricht. Hiervoor kan ook de methode van afhankelijkheids- en kwetsbaarheidsanalyse, zoals het VIR’94 (Voorschrift Informatiebeveiliging Rijksdienst 1994) die hanteert, worden benut. Op de methodiek wordt in deze brochure niet verder ingegaan, daarvoor wordt verwezen naar de ACIB-brochure ”A&K-analyse” (zie onder B Overige ACIB-publikaties),

In ieder geval zal bepaald moeten zijn welke informatie wel of niet in de telewerk-situatie mag worden gebruikt. Een indeling van de informatie naar gevoeligheid (classificatie) is nodig. Ook zal een gedragscode dienen te worden opgesteld voor het omgaan met apparatuur. Tevens zal in veel gevallen een keuze moeten worden gemaakt welke systemen op afstand benaderbaar mogen zijn. Als vanuit een omgeving buiten het kantoor wordt ingelogd op het informatiesysteem, dan dienen hier passende faciliteiten voor te zijn ingericht. Het is tenslotte niet altijd wenselijk dat er zonder restricties koppelingen worden aangebracht tussen het eigen bedrijfs- netwerk en openbare netten.

Een belangrijk uitgangspunt bij telewerken is derhalve dat a. eisen zijn geformuleerd specifiek aan het telewerken en de Informatie

waarmee wordt gewerkt en b. het beleid erop gericht is om aan de telewerker voorzieningen aan te

bieden om veilig te kunnen werken. Het is de taak van de verantwoordelijk lijnmanager om hiervoor zorg te dragen.

12 BROCHURE VEILI0 TELEWERKEN

Zo zouden aan het telewerken bijvoorbeeld de volgende eisen en bijbehorende randvoorwaarden gesteld kunnen worden:

alleen medewerkers met een autorisatie mogen telewerken, waarbij het - management hiewoor 0en goedkeuring geeft; - alle eigendommen en gegevens (bestanden en applicaties) dienen te

zijn geregistreerd voordat deze de kantooromgeving verlaten; - telewerken is toegestaan op hiervoor verstrekte en specifiek ingerichte

apparatuur; - instellingen die zijn aangebracht om telewerken mogelijk te maken

mogen nimmer worden aangepast of verwijderd; - alle onrechtmatigheden dienen onverwijld gemeld te worden,

bl)voorbeeld door verlies of diefstal te melden aan een helpdesk.


3. Kwetsbaarheden

Houden we de geformuleerde eisen aan tegen de dreigingen die zich in een telewerk-situatie kunnen manlfesteren, dan komen we tot een inventarisatie van ongewenste gevolgen. Deze gevolgen zijn op zich niet uniek, maar het ontstaan ervan vanuit de dimensie telewerken wel. Voor een bewuste afweging van de keuze van de maatregelen is inzicht in de soort en aard van de dreiging nodig. Tevens dient een evenwichtig stelsel te worden gekozen dat in balans is met de gestelde eisen. De volgende soort gevolgen zijn te onderkennen:

- Uitlekken van gegevens; exclusiviteit-gerelateerde incidenten - Verlies van gegevens; beschikbaarheld-gerelateerde Incidenten - Doelbewuste wijziging van gegevens: integriteit-gerelateerde Incidenten

Hieronder wordt een korte toelichting vanuit de Invalshoek telewerken gegeven.

3.1 Uitlekken van gegevens

Gegevens hebben een bepaalde vertrouwelijkheid. Dit geldt niet alleen voor bepaalde kwetsbare gegevens, zoals gegevens over personen, maar kan ook opgaan voor bilvoorbeeld beleidsconcepten of voor vergaderver- slagen, waarvan de organisatie niet wil dat deze informatie "op straat ligt". Ingeval van telewerken dient apart te worden stil gestaan wat het belang van de informatie is. Ten aanzien van het geheel van informatie dat buiten de kantoor-situatie wordt gebracht zal bepaald moeten worden of er, gelet op de aard van de informatie, belangen zijn om te voorkomen dat de lnfor- matie in verkeerde handen komt en welke maatregelen daarvoor nodig zijn.

Verdergaande aandacht is nodig voor die gegevens, waarvan het mogelijk wordt geacht dat bepaalde mensen er doelbewust naar op zoek zijn. In dat geval zullen de maatregelen stringenter van aard dienen te zijn.

Een speciaal aspect bij het uitlekken van gegevens is dat niet altijd duidelijk Is òf gegevens zijn uitgelekt en waar gegevens precies zijn uitgelekt. Er valt aan een gegevensdrager niet te zien of er een kopie van gemaakt Is en gegevens zijn veelal niet terug te voeren naar één bepaalde bron. Mocht het van belang geacht worden dat bij een informatielek de bron van de lekkage teruggevonden wordt, dan dienen daarvoor dus vooraf maatregelen getroffen te zijn.


a

a

a

Voor de categorie staatsgeheimen (STG) zijn regelingen reeds uitgewerkt.

3.2 Verlies van gegevens

Gegevens kunnen op verschillende manieren verloren gaan. Door diefstal kunnen portables in vreemde handen komen. Dan bestaat tevens de kans dat gegevens op de dragers op ongewenste wijze bekend worden. Dit risico bestaat ook ingeval diskettes verloren worden of bij het achterlaten van een portable in bijvoorbeeld trein, restaurant of elders. Verlies van gegevens kan ook voorkomen door verkeerd gebruik van apparatuur door huisgenoten of anderen, Tevens is de kans OD computervirussen in die omstandigheden groter.

Het probleem wordt nog gfoter, indien dan ook nog geen (recente) backup van de gegevens bestaat. De ervaring is dat dit buiten de kantooromgeving nogal eens het geval is. Het kost dan vaak ook een aanzienlijke tijdsinvestering om de gegevens weer voor verwerking terug te krijgen. Bovendien gaat vaak tijd verloren indien er wel een backup bestaat, maar deze niet correspondeert met de actuele situatie.

In het algemeen schrijven interne huisregels bij ieder departement voor, dat verlies of diefstal wordt gerapporteerd, waarna aangifie bij de politie plaatsvindt.

3.3 Onbevoegde wijziging van gegevens

Ten slotte kan ook nog schade optreden doordat gegevens door anderen om welke reden dan ook zijn gewijzigd, hetzij door opzet hetzij per ongeluk. De gevolgen die wijziging van gegevens met zich kunnen meebrengen, kunnen echter aanzienlijk zijn. Zeker als dit een doelbewuste wijziging is die vooraf goed voorbereid is [bijvoorbeeld met behulp van gegevens die eerder verkregen zijn). Voorbeelden van dit risico zijn wijzigingen in onderzoeksinformatie of in concept-versies van contracten. Ook hierbij bestaat het probleem dat deze wijzigingen veelai niet te traceren zijn.


4. Maatregelen

Om de risico's die een rol spelen te minimaliseren zullen de nodige maatregelen genomen moeten worden. Het is belangrijk om in te zien dat maatregelen altijd procedureel van aard zijn en respectievelijk technische en organisatorische aspecten kennen. Het komt regelmatig voor dat bij invoering van een pakket maatregelen vooral de organisatorische aspecten onvoldoende aandacht krijgen.

Welke maatregel in een bepaalde situatie gepast is, dient door de verantwoordelijke lijnmanager vastgesteld te worden (artikel 4 Besluit Voorschrift Informatiebeveiliging Rljksdienst 1994). Bovendien moet ook aan andere randvoowaarden voldaan zijn, zoals een goede administratieve organisatie en documentatie. Ten slotte is ook van belang om te zorgen dat er controle plaatsvindt op de naleving van Ingevoerde maatregelen. Na een korte kaderstelling voor de selectie van maatregelen worden de verschillende maatregelen besproken.

Deze brochure bevat geen vergelijking in effecten tussen de verschillende beschreven maatregelen. De reden hiervoor is dat het effect van de maatregelen In belangrljke mate afhankelljk is van de manier van gebruik en van de overige maatregelen die in een bepaalde situatie in gebruik zijn.

4.1 Kader

Beveiligingsmaatregelen zijn qua soort als volgt in te delen:

- Logische maatregelen Bij gebruik van portables en in thuiswerk-situaties zal een groot deel van de beveiligingsmaatregelen logisch van aard zijn. Met de zogenaamde logische maatregelen worden maatregelen bedoeld waarvan de werking voor een belangrijk deel berust op het gebruik van software. Voorbeelden van logische beveillglngsmaatregelen zijn het gebruik van versleuteling en van virusscanners. Een nadeel van logische maatregelen is dat er minder ervaring (zowel in ontwikkeling als in gebruik) mee bestaat. Daardoor komt vermijdingsgedrag voor. Dit hangt ook samen met het feit dat veel logische maatregelen (bijvoorbeeld gegevensversleuteling en het gebruik van wisprogrammatuur) over het algemeen tamelijk lastig en ingewikkeld in het gebruik zijn. Als gevolg hiervan kunnen bij het gebruik wederom fouten optreden. Besef dat logische maatregelen voor


bepaalde personen en groepen een uitdaging kunnen betekenen, denk aan het "kraken" van computers. Dit nadeel is nauwelijks een argument bij afweging om dan maar geen 0 bescherming aan te brengen.

- Organisatorische maatregelen Organisatorische maatregelen baseren hun werking voornamelijk op de manier waarop mensen hun werk inrichten. Voorbeelden van organisatorische maatregelen zijn de organisatie van informatie- en computerbeheer, maar ook het verplicht stellen van geheimhoudingsverklaringen.

Het bepalen of informatie wel of niet mag worden gebruikt in een telewerk-situatie is een organisatorische maatregel. Dit geldt ook voor de beslissing dat met behulp van een modem van huis uit wel of niet mag worden ingelogd in (bepaalde) informatiesystemen op kantoor.

Een belangrijk onderdeel van de organisatorische maatregelen is gebaseerd op geheimhouding van bepaalde informatie door de betrokken gebruiker. Belangrijke redenen om geheimhouding toch als basis voor maatregelen te gebruiken zijn: - gebrek of onhaalbaarheid van andere opties (bv bij wachtwoorden); - als toegevoegde maatregel in aanvulling op andere (bv bij

geheimhouding van versleutelingsmechanismen); - bij een relatief klein belang van het ondersteunde proces en zijn gegevens.

Deze geheimhoudingssystematlek berust op het feit dat de gebruiker de mogelijkheid moet hebben om te kunnen werken, maar daardoor tevens de werking van de beveiliging weet en over het algemeen ook de zwakke plekken van het informatiesysteem. Het geheim houden van de beveiligingsmaatregelen en niet misbruiken van de (ontdekte) zwakheden in de systematiek is essentieel. Organisatorische maatregelen zullen derhalve erop gericht moeten zijn om de medewerker niet in de verleiding te brengen deze mogelijkheden te benutten. Een check van balances van verschillende maatregelen zal een preventieve werking moeten hebben op het geheel en in het bijzonder op de kwetsbare schakel, de mens. In principe mag dus de beveiliging nooit volledig afhankelijk zijn van het geheim blijven van dergelijke beveiiigings-informatie, dus moet een samenhang van maatregelen zorgen voor een evenwicht-situatie.

- Fysieke maafregelen O

De maatregelen met een fysieke invalshoek zijn sloten op de deur,


afsiuitbare kasten en kluizen, papieiversnipperaars en beveiligd transport. Fysieke beveiliging is aantrekkelijk, omdat de maatregelen over het algemeen eenvoudig van aard zijn. Hierdoor kan het gewenste gedrag met betrekking tot de maatregel relatief eenvoudig duidelijk gemaakt en aangeleerd worden, waardoor ook minder snel fouten gemaakt zuilen worden. Nadelen van fysieke maatregelen liggen over het algemeen in de relatief hoge kosten en in het ongemak dat bij deze maatregelen door gebruikers ervaren wordt. Een huis van een telewerker zal niet zo snel volledig fysiek beveiligd worden met inbraak-aiarm, kluizen en andere maatregelen. Om die reden zuilen logische maar ook organisatorische maatregelen in het algemeen de meest aangewezen oplossing zijn.

Naast bovenstaande indeling kan ook gekeken worden naar de aard van de bescherming, namelijk ter bevordering van de exclusiviteit, beschikbaarheid en integriteit.

- Maatregelen ter bevordering van de exclusiviteit Met exclusiviteit wordt bedoeld de mate waarin de toegang tot en de kennisname van informatie is geregeld. Binnen een organisatie kan in de kantoorsituatie het principe geiden dat alle informatie binnen de organisatie vrij beschikbaar is voor de medewerkers, tenzij anders besloten is. Om problemen te voorkomen met informatie die naar buiten toe wei vertrouwelijk is, kan in geval van telewerken voor de beveiliging wellicht echter beter uitgegaan worden van het principe dat er op neerkomt dat aiie informatie vertrouwelijk behandeld wordt, tenzij anders besloten is. Door van dit laatste uit te gaan kan vermeden worden dat bij twijfelgevallen vertrouwelijke informatie onbedoeld bekend raakt, bijvoorbeeld daar waar sprake is van informatie die gedeeltelijk op openbare en gedeeltelijk op vertrouwelijke gegevens gebaseerd is.

- Maatregelen ter bevordering van de beschikbaarheid Bij beschikbaarheid gaat het over de mate waarin in dit geval de telewerker kan beschikken over informatie. in de teiewerksituatie heeft de beschikbaarheid van gegevens niet alleen te maken met de zorg of de gegevens op de PC of portable aanwezig en beschikbaar zijn, maar ook met de vraag welke gegevens voor de telewerker bereikbaar zijn en hoe wordt gezorgd dat deze gegevens veilig te benaderen zijn.

- Maatregelen ter bevordering van de integriteit Het gaat bij de betrouwbaarheid om de vraag of de gegevens juist,


actueel en volledig zijn. Maatregelen ter bevordering van de betrouwbaarheid hebben veelal ook te maken met de exclusiviteit van de gegevens. Een maatregel die wal de integriteit of betrouwbaarheid van gegevens betreft maar niet de vertrouwelijkheid is het gebruik maken van controlegetallen.

0

4.2 Logische maatregelen

De logische maatregelen zijn ingedeeld naar exclusiviteit, beschikbaarheid en integriteit. Meestal hebben maatregelen niet expliciet een uitwerking op een baveiligingskenmark maar op meerdere.

Maatregalen ter bevordering van de exclusiviteit: - invoeren van identiteitscontrole bij gebruik van apparatuur, - invoeren van toegangsbeheersing bij gebruik van apparatuur, - gebruik maken van gegevensversleuteling, - periodieke schoning van diskettes en harddisks (ook integriteit), - gebruik maken van wisprogrammatuur, - (cryptografische) maatregelen gericht op het gebruik van data-

communicatie.

Maatregelen ter bevordering van de beschikbaarheid: - gebruik makan van virusscanners. - veilig instellen van applicaties,

- automatisch genereren reserve bestanden.

Maatregelen ter bevordering van de integriteit: - gebruik maken van (vercijferde) controlegetallen.

4.2.7 Logische maatregelen f.b.v. exclusiviteit Invoeren van identiteitscontrole bij gebruik van apparatuur

Bij telewerken is de fysieke toegangsbeheersing tot gegevens veelal niet voldoende geregeld (bijvoorbeeld omdat de portable over straat wordt meegenomen en niet in een veilige kantooromgeving staat, een woning onvoldoende tegen inbraak beveiligd is en andere huisgenoten ook op de PC kunnen werken). Het is dan nodig om door middel van software d o f hardware-onderdelen te zorgen voor een controle op de toegang tot de computer, de zogenaamde identificatie en authenticatie.

bijvoorbeeld door cryptografische mechanismes

0


Onder identificatie wordt verstaan dat een gebruiker zijn identiteit aan het systeem kenbaar maakt. Onder authenticatie wordt verstaan de controle (door het systeem) dat de gebruiker ook inderdaad aan zijn geclaimde identiteit voldoet. Bij het gebruik van een bank-pasje vormt het insteken van de kaart de identificatie, en het intoetsen van de PIN-code de authenticatie.

In de praktijk gebeurt een dergelijke controle op een PC meestal met behulp van een gebruikersnaam (ook wel 'user-id') en een wachtwoord. Andere oplossingen voor deze stap maken gebruik van PIN-pasjes, smart. cards, kleine specialistische rekenmachines ('tokens') of lichamelijke kenmerken (bijvoorbeeld vingerafdrukken) om de zekerstelling te regelen.

Het is wel nodig om naast de identificatie en authenticatie ook gegevensversleuteling toe te passen. Er zijn namelijk eenvoudige trucs om (met behulp van een softwarepakket als Norton Utillties of PC-Tools) gegevens van een disk terug te lezen zonder dat identicatie en authenticatie heeft plaatsgevonden. Het is niet ondenkbaar dat een minder welwillend persoon een verzoek om een wachtwoord opvat als een uitnodiging om de gegevens op de disk eens nader te bekijken.

Een speciale vorm van authenticatie is de optie om de PC te voorzien van een wachtwoord (een zogenaamd BIOS-wachtwoord) dat bij het starten van de machine ingevoerd dient te worden. Deze beveiliging Is door middel van het wegnemen van de continue stroomvoorziening van de BIOS (bijvoorbeeld door kortsluiting) eenvoudig ult te schakelen. Bovendien is na het opstarten van de PC het wachtwoord eenvoudig te achterhalen. Om deze redenen biedt deze maatregel slechts zeer beperkte weerstand, en zou de maatregel alleen gebruikt kunnen worden als het ondersteunde bedrijfsproces een zeer klein belang kent.

Invoeren van toegangsbeheersing bij gebruik van apparatuur

Naast de identificatie/authenticatie en de versleuteling kan het nuttig geacht worden om gebruik te maken van logische toegangscontrole (Access Control). Access Control is het mechanisme dat ervoor zorgt dat alleen geautoriseerde gebruikers toegang krijgen tot gegevens. Produkten die voor computers een Access Control functie bieden kunnen gebaseerd zijn op twee achterliggende modellen:

1) 'Discretionary Access Control' (DAG). Hiermee kunnen ondetwerp-

O

O

domeinen van elkaar gescheiden worden. De eigenaar van de gegevens bepaalt aan wie toegang wordt verleend. De medewerker krijgt bijvoor-

zo BROCHURE VEILIG TELEWERKEN

beeld toegang tot de gegevens van het kantoor, een huisgenoot (op dezelfde computer) tot privégegevens, etc. Per gebruiker worden . . vervolgens domeinen aangegeven waar de gebruiker toegang toe dient @ tehebben. . . . . . . - .

2) 'Mandatory Access Control' (MAC). Hierbij worden aan gegevens exclusiviteitsklassen (bijvoorbeeld 'vertrouwelijk' of 'geheim') verbonden, en wordt aan gebruikers een niveau van vertrouwen toegekend. Gebruikers krijgen vervolgens alleen toegang tot gegevens waarvan de exclusiviteitsklasse hun hiërarchisch niveau van vertrouwen niet overstijgt.

Hoewel in theorie een combinatie van DAC en MAC de meest flexibele structuur oplevert, wordt in praktijksituaties voornamelijk DAC gebruikt. De combinatie van DAG en MAG is met name de militaire wereld in gebruik. Het gebruik van toegangsbeheersing uitsluitend gebaseerd op MAG heeft zin als het systeem waar deze toegangsbeheersing wordt toegepast slechts één doel dient (special purpose system).

Het gebruik van Access Control faciliteiten heeft uiteraard alleen zin indien er ook gebruik gemaakt wordt van identificatie- en authenticatie- mechanismen. Bovendien is het zinnig de gegevens op disk versleuteld op te slaan, aangezien ze anders, zoals hierboven omschreven, eenvoudig te achterhalen zijn buiten de access control functie om.

Een ander aspect dat bij toegangsbeheersing een rol kan spelen is toe- gangsbeperking op basis van tijdscriteria. Bij telewerken kan hierbij gedacht worden aan een tijdstip of duur, waarbij het mogelijk is om op afstand in te loggen op systemen. Hierbij zijn diverse invalshoeken denkbaar: - beperking in de periode van gebruik, - beperking in de omvang of duur van het gebruik (deadlines). De toegangsbeheersing kan gelden voor gegevens, maar ook voor programmatuur. In de praktijk wordt een dergelijke toegangsbeheersing niet op grote schaal toegepast.

Gebruik maken van gegevensversleuteling

In die gevallen waar niet voldoende gewaarborgd kan worden dat gegevens fysiek veilig opgeborgen zijn, kan gekozen worden voor gegevensversleuteling, ook wel encryptie of vercijferhg genoemd. Gegevensversleu- teling komt erop neer dat de data in 'geheimschrift' op de gegevensdrager staan, en alleen weer teruggevormd kunnen worden door mensen die de geheime sleutel kennen.


De versleuteling vindt plaats door een stuk programmatuur (het ‘encryptie- algoritme‘), soms in de vorm van software, soms in de vorm van hardware (apparatuur). Een belangrijk voordeel bij het gebruik van hardware is dat de verwerkingscapaciteit die benodigd is voor het versleutelen van de gegevens niet (of nauwelijks) ten koste gaat van de verwerkingscapaciteit van de computer, Dit is van belang omdat de versleuteling van gegevens bij een redelijk encryptie-algoritme vrij veel capaciteit vraagt. Een ander belangrijk aspect is, dat het algoritme in hardware in het algemeen beter beschermd is. De zekerheid die de gebruiker heeft dat het algoritme correct werkt is groter en de kopieermogelijkheden of kennisname van het algoritme wordt kleiner.

Om dit capaciteitsbeslag binnen de perken te houden gebruiken de ontwikkelaars van beveiligingspakketten een aantal trucs. Een van de trucs is om niet de informatie zelf te versleutelen, doch slechts de inhoudsopgave tot die gegevens. Een gevorderd computergebruiker (niet noodzakelijk een specialist) is in dergelijke gevallen in staat de eigenlijke gegevens vrij snel te achterhalen.

Een andere truc is om een snel, en in praktijk slecht, encryptie-algoritme te kiezen. Voor iemand met een enigszins wiskundige achtergrond vormt een dergelijk algoritme slechts een kleine ‘hobbel’.

Omdat versleuteling vaak gebruikt wordt als alternatief voor fysieke beveiliging. en omdat een groot deel van de op de markt verkrijgbare versleutelingsprodukten niet goed van kwaliteit is, dient er aan de selectie van de te gebruiken versleuteling de nodige aandacht te worden besteed. Daarom zullen we in deze paragraaf iets verder de techniek ingaan.

Versleutelingsalgoritmen worden in de praktijk in vier klassen van sterkte ingedeeld: - Zwakke versleutelingsalgonten.

Hiertoe behoren vrijwel alle algoritmen die door de producenten van beveiligingspakketten zelf zijn ontwikkeld. Termen, gebruikt door producenten, die wiken op het zwak zijn van een versleutelingc- algoritme zijn: ‘snel’ en ‘XOR’ en ’proprietary algoritm’. Een ander deel van de zwakke versleutelingsalgoritmen zijn die algoritmen die wetenschappelijk onderzocht zijn, maar dit onderzoek niet konden doorstaan. Een voorbeeld van een dergelijk algoritme is FEAL-n.

Dit zijn gepubliceerde algoritmen, die door de wetenschappelijke wereld nog niet ‘gekraakt‘ zijn. maar die nog te jong zijn om aan te kunnen nemen dat ze ook inderdaad moeilijk te doorbreken zijn. Voorbeelden van dergelijke algoritmen zijn SNERFU, IDEA, en RC5.

- Twijfelgevallen.


- Redelijke algoritmen Dit zijn gepublicoerde algoritmen, die ai gedurende redelijke tijd de aanvallen hebben kunnen doorstaan. Er zijn maar twee algoritmen die in deze klasse vallen: DES en RSA.

Deze versleutelingsalgoritmen worden gebruikt voor de versieuteling van STG-gerubriceerde informatie. Deze algoritmen zijn geheim en mogen alleen gebruikt worden om STG-gerubriceerde data mee te versleutelen.

- Geheime versleutelingsalgoritmefl

Met betrekking tot de laatste klasse kan opgemerkt worden dat ook het omgekeerde opgaat. Alieen versleutelingsalgoritme uit deze klasse mogen gebruikt worden voor de versleuteling van STG-gerubriceerde gegevens.

Het Nationaal Bureau voor Verbindingsbeveiliging (NBV) houdt zich bezig met de ontwikkeling, evaluatie en distributie van de geheime encryptie- algoritmen. Om de versieuteiing van STG-gerubriceerde gegevens te vergemakkelijken heeft het NBV de zgn. V-Kaart in ontwikkeling. Het is de bedoeling dat deze PCMCIA-insteekkaart medio 1996 beschikbaar komt voor ongerubriceerde en sensitieve informatie middels een niet- gepubliceerd algoritme.

Bij versleuteling van gegevens dient ook gekeken te worden naar de omgang met tijdelijke bestanden. Dit zijn bestanden die door een applicatie voor de eigen werking bijgehouden worden, en die vaak te verwerken gegevens bevatten. Omdat de gebruiker geen controle over de inhoud van dergelijke bestanden heeft, dient voor tijdelijke bestanden de zwaarste beveiliging te gelden die binnen het systeem in gebruik is.

Een ander punt van aandacht is de omgang met backups. Indien gegevens alleen versleuteld mogen voorkomen, dan dienen de backups van die gegevens vergelijkbaar veilig behandeld te worden. Het is dan nodig dat alle informatie die naar schijf of diskette gaat geëncrypteerd is. Met name is ook van belang de volgorde waarin backups worden gemaakt.

Een laatste punt waarnaar gekeken dient te worden is de gevolgen van het wegvallen van de geautoriseerde gebruiker. Om te voorkomen dat in een dergelijk geval de gegevens nooit meer te achterhalen zijn kan gekozen worden om de sleutels tot de informatie centraal te beheren en op een fysiek veilige plaatsen te bewaren.

BROCHURE VEILIG TELEWEAKEN 23

Periodieke schoning wan diskettes en harddisks

Vaak treedt er bij gebruik van gegevensdragers na verloop van tijd vervui- ling op mede omdat gegevens (te lang) bewaard blijven. Gegevens die voor een vorig project nodig waren, blijven op de harddisk staan of diskettes bevatten gegevens voor verschlllende projecten met verschillende tijdschema’s. Daarom kan het zinnig zijn om de gebruiker periodiek alle gegevens op portables en thuiswerk-computers te laten bezien op hun actualiteit. Indien portables centraal beheerd worden kan afgesproken worden dat data alleen op diskettes gehouden wordt. Regelmatig zullen de gegevens van de portable verwijderd moeten worden en in ieder geval na afloop van een uitleen-periode. Eij persoonlijk beheer is het van belang dat de gebruikers voldoende kennis van computerbeheer hebben. Bij een periodieke schoning kan het ook nodig zijn om zogenaamde verborgen bestanden op hun actualiteit te bekljken.

Een ander punt van aandacht is dat er veel programmatuur is die tijdelijke bestanden gebruikt (bijvoorbeeld MS-Wlndows), die zelf backup-bestanden bijhoudt (bijvoorbeeld WordPerfect), of waarbij het alleen lijkt of gegevens na een opdracht daartoe verwijderd worden (bilvoorbeeld smarterase in Norton Desktop for Windows). Dit punt speelt specifiek bij het inleveren van portables.

Gebruik maken van wisprogrammatuur

o

Als op een diskette (of harddisk) gevoelige gegevens staan die verwijderd moeten worden, dan maakt het gebrulk van het MS-DOS-commando undelete het mogelijk om de gegevens na het verwijderen (met behulp van het del-commando) terug te halen. Om dit risico te voorkomen zijn er programma’s op de markt om bestanden te overschrijven met andere, betekenisloze, data (bijvoorbeeld allemaal nullen). De kwaliteit van een dergelijk programma moet worden beoordeeld.

Maatregelen gericht op het gebruik wan data-communicatie

Indien communicatielljnen gebruikt worden om contact te onderhouden tussen de PC waarop wordt gewerkt, en de centrale computersystemen in de kantoorsituatie bestaan er een aantal aanvullende risico’s.

Zo kan in principe iedereen, dus ook niet-geautoriseerden, het toegangsnummer gebruiken om in contact te komen met het centrale computersysteem. Dit maakt het dan weer mogelijk om pogingen te ondernemen om zonder autorlsatie in het centrale computersysteem door

o

o 24 BROCHURE VEILIG TELEWERKEN

te dringen. Een ander risico is dat de telefoonlijn afgeluisterd wordt, en eventuele vertrouwelijke informatie (inhoudelijke gegevens, maar ook wachtwoorden) uitlekt.

Er zijn verschillende maatregelen in gebruik die in een dergelijk geval bescherming bieden. Zo is het mogelijk om (na een identificatie en authenticatieslag) het contact te verbreken, om vervolgens het centrale computersysteem het officiële nummer van de geclaimde identificatie terug te bellen. Hierdoor kan niet iedere willekeurige computerkraker vanaf ieder willekeurig adres op de computer aansluiten, zelfs niet als hij de identificatie en authenticatieslag succesvol weet uit te voeren.

Een andere techniek die gebruikt wordt om het ongeautoriseerden moeilijk te maken om op het centrale computersysteem binnen te komen staat bekend als challenge/response-systeem. Hierbij wordt bij de identificatie- en authenticatieslag iedere keer andere data verzonden, waardoor het achterhalen van een 'wachtwoord' niet goed mogelijk is.

Een methode om te voorkomen dat personen succes hebben bij het afluisteren van de communicatielijn is om alle berichten die verstuurd worden te versleutelen. De aspecten die in dit geval van belang zijn, zijn in de vorige sectie al aan de orde gekomen.

ACIB en NBV hebben de beschikking over meer informatie op dit terrein.

4.2.2 Logische maatregelen t.6.v. beschikbaarheid

Gebruik maken van virusscanners

Ofschoon computervirussen de laatste jaren naar verhouding erg veel aandacht hebben gekregen, blijft het verstandig om deze dreiging niet geheel te verwaarlozen. Het is nog steeds gewenst om periodiek de computers te controleren op de aanwezigheid van virussen. Het is van belang om bij een virusscanner ook te letten op nieuw ontdekte virussen. Daarom dient altijd de meest recente versie van de virusscanner gebruikt te worden. Centraal beheer van thuiswerk-computers en portables maakt het eenvoudig om ervoor te zorgen dat de meest recente versie van de gekozen virusscanner gebruikt wordt.

ACIB heeft een brochure uitgebracht waarin verder op deze problematiek wordt ingegaan.

i O


Vei/ig instellen van applicaties

Eij veel computerprogrammatuur heeft de gebruiker de mogelijkheid om instellingen te veranderen met betrekking tot de programmatuur. Vaak bevat de software (bijvoorbeeld een tekstverwerker) de mogelijkheid tot het automatisch maken van een backup van de verwerkte gegevens. Door deze opties te activeren heeft een gebruiker na een kleine fout nog altijd de beschikking over een redelijk recente versie van de gegevens.

Zorgvuldigheid is wel geboden in die gevallen waar gewerkt wordt met vertrouwelijke gegevens, omdat er extra kopieën van de gegevens op de harddisk staan.

4.2.3 Logische maatregelen t.b.v. integriteit

Gebruik maken van controlegetallen

Bij betrouwbaarheid gaat het in dit verband om de vraag of de gegevens niet veranderd zijn. Het is mogelijk om over een groep gegevens een controlegetal te berekenen, die het later mogelijk maakt om te controleren dat de gegevens onverminkt zijn gebleven. Er zijn twee type controlegetallen: normale, die beschermen tegen onopzettelijke wijziging, maar niet tegen opzettelijke pogingen om de gegevens onopvallend te wijzigen; en de zogenaamde cryptografisch sterke, die daar wel tegen beschermen.

Indien de controlegetallen niet veilig bewaard of verstuurd worden, kan het nodig zijn om een zogenaamde ‘digitale hendtekenlng’ aan de controlegetallen toe te voegen. De cryptografisch sterke controlegetallen en de digitale handtekening zijn beide gebaseerd op versleutellngsalgoritmen. Controlegetallen dienen altijd op een fysiek veilige plaats opgeborgen te worden.

a

O

4.3 Organisatorische maatregelen

De maatregelen zijn ingedeeld naar exclusiviteit en beschikbaarheid.

Maatregelen ter bevordering van de exclusiviteit: - gebruik maken van diskettes in plaats van de harddisk, - beperken van de verspreiding van gegevens, - invoeren van een clear-desk policy. - gebruik maken van geheimhoudingsverklaringen, - loggen van gebruik


O

I Maatregelen ter bevordering van de beschikbaarheid: - portables en thuiswerk-computers centraal beheren, - beperken van toegestane programmatuur tot een vast pakket, - gebruikers toepasselijke cursussen laten volgen.

4.3.7 Organisatorische maatregelen t.b.v. exclusiviteit

Gebruik maken van diskettes in plaats van de harddisk

Omdat diskettes gemakkelijk in een afgesloten kast kunnen worden bewaard en harddisks van de PC over het algemeen niet eenvoudig als werkprocedure uit de computer kunnen worden gehaald, kan worden besloten om in geval van telewerken gegevens op diskettes te bewaren in plaats van op de harddisk en deze diskettes vervolgens op een veilige

Het bewaren van gegevens op diskettes geldt ook voor een portable uit het oogpunt van spreiding van gegevens. Wel is het nodig om extra aandacht te besteden aan de keuze en de instelling van te gebruiken programmatuur, omdat veel programmatuur tijdelijk bestanden (met daarin vaak de vertrouwelijke gegevens) op de harddisk bijhoudt voor de interne werking van het programma. Er bestaan speciale harddisks die op eenvoudige manier uit een computer kunnen worden gehaald, bij gebruik hiervan zijn de risico’s van tijdelijke bestanden - mits voorzien van een werkprocedure die de verwijdering van de harddisks voorschrijft - beperkt.

Beperken van de ven-preiding wan gegevens

Afhankelijk van de vertrouwelijkheid van de gegevens, en de haalbaarheid van een voor die gegevens acceptabel beveiligingsniveau, kan het noodzakelijk zijn om af te spreken dat bepaalde gegevens in het geheel niet buiten het kantoor mogen komen. Het is zinnig om deze eigenschap op de gegevensdrager aan te geven.

Voor staatsgeheim (STG) -gerubriceerde gegevens bestaan richtlijnen die aan een klasse van gegevens (bijvoorbeeld ‘STG-geheim’) een bepaalde set minimum-maatregelen koppelen. Een dergelijk classificatie kan echter ook gebruikt worden voor niet STG- gegevens. Denk hbrbij bijvoorbeeld aan de exciusiviteitsniveaus zoals deze door de Registratiekamer in haar advies ‘beveiliging van persoonsgegevens’ wordt gebruikt Behalve voor de exclusiviteit kunnen ook classifi- catiecriteria voor integriteit en voor beschikbaarheid worden opgesteld.

0 I

0 plaats te bewaren.

I

0 . . . ::.


Door nu bij informatie die geclassificeerd is boven een bepaald basisniveau de classificatie op de gegevensdrager aan te geven, is de voor die informatie geldende maatregdenset aan de gebruiker bekend. Gelabelde disks overeenkomstig de klassen kunnen worden aangewend. Behalve een hiërarchische structuur kan natuurlijk ook voor een structuur gekozen worden, gebaseerd op gebieden binnen het bedrijfaproces. Gegevens kunnen dan bijvoorbeeld geclassificeerd worden als ‘boekhouding-zeer vertrouwelijk’ of als ‘ACIE-hoge beschikbaarheid’.

Invoeren van een clear-desk pollcy

Een clear-desk poiicy komt erop neer dat informatie die niet direct noi - is, goed opgeborgen is. Dit houdt onder andere in dat de kamer waarin gewerkt wordt in opgeruimde staat blijft en wordt achtergelaten (vandaar de naam). De maatregel beperkt het aantal ongelukken waarbij de gegevens verloren gaan, of waarbij onbevoegden inzage krijgen in de informatie. Een ander aspect van een clear-desk policy kan zijn dat computers afgesloten worden voordat de werkplek verlaten wordt. Ook is het belangrijk als in een vreemde werkorngeving wordt gewerkt, bijvoorbeeld onderweg of bij relaties om ook bij het tijdelijk verlaten van de werkplek (lunchpauze of toiletbezoek) dear-desk policy te laten gelden.

Gebniik maken van geheimhoudingsverklaringen en gedragscode (AUPJ

Een geheimhoudingsverklaring is een bekend, en vrij breed gedragen maatregel. Een redelijk nieuw en tamelijk onbekend fenomeen is de Acceptable Usage Policy. Een Acceptable Usage Policy (gedragscode) is een document, waarin de gebruiker van geautomatiseerde systemen kan lezen wat acceptabel gebruik met betrekking tot cornputerapparatuur is.

Naast meldingen over geheimhouding van gegevens binnen het computersysteem kan deze verklaring aandacht besteden aan: - na te leven beveiligingsmaatregelen - doeleinden waarvoor de apparatuur gebruikt mag worden (alleen voor

opgedragen taken) of juist niet (bijvoorbeeld niet voor privé-doeleinden, geen spelletjes en niet voor het testen van de beveiliging)

- copyright-aspecten (bijvoorbeeld dat programmatuur niet voor thuis gekopieerd mag worden of dat alieen programmatuur waar de organisatie een licentie op heeft op het systeem mag staan)

Door de gebruiker de Acceptable Usage Policy te laten ondertekenen kan later aangetoond worden dat de gebruiker kennis had van wat binnen de

28 6ROCHURE VEILIG TELEWEAKEN

organisatie geaccepteerd wordt en wat niet. Dit kan van belang zijn bij een eventuele rechtzaak.

Loggen van gebrulk

Naast de feitelijke beveiliging van apparatuur is het ook nuttig om overzicht te hebben over de inbreuken op de veiligheid of de pogingen daartoe. Het bijhouden van gegevens met betrekking tot computergebruik staat bekend onder de naam 'loggen'. Wat er gelogd moet en kan worden is van geval tot geval verschillend. Vaak is het voldoende om alleen pogingen tot overtreding van de beveiliging in het logboek op te nemen. In extreme gevallen kan het echter nodig zijn om ook gegevens bij te houden over het reguliere gebruik'van het systeem. Het bijhouden van logboeken is een noodzaak om tot succesvolle vervolging in het kader van de wet computercriminaliteit te kunnen overgaan.

4.3.2 Organisatorkche maatregelen t.b.v. beschikbaarheid

Portables en thuiswerk-computers centraal beheren

Gebruik van computers geefl de noodzaak tot beheer. Het beheer van computerapparatuur is tamelijk technisch werk dat met voldoende kennis van zaken uitgevoerd dient te worden omdat fouten vrij snel tot gegevensverlies kunnen leiden. Er kan daarom gekozen worden om portables en thuiswerk-computers centraal te beheren. Voor portables kan dat op een centrale plaats, voor thuiswerk-computers zal de beheerder op "werkbezoek" moeten gaan.

Er zijn een aantal activiteiten die door een centraal beheer uitgevoerd

- Het maken van backups. zouden kunnen worden:

Onder centraal beheer is het redelijk eenvoudig om de backups op een gestructureerde manier centraal op het kantoor op te slaan. Bovendien zijn de mogelijkheden om backup-media opnieuw te gebruiken groter. Een overweging die hiervoor wel van belang is, is of de media die voor de gegevens van de ene medewerker gebruikt zijn zonder meer voor een andere medewerker gebruikt mag worden. Er blijven namelijk resten van de informatie van de oorspronkelijk gebruiker op de media achter, indien er geen andere maatregelen getroffen zijn.

- Het "echt wissen" van harddisks en diskettes. Centraal wissen heeft als voordeel dat de kans dat bepaalde bestanden per ongeluk vergeten worden kleiner wordt.


- Controle op virussen. Een centrale controle op de aanwezigheid van virussen heefî als voordeel dat op eenvoudige manier verzekerd kan worden dat de meest recente versie gebruikt wordt.

Door onderhoud aan hardware en reparaties in eigen beheer te houden kan voorkomen worden dat de apparatuur (inclusief eventuele gevoelige informatie op de harddisk) in vreemde handen komt. Denk hierbij ook aan richtlijnen bij het defect raken van apparatuur.

- Toezicht op de naleving van de beperkingen op te gebruiken software Omdat bij centraal beheer de betrokken computers regelmatig onder ogen van een beheerder komt, kan deze gelegenheid direct aangegrepen worden om te kijken of de machine op een juiste manier gebruikt wordt.

- Regulier hardware-onderhoud en reparaties.

Beperken van de toegestane programmatuur tot een vast pakket

Door de maatregel in te voeren om toegestane programmatuur te beperken tot een vast pakket neemt het risico op besmetting met computetvirussen af en dekt men het gebruik van illegale sofîware af. Bijkomende voordelen van de maatregel zijn dat centraal beheer eenvoudiger te verwezenlijken is, en dat telefonische ondersteuning van gebruikers eenvoudiger wordt.

Gebruikers toepasseliike cursussen laten volgen

Het grootste deel van de schade, veroorzaakt door het gebruik van computers komt niet voort uit opzettelijke acties, maar door onopzettelijke fouten van gebruikers. Door het kennisniveau van de gebruikers op het gebied van te gebruiken programmatuur te verhogen zal het aantal fouten afnemen. Indien er gebruik gemaakt wordt van een beveiligingspakket is het zinnig om gebruikers ook op te leiden in het gebruik van dit pakket. Dit kan de weerstand bij invoering van het beveiligingspakket beperken, omdat duidelljk gemaakt wordt waarom bepaalde wijzigingen in het arbeidsproces noodzakelijk zijn.

Het is overigens van cruciaal belang om gebruikers die omgaan met gevoelige gegevens in te leiden in de informatiebeveiliging. Het verhoogt het veiligheidcbewustzijn van de gebruikers, en daarmee de bereidheid tot acceptatie van de ingevoerde maatregelen. Gebruikers krijgen de kans bekend te raken met de maatregelen, te begrijpen waarom ze gekozen zijn, om ze velvolgens op te volgen.


4.4 Fysieke maatregelen

Ook ten aanzien van fysieke maatregelen is een onderscheid te maken naar exclusiviteit en beschikbaarheid. Hierbij worden ook maatregelen gegeven die minder opgang zullen doen in een thuiswerksituatie.

Maatregelen ter bevordering van de exclusiviteit: - gebruik maken van kluizen, - gebruik maken van papietversnipperaars, - procedures instellen voor het afstoten van gegevensdragers, - beperken van herleidbare uitstraling van apparatuur.

Maatregelen ter bevordering van de beschikbaarheid:

1 gebruik maken van lichtnetfilters, - gebruik maken van noodstroomvoorziening.

4.4.1 Fysieke maatregelen t.b.v. exclusiviteif Gebruik maken van kluizen

In geval dat toch in de telewerksituatie met kwetsbare informatie moet worden gewerkt zullen kluizen ter beschikking moeten worden gesteld aan de gebruikers,

De telewerker kan in de kluis zijn gevoelige informatie kwijt. Een kluis kan ook worden gebruikt om afdrukken die niet meer nodig zijn op te slaan, zodat deze later op kantoor kunnen worden vernietigd.

Het risico van uitlekken van informatie na een inbraak wordt door het

periodiek backups maken, 0

gebruik van kluizen beperkt.

Gebruik maken van papierversnipperaars

De papierloze situatie is door de toeneming van de automatisering niet ontstaan, in tegendeel zelfs. Als in de telewerksituatie printen mogelijk is, zal ook aan papiervernietiging moeten worden gedacht. Het is niet veilig om (kwetsbare) afdrukken die niet langer nodig zijn zonder meer bij het oud papier te gooien. Een oplossing is om de gebruiker een papierversnipperaar ter beschikking te stellen en vast te leggen welke groepen gegevens er mee vernietlgd dienen te worden.

O


Procedures voor het afstoten van gegevensdragers

Zoals (vertrouwelijke) afdrukken niet zonder meer bij het oud papier kunnen worden gegooid, is het onverstandig om gegevensdragers waarop gegevens hebben gestaan zonder meer uit handen te geven. Het gebruik van wisprogrammatuur is een goede gewoonte. Voor gegevens die zeer vertrouwelijk zijn (staatsgeheimen en mogelijk ook andere informatie) is dit echter niet voldoende. Rekening mee gehouden worden dat de gegevens nog terug te vinden zijn. Dit is mogelijk omdat er altijd een magnetisch residu van de oude gegevens op de diskette achterblijft.

Het kan daarom nodig zijn om voor dergelijke informatie-dragers speciale procedures in het leven te roepen die uitgaan van íysieke vernietiging van

~

I e de drager. Voor advies over wismogelijkheden kan bij ACIB en het NBV informatie worden ingewonnen.

Beperken van herleidbare uitstraling van apparatuur

Electronische apparatuur zoals computers, monitoren, printers en modems geven tijdens gebruik electro-magnetische straling af. Deze streling is vanaf grote afstand met redelijk eenvoudige (en goed verkrijgbare) apparatuur op te vangen, en kan naderhand weer teruggevormd worden naar een bruikbaar signaal. Zo is het bij een normaal computerscherm goed mogelijk om op grote afstand (dwars door muren en ramen heen) de straling terug te voeren naar een leesbaar beeld. Deze technologie staat bekend onder de naam 'TEMPEST'.

Beveiliging tegen TEMPEST bestaat uit het beperken van de op te vangen straling. De twee technieken die hierbij gebruikt worden zijn het plaatsen van een kooi van Faraday om de apparatuur heen (praktisch gesproken het volledig inpakken in metaal) en het werken op een plaats waar onbevoegde mensen niet dicht bij kunnen komen. Bij het gebruik van een kooi van Faraday bij PC's is ook de voorkant van het beeldscherm afdoende beveiligd tegen uitstraling.

Portables zijn in de regel niet beveiligd tegen TEMPEST. De aanpassingen die nodig zijn om computer-apparatuur tegen TEMPEST te beveiligen (het plaatsen van een kooi van Faraday) maken een portable loodzwaar. Een voordeel ven portables is wel dat het beeldscherm (in praktijk het onderdeel waarvan de aflezing het gemakkelijkste valt te interpreteren) van een speciaal type ( E O ) is, wat een extraverwerkings-slag bij het afkijken noodzakelijk maakt.

O

O

I 32 BROCHURE VEILIG TELEWEAKEN

Het gaat hier in het algemeen om zeer sensitieve informatie, het NBV kan aangeven welke specifieke apparatuur in dergelijke situaties aan te schaffen.

4.4.2 Fysieke maatregelen t.b.v. beschikbaarheid o

Periodiek backups maken

Dit houdt in dat er regelmatig een kopie van gegevens en programmatuur wordt gemaakt, om te voorkomen dat informatie verloren gaat in geval van bijvoorbeeld gebruikersfouten of technische mankementen. Deze kopie (de backup) bevat alle gegevens die in het bestand zaten op het moment dat de kopie gemaakt was. Dit betekent dat backups verouderen, en dat het aanmaken periodiek dient te gebeuren.

Hoewel het maken van backups in kantoorsituaties en vooral bij de iets grotere systemen een vrij algemeen geaccepteerde maatregel is, is deze bij thuiswerken en bij gebruik van portables minder ingevoerd. De reden hiervoor is waarschijnlijk dat het wel praktisch is om de benodigde faciliteiten, zoals backup-apparatuur (tape-streamers, tape-readers en DAT- recorders) centraal opgesteld te hebben, maar dat de organisatie om deze apparatuur ook decentraal ter beschikking te hebben vrij ingewikkeld kan zijn. Er zijn hiervoor diverse oplossingsrichtingen aan te geven: - maak alleen een backup van de gegevens (niet van software) op diskette, - maak voor grote hoeveelheden data gebruik van een rouleringssysteem

van de backup apparatuur, of stel voor dergelijke gebruikers apparatuur persoonlijk beschikbaar,

- bij gebruik van portables kunnen de faciliteiten voor het maken van backups beschikbaar gesteld worden op een centraal punt, met weinig

o

overlast voor de gebruikers.

De frequentie, waarmee van de gegevens backups gemaakt moeten worden, is van een aantal factoren afhankelijk. Als de vereiste beschikbaarheid van de gegevens (zoals deze volgt uit een afhankelijkheidsanalyse) hoog is zal vaker een backup gemaakt moeten worden. De geschatte frequentie van wijziging is een andere factor van belang. Van gegevens waar veel wijzigingen in plaats vinden zullen vaker backups gemaakt moeten worden dan van gegevens die bijna nooit veranderen. Een derde aspect is de vereiste vertrouwelijkheid van de gegevens. Van gegevens die vertrouwelijk ziin zouden zo min mogelijk kopieën in omloop moeten zijn. Er kan overwogen worden om de backups van vertrouwelijke gegevens te versleutelen maar de beschikbaarheid van het sleutelmateriaal dient dan wel geregeld te zijn.


0

Het bewaren van backups vereist speciale zorg. Door gegevens buiten de werkplek, bijvoorbeeld thuis, te bewaren kan voorkomen worden dat bij incidenten als brand of inbraak de informatie verloren gaat. Een bekend backup-schema is het 'Grootvader-Vader-Zoon' (of kortweg GVZ) schema. Hierbij worden continu twee backups bewaard. De meest recente backup (de vader) buiten de werkplek, de oudere (grootvader) op de werkplek. Eij het maken van een nieuwe backup kunnen vervolgens de gegevensdragers van de grootvader gebruikt worden om de nieuwe vader te vormen. Het spreekt vanzelf dat deze backups indien ze vertrouwelijke gegevens bevatten fysiek beveiligd opgeslagen dienen te worden, bijvoorbeeld (ook thuis) in een kluis.

Ook dient regelmatig gecontroleerd te worden of de backups inderdaad succesvol terug-gelezen kunnen worden. Zeker bij oude backups en bij oude gegevensdragers kunnen leesfouten optreden. Andere aspecten bij het opzetten van een backup-schema zijn de keuze of iedere keer alle gegevens gekopieerd moeten worden of slechts die gegevens die gewijzigd zijn, en de keuze of software ook meegekopieerd wordt.

Gebtuik maken van lichtnetfilters

Lichtnetfilters zorgen ervoor dat kortdurende storingen in het lichtnet opgevangen worden, en geen vervelende gevolgen hebben voor de werking van apparatuur. Het biedt hiervoor een redelijk goedkope oplossing, die echter niet geschikt is voor het opvangen van iets langer durende storingen, zoals het wegvallen van de spanning bijvoorbeeld door overbelasting of aardsluiting.

Gebruik maken van noodstroomvoorzienhg

Noodsttuomvoorzieningen, ook wel UPS (Un-interruptable Power Supply) genoemd, bestaan in principe uit een accu die aangesproken wordt zodra de normale stroomvoorziening uitvalt. De computergebruiker krijgt vervolgens de kans om normaal zijn werk te beëindigen, zodat gegevensverlies kan worden vermeden. Een UPS biedt onder normale belasting gedurende enige minuten tot een half uur stroom. Daarna dient het lichtnet (of een noodstroomgenerator) weer aanwezig te zijn om voor verdere stroomvoorziening zorg te dragen, en om de accu-set weer op te laden. Portables beschikken over een eigen battery-voeding waarop meestal automatisch kan worden teruggevallen, zodra de netspanning wordt onderbroken.

O


5. Beveiligingspakketten

Als bij de selectie van de in te voeren maatregelen gekozen is voor een of meer logische maatregelen, dan zal een produkt moeten worden gezocht dat aan de eisen voldoet. Beveiligingspakketten voor PC'S bieden over het algemeen niet één specifieke maatregel, maar een heel pakket van mogelijkheden. Het kan dus mogelijk zijn dat de selectie van een bepaald pakket de mogelijkheid biedt om verschillende gekozen maatregelen te implementeren. Het kan ook zo zijn dat er een combinatie van pakketten gekozen zal moeten worden om alle benodigde maatregelen in te kunnen vullen.

Met opzet is vermeden om in deze brochure een vergelijkend warenonderzoek van beveiligingspakketten op te nemen. De bruikbaarheid van een pakket is sterk afhankelijk van de situatie waarin het gebruikt gaat worden. en van de manier waarop het pakket gebruikt wordt. Bovendien veranderen de beveiligingspakketten over het algemeen vaak van versie en is het ondoenlijk om een up-to-date rapport uit te brengen van de veiligheidskenmerken van iedere versie van ieder beveiligingspakket.

Om een kandidaat-oplossing te beoordelen kunnen de volgende aspecten bekeken worden:

- Toepasbaarheid. In welke mate voldoet de oplossing aan alie gestelde maatregelen? Het is mogelijk dat een produkt een maatregel wel in kan vullen, maar niet de vereiste kwaliteit behaalt. Denk hierbij aan slechte versleutding, of aan identiteitscontrole door het BIOS-wachtwoord. Alleen als het belang van het ondersteunde proces minimaal is, en de gegevens niet vertrouwelijk zijn kan voor een dergelljke lichte

0

oplossingen gekozen worden.

In welke mate levert de oplossing een probleem op voor de succesvoile invoering van andere maatregelen? Het is goed mogelijk dat gekozen maatregelen onderling een zekere tegenstrijdigheid kennen (bijvoorbeeld bij het maken van backups van vertrouwelijke gegevens), en het is noodzakelijk om in voorkomende gevallen hier voldoende aandacht aan te besteden.

Kijk ook of een oplossing andere maatregelen overbodig maakt, bijvoorbeeld omdat de oplossing de risico's van die andere maatregelen al voldoende beperkt. Kijk ook of een oplossing andere aanvullende maatregelen kent, die bij verkeerd gebruik door een leek schadelijk


kunnen zijn, bijvoorbeeld omdat ze een andere maatregel ongedaan maken.

- Bruikbaarheid. Welke organisatorische problemen zijn er met de invoering van de gekozen oplossing te verwachten. Beveiligingsmaatregeien mogen niet lastig in gebruik zijn. Het gebruik van pakketten moet eenvoudig aan te leren zijn, mag niet te veel aandacht van de gebruiker vereisen, er mogen bij het gebruik niet ai te veel fouten gemaakt kunnen worden en gemaakte fouten moeten met behulp van documentatie of andere support eenvoudig en snel verholpen kunnen worden.

- Haalbaarheid. Het kan zijn dat een oplossing toepasselijk en bruikbaar is, maar om andere redenen toch niet haalbaar geacht moet worden. Het meest voor de hand liggende voorbeeld is een produkt wat te duur is, maar er kunnen ook andere redenen zijn. Zo kan het zijn dat de voorgestelde oplossing niet strookt met de ontwikkelingen die blnnen de organisatie veiwacht worden. Een andere goede reden kan zijn dat de continuïteit van de leverancier niet voldoende gewaarborgd is, bijvoorbeeld omdat deze steunt op slechts een zeer beperkte produktenrange, of omdat zijn omzet gewoon te laag is. Een laatste voor de hand liggende reden om een oplossing toch niet te implementeren kan zijn dat ingeschat wordt dat er een onacceptabele inbreuk op de privacy (bijvoorbeeld bij authenticatie door vingerafdrukken) gedaan wordt.

Appendix A geeft een kort en tamelijk technisch overzicht van aandachtspunten bij de selectie van beveiliglngspakketten.


A Aandachtspunten bij beveiligingspakketten

Er zijn veel verschillende aspecten die bekeken kunnen worden om tot een verantwoorde keuze van een beveiligingspakket voor PC's over te kunnen gaan. Deze appendix bevat daarom een overzicht van deze -vaak technisch getinte- aspecten. Het overzicht is gegeven in de vorm van een vragenlijst, zodat verschillende pakketten na het invullen met elkaar vergeleken kunnen worden. Opgemerkt moet worden dat de lijst niet uitputtend is.

Produktgegevens

0 - Naam van het produkt Versienummer Datum van release Produceniíontwikkelaar (NAW-gegevens, inschatting over continuïteit van leverancier) Leveranciers (NAW-gegevens, inschatting betreffende continuïteit van leverancier) Prijsopgave (bij bepaalde afname) Aanbod met betrekking tot upgrades en bug-patches Evaluaties in de literatuur Officiële evaluaties (bijvoorbeeld ITSEC) Officieuze evaluaties Wat is UW globale indruk van het produkt? Bekendehrkende sterke punten van het produkt (uit onafhankelijke bron) Bekende/erkende zwakke punten van het produkt

Positie in de markt

- Doelmarkt van het produkt - Positie van het produkt binnen de markt - Belangrijkste concurrenten van het produkt - Omvang van de installed base (hoeveel produkten afgezet?) - Positie van het produkt binnen de lijn van de ontwikkelaar


Serviceopties

- Servicemogelijkheiden door leverancier - Garantiekenmerken van het produkt - Beschikbare opleidingstrdecten - Meegeleverde documentatie - Kwaliteit installatieprocedure - Kwaliteit de-installatieprocedure - Globale indruk van gebruikersvriendelijkheid

Systeemeisen

- Hardware-elementen van het produkt - Hardware-eisen aan het systeem - Geheugengebruik bij installatie In conventioneel geheugen - Geheugengebruik in lower memory bij 'loadhi' - Geheugengebruik in upper memory bij 'loadhi' - Benodigde diskspace bij volledige installatie - Benodigde diskspace bij minimale installatie - (Officieus) oordeel over benodigde rekencapaciteit - Ondersteunde operating systemen en User Interfaces

(MS-DOS versies, OW2 versies, MS-Windows versies, Windows-NT, desqview, etc)

Identlflcatle en authentlcatle

- Methode van I&A (password, ID/password, smart-card, challenge/response, biometrics etc.)

- One-way codering van passwords - Mogelijkheden tot bepalen minimale lengte passwords/PINs - Maximale lengte passwords/PINs - Mogelijkheden tot gebruik proactive password checker - Mogelijkheden tot aging van passwords - Mogelijkheden tot beperking van gebruik van vorige passwords - Tijd benodigd voor identificatie- en authenticatieslag - Wordt bij aanloggen melding gemaakt van laatste succesvolle

inlogpoging? - Wordt bi] aanloggen melding gemaakt van aantal mislukte

inlogpogingen?

38 BROCHURE VEILIB TELEWERKEN

Access Control

- Gecontroleerde resources (disks, applications, hardwareports, logica1 devices, memoty, etc)

(harddisk!partitie/directory/file) - Gebruikte attributen bij disk access controi

(readiwriteiexecute, read/write/create/erase/modify/file scan, etc.) - Ondersteuning van Mandatoty Access Control - Ondersteuning van Object Reuse en tijdelijke files

(bijvoorbeeld omgang met MC-Windows swapfiles) - Beschikbaarheid auto-logoff/ timeout opties - Gaat de verwerking door tijdens timeout?

- Fijnmazigheid van disk access control

- Versleuteling

- Gebruikt algoritme (RSA-x, DES, FEAL-n, eigen ontwerp ...)

- Fijnmazigheid van versleuteling - Throughput, en "testvoorwaarden" waaronder deze gehaald is - Key management aspecten - Aanwezigheid en aanpasbaarheid van automatische encryptie - Aanwezigheid en flexibiliteit van handmatige encryptie - Compatibiliteit van partitionsring van gegevens met

verwerkingsomgeving

Logboeken en audits

- Welke entiteiten kunnen gelogd worden? - Onder welke omstandigheden kan gelogd worden? - Mate van instelbaarheid van de iogfiles - Veiligheid (access control e.d.) van de logfiles - Functiescheiding auditor - security manager - Gebruikersvriendelijkheid van hulpprogrammatuur voor de auditor

Overige opties

Is het booten vla diskette mogelijk? 1 Biedt het produkt de mogelijkheid tot het maken van backups. - Worden backups versleuteld gemaakt?


- Bevat het produkt een optie om de integriteit van gegevens te controleren?

- Bevat het produkt een optie om gegevens 'echt' te wissen? - Omvat het produkt een virus-scanner? - Met welke produkten bestaan compatibiliteitsproblemen? - Met welke produkten bestaan uitwisselingsprotocollen?

(denk hierbij aan netwerk-beveiliging, maar ook aan koppeling van logboeken en databases)


B Overige ACIB-publicaties

Erochure Overzicht van relevante weten regelgeving met betrekking tot informatiebeveiliging (december 1994)

De huidige weten regelgeving ten aanzien van informatiebeveiliging kan als versnipperd worden gekarakteriseerd. In verschillende wetten en regelingen komen bepalingen over informatiebeveiliging voor.

De regelgeving kan als volgt worden onderscheiden: - internationale weten regelgeving; - nationale wetten;

voorschriften, aanwijzingen en andere regelingen voor de overheid zelf. 0 - Aan de hand van de verschillende typen regelgeving worden in deze brochure de bepalingen met betrekking tot de informatiebevelliging weergegeven en beschreven.(rlO biz.)

Brochure A&K-analyse (december 1994)

In termen van het Voorschrift Informatiebeveiliging Rijksoverheid 1994 (VIR '94) wordt gesproken over de verantwoordelijkheid van het management om middels een Afhankelijkheids- en Kwetsbaarheidsanalyse de gemeenschappelijke betrouwbaarheidseisen, zoals gedefinieerd in een beleidsdocument, te vertalen naar maatregelen voor de uitvoering van het beveiliglngsbeleid. Deze brochure Is een handrelking om inzicht te krijgen in de opzet van de 0 bovengenoemde A&K-analyse.

De A&K-analyse gaat uit van een kwalitatieve benadering. Daarmee is bij de ontwikkeling van de methoden bewust afscheid genomen van de conventionele aanpak waarop de risico-analyse in het algemeen is gebaseerd. In de praktijk blijkt het produkt van "de inschatting van de kans op een incident" en "de ernst van de schade in guldens" nauwelijks iets te zeggen. Getracht is te werken met voor de manager herkenbare en toetsbare begrippen in termen van normale bedrijfsvoering.(75 blz.)

BROCHUAE VEILIG TELEWERKEN 41

Brochure Kader voor de ontwikkeling van het informatiebeveiligingsbeleid en het beleidsdocument (augustus 1994)

Het Voorschrift informatiebeveiiiging Rijksdienst 1994 bepaalt dat er door de Secretaris Generaal van een departement een informatiebeveiligingsbeleid moet worden vastgesteld. Deze brochure wordt een handreiking gedaan voor het schrijven van dit document, door aan de artikelen een aantal actie- en aandachtspunten toe te voegen. De brochure maakt deel uit van het begeleidingsiraject dat bij de diverse departementen plaatsvindt, en in kader waarvan door ACIB regelmatig tafeibijeenkomsten worden georganiseerd. (34 blz.)

Brochure Omgaan met Computervirussen Uanuari 1994)

Deze brochure bevat naast een korte toelichting op het verschijnsel 'computervirus' een overzicht van maatregelen die genomen kunnen worden. (9 biz.)

Brochure Toelichting op de Wet computercriminaliteit (september 1993)

Deze brochure gaat in op de wet computercriminaliteit, zoals deze op 1 maart 1993 van kracht is geworden. De brochure bevat ook de wetstekst. (18 blz.)

Naast brochures geeft ACIB ook een periodiek uit, "eed to Know', dat viermaal per jaar verschijnt. Rijksambtenaren kunnen hierop een abonne- ment aanvragen.

42 BROCHURE VEILIO TELEWERKEN

C Gerelateerde publicaties

Voorschrift Informatiabeveiliging Rijksdienst 1004

Dit boekwerk bevat de regelgeving voor de Rijksdienst met betrekking tot informatiebeveiliging. Centraal staat het bieden van een kader waarbinnen systematisch en vergelijkbaar met alle aspecten van informatiebeveiliging wordt omgegaan. Het voorschrift omschrijft een aantal basisbegrippen, een beperkt aantal produkten en methodische stappen om tot beveiligingsmaatregelen te komen. In de toelichting op het voorschrift wordt de relatie met de praktijk aan de orde gesteld.

0 Handboek Informatiebeveiliging Rijksdienst 1005

Het Handboek gaat in op de uitvoeringsaspecten van het Voorschrift Informatiebeveiliging Rijksdienst. In vier delen worden alle elementen van het voorschrift aan de orde gesteld op een manier die ook voor de "beveiiigingsleek" begrijpelijk is. Speciale aandacht wordt geschonken aan de opzet van beveiligingsbeleid, het toedelen van verantwoordelijkheden en het proces om tot betrouwbaarheidseisen en maatregelen te komen.

Code voor Informatiebevelliging

Beveiliging van computersystemen is tegenwoordig een absolute noodzaak. Om deze reden heeft een aantal grote Nederlandse en Britse bedrijven en organisaties een Code voor Informatiebeveiliging ontwikkeld. Deze Code is gebaseerd op eigen Praktijkervaring. Het is een naslagwerk voor bedrijven om aan de hand van richtlijnen zelf hun informatiebeveiliging te ontwikkelen. Daarnaast is de Code bedoeld om het vertrouwen te bevorderen in het onderlinge handelsverkeer.

De Code wordt uitgegeven door het Nederlands Normalisatie-instituut. Het initiatief van het bedrijfsleven om deze Code te ontwikkelen heeft de volledige steun van het ministerie van Economische Zaken. Uiteindelijk ligt het in de bedoeling om te komen tot een Code die geldt als internationale norm voor informatiebeveiliging.

Informatie over hoe u in het bezit kunt komen van de Code is te verkrijgen bij het Nederlands Normaiisatie-instituut (NNI), telefoon: (O1 5) 690 255.


Beveiliging van persoonsregistraties

De Wet persoonsregistraties gaat over persoonsgegevens zoals die op grote schaal worden vastgelegd door overheid, bedrijven en andere organisaties. De wet stelt de normen voor een zorgvuldig en behoorlijk gebruik van persoonsgegevens. De wet schrijft ook voor dat de reglstratie waarin ze zijn vastgelegd voldoende beveiligd moet zijn: om te voorkomen dat gegevens verloren gaan, verminkt raken of In verkeerde handen komen, Over die beveiliging gaat dit advies.

Met welke risico’s moeten we rekening houden? Met welke maatregelen kunnen we die risico’s beperken? Aan welke eisen moet de beveiliging van een persoonsregistratie voldoen? De Registratiekamer heeft een aantal eisen geformuleerd die een nadere invulling geven aan de wettelijke norm.

Dit advies is uitgegeven door de Registratiekamer.

Naast deze publicaties zijn er regelmatig artikelen aan te treffen in vakbladen en in readers die bij congressen gebruikt worden. Bijvoorbeeld:

Microcomputer Encryption and Access Control: Overview, in;

Bevat een introductie en vergelijkend warenonderzoek beveiliglngspakketten.

Data Security for fersonai Computers, in Proceedings of the 75th National Computers Security Conference (1992), pp 101-1 10.

Voor de rijksoverheid is er met betrekking tot de beveiliging van staatsgeheimen de AAR-9.

O

DATAPRO, IS31-001-107(19û4), 31 pgs.


D Verklarende woordenlijst

afhankelijkheidsane~se: het vaststellen in hoeverre bestuurs- of bedrijfsprocessen die door informatiesystemen ondersteund worden, afhankelijk zijn van de betrouwbaarheid van deze systemen en het vaststellen welke potentiële schades kunnen optreden als gevolg van het falen van deze informatiesystemen. (VIR)

algoritme: een voorgeschreven aantal nauwkeurig omschreven regels om een probleem in een beperkt aantal stappen op te lossen, bijvoorbeeld een volledige beschrijving van een rekenkundige procedure om de waarde van sin x tot op een vastgestelde nauwkeurigheid te bepalen.

auditor: functionaris die als taak heeft het uitvoeren van controles, vooral met betrekking tot de veiligheid van een systeem.

audits: de controles zoals deze door een auditor plaatsvinden.

authenticatie: het proces waarbij het doel is vast te stellen dat een geclaimde en de feitelijke identiteit met elkaar in overeenstemming zijn.

authenticatia-mechanismen: de manier waarop de authenticatie plaatsvindt.

auto-logoff: mechanisme waarbij een systeem zonder nadrukkelijke opdracht daartoe bedoeld de huidige gebruiker de toegang ontzegt. Het meest gebruikte mechanisme treedt in effect indien de gebruiker gedurende een bepaalde tijd geen gebruik heeft gemaakt van het systeem.

autorisatie: de rechten, door een systeem toegekend aan een gebruiker; ook gebruikt voor de bevoegdheden die door de organisatie aan een functionaris zijn toegekend.

backup: een kopie van gegevens naar een andere dan de oorspronkelijke gegevensdrager, die door de gebruiker voor het 'normale werk' gebruikt wordt met het doel de gegevens ook ter beschikking te hebben na een storing daar anders de gegevens verloren zouden zijn gegaan.

backupschema: een tijds-schema dat aangeeft wanneer er nieuwe backups gemaakt dienen te worden.


baseline: een beveiligingsregime dat op meerdere informatiesystemen als minimum niveau wordt opgelegd.

bedreigingen: interne of externe activiteiten die het behalen van de organisaiiedoelsteiiingen in gevaar brengen. (NGI)

beschikbaarheid: de mate waarin een informatiesysteem in bedrijf is op het moment dat de organisatie het nodig heeft. (VR)

betrouwbaarheid: de mate waarin de organisatie zich kan verlaten op een informatiesysteem voor zijn informatievoorziening. (VIR)

betrouwbaarheidseisen; de mate waarin de organisatie zich dient te verlaten op een bepaald informatiesysteem voor zijn informatievoorziening.

beveillgingsbeieid: het resultaat van de strategische besluitvorming waarmee het verantwoordelijko (top)managernent van een onderneming/instelling heeft vastgelegd hoe en met welke intensiteit het aan (0ii)zekere factoren (voortvloeiend uit automatisering) die een bedreiging kunnen vormen voor de bedrijfsprocessen het hoofd zal bieden om blijvend de bedrijfs- c.q. de maatschappelijke doelstellingen te kunnen realiseren.

of: beleid dat aan de aandachtsgebieden, uitgangspunten en doelstellingen van de geautomatiseerde gegevensverwerking omvat.

6eveiIigingsniveau: de kwaliteit van de beveiliging, zoals deze door een bepaelde set maatregelen bereikt wordt.

beveiligingapakket: een produkt dat gebruikt kan worden om de beveiliging van een omgeving te verbeteren. Wordt voornamelijk 'gebruikt voor logische beveiliging.

beveiligingsregirne: het geheel van beveiligingsmaatregelen en de manier waarop in een bepaalde situatie zijn ingevoerd.

BIOS: een speciaal stukje progmrriinatuur voor een PC dat onder andere bij het opstarten van de machine een aantal controles uitvoert.

BIOS-wachtwoord: een optie van de BIOS die het mogelijk maakt toegang tot de machine te bepsrken afhankelijk van het juist invoeren van een wachtwoord.


clear-desk policy : een beveiligingsmaatregel die inhoudt dat gegevens die niet direct nodig zijn, opgeborgen zijn.

cryptografiscb sterk controlegetal: een controlegetal waarbij het ondoenlijk is om bij een uitkomst een bronbericht samen te stellen.

Discretionary Access Control (/JAC): een model voor .. toegangsbeheersing dat uitgaat van een indeling in domeinen. (Zie ook: Mandatory Access Control)

data-communicatie: gegevensoverdracht tussen verschillende systemen, zonder dat daarbij intermediaire gegevensdragers worden gebruikt.

de-installatieprocedure: een bij voorkeur geautomatiseerde procedure die tot doel heeft een software-produkt van een systqem te verwijderen. ,. zonder de integriteit van andere produkten aan te tasten.

,,,. - , , . dighle handtekening: een hoeveelheid informatie die aan een bericht

worden toegevoegd, waarmee aangetoond kan worden dat de ondertekenaar het oorspronkelijke bericht inderdaad ondertekend heeft.

;",, < , <

encryptie: zie gegevensversleuteling.

encryptie-algoritme: zie versleutelingsalgoritme.

exclusiviteit: de mate waarin de toegang tot en de kennisname van een informatiesysteem en de informatie daarin is beperkt tot een gedefinieerde groep van gerechtigden. (VIR): , ,

firmware: programmatuur die in chips is ingebouwd.

. I

,, : < . , ,. , ,' .. I , ,

0 ., %... .. , . , / ~ ,. < :

gebruikersnaam: geclaimde identiteit waarrqeapn gebruikqr zichzelf aan

Qeb~uike~~~iendel~kbeid: de mate waarin het raakvlak van het, ~ . 1 ~ , ~i.,c,,, informatiesysteem met de gebruiker is afgestemd op de werkwijze, het vakgebied en de ervaring van de gepruiker,, i , , ,,. ,, , , ,,i: , .~ ::.,t.)!::

, , , , . . I , . / I . I . I ' ' , f . ( * , . ' Y > c : , ; , , r

. l i l qi I!, , / I . ,I, , I .>I ,<: '::', ~ ,< ;?<)\t<

het systeem bekend maakt. .+..I>, 3 .:i*

geclassificeerd: gegevens, ingedeeld in een gevoeligheidsklasse.

gerubriceerd: meestal gebruikt bij de indeling uan,gegevans met . I , :,i i(,,; 0 betrekking tot staatsgeheimen (STG). l . , ~ ! , , , ~ ~ , , t , l ~ ~ ~ . . ,


gegevensvenrleuteling: het omvormen van begrijpelijke gegevens in

geheimhoudingsver~la~ng: verbintenis, waarbij de ondertekenaar

onbegrijpelijke codes.

aangeeft bepaalde gegevens vertrouwelijk te zullen behandelen, en derden niet zonder noodzaak daartoe In kennis van die gegevens te stellen.

gelogd: opgeslagen in &n.log-bestand.

gevoeligheidsklasren: Classificatie naar exclusiviteit.

grootvader-vader-zoon (gvzj: backup-mechanisme dat uitgaat van twee kopieën van de gegevens: éBn op de werkplek, en één buiten de werkplek.

, t . _ , , z , I ,

hardhram: computerapparatuur.

ldentit/catie: het kenpaar maken yan een geclaimde identiteit. De controle van deze g,eclaivde identiteit heet 'authenticatie' of 'identiteitscontrole'.

informstiebeveiliging: het treffen en onderhouden van een samenhangend pakket van maatregelen/er waarborging van de beschikbaarheid, integriteit en exclusiviteit vqn.egn informatiesysteem en daarmee van de informatie daarin. (VIR)

inlogqpgiog:,een ppging g.m tot een systeem toegelaten te worden. Meestál maakt een identiteitsçantrole deel van de procedure uit.

insteekk$prt: stuk cqnputerapparatuur, dat in een PC kan worden grrsfoker) om een bepaalbe.extra functionaliteit te krijgen.

, . J , i ., I , , / I ,> ,,: 1 ; integriteit: de ma

:, ' .,,,I

k-enalyse: zie kwetsb

kraker;, pqrsoon die poogt zich, zonder, daartoe toestemming gekregen te

' . . , < ! , ,,,, ' . ' I > $ , .

n,informptiesysteem zonder fouten is. (VIR)

hepbgn, toegang te, ,verschaffen tql geautomatiseerde , g,wqvvsvewwW systewy?&amputers).

worden .van bedreiging iqfp,(mqtksysteep. Ml

, i , . , . , , , ( / I , / , i j ,

kwetsbasrheidsanalyse: het vaststellen van de invloed van het manifest b@lfunctioneren van een deel van een


iiquid Crystal Display ILCüJ: plat beeldschermtype, waarbij het beeld ontstaat door een electrische spanning aan te brengen op een raster van punten, waardoor ean beeld zichtbaar wordt. Wordt veel gebruikt in portables en zakrekenmachines. ' ' , ' , s < . - , l ì \ c ~ ' i :\i

>. ,

lichtneffi/tem: apparatuur, aangebracht tussen het stopcontact en de' stekker naar de computer, dat ervoor zorgt dat eventuele kleine ' , ' :i

storingen in de stroomvoorziening ('spikes' en 'dips') geen schadelijke gevolgen hebben voor de werking van de cohputet' I '. ' ' .. I > >

logboeken: bestanden waarin de activiteiten die binnenhet systeem ' ' '

plaatsvinden worden opgeslagen. I> ' \ , . I I .<. i t . 8 ' , ~

loggen: het opslaan van systeemactiviteiten% een'togboek. '""' . I .

, { . ! ? , I , logische maatregel: maatregelen waarvan de werking voor een bela

deei berust op software.

Mandatow Access Control (MAC): een modeí'vdor toegangsbeheersing dat uitgaat van een indeling in exclusi~ i te i ts i i ivea~~~.~~~~do"K: .''. .' '

Discretionary Access Control)

need-to-hida: uitgangspunt voor de verspreidí~~.van.ge,~evens. Gaat er: van uit, dat alle gegevens vrij verk~ll i~~ar,ar't i !te~zij ander.$ besleten is.

need-to-know: uitgangspunt voor de verspreiding van gegevens, die voor het functioneren van de medewerker Grid belän~ ?ijd:'GaäfW&hì'Ù\~ "" dat gegevens vertrouwelijk zijn tenzij atfdeti; bb'iibteri'is.

. L , ~ : F ; ,.,. )l., a!la,l'$, ; ,.. ,

'

B?,; I ':I ' Y': , .

'1 '1 ' ~ , I ,, +I' , I

:, . , > j l,' s:,p,i

noodstroomgenerator: apparaat, besfaddüe~hit dbn mDtbr;-kerk'&fid op:' fossiele brandstoffen, die er met behulp vaH&h dyddms Vöorzotgf äat er electriciteit beschikbaar is ook nadat het lichtnet is uitgevallen. Wordt vrijwel altijd gebruikt in combinatie meteen batterij die'&& stroomvootziening regelt totdat de noodstroomgenerator op toeren is gekomen.

noodstroomvooniening: het geheel Oah,iriaatreg&n äafbtvbor ts&t'd& de gebruikte apparatuur voldodtTde~bs&erhïd 'iSteban, ver*tbhh$eh in het lichtnet. Omvat minimaal eWbatte#j'tTi&!l$ ëbMe ~df?8dSöpVaH& maar kan ook een noodstroomgenerator betreffen.

'W""

, ~ > , . , , - z ,..>.,., ' .li ,,y"*+I,,.:j: \ ! , , * ,G ;

. , , , $11, .I ,.,I i ;, ~ ! , i , . , ~ ~ ~ , ~ ~ ' ~ , ~ ~ ~ ~ ~ ~ ~ , , , ~

organisatorische maatregelen: maatrd$ûi& watuvati&hetkhgl ,'"w Ne'BrYclh?Et'tW.!' voornamelijk berust op de manier waarop met-ig&N

BROCHURE VEILIG TELEWERKEN 49'

portable: draagbare personal computer, speciaal ontworpen om vaak vervoerd te worden, en om op uiteenlopende plaatsen gebruikt te worden.

proprfetafy: Wgsn:. wordt bij enmryptiealgoritmen gebruikt om aan te geven dat het algoritme niet tot de algemeen toegepaste, openlijk gepubliceerde groep behoort. Gebruik van de term ‘proprietary’ kan een signaal zijn, dat het algbritme niet bijster sterk is.

risico-analyse: instrument dat tot doel heeft het bepalen van de te verwachten scchade, uitgaande van de kans van optreden van alle mogelijke? afzonderlijkiondersaheidbare incidenten, en de schade die daarbij gemiddeld ontstaat.

I ,. t , j ,,,,,~,\,,’:) , i l ,::$.?i i i v

sleutbl: eMgeheim$ code) die Mcombinatie met een versleutelingsalgorltme gebruikt kan worden om een bericht wear niet meer interpreteerbaar te maken of omgekeerd.

smart-cerd: pasje met ingebouwde software, vetwerkingseenheid en geheugen, kan bijvoorbeeld gebruikt worden als onderdeel van een identificatie- en authenticatieprocedure.

sofiware: programmatuur

STG: staatsgeheim

thuiswerken: kantootwerk dat thuis uitgevoerd wordt.

toegangscontrole: het beheer over de toegankelijkheid van informatie

fokens: object dat gebruikt wordt om toegangscontrole over een systeem te voeren. Er zijn diverse soorten tokens, de meest bekende zijn de smartcard en de dongle.

un4ntemptable power supp/y (UPS): zie noodstroomvoorziening

user-/d: gebruikersnaam, Identiteit waarmee een gebruiker zich aan het systeem bekend maakt.

vel//ghe/dsbewustz~n: het bekend zijn met genomen beveiligingsmaatregelen, begrijpen waarom deze genomen zijn zoals ze genomen zijn, en opvolgen van de maatregelen.

50; ./ BROCHURE VEILIG TELEWEAKEN

versleutelen: het omzetten van interpreteerbare gegevens naar . ' . . L

oninterpreteerbare data ('geheimschrift'), om zo te voorkomen dat mensen die niet geauthoriseerd zijn kennis kunnen nemen. C ' ,i .

i G%:** .~ .*" >&. versleutelingsalgoritme: de wiskundige metbqde warmee de e

versleuteling plaatsvindt. 2 : .t, I/ , I , , J,,)!' , 11, tricl : : . I < , ..1

: . . : . I ; ; ~ U i i i-, ,

virusscanner: programmatuur gericht op-doiletectiavani IM.

computemirussen. , , , I I < t I r j i , I ! : . ~ ~ Y , ~ ' ! , , T I .% !',c i,r..i)?.

wachtwoord: geheime 'sleutel' die gebruikt uiordt:om tehcmtrolmn af iemand geautoriseerd is om van hetsystetmgebr,uikite makgm. , .

wisprogrammatuur: software die geschreven is om gegevens van een

I .,! < u l 8 l l l < ~ [ ~ l , - .!l111' til:;!.,,

I, 3 1 . > ,. ' ; , ,,<y. , ,: , I

e gegevensdrager te verwijderen, zooder de gegeveosclcage6 mlf~fysiekt@~,~ vernietigen. 111.,; ' . ! : u '

' n r , ? , q , , , , .: ,: :# , , I I!,, ;.,t l l l ,.>, I .

.i . ' * i<d I : i~~ i , l . I ' *

>w:, ' l.IC.,.;;.- ..,,I!,, tIWl , : -r,:,. r, ' . ,>+t:+,.,c . I 1 . ! i j , ! (,:~> .:,,!N..St,+:k,!

: l ' , : , r . i , , l l ;,, , , : ' i .:\!u$'.3:*'

BROCHUAE VEILIG TELEWERKEN 51. i: I

leidraad voor informatiebeveiligingpublicaties.minienm.nl/download-bijlage/6984/... · minirterie...

Documents