Grondslagenlaag Informatieveiligheid

Grondslagen

Deze laag bevat alle wet- en regelgeving die van toepassing kan zijn op onze vraagstukken en projecten. Voor het thema Informatieveiligheid is dit ook verder uitgewerkt in principes, bedreigingen en maatregelen die daaruit zijn af te leiden.

InformatiebeveiligingInformatiebeveiliging is het geheel van preventieve, detectieve, repressieve en correctieve maatregelen alsmede procedures en processen die de beschikbaarheid, exclusiviteit en integriteit van alle vormen van informatie binnen een organisatie of een maatschappij garanderen, met als doel de continuïteit van de informatie en de informatievoorziening te waarborgen en de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau te beperken. wordt als volgt gedefinieerd: Het hanteren van een samenhangend stelsel van maatregelen dat zich richt op het blijvend realiseren van een gewenst niveau van beschikbaarheid, integriteit en vertrouwelijkheid van (stuur-)informatie en informatiesystemen die gebruikt worden binnen een organisatie.

Beleidskaders Informatieveiligheid

De beleidskaders voor het thema Informatieveiligheid zijn gebaseerd op bestaand overheidsbeleid (nationaal en Europees) en op de instrumenten die in het kader van dat beleid zijn ontwikkeld, zoals wetten, regels, kamerstukken en bestuursakkoorden. Hieronder zijn de relevante beleidskaders voor dit thema gevisualiseerd.

Sinds 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG) van toepassing. Dat betekent dat in de hele Europese Unie (EU) dezelfde privacywetgeving geldt. De Wet bescherming persoonsgegevens (Wbp) geldt niet meer. De AVG is ook wel bekend onder de Engelse naam: General Data Protection Regulation (GDPR). (Driver) Algemene Verordening Gegevensbescherming (AVG) De waterschapssector staat aan het begin van de digitale transformatie. De baseline ‘Basis op orde’ beschrijft wat minimaal nodig is om bij te kunnen blijven op het gebied van digitalisering. (Driver) Baseline Basis op Orde De BIO is een doorontwikkeling, ofwel een ‘update’, van de BIG. Gemeenten baseren hun informatiebeveiligingsbeleid en hun verantwoording aan de gemeenteraad en de toezichthouders vanuit het Rijk (middels ENSIA) op deze BIG. De werkzaamheden die voor de BIG zijn verricht zijn al grotendeels in lijn met de BIO. (Driver) Baseline Informatiebeveiliging Overheid (BIO) In het Bestuursakkoord Water (2011) hebben overheden en waterleidingbedrijven afspraken gemaakt over verbetering van de organisatie van het waterbeheer. Deze afspraken leiden tot meer transparantie, duidelijke verantwoordelijkheden, minder bestuurlijke drukte, optimalisatie in transport en zuivering van afvalwater, een beheersbaar programma voor de waterkeringen en het realiseren van slimme samenwerkingsvormen. (Driver) Bestuursakkoord Water Visie op de dienstverlening van de waterschappen in de i-samenleving. 2016 (Driver) Digikompas IEC 62443 is een set normen die speciaal ontwikkeld is voor de Operationele Technologie (OT), en is daarmee een aanvulling op de ISO 27001 norm. Deze norm focust zich met name meer op de continuïteit en de digitale weerbaarheid van de 'Industrial Automation & Control Systems (IACS)omgeving. (Driver) IEC 62443: Veiligheid voor industriële controle- en automatiseringssystemen Nederland beschikt over een uitstekende uitgangspositie om de economische en maatschappelijke kansen van digitalisering te verzilveren. Tegelijkertijd nemen kwetsbaarheden en dreigingen in het digitale domein toe. Dit vraagt om extra inspanningen om de cybersecurity aanpak te versterken en zo de vitale belangen van Nederland beter te beschermen. In de Nederlandse Cybersecurity Agenda (NCSA) worden de kaders gesteld voor de volgende noodzakelijke stap in cybersecurity. (Driver) Nederlandse Cyber Security Agenda Het Waterbesluit is de uitwerking bij algemene maatregel van bestuur van bepalingen van de Waterschapswet. (Driver) Waterbesluit In de Waterregeling zijn regels met betrekking tot het beheer en gebruik van watersystemen vastgelegd. (Driver) Waterregeling In de Waterschapswet zijn de taken en bevoegdheden van de waterschappen vastgelegd. (Driver) Waterschapswet In de Waterwet zijn de juridische instrumenten om het waterbeheer tot uitvoering te brengen vastgelegd. (Driver) Waterwet Deze svg is op 13-06-2021 03:16:25 CEST gegenereerd door ArchiMedes™ © 2016-2021 ArchiXL. ArchiMedes 13-06-2021 03:16:25 CEST


Principes Informatieveiligheid

De beleidskaders zijn bepalend voor de richtinggevende principes die de waterschappen hanteren om beveiligingsdoelstellingen te realiseren. Hieronder zijn de principes die van toepassing zijn voor dit thema gevisualiseerd.

Grouping Basisprincipes Stelling: Ons waterschap gaat op een vertrouwelijke manier met gegevens om Rationale: Klanten verwachten dat het waterschap op een zorgvuldige manier met hun gegevens om gaat en dat deze niet in handen komen van onbevoegden. De visiebrief digitale overheid besteedt daarom specifiek aandacht aan informatieveiligheid. Ontwikkelingen als consumerization en tijd- en plaatsonafhankelijk werken vragen ook om extra aandacht voor de beveiliging van informatie. Grenzen van organisaties vervagen en traditionele beveiligingsmaatregelen passen niet meer. Cybercriminaliteit kan zorgen voor ernstige ontregeling van organisaties. Het is daarom belangrijk de risico’s expliciet te maken. Hierdoor kunnen de meest passende maatregelen worden genomen en worden overmatige maatregelen vermeden. Implicaties: * Ons waterschap is aangesloten bij de Informatiebeveiligingsdienst voor waterschappen (IBD). * Ons waterschap heeft een informatiebeveiligingsbeleid, gebaseerd op de strategische en tactische Baseline Informatiebeveiliging Nederlandse Waterschappen (BIG). * Voor alle gegevens en applicatiefuncties (autorisatie-objecten) zijn verantwoordelijken aangewezen. * Voor alle autorisatie-objecten is aangegeven welke rollen of gebruikers geautoriseerd toegang kunnen krijgen. * Alle toegang tot autorisatie-objecten wordt expliciet geauthentiseerd en geautoriseerd, tenzij deze openbaar toegankelijk zijn. * Gegevens zijn voorzien van een BIV classificatie die aangeeft wat het gewenste niveau van Beschikbaarheid, Integriteit en Vertrouwelijkheid is. * Informatiebeveiligingsmaatregelen zijn gebaseerd op het informatiebeveiligingsbeleid, de BIV classificatie van de betrokken gegevens en een risicoanalyse vanuit procesperspectief. * Alle toegang tot gevoelige gegevens wordt gelogd en regelmatig beoordeeld. * Uitwisseling van gevoelige gegevens vindt niet in bulk plaats, maar is toegespitst op de vraag zodat het beperkt is tot wat noodzakelijk is. * Informatiebeveiliging wordt integraal meegenomen bij het ontwerp en de inrichting van applicaties en infrastructuur. * Informatiebeveiliging wordt ook geborgd in afspraken (en controle op naleving ervan) met samenwerkingspartners en leveranciers van diensten of IT-systemen. * Alle betrokkenen zijn zich bewust van informatiebeveiligingsmaatregelen en deze worden onder meer geborgd door periodieke interne en externe audits. (Principle) BP04: Ons waterschap gaat op een vertrouwelijke manier met gegevens om Grouping Afgeleide principes Stelling: De dienstverlener waarborgt de integriteit van gegevens en systeemfuncties. Rationale: De gebruiker van een gegeven moet erop kunnen vertrouwen dat hij het correcte, complete en actuele gegeven ontvangt. Implicaties: De integriteit van gegevens en systeemfuncties wordt gegarandeerd door validatie en beheersing van gegevensverwerking en geautoriseerde toegang tot gegevens en systeemfuncties, door scheiding van systeemfuncties, door controle op communicatiegedrag en gegevensuitwisseling en door beperking van functionaliteit. Controle van gegevensverwerking: *De criteria voor juistheid, en tijdigheid zijn vastgesteld *controleren vanuit een systeemvreemde omgeving ingevoerde gegevens op juistheid, tijdigheid en volledigheid, voordat verdere verwerking plaatsvindt. *controleren te versturen gegevens op juistheid, volledigheid en tijdigheid *controleren ter verwerking aangeboden gegevens op juiste, volledig en tijdige verwerking *vergelijken periodiek kritieke gegevens die in verschillende gegevensverzamelingen voorkomen met elkaar op consistentie. Dit geldt alleen zolang als de gegevens niet frequent en integraal worden gesynchroniseerd met de brongegevens. (Principle) AP18. De dienstverlener waarborgt de integriteit van gegevens en systeemfuncties. Stelling: De beschikbaarheid van de dienst voldoet aan de met de afnemer gemaakte continuïteitsafspraken. Rationale: De continuïteitsafspraken zijn gemaakt op basis van de afbreukrisico's die afnemers lopen bij uitval. De processen van afnemers kunnen spaak lopen met financiële en maatschappelijke schade en het vertrouwen in betrouwbaarheid van de dienst kan afnemen. Implicaties: De beschikbaarheid van gegevens en systeemfuncties wordt gegarandeerd door vermeervoudiging van systeemfuncties, door herstelbaarheid en beheersing van verwerkingen, door voorspelling van discontinuïteit en handhaving van functionaliteit. Specifiek: *Het niveau van beschikbaarheid is in overleg met de afnemers vastgesteld *ICT-voorzieningen voldoen aan het voor de diensten overeengekomen niveau van beschikbaarheid *De continuïteit van voorzieningen wordt bewaakt, bij bedreiging van de continuïteit wordt alarm geslagen en er is voorzien in een calamiteitenplan. *De toegankelijkheid van openbare informatie en informatie die die relevant is voor vertrouwelijke- en zaakgerelateerde diensten, is gewaarborgd. Wanneer informatie verplaatst is, of niet meer (online) beschikbaar, worden bezoekers doorverwezen naar de plaats waar deze wel te vinden is. *De afnemer merkt niets van wijzigingen in het beheer van de dienst. *Wanneer een nieuwe versie van een standaard geïmplementeerd wordt, blijft de aanbieder de oude versie ondersteunen zolang als dat volgens afspraak nodig is. De dienstverlener en de afnemers maken afspraken over de periode waarin overgegaan wordt op een nieuwe versie van de standaard. (Principle) AP16. De beschikbaarheid van de dienst voldoet aan de met de afnemer gemaakte continuiteitsafspraken Stelling: De dienstverlener verschaft alleen geautoriseerde afnemers toegang tot vertrouwelijke gegevens. Rationale: De gebruiker moet erop kunnen vertrouwen dat gegevens niet worden misbruikt. Implicaties: De vertrouwelijkheid van gegevens wordt gegarandeerd door scheiding van systeemfuncties, door controle op communicatiegedrag en gegevensuitwisseling, door validatie op toegang tot gegevens en systeemfuncties en door versleuteling van gegevens. Fysieke en logische toegang: *Per dienst zijn de mate van vertrouwelijkheid en de bijbehorende identificatie-eisen vastgesteld *Voor een intern systeem, besloten gebouw of ruimte, geldt: “niets mag, tenzij toegestaan”. Daarom wordt de gebruiker voor toegangsverlening geauthenticeerd. Voor afnemers van vertrouwelijke diensten geldt hetzelfde. Daardoor zijn deze gebruikers en afnemers uniek herleidbaar tot één natuurlijk persoon, organisatie of ICT-voorziening. *Bij authenticatie dwingt het systeem toepassing van sterke wachtwoordconventies af. *De instellingen van het aanmeldproces voorkomen dat een gebruiker werkt onder een andere dan de eigen identiteit. *Om de mogelijkheden van misbruik te beperken, hebben gebruikers van systemen niet méér rechten dan zij voor hun werk nodig hebben (autorisatie). Daarbij zijn maatregelen getroffen om een onbedoeld gebruik van autorisaties te voorkomen. *Verleende toegangsrechten zijn inzichtelijk en beheersbaar. *De identificatie.-eis voor een samengestelde dienst wordt bepaald door de dienst met de hoogste identificatie -eis. Zonering en Filtering: *De zonering en de daarbij geldende uitgangspunten en eisen per zone zijn vastgesteld. *De fysieke en technische infrastructuur is opgedeeld in zones. *Deze zones zijn voorzien van de benodigde vormen van beveiliging (de 'filters'). *Informatie-betekenisvolle gegevens.-uitwisseling en bewegingen van mensen tussen zones wordt naar vorm en inhoud gecontroleerd en zo nodig geblokkeerd (Principle) AP17. De dienstverlener verschaft alleen geautoriseerde afnemers toegang tot vertrouwelijke gegevens. Stelling: We voldoen aan de normen voor informatiebeveiliging en bedrijfscontinuïteit. De bescherming van informatie in werkprocessen voldoet minimaal aan de geldende baseline op het gebied van informatiebeveiliging en bedrijfscontinuïteit, zoals vastgelegd in de BIO (Baseline Informatiebeveiliging Overheid). Maatregelen rond informatiebeveiliging en bedrijfscontinuïteit zijn proportioneel en gebaseerd op de risicoanalyse en -classificatie van beschikbaarheid, integriteit en vertrouwelijkheid. Toegang tot de informatievoorziening is altijd en overal beveiligd conform de geldende norm. Door risicoanalyse en - classificatie van de bedrijfsfuncties, ondersteunende middelen en informatie van het waterschap wordt het vereiste beschermingsniveau aangeduid in termen van beschikbaarheid, integriteit en vertrouwelijkheid. Dit beschermingsniveau kan de BIO ontstijgen wanneer extra beschermingsmaatregelen nodig zijn. Rationale: De steeds grotere afhankelijkheid van informatiesystemen en informatiestromen leidt tot voelbare risico’s voor de continuïteit van de waterschapsdienstverlening. Betrouwbare, beschikbare en correcte informatie is cruciaal voor de primaire processen en bedrijfsvoering van alle waterschappen. Implicaties: 1. Er is een door het bestuur vastgesteld informatiebeveiligingsbeleid dat is gebaseerd op en voldoet aan de BIO - Baseline Informatiebeveiliging Overheid. 2. Er is een actueel informatiebeveiligingsplan en bedrijfscontinuïteitsplan. 3. Alle verantwoordelijkheden voor informatiebeveiliging behoren duidelijk te zijn gedefinieerd en belegd. 4. Het lijnmanagement is verantwoordelijk voor de kwaliteit van de bedrijfsvoering en daarmee verantwoordelijk voor de beveiliging van informatiesystemen. 5. De systeemeigenaar is verantwoordelijk voor beveiligingsclassificatie op proces-, systeem- en gegevensniveau en voor uitvoering van beschermingsmaatregelen om het vereiste niveau van informatiebeveiliging te realiseren, alsmede voor de documentatie van beveiligings-classificatie en –maatregelen. 6. Zowel bij het ontwerp en realisatie van een systeem-implementatie als bij gebruik van het informatiesysteem vinden tests plaats op de effectiviteit van de beveiligingsmaatregelen. 7. Werknemers, ingehuurd personeel en externe gebruikers begrijpen hun verantwoordelijkheden t.a.v. informatiebeveiliging en handelen daarnaar. 8. De Security Officer wordt door de systeemeigenaar geïnformeerd over de beveiligingsclassificatie, over de genomen beschermingsmaatregelen en over de effectiviteit van de informatiebeveiliging. 9. Beschermingsvereisten zijn van toepassing op alle ruimten van een waterschap, aanverwante gebouwen en beheerde objecten als kunstwerken, alsmede op apparatuur die door werknemers gebruikt wordt bij de uitoefening van hun taak op diverse locaties. 10. Beveiligingsvereisten voor informatiesystemen hebben betrekking op de informatie die daarbinnen verwerkt wordt. Ook als informatiesystemen niet fysiek binnen het waterschap draaien of taken zijn uitbesteed aan derden zijn deze beschermingsvereisten van toepassing. 11. Secure by design and by default, privacy by design and by default. Voorbeelden: Wachtwoorden voor toegang tot applicaties en systemen zijn persoonlijk en worden niet aan anderen bekend gemaakt. Er wordt regelmatig een back-up gemaakt en het terugzetten hiervan (recovery) wordt getest. (Principle) AP12. Informatieveiligheid en bedrijfscontinuïteit passend geborgd SpecializationRelationship geeft concrete invulling aan SpecializationRelationship geeft concrete invulling aan SpecializationRelationship geeft concrete invulling aan SpecializationRelationship geeft concrete invulling aan Deze svg is op 13-06-2021 03:16:25 CEST gegenereerd door ArchiMedes™ © 2016-2021 ArchiXL. ArchiMedes 13-06-2021 03:16:25 CEST