Organisatie

De BIO en CSIR 2.0 gaan over de beveiliging van informatiesystemen.

Een ruime definitie voor een informatiesysteem, namelijk “een samenhangend geheel van gegevensverzamelingen, en de daarbij behorende personen, procedures, processen en programmatuur alsmede de voor het informatiesysteem getroffen voorzieningen voor opslag, verwerking en communicatie.

In dit onderdeel vindt u de specifieke maatregelen van hoofdstuk 5 uit de BIO die van toepassing zijn op de besturende functies, zoals:

• Introductie tot de informatiebeveiliging en verantwoordelijkheden
• Functies en rollen
• Besturende functies
• Informatiebeveiligingsbeleid
• Organiseren van informatiebeveiliging

Introductie

Een ruime definitie voor een informatiesysteem, namelijk “een samenhangend geheel van gegevensverzamelingen, en de daarbij behorende personen, procedures, processen en programmatuur alsmede de voor het informatiesysteem getroffen voorzieningen voor opslag, verwerking en communicatie”.

• Het lijnmanagement is verantwoordelijk voor de beveiliging van informatie(systemen).

• Informatiebeveiliging is een cyclisch proces, volgens de Plan-Do-Check-Act-cyclus.

• Deze Plan-Do-Check-Act-cyclus maakt het lijnmanagement verantwoordelijk voor het treffen van maatregelen op basis van risicomanagement.

• De secretaris/algemeen directeur van een organisatie is eindverantwoordelijk voor deze beveiliging en voor de inrichting en werking van de beveiligingsorganisatie.

• Het lijnmanagement stelt op basis van een expliciete risicoafweging de betrouwbaarheidseisen voor zijn informatiesystemen vast.

• Op basis van de betrouwbaarheidseisen kiest, implementeert en draagt het lijnmanagement de maatregelen uit.

Taken, verantwoordelijkheden en bevoegdheden Informatieveiligheid

Deze plaat is klikbaar en nog onder bewerking.

Besturende bedrijfsfuncties en de BIO

Onderstaand treft u de besturende bedrijfsfuncties aan uit de WILMA met daarop weergegeven de hoofdstukken die betrekking hebben op specifieke bedrijfsfuncties.

Hoofdstuk 5 uit de BIO: Informatiebeveiligingsbeleid

Doelstelling

Het verschaffen van directieaansturing van en -steun voor informatiebeveiliging in overeenstemming met bedrijfseisen en relevante wet- en regelgeving.

5.1 Aansturing door de directie van de informatiebeveiliging

Artikel	Verantwoordelijk	Aanwezig	Gebruikt	Gestuurd
5.1.1 Beleidsregels voor informatiebeveiliging	Secretaris-directeur
Ten behoeve van informatiebeveiliging behoort een reeks beleidsregels te worden gedefinieerd, goedgekeurd door de directie, gepubliceerd en gecommuniceerd aan medewerkers en relevante externe partijen.
5.1.2 Beoordeling van het informatiebeveiligingsbeleid	Secretaris-directeur
Het beleid voor informatiebeveiliging behoort met geplande tussenpozen of als zich significante veranderingen voordoen, te worden beoordeeld om te waarborgen dat het voortdurend passend, adequaat en doeltreffend is.

Welke onderwerpen moeten ten minste uitgewerkt worden in het informatiebeveiligingsbeleid

• De strategische uitgangspunten en randvoorwaarden die het waterschap hanteert voor informatiebeveiliging en in het bijzonder de inbedding in, en afstemming op andere vormen van beleid binnen de organisatie.

• De organisatie van de informatiebeveiligingsfunctie, waaronder verantwoordelijkheden, taken en bevoegdheden.

• De toewijzing van de verantwoordelijkheden voor ketens van informatiesystemen aan lijnmanagers.

• De gemeenschappelijke betrouwbaarheidseisen in termen van beschikbaarheid, integriteit en vertrouwelijkheid van informatie en beveiligingsnormen die op de organisatie van toepassing zijn.

• De frequentie waarmee het informatiebeveiligingsbeleid wordt geëvalueerd.

• De bevordering van het beveiligingsbewustzijn.

Hoofdstuk 6 uit de BIO: Organiseren van informatiebeveiliging

De volgende uitwerkingen hebben betrekking op hoofdstuk zes uit de BIO. Daarin zijn ze maatregelen opgenomen die bij elk onderwerp horen, als ook de verantwoordelijke en de organisatievolwassenheid (1) is aanwezig, (2) wordt mee gewerkt en (3) wordt op gestuurd.

Doelstelling

Een beheerkader vaststellen om de implementatie en uitvoering van de informatiebeveiliging binnen de organisatie te initiëren en te beheersen.

6.1 Interne organisatie

Artikel	Verantwoordelijk	Aanwezig	Gebruikt	Gestuurd
6.1.1 Rollen en verantwoordelijkheden bij informatiebeveiliging	Secretaris-directeur
Alle verantwoordelijkheden bij informatiebeveiliging behoren te worden gedefinieerd en toegewezen.
6.1.2 Scheiding van taken	Proceseigenaar
Conflicterende taken en verantwoordelijkheden behoren te worden gescheiden om de kans op onbevoegd of onbedoeld wijzigen of misbruik van de bedrijfsmiddelen van de organisatie te verminderen.
6.1.3 Contact met overheidsinstanties	Proceseigenaar
Er behoren passende contacten met relevante overheidsinstanties te worden onderhouden.
6.1.5 Informatiebeveiliging in projectbeheer	Proceseigenaar
Informatiebeveiliging behoort aan de orde te komen in projectbeheer, ongeacht het soort project.

Doelstelling

Het waarborgen van de veiligheid van telewerken en het gebruik van mobiele apparatuur.

6.2 Mobiele apparatuur en telewerken

Artikel	Verantwoordelijk	Aanwezig	Gebruikt	Gestuurd
6.2.1 Beleid voor mobiele apparatuur	Proceseigenaar
Beleid en ondersteunende beveiligingsmaatregelen behoren te worden vastgesteld om de risico’s die het gebruik van mobiele apparatuur met zich meebrengt te beheren.
6.2.2 Telewerken	Secretaris-directeur
Beleid en ondersteunende beveiligingsmaatregelen behoren te worden geïmplementeerd ter beveiliging van informatie die vanaf telewerklocaties wordt benaderd, verwerkt of opgeslagen.

Het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen (Rijk, gemeenten, provincies en waterschappen).

Een handleiding die stap voor stap van een risicoanalyse leidt naar passende maatregelen voor de beveiliging van procesautomatisering.

Het ervoor zorgdragen dat de organisatie zich op de juiste wijze uit naar interne en externe relaties en het uitvoeren van het communicatiebeleid.

Een groepering van bedrijfsobjecten die te maken hebben met communicatie

Informatiebeveiliging is het geheel van preventieve, detectieve, repressieve en correctieve maatregelen alsmede procedures en processen die de beschikbaarheid, exclusiviteit en integriteit van alle vormen van informatie binnen een organisatie of een maatschappij garanderen, met als doel de continuïteit van de informatie en de informatievoorziening te waarborgen en de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau te beperken.

Het hanteren van een samenhangend stelsel van maatregelen dat zich richt op het blijvend realiseren van een gewenst niveau van beschikbaarheid, integriteit en vertrouwelijkheid van (stuur-)informatie en informatiesystemen die gebruikt worden binnen een organisatie.

Informatiebeveiliging is het geheel van preventieve, detectieve, repressieve en correctieve maatregelen alsmede procedures en processen die de beschikbaarheid, exclusiviteit en integriteit van alle vormen van informatie binnen een organisatie of een maatschappij garanderen, met als doel de continuïteit van de informatie en de informatievoorziening te waarborgen en de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau te beperken.

Het hanteren van een samenhangend stelsel van maatregelen dat zich richt op het blijvend realiseren van een gewenst niveau van beschikbaarheid, integriteit en vertrouwelijkheid van (stuur-)informatie en informatiesystemen die gebruikt worden binnen een organisatie.

Een verzameling activiteiten die in samenhang plaatsvinden, gericht op een beoogd resultaat en met een zekere mate van herhaalbaarheid.

Een organisatie is een collectief van professionals dat samenwerkt aan hetzelfde doel.

De besturende bedrijfsfuncties zijn ervoor verantwoordelijk dat door het plannen, doen uitvoeren, verantwoorden en bijsturen/gericht beïnvloeden van activiteiten de doelstellingen van het waterschap gerealiseerd worden.

De besturende bedrijfsfuncties zijn ervoor verantwoordelijk dat door het plannen, doen uitvoeren, verantwoorden en bijsturen/gericht beïnvloeden van activiteiten de doelstellingen van het waterschap gerealiseerd worden.

Waterschaps Informatie en Logische Model Architectuur (WILMA). De waterschappen willen beter en efficiënter samenwerken met elkaar en in de keten. Concrete kaders helpen bij het sturen van gemeenschappelijke ontwikkelingen zoals bijvoorbeeld de Omgevingswet. Architectuur is een strategisch hulpmiddel bij het opzetten en (continu) doorontwikkelen van de informatiehuishouding van een organisatie.

- Besluiten, beleidsregels, verordeningen en andere algemeen verbindende voorschriften. - Overige besluiten van algemene strekking.

Het beleid voor informatiebeveiliging behoort met geplande tussenpozen of als zich significante veranderingen voordoen te worden beoordeeld om te waarborgen dat het voortdurend passend adequaat en doeltreffend is.

Alle verantwoordelijkheden bij informatiebeveiliging behoren te worden gedefinieerd en toegewezen.

Conflicterende taken en verantwoordelijkheden behoren te worden gescheiden om de kans op onbevoegd of onbedoeld wijzigen of misbruik van de bedrijfsmiddelen van de organisatie te verminderen.

Groepering van bedrijfsobjecten die binnen een waterschap worden ingezet voor het uitvoeren van de dienstverlening

Er behoren passende contacten met relevante overheidsinstanties te worden onderhouden.

Informatiebeveiliging behoort aan de orde te komen in projectbeheer ongeacht het soort project.

Bewerkstelligen dat vastgesteld beleid in de fysieke leefomgeving nageleefd wordt.

Geheel van activiteiten uitgevoerd in een tijdelijk samenwerkingsverband gericht op het binnen bepaalde randvoorwaarden (bv. tijd, geld) bereiken van een vooraf gedefinieerd resultaat.

Beleid en ondersteunende beveiligingsmaatregelen behoren te worden vastgesteld om de risicorsquo;s die het gebruik van mobiele apparatuur met zich meebrengt te beheren.

de kans op functieverlies vermenigvuldigd met de economische en maatschappelijke gevolgschade.

Beleid en ondersteunende beveiligingsmaatregelen behoren te worden geïmplementeerd ter beveiliging van informatie die vanaf telewerklocaties wordt benaderd verwerkt of opgeslagen