Informatie beveiligingsbeleid
In dit informatiebeveiligingsbeleid beschrijven wij hoe wij als organisatie omgaan met informatie en welke uitgangspunten wij hanteren om deze te beschermen.
1. Belangrijke begrippen
Binnen dit informatiebeveiligingsbeleid worden een aantal begrippen gebruikt die hieronder worden toegelicht. Deze begrippen helpen om het beleid eenduidig te kunnen interpreteren en toepassen binnen de organisatie.
Informatie
Alle gegevens die binnen de organisatie worden gebruikt of verwerkt. Dit kan gaan om digitale gegevens in systemen zoals ledenadministratie of CMSS, maar ook om e-mails, documenten en papieren dossiers.
Informatiebeveiliging
Het geheel van maatregelen en afspraken dat erop gericht is om informatie te beschermen tegen verlies, misbruik of onbevoegde toegang. Daarbij staat centraal dat informatie vertrouwelijk, correct en beschikbaar blijft.
Vertrouwelijkheid
Het principe dat informatie alleen toegankelijk is voor personen die daarvoor geautoriseerd zijn. Dit is met name van belang bij gevoelige informatie, zoals gegevens over meldingen of incidenten.
Integriteit
Het principe dat informatie correct, volledig en actueel is en niet ongewenst wordt gewijzigd.
Beschikbaarheid
Het principe dat informatie (en de systemen waarin informatie is opgeslagen) beschikbaar is op het moment dat deze benodigd is voor de uitvoering van werkzaamheden.
Bijzondere persoonsgegevens
Categorieën van persoonsgegevens die door hun aard bijzonder gevoelig zijn, als bedoeld in art. 9 AVG. Voorbeelden zijn gegevens die iets zeggen over iemands gezondheid, ras, godsdienst of seksuele leven, maar ook een lidmaatschap van een vakvereniging of politieke partij.
Strafrechtelijke persoonsgegevens
Persoonsgegevens die betrekking hebben op strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen, zoals bedoeld in artikel 10 AVG en artikel 1 UAVG, waaronder gegevens die zodanig concrete feiten en omstandigheden bevatten dat zij een bewezenverklaring van een strafbaar feit in de zin van artikel 350 Sv kunnen dragen. Er gelden speciale regels voor het verwerken van strafrechtelijke persoonsgegevens.
Gevoelige persoonsgegevens
Gevoelige persoonsgegevens zijn persoonsgegevens waarvan misbruik, verlies of ongeautoriseerde toegang een grotere impact kan hebben op de privacy of belangen van een persoon dan bij gewone persoonsgegevens. In de AVG staat expliciet benoemd dat bijzondere persoonsgegevens en strafrechtelijke gegevens zó gevoelig zijn dat daarvoor speciale regels nodig zijn. Er zijn echter ook gegevens die niet expliciet in de AVG zijn benoemd als gevoelig, maar die wel een grotere impact hebben op iemands privacy dan gewone persoonsgegevens. Persoonsgegevens die als privacygevoelig worden beschouwd, zijn bijvoorbeeld locatiegegevens, financiële gegevens en het Burgerservicenummer (BSN).
Beveiligingsincident
Een gebeurtenis waarbij de vertrouwelijkheid, integriteit of beschikbaarheid van informatie (mogelijk) is aangetast. Dit kan bijvoorbeeld gaan om een datalek, verlies van gegevens of ongeautoriseerde toegang tot systemen.
Toegangsbeheer
Het geheel van maatregelen waarmee wordt bepaald wie toegang heeft tot welke informatie en systemen. Binnen de organisatie wordt hierbij gewerkt volgens het principe dat toegang alleen wordt verleend wanneer dit noodzakelijk is voor de uitvoering van werkzaamheden.
Need-to-know principe
Het uitgangspunt dat medewerkers alleen toegang hebben tot die informatie die zij nodig hebben voor hun rol. Dit principe is met name van belang bij gevoelige gegevens.
Logging
Het vastleggen van activiteiten binnen systemen, zodat achteraf kan worden gecontroleerd wie toegang heeft gehad tot informatie en welke handelingen zijn uitgevoerd.