Control 7.9 – Beveiliging van bedrijfsmiddelen buiten het terrein

Wat houdt deze control in?

Control 7.9 gaat over de fysieke bescherming van bedrijfsmiddelen buiten de eigen locatie: laptops en telefoons onderweg en thuis, apparatuur bij huisbezoeken of inspecties, en apparatuur die bij derden staat, bijvoorbeeld voor reparatie.

De grens met verwante controls: 7.9 regelt het fysieke gedrag en de bescherming. 8.1 regelt de technische inrichting van het apparaat, zoals versleuteling, MDM en wissen op afstand. 6.7 regelt de afspraken voor werken op afstand.

Waarom is dit verplicht?

Buiten kantoor ontbreken toegangscontrole, bewaking en collega’s die iets opmerken. Een laptop in een geparkeerde auto, een telefoon op een terras of een tas in de trein: de meeste verliezen en diefstallen gebeuren onderweg.

Voor 7.9 geldt geen overheidsmaatregel in de BIO2 (7.09.01). De implementatierichtlijn uit ISO 27002 is daarom het uitgangspunt. Pas je de control niet of anders toe, dan onderbouw je dat met een risicoanalyse en neem je dat op in de bijlage uitzonderingen van je Verklaring van Toepasselijkheid (VvT).

Praktische implementatie

• Gedragsregels onderweg: laat apparatuur nooit onbeheerd achter in auto’s, openbaar vervoer of openbare ruimtes. Houd hem in het zicht of bij je.
• Thuis en in hotels: berg apparatuur na gebruik op, zodat hij niet zichtbaar is vanaf buiten. Gebruik in hotels een kluis als die er is.
• Registratie: houd bij welke medewerker welk apparaat in gebruik heeft. Overheidsmaatregel 5.09.01 vraagt dat bedrijfsmiddelen op afstand in de inventaris staan.
• Verlies direct melden: zorg voor een laagdrempelige meldroute, 24/7 bereikbaar, zodat het apparaat snel geblokkeerd en zo nodig op afstand gewist kan worden (zie 8.1).
• Apparatuur bij derden: leg afspraken vast als apparatuur voor reparatie of onderhoud de deur uitgaat. Verwijder of versleutel gegevens vooraf (zie 7.14).
• Privacyfilter: gebruik een privacyfilter bij werken in de trein, op stations of in andere openbare ruimtes.

Aandachtspunten voor de overheid

• Reizen naar risicolanden: geef medewerkers die naar landen met een verhoogd spionagerisico reizen schone leenapparatuur mee, met alleen de gegevens die ze nodig hebben. Laat de apparatuur na terugkomst controleren of opnieuw installeren.
• Werk op locatie: handhavers, inspecteurs en wijkteams werken met apparatuur bij burgers thuis of op straat. Neem hun werksituatie expliciet mee in de risicoanalyse.
• Verlies en de AVG: niet elk verlies van een laptop met persoonsgegevens is meldplichtig bij de Autoriteit Persoonsgegevens. Melden is verplicht als er een risico is voor betrokkenen; bij een goed versleuteld apparaat is dat vaak niet zo. Registreer het incident wel altijd in je interne datalekregister (art. 33 lid 5 AVG). Een losse verloren laptop valt zelden onder de Cbw-meldplicht voor significante incidenten.

Relatie met andere controls

• 8.1 – Eindgebruikersapparatuur: versleuteling, MDM/MAM en wissen op afstand (overheidsmaatregelen 8.01.01 en 8.01.02)
• 6.7 – Werken op afstand
• 5.9 – Inventarisatie van bedrijfsmiddelen, inclusief bedrijfsmiddelen op afstand (5.09.01)
• 7.8 – Plaatsing en bescherming van apparatuur op de eigen locatie
• 7.10 – Opslagmedia
• 7.14 – Veilig verwijderen of hergebruiken van apparatuur
• 6.8 – Melden van informatiebeveiligingsgebeurtenissen: verlies en diefstal
• 8.24 – Cryptografie

← Terug naar alle BIO 2.0 controls