Wat houdt deze control in?
Maatregelen moeten worden getroffen om ongeautoriseerde bekendmaking van gevoelige informatie te detecteren en voorkomen via DLP-technieken.
Waarom is dit verplicht?
Datalekken van overheidsinformatie hebben grote gevolgen voor burgers.
Praktische implementatie
- Implementeer DLP (Data Loss Prevention) op e-mail, endpoints en cloudopslag
- Stel regels in voor detectie van gevoelige data
- Monitor ongebruikelijke dataoverdrachten
- Train medewerkers in herkennen van datalekken
Aandachtspunten voor de overheid
Combineer DLP met een AVG-register en meldprocedure richting de AP.
Relatie met andere controls
Gerelateerd aan 5.34 (privacy) en 8.16 (monitoring).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je treft maatregelen om ongeautoriseerde bekendmaking van gevoelige informatie te detecteren en te voorkomen via DLP-technieken. Datalekken van overheidsinformatie hebben grote gevolgen voor burgers. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Combineer DLP met een AVG-register en de meldprocedure richting de AP.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Implementeer DLP op e-mail, endpoints en cloudopslag.
- ›Stel regels in voor detectie van gevoelige data.
- ›Monitor ongebruikelijke dataoverdrachten.
- ›Combineer DLP met het AVG-register en de meldprocedure richting de AP, en train medewerkers in het herkennen van datalekken.verdieping
Bewijs dat je kunt verzamelen
- ›DLP-inrichting op e-mail/endpoints/cloud
- ›DLP-detectieregels voor gevoelige data
- ›Monitoring van dataoverdrachten
- ›Koppeling DLP ↔ AVG-register/meldprocedure en trainingsmateriaal
Wat je bij een audit moet kunnen aantonen
- ›Dat DLP is geïmplementeerd op relevante kanalen
- ›Dat detectieregels voor gevoelige data bestaan
- ›Dat ongebruikelijke overdrachten worden gemonitord
- ›Dat DLP is gekoppeld aan de datalekmeldprocedure
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is DLP op de relevante kanalen ontworpen?
- ›Zijn detectieregels bepaald?
- ›Is de koppeling met de AP-meldprocedure belegd?
- ›Is DLP geïmplementeerd?
- ›Zijn regels actief?
- ›Worden overdrachten gemonitord?
- ›Worden DLP-alerts opgevolgd?
- ›Blijven regels actueel?
- ›Leidt DLP aantoonbaar tot voorkomen/melden van lekken?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.