De BIO (Baseline Informatiebeveiliging Overheid) is een handboek met afspraken over hoe overheidsorganisaties hun informatie moeten beveiligen. Daarmee is de BIO2 een dwingend normenkader. Het schrijft voor welke minimale beveiligingsmaatregelen een overheidsorganisatie moet treffen om informatie voldoende te beschermen. Voor de basis van de BIO moeten we terug naar twee ISO normen, de ISO27001 en ISO27002.
ISO/IEC 27001
De ISO/IEC 27001 is een internationale norm van de International Organization for Standardization en is specifiek voor informatiebeveiliging. De norm beschrijft hoe organisaties hun informatie, systemen en processen kunnen beschermen tegen risico’s zoals: cyberaanvallen, datalekken en verstoringen. Centraal hierbij staat het opzetten van een Information Security Management System (ISMS): een geheel van maatregelen, rollen en controles waarmee een organisatie grip houdt op de informatiebeveiliging. ISO27001 beschrijft aan welke (procesmatige) eisen een Information Security Management System moet voldoen en beschrijft dus wat een organisatie moet regelen om ‘in control’ te zijn. Veel organisaties gebruiken ISO27001 om aan te tonen dat ze zorgvuldig omgaan met gevoelige informatie. Het ISO27001 certificaat helpt ook bij klantvertrouwen en samenwerkingen waar informatiebeveiliging een eis is. De actuele wereldwijde versie van deze norm is ISO/IEC 27001:2022 uitgebracht in 2022.
Rijksambtenaren kunnen de specificatiedocumenten van ISO/IEC 27001 en ISO/IEC 27002 via hun Lees-Rijk account gratis downloaden voor eigen gebruik.
ISO/IEC 27002
ISO27001 zegt wat een organisatie moet organiseren om informatiebeveiliging beheerst uit te voeren maar schrijft niet volledig voor welke concrete maatregelen je moet implementeren. Daar komt ISO27002 bij kijken. ISO27002 biedt een overzicht van specifieke beveiligingsmaatregelen (controls). Zo bevat het een verzameling van beveiligingsmaatregelen en praktische richtlijnen voor onderwerpen zoals toegangsbeheer, leveranciersmanagement, personeelsbeveiliging en incidentafhandeling. SO27002 helpt organisaties bij het selecteren, implementeren en beheren van de juiste beveiligingsmaatregelen op basis van hun risico’s. In tegenstelling tot ISO27001 is de ISO27002 geen certificeringsnorm. Dat wil zeggen: je kunt als organisatie niet gecertificeerd worden voor ISO 27002.
ISO 27001 → De procesmatige eisen voor het sturen op informatiebeveiliging (ISMS). “Hoe organiseer ik security?”
ISO 27002 → De catalogus met praktische handvatten en concrete beveiligingsmaatregelen (controls). “Welke maatregelen neem ik?”
De relatie tussen de BIO en ISO27002
De BIO volgt de structuur en beveiligingsmaatregelen van ISO27002, aangevuld met aanvullende overheidsmaatregelen die specifiek gelden voor Nederlandse overheidsorganisaties. De ISO27002 wordt aangevuld met concretere eisen die specifiek gelden voor Nederlandse overheidsorganisaties. Deze aanvullende eisen worden de overheidsmaatregelen genoemd. De concrete technische en operationele invulling daarvan (het ‘hoe’) bepaalt de overheidsorganisatie vervolgens zelf. Waar ISO27002 een internationale richtlijn voor informatiebeveiliging is die toepasbaar is op vrijwel iedere organisatie, zowel publiek als privaat, is de BIO de Nederlandse overheidsvariant en bevat aanvullende afspraken en maatregelen voor de publieke sector. Voorbeelden van zulke maatregelen zijn:
- gebruik sterke wachtwoorden;
- geef medewerkers alleen toegang die ze nodig hebben;
- maak back-ups;
- controleer leveranciers;
- meld beveiligingsincidenten.
kort gezegd: BIO = De internationale controls uit ISO27002 + specifieke Nederlandse overheidsmaatregelen
Waarom is de BIO belangrijk?
De BIO is belangrijk omdat de Nederlandse overheid grote hoeveelheden gevoelige informatie verwerkt, zoals persoonsgegevens uit de Basisregistratie Personen (BRP), medische gegevens in de zorg, belasting- en inkomensgegevens, gegevens over identiteitsdocumenten, etcetera. Als iedere overheidsorganisatie zelf zou bedenken hoe ze hun informatie willen beveiligen, ontstaan er verschillen in kwaliteit en beveiligingsniveau. Om te voorkomen dat informatiebeveiliging overal op een andere manier wordt ingericht is afgesproken dat alle overheidsorganisaties werken volgens een gemeenschappelijke verzameling van basismaatregelen. Deze maatregelen zijn vastgelegd in de BIO. Kort samengevat: de BIO helpt overheidsorganisaties om cyberrisico’s, datalekken en verstoringen beter te beheersen en maakt het samenwerken tussen verschillende overheidsorganisaties eenvoudiger, omdat iedereen uitgaat van hetzelfde basisniveau.