Wat houdt deze control in?
Regels voor aanvaardbaar gebruik van informatie en bedrijfsmiddelen moeten worden vastgesteld, gedocumenteerd en geïmplementeerd.
Waarom is dit verplicht?
Zonder duidelijke gebruiksregels weten medewerkers niet wat wel en niet is toegestaan, wat leidt tot onbewuste risico’s.
Praktische implementatie
- Stel een acceptable use policy op voor ICT-middelen
- Beschrijf wat wel en niet is toegestaan op werkapparatuur
- Laat medewerkers de policy ondertekenen bij indiensttreding
- Actualiseer de policy jaarlijks
Aandachtspunten voor de overheid
Neem specifieke regels op voor gebruik van sociale media en communicatie namens de organisatie.
Relatie met andere controls
- 5.9 – Inventarisatie van bedrijfsmiddelen
- 6.2 – Arbeidsovereenkomst: gedragsregels vastleggen bij indiensttreding
- 6.3 – Bewustwording en training: medewerkers aantoonbaar wijzen op de gedragsregels (5.10.03)
- 7.6 – Werken in beveiligde zones: huisregels voor beveiligde ruimtes
- 7.7 – Clear desk / clear screen
- 8.1 – Eindgebruikersapparatuur: gebruikersovereenkomst voor mobiel werken
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je stelt regels op voor aanvaardbaar gebruik van informatie en bedrijfsmiddelen, legt die vast en implementeert ze. De overheidsmaatregelen vereisen dat de gedragsregels voor extern personeel en vrijwilligers contractueel zijn vastgelegd, en dat alle medewerkers aantoonbaar op die regels zijn gewezen. Zonder duidelijke gebruiksregels weten medewerkers niet wat wel en niet mag, wat tot onbewuste risico's leidt. Neem ook regels voor sociale media en communicatie namens de organisatie mee.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Stel een acceptable use policy op voor ICT-middelen die beschrijft wat wel en niet is toegestaan op werkapparatuur.
- ›Wijs alle medewerkers aantoonbaar op de gedragsregels (bijv. via ondertekening bij indiensttreding).
- ›Leg de gedragsregels voor extern personeel en vrijwilligers vast in hun contract.
- ›Neem specifieke regels op voor gebruik van sociale media en communicatie namens de organisatie.
- ›Actualiseer de policy periodiek (bijv. jaarlijks) en bij nieuwe werkvormen of middelen.verdieping
Bewijs dat je kunt verzamelen
- ›De vastgestelde acceptable use policy
- ›Ondertekende akkoordverklaringen van medewerkers
- ›Contracten van extern personeel/vrijwilligers met de gedragsregels
- ›Bewijs dat medewerkers zijn gewezen op de regels (registratie/onboarding)
Wat je bij een audit moet kunnen aantonen
- ›Dat er een acceptable use policy bestaat
- ›Dat alle medewerkers aantoonbaar op de gedragsregels zijn gewezen
- ›Dat de gedragsregels contractueel gelden voor extern personeel en vrijwilligers
- ›Dat de policy actueel wordt gehouden
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een acceptable use policy vastgesteld (incl. sociale media)?
- ›Is vastgelegd dat externe krachten de regels contractueel krijgen?
- ›Is een proces om medewerkers te wijzen op de regels ingericht?
- ›Is de policy gecommuniceerd en ondertekend?
- ›Bevatten contracten van externen de gedragsregels?
- ›Zijn medewerkers aantoonbaar geïnformeerd?
- ›Wordt de policy bij nieuwe medewerkers/externen consequent toegepast?
- ›Wordt hij periodiek geactualiseerd?
- ›Blijven de akkoordverklaringen compleet?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.