Wat houdt deze control in?
Informatie moet worden geclassificeerd op basis van de eisen voor vertrouwelijkheid, integriteit en beschikbaarheid zodat passende bescherming wordt geboden.
Waarom is dit verplicht?
Niet alle informatie vereist dezelfde bescherming; classificatie helpt om middelen effectief in te zetten.
Praktische implementatie
- Stel een classificatieschema op (bijv. openbaar, intern, vertrouwelijk, geheim)
- Train medewerkers in het classificeren van informatie
- Koppel classificatie aan toegangsbeheer en beveiligingsmaatregelen
- Herzie classificaties periodiek
Aandachtspunten voor de overheid
Sluit aan op de Rijksoverheid-classificatie (Dep. Vertrouwelijk, Geheim, Staatsgeheim) voor informatie die hieronder valt.
Relatie met andere controls
Gerelateerd aan 5.13 (labeling) en 8.3 (toegangsbeperking).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je classificeert informatie op basis van de eisen voor vertrouwelijkheid, integriteit en beschikbaarheid, zodat je passende bescherming kunt bieden. De overheidsmaatregel vereist dat informatie in álle informatiesystemen wordt geclassificeerd met een expliciete risicoafweging, op basis van een vastgestelde impactclassificatiemethodiek. Niet alle informatie vereist dezelfde bescherming; classificatie helpt middelen effectief in te zetten. Sluit waar van toepassing aan op de Rijksoverheid-rubricering.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Stel een impactclassificatiemethodiek en een classificatieschema vast (bijv. openbaar, intern, vertrouwelijk, geheim).
- ›Classificeer informatie in alle informatiesystemen met een expliciete risicoafweging volgens de methodiek.
- ›Koppel de classificatie aan toegangsbeheer en beveiligingsmaatregelen.
- ›Sluit aan op de Rijksoverheid-rubricering (Dep. Vertrouwelijk, Geheim, Staatsgeheim) voor informatie die hieronder valt.
- ›Train medewerkers in het classificeren en herzie classificaties periodiek.verdieping
Bewijs dat je kunt verzamelen
- ›De vastgestelde impactclassificatiemethodiek en het classificatieschema
- ›Classificaties per informatiesysteem met de onderliggende risicoafweging
- ›Koppeling tussen classificatie en toegangs-/beveiligingsmaatregelen
- ›Trainingsmateriaal en registratie van classificatietraining
Wat je bij een audit moet kunnen aantonen
- ›Dat een vastgestelde classificatiemethodiek en -schema bestaan
- ›Dat informatie in alle systemen is geclassificeerd met een risicoafweging
- ›Dat classificatie doorwerkt in toegang en maatregelen
- ›Dat aansluiting op rijksrubricering is geborgd waar relevant
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een impactclassificatiemethodiek en -schema vastgesteld?
- ›Is bepaald dat alle systemen worden geclassificeerd?
- ›Is de koppeling classificatie ↔ maatregelen ontworpen?
- ›Is informatie in de systemen daadwerkelijk geclassificeerd?
- ›Is de risicoafweging per systeem vastgelegd?
- ›Werkt classificatie door in toegangsbeheer?
- ›Worden classificaties periodiek herzien?
- ›Worden nieuwe systemen geclassificeerd?
- ›Handelen medewerkers naar de classificatie?
Gekoppelde overheidsmaatregel(en)
Hierbij wordt gebruik gemaakt van een vastgestelde impactclassificatiemethodiek die onderdeel is van de vastgestelde risicomanagementmethodiek.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.