Wat houdt deze control in?
Control 7.7 zorgt ervoor dat informatie niet onbeheerd zichtbaar of bereikbaar is wanneer een medewerker zijn werkplek verlaat. Dat geldt voor papier (clear desk) en voor schermen (clear screen), op kantoor, op flexplekken en thuis.
Waarom is dit verplicht?
Een onvergrendeld scherm of een document op een bureau is een eenvoudige manier voor onbevoegden om informatie in te zien, zonder dat er een technische beveiliging omzeild hoeft te worden. Clear desk en clear screen zijn goedkope maatregelen die dit risico sterk verkleinen.
Voor 7.7 geldt overheidsmaatregel 7.07.01: wordt voor toegang tot systemen een chipcardtoken gebruikt, dan moet de toegangsvergrendeling automatisch activeren zodra het token wordt verwijderd.
Praktische implementatie
- Beleid: leg clear desk- en clear screen-regels vast en neem ze op in de gedragsregels voor bedrijfsmiddelen (5.10).
- Automatische schermvergrendeling: stel centraal een korte vergrendeltijd in. Veel organisaties kiezen 5 tot 15 minuten. Bepaal de termijn op basis van risico en werkomgeving.
- Vergrendelen bij verwijderen van de pas (7.07.01): gebruik je smartcards of tokens voor aanmelden? Stel dan via GPO of Intune in dat het werkstation vergrendelt zodra de pas wordt verwijderd. In Windows is dat de instelling “Interactief aanmelden: gedrag bij verwijderen smartcard” → “Werkstation vergrendelen”.
- Afsluitbare opbergruimte: zorg voor lockers of kasten, zeker bij flexwerken.
- Printers: gebruik follow-me-printing, zodat afdrukken pas vrijkomen als de medewerker zich bij de printer aanmeldt.
- Vergaderruimtes: maak whiteboards leeg en haal documenten weg na afloop.
- Beeldbellen en schermdelen: sluit vertrouwelijke vensters en meldingen voordat je je scherm deelt.
- Controle: voer periodiek steekproefsgewijze werkplekrondes uit en koppel de bevindingen terug zonder te beschuldigen.
Aandachtspunten voor de overheid
- Flexwerken: geen vaste werkplek betekent dat alles aan het eind van de dag weg moet. Zonder voldoende lockers werkt het beleid in de praktijk niet.
- Thuiswerken: clear screen geldt ook thuis, bijvoorbeeld tegenover huisgenoten of bij een scherm aan het raam. Neem dit op in de afspraken over thuiswerken (6.7) en in de bewustwording (6.3).
- Toon werking aan: een beleid alleen is niet genoeg. Laat met de centrale configuratie (GPO of Intune) en de resultaten van werkplekrondes zien dat de maatregel werkt.
Relatie met andere controls
- 7.3 – Beveiliging van kantoren en ruimtes
- 7.6 – Werken in beveiligde zones
- 7.8 – Plaatsing van apparatuur: inkijk voorkomen
- 5.10 – Gedragsregels voor bedrijfsmiddelen
- 5.17 – Authenticatie-informatie (koppeling met 7.07.01)
- 6.3 – Bewustwording en training
- 6.7 – Werken op afstand
- 7.10 – Opslagmedia
- 8.1 – Eindgebruikersapparatuur
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je zorgt dat medewerkers gevoelige informatie opbergen bij het verlaten van hun werkplek en hun scherm vergrendelen. De overheidsmaatregel voegt een technische eis toe: bij gebruik van een chipcardtoken wordt bij verwijdering van het token de toegangsbeveiligingsvergrendeling automatisch geactiveerd. Onbeheerde werkplekken zijn een veelvoorkomende oorzaak van datalekken. Flexibele werkplekken vragen extra aandacht voor het wegruimen van fysieke documenten.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Stel een clear desk- en clear screen-beleid in.
- ›Activeer automatisch de toegangsvergrendeling bij verwijdering van een chipcardtoken.
- ›Configureer automatische schermvergrendeling na een korte inactiviteit en zorg voor afsluitbare opbergmogelijkheden.
- ›Voer periodieke werkplekinspecties uit, met extra aandacht voor flexplekken.verdieping
Bewijs dat je kunt verzamelen
- ›Het clear desk-/clear screen-beleid
- ›Configuratie van chipcard-vergrendeling en automatische schermvergrendeling
- ›Aanwezigheid van afsluitbare opbergmiddelen
- ›Verslagen van werkplekinspecties
Wat je bij een audit moet kunnen aantonen
- ›Dat er een clear desk-/clear screen-beleid is
- ›Dat chipcard-verwijdering de vergrendeling activeert
- ›Dat schermvergrendeling automatisch is ingesteld
- ›Dat werkplekken periodiek worden geïnspecteerd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een clear desk-/clear screen-beleid vastgesteld?
- ›Is de chipcard-vergrendeling technisch belegd?
- ›Is automatische schermvergrendeling geconfigureerd?
- ›Is het beleid gecommuniceerd?
- ›Werkt de chipcard-vergrendeling?
- ›Zijn afsluitbare opbergmiddelen aanwezig?
- ›Worden werkplekinspecties uitgevoerd?
- ›Handelen medewerkers conform het beleid?
- ›Blijft de automatische vergrendeling actief?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.