# Informatiebeveiligingsbeleid


**Documentbeheer**

| Eigenschap                | Waarde                             |
| ------------------------- | ---------------------------------- |
| Beleidseigenaar           | Chief Information Security Officer |
| Versie                    | 1.0                                |
| Laatst bijgewerkt         | [Datum]                            |
| Herzieningscyclus         | Jaarlijks                          |
| Classificatie             | Intern                             |
| Volgende herzieningsdatum | [Datum]                            |
| Status                    | [Concept/Goedgekeurd]              |
  
*Noot: Oorspronkelijke versie gebaseerd op ISO/IEC 27001:2013; [Toevoegingen IBB ISO27001-2022](../Toevoegingen%20IBB%20ISO27001-2022.md) zijn hierin verwerkt.*

## Inhoudsopgave 

- 1. Doel
- 2. Toepassingsgebied
- 3. Informatiebeveiligingsbeleidsverklaringen
	- 3.1 Informatiebeveiligingsbeheersysteem (ISMS)
	- 3.2 Risicobeheer
	- 3.3 Toegangsbeheer
	- 3.4 Activabeheer en -classificatie
	- 3.5 Cryptografie en sleutelbeheer
	- 3.6 Fysieke en omgevingsbeveiliging
	- 3.7 Operationele beveiliging
	- 3.8 Communicatiebeveiliging
	- 3.9 Systeemaankoop, -ontwikkeling en -onderhoud
	- 3.10 Leveranciersrelaties
	- 3.11 Beheer van informatiebeveiligingsincidenten
	- 3.12 Beheer van bedrijfscontinuïteit
- 4. Rollen en verantwoordelijkheden
	- 4.1 Raad van Bestuur
	- 4.2 Uitvoerend management
	- 4.3 Chief Information Security Officer (CISO)
- 5. Bestuurdersverklaring

## 1. Doel

Dit Informatiebeveiligingsbeleid legt het kader vast voor de bescherming van de informatieactiva van [Organisatienaam]. Het toont de toewijding van het management aan het implementeren, onderhouden en continu verbeteren van informatiebeveiliging binnen de organisatie. Dit beleid dient als het hoeksteendocument dat de aanpak van de organisatie voor informatiebeveiligingsbeheer definieert en vormt de basis voor alle ondergeschikte informatiebeveiligingsprocedures en -standaarden.
## 2. Toepassingsgebied

Dit beleid is van toepassing op alle informatieactiva die eigendom zijn van, beheerd worden door of beheerd worden door [Organisatienaam], ongeacht locatie of formaat. Dit omvat alle werknemers, aannemers, consultants, tijdelijk personeel en externe entiteiten die toegang hebben tot of verantwoordelijkheid hebben voor de informatieactiva van [Organisatienaam]. Het beleid omvat alle informatiesystemen, applicaties, infrastructuur, bedrijfsprocessen en fysieke faciliteiten die betrokken zijn bij de verwerking, opslag en verzending van informatie.
## 3. Beleidsverklaringen informatiebeveiliging

### 3.1 Informatiebeveiligingsbeheersysteem (ISMS)

[Organisatienaam] zal een Informatiebeveiligingsbeheersysteem ('Information Security Management System') opzetten, implementeren, onderhouden en continu verbeteren in overeenstemming met ISO/IEC 27001:2013. Het ISMS omvat alle bedrijfsfuncties, locaties en informatieactiva binnen het gedefinieerde toepassingsgebied. 

Het management zal leiderschap en betrokkenheid tonen door de integratie van informatiebeveiligingseisen in de bedrijfsprocessen van de organisatie te waarborgen, de nodige middelen te leveren en continue verbetering te bevorderen. 

De effectiviteit van het ISMS zal worden gemeten aan de hand van gedefinieerde statistieken, met geplande intervallen worden beoordeeld en ten minste driemaandelijks aan het senior management worden gerapporteerd. 

Alle medewerkers en relevante externe partijen worden op de hoogte gebracht van hun rol bij het handhaven van de effectiviteit van het ISMS door middel van regelmatige communicatie- en trainingsprogramma's.
### 3.2 Risicobeheer

De organisatie zal een uitgebreid risicobeheerframework implementeren en onderhouden dat informatiebeveiligingsrisico's identificeert, beoordeelt en behandelt in lijn met de bedrijfsdoelstellingen en de eisen van belanghebbenden.

Risicobeoordelingen zullen met geplande intervallen, ten minste jaarlijks, worden uitgevoerd en wanneer er significante veranderingen in de bedrijfsomgeving, de technologische infrastructuur of het dreigingslandschap plaatsvinden. De risicobeoordelingsmethodologie zal rekening houden met zowel bedreigingen als kwetsbaarheden, de potentiële impact op de vertrouwelijkheid, integriteit en beschikbaarheid van informatie evalueren en de motivering voor risicobehandelingsbeslissingen documenteren. 

Risicobehandelingsplannen zullen worden ontwikkeld en geïmplementeerd op basis van de gedefinieerde risicoacceptatiecriteria van de organisatie, met regelmatige monitoring en rapportage van de effectiviteit van de risicobehandeling aan relevante belanghebbenden.
### 3.3 Toegangsbeheer

[Organisatienaam] zal een toegangsbeheerframework implementeren en onderhouden op basis van de principes van minimale privileges en need-to-know. Alle toegang tot informatiesystemen en -gegevens zal worden gecontroleerd door middel van formele procedures voor gebruikersregistratie en -deregistratie. 
Toegangsrechten worden alleen verleend na gedocumenteerde goedkeuring van zowel de eigenaar van de bron als het informatiebeveiligingsteam. Er zullen regelmatig toegangscontroles worden uitgevoerd, ten minste driemaandelijks, met onmiddellijke intrekking van toegangsrechten bij beëindiging of wijziging van de rol. De organisatie zal auditlogboeken bijhouden van alle wijzigingen in de toegangscontrole, met geautomatiseerde waarschuwingen voor verdachte toegangspogingen of ongeoorloofde privilege-escalaties. 
Multi-factor authenticatie is verplicht voor alle externe toegang en toegang tot geprivilegieerde accounts. Wachtwoordbeleid zal sterke authenticatie-eisen afdwingen, waaronder minimale lengte, complexiteit en regelmatige wachtwoordwijzigingen, met technische controles die hergebruik van wachtwoorden voorkomen.
### 3.4 Activabeheer en -classificatie

De organisatie zal een inventaris bijhouden van alle informatieactiva, inclusief fysieke en logische activa, met duidelijk toegewezen eigendom en gedefinieerde beveiligingsverantwoordelijkheden. Alle informatieactiva zullen worden geclassificeerd op basis van hun gevoeligheid, kriticiteit en wettelijke vereisten, met behulp van het door de organisatie vastgestelde classificatieschema.
Activa-eigenaren zijn ervoor verantwoordelijk dat er passende afhandelingsprocedures worden geïmplementeerd op basis van het classificatieniveau van het activum. De activa-inventaris zal ten minste driemaandelijks worden herzien en bijgewerkt, met formele afstemmingsprocessen om eventuele discrepanties te identificeren en aan te pakken. 
Er zullen procedures voor het omgaan met informatieactiva worden geïmplementeerd om te beschermen tegen ongeoorloofde openbaarmaking, wijziging of vernietiging gedurende de levenscyclus van activa, inclusief veilige opslag-, verzendings- en verwijderingsmethoden.

### 3.5 Cryptografie en sleutelbeheer

[Organisatienaam] zal cryptografische maatregelen implementeren en onderhouden om de vertrouwelijkheid, integriteit en authenticiteit van informatie gedurende de gehele levenscyclus te beschermen. Alle gevoelige gegevens zullen zowel tijdens transport als in rust worden versleuteld met behulp van industriestandaard versleutelingsalgoritmen en -protocollen. 
De organisatie zal een formeel sleutelbeheerbeleid voeren dat de gehele levenscyclus van cryptografische sleutels omvat, inclusief generatie, distributie, opslag, gebruik, archivering en vernietiging. Cryptografische sleutels zullen worden beschermd tegen ongeoorloofde toegang, verlies en compromittering door het gebruik van Hardware Security Modules (HSM's) of gelijkwaardige veilige sleutelopslagmechanismen. 
Er zullen regelmatig beoordelingen van cryptografische implementaties worden uitgevoerd om de afstemming op de huidige industriestandaarden en best practices te waarborgen, met gedocumenteerde procedures voor de overgang naar sterkere cryptografische controles wanneer dat nodig is.
### 3.6 Fysieke en omgevingsbeveiliging

De organisatie zal passende fysieke en omgevingsbeveiligingsmaatregelen implementeren en onderhouden om ongeoorloofde fysieke toegang, schade, diefstal, compromittering of interferentie met informatieactiva en informatieverwerkingsfaciliteiten te voorkomen. Beveiligingsperimeters zullen duidelijk worden gedefinieerd en beschermd door middel van gelaagde beveiligingsmaatregelen, waaronder toegangscontrolesystemen, bewakingscamera's en beveiligingspersoneel waar van toepassing. 
Alle fysieke toegang zal worden geregistreerd en gecontroleerd, met regelmatige controles van toegangslogboeken en onmiddellijk onderzoek naar beveiligingsincidenten. Er zullen omgevingscontroles worden geïmplementeerd om te beschermen tegen bedreigingen van buitenaf, zoals brand, overstroming of stroomuitval, met regelmatige tests en onderhoud van alle systemen voor milieubescherming. 
Beveiligde zones zullen worden beschermd door middel van passende toegangscontroles om ervoor te zorgen dat alleen geautoriseerd personeel toegang kan krijgen, met extra controles voor zones die gevoelige informatie of kritieke systemen bevatten.
### 3.7 Operationele beveiliging

[Organisatienaam] zal gedocumenteerde operationele procedures opstellen en onderhouden voor alle informatieverwerkingsfaciliteiten, waaronder clouddiensten, om een correcte en veilige werking te waarborgen. 
Er zullen procedures voor wijzigingsbeheer worden geïmplementeerd om alle wijzigingen in (de configuratie van) informatieverwerkingsfaciliteiten en -systemen te controleren, met passende test-, documentatie- en goedkeuringsvereisten. 
Ontwikkelings-, test- en operationele omgevingen zullen van elkaar worden gescheiden om de risico's van ongeoorloofde toegang of wijzigingen aan operationele systemen te verminderen. 
Systeem- en beveiligingsmonitoringcontroles zullen worden geïmplementeerd om ongeoorloofde informatieverwerkingsactiviteiten te detecteren, met regelmatige controle en analyse van systeemlogboeken. 
Bescherming tegen malware zal worden geïmplementeerd door middel van een 'defense-in-depth'-benadering, waaronder endpointbescherming, e-mailfiltering, webfiltering en regelmatige training in beveiligingsbewustzijn voor alle gebruikers.
### 3.8 Communicatiebeveiliging

De organisatie zal controles implementeren en onderhouden om de veiligheid van informatie in netwerken en de ondersteunende informatieverwerkingsfaciliteiten te waarborgen. 
Netwerkbeveiligingscontroles omvatten netwerksegmentatie, versleuteling van gevoelig verkeer, regelmatige kwetsbaarheidsbeoordelingen en inbraakdetectie-/preventiesystemen. Alle externe netwerkverbindingen zullen worden geïdentificeerd, gedocumenteerd en beveiligd door middel van formele overeenkomsten die specifieke beveiligingseisen bevatten. 
Er zullen beleidsregels en procedures voor informatieoverdracht worden vastgesteld om de overdracht van informatie te beschermen door middel van alle soorten communicatiefaciliteiten, inclusief vereisten voor versleuteling, digitale handtekeningen en onweerlegbaarheid waar van toepassing.
### 3.9 Systeemaankoop, -ontwikkeling en -onderhoud

Beveiligingseisen zullen worden geïdentificeerd en geïntegreerd in alle fasen van de levenscyclus van systeemontwikkeling, van planning en ontwerp tot implementatie en onderhoud. 
Alle nieuwe systemen of significante wijzigingen aan bestaande systemen zullen worden onderworpen aan beveiligingstests en een formele beveiligingsbeoordeling voordat ze worden geïmplementeerd in productieomgevingen. 
Er zullen veilige ontwikkelingsprincipes worden gevolgd, waaronder invoervalidatie, uitvoercodering en veilig sessiebeheer. 
Er zullen regelmatig kwetsbaarheidsbeoordelingen en penetratietests worden uitgevoerd op alle systemen, met tijdige herstel van geïdentificeerde kwetsbaarheden op basis van risicobeoordeling.
### 3.10 Leveranciersrelaties

De organisatie zal informatiebeveiligingseisen vaststellen en onderhouden voor relaties met leveranciers om de risico's te beperken die gepaard gaan met toegang van leveranciers tot activa van de organisatie. 
Formele contracten of overeenkomsten zullen specifieke beveiligingseisen bevatten, waaronder verplichtingen voor incidentrapportage, vereisten voor gegevensbescherming en clausules voor het recht op audits. 
De dienstverlening van leveranciers, waaronder leveranciers van clouddiensten, zal regelmatig worden gecontroleerd en beoordeeld, met formele beoordelingen van de door leveranciers geïmplementeerde beveiligingsmaatregelen die ten minste jaarlijks worden uitgevoerd. 
Wijzigingen in de diensten van leveranciers zullen worden beheerd via formele procedures voor wijzigingsbeheer, waarbij effectbeoordelingen worden uitgevoerd voor significante wijzigingen.
### 3.11 Beheer van informatiebeveiligingsincidenten

[Organisatienaam] zal een proces voor het beheer van informatiebeveiligingsincidenten implementeren en onderhouden om een consistente en effectieve aanpak van het beheer van informatiebeveiligingsincidenten te waarborgen. 
Alle medewerkers en aannemers zijn verplicht om alle waargenomen of vermoede beveiligingsincidenten onmiddellijk te melden via gedefinieerde meldingskanalen. Het incidentresponsteam zal goed worden opgeleid en uitgerust om verschillende soorten beveiligingsincidenten af te handelen, met gedefinieerde procedures voor incidentdetectie, -rapportage, -beoordeling, -respons en -herstel. 
Lessen die zijn getrokken uit beveiligingsincidenten zullen worden gedocumenteerd en gebruikt om de beveiligingsmaatregelen en incidentresponsprocedures te verbeteren. Er zullen regelmatig tests van incidentresponsprocedures worden uitgevoerd door middel van tabletop-oefeningen en gesimuleerde incidenten.
### 3.12 Beheer van bedrijfscontinuïteit

De organisatie zal plannen voor bedrijfscontinuïteit ontwikkelen, onderhouden en regelmatig testen om de continue beschikbaarheid van kritieke informatieverwerkingsfaciliteiten te waarborgen. 
Er zullen bedrijfsimpact analyses worden uitgevoerd om kritieke bedrijfsfuncties en hun afhankelijkheden van informatiesystemen te identificeren. Hersteltijddoelstellingen (RTO's) en herstelpuntdoelstellingen (RPO's) zullen worden gedefinieerd voor alle kritieke systemen en processen. 
Er zullen regelmatige back-upprocedures worden geïmplementeerd met periodieke tests van back-upherstel. Er zullen alternatieve verwerkingsfaciliteiten worden geïdentificeerd en onderhouden om de vereisten voor bedrijfscontinuïteit te ondersteunen, met regelmatige tests van failover-procedures.

## 4. Rollen en verantwoordelijkheden

### 4.1 Raad van Bestuur

De Raad van Bestuur zal strategisch toezicht houden op het informatiebeveiligingsprogramma van de organisatie en de betrokkenheid van de organisatie bij informatiebeveiliging aantonen door:

- jaarlijkse herziening en goedkeuring van het Informatiebeveiligingsbeleid en belangrijke beveiligingsinitiatieven;
- waarborgen dat er voldoende middelen worden toegewezen aan het informatiebeveiligingsprogramma;
- toezicht op belangrijke beveiligingsrisico's en -incidenten door middel van regelmatige rapportage;
- herziening van jaarlijkse statistieken en beoordelingen van de effectiviteit van het beveiligingsprogramma;
- goedkeuring van de risicoacceptatie en -tolerantieniveaus van de organisatie met betrekking tot informatiebeveiliging.
### 4.2 Uitvoerend management

Het uitvoerend management, inclusief de CEO en het uitvoerend leiderschapsteam, is verantwoordelijk voor:

- het creëren en onderhouden van een sterke beveiligingscultuur in de hele organisatie;
- het goedkeuren van informatiebeveiligingsstrategieën, -beleid en -initiatieven;
- waarborgen dat informatiebeveiligingseisen worden geïntegreerd in de processen van de organisatie;
- het toewijzen van voldoende middelen (financiële, personele en technische) om effectieve beveiligingsmaatregelen te handhaven;
- het driemaandelijks herzien van beveiligingsprestatiestatistieken en risico-indicatoren;
- ondersteuning van cross-functionele coördinatie voor beveiligingsinitiatieven;
- waarborgen dat beveiligingsoverwegingen worden meegenomen in de bedrijfsplanning en -besluitvorming.
### 4.3 Chief Information Security Officer (CISO)

De CISO heeft de directe operationele verantwoordelijkheid voor het informatiebeveiligingsprogramma en zal:

- de informatiebeveiligingsstrategie en -beleidsregels van de organisatie ontwikkelen en onderhouden;
- toezicht houden op de implementatie en werking van beveiligingsmaatregelen in de hele organisatie;
- de beveiligingsstatus, -risico's en -problemen rapporteren aan het uitvoerend management en de Raad van Bestuur;
- het informatiebeveiligingsteam en de beveiligingsoperaties beheren.

## 5. Bestuurdersverklaring

Het bestuur van [Organisatienaam] verplicht zich tot het bewaken en continue verbeteren van de kwaliteit van de informatiebeveiliging in de bedrijfsvoering, door de implementatie en het beheer van richtlijnen, procedures en maatregelen zoals benoemd in dit informatiebeveiligingsbeleid.

**Handtekening en naam Bestuurder:**
