#iso27002/2022/NL
---
Standard: ISO 27002:2022 NL
---

+------------------------+----------------------+----------------------+----------------------------+---------------------+
| **Type**             | **Informatie-**    | **Cybersecurity-** | **Operationele**         | **Beveiligings-** |
|                      |                    |                    |                          |                   |
| **beheersmaatregel** | **beveiligings-**  | **concepten**      | **capaciteiten**         | **domeinen**      |
|                        |                    |                      |                            |                     |
|                        | **eigenschappen**  |                      |                            |                     |
+========================+======================+======================+============================+=====================+
| #Preventief          | #Vertrouwelijkheid | #Beschermen        | #Informatiebe- scherming | #Bescherming      |
|                      |                      |                    |                            |                   |
| #Detectief           |                      | #Detecteren        |                            | #Verdediging      |
+------------------------+----------------------+----------------------+----------------------------+---------------------+

**Beheersmaatregel**

Maatregelen om gegevenslekken te voorkomen behoren te worden toegepast in systemen, netwerken en andere apparaten waarop of waarmee gevoelige informatie wordt verwerkt, opgeslagen of getransporteerd.

**Doel**

Om de ongeoorloofde openbaarmaking en extractie van informatie door personen of systemen te detecteren en te voorkomen.

**Richtlijn**

De organisatie behoort het volgende te overwegen om het risico op gegevenslekken te beperken:

a) informatie identificeren en classificeren als bescherming tegen lekken (bijversoonsinformatie,

prijsbepalingsmodellen en productontwerpen);

b) kanalen waarlangs gegevens kunnen lekken, monitoren (bijv-mail, bestandsoverdracht, mobiele

apparaten en draagbare opslagapparatuur);

c) actie ondernemen om te voorkomen dat informatie weglekt (bijv-mails met gevoelige informatie

in quarantaine plaatsen).




Er behoren hulpmiddelen voor het voorkomen van gegevenslekken te worden gebruikt om:

a) te identificeren welke gevoelige informatie blootstaat aan het risico op ongeoorloofde openbaarmaking (bijvn niet-gestructureerde gegevens op het systeem van een gebruiker) en dit te monitoren;

b) de openbaarmaking van gevoelige informatie te detecteren (bijvanneer informatie wordt

geüpload naar niet-vertrouwde clouddiensten van derden of via e-mail wordt verzonden);

c) handelingen van gebruikers of netwerktransmissies waardoor gevoelige informatie bekend wordt,

te blokkeren (bijvoorkomen dat databasegegevens naar een spreadsheet worden gekopieerd).

De organisatie behoort vast te stellen of het nodig is de mogelijkheid te beperken dat gebruikers gegevens kopiëren en plakken en deze naar diensten, apparaten en opslagmedia buiten de organisatie uploadenn dat geval behoort de organisatie technologie te implementeren zoals instrumenten ter voorkoming van gegevenslekken of bestaande instrumenten dusdanig te configureren dat gebruikers gegevens op afstand kunnen bekijken en manipuleren, waarbij kopiëren en plakken waarop de organisatie geen controle heeft, wordt voorkomen.

Als het exporteren van gegevens vereist is, behoort de eigenaar van de gegevens in staat te zijn dit goed te keuren en gebruikers verantwoordelijk te stellen voor hun daden.

Voor het maken van schermafbeeldingen of foto\'s van het scherm behoren gebruiksvoorwaarden te worden opgesteld en hieraan behoort in trainingen en audits aandacht te worden besteed.

Indien er een back-up van gegevens wordt gemaakt, behoort ervoor te worden gezorgd dat gevoelige informatie wordt beschermd door maatregelen zoals encryptie, toegangsbeveiliging en fysieke bescherming van de opslagmedia waarop de back-up staat.

Het voorkomen van gegevenslekken behoort ook te worden beschouwd als een vorm van bescherming tegen de acties van tegenstanders om vertrouwelijke of geheime informatie (geopolitieke, menselijke, financiële, commerciële, wetenschappelijke of andere informatie) te verkrijgen die van belang kan zijn voor spionage of essentieel kan zijn voor de gemeenschape maatregelen ter voorkoming van het lekken van gegevens behoren erop gericht te zijn verwarring te zaaien wat betreft de beslissingen van de tegenstander, bijvoorbeeld door authentieke informatie te vervangen door valse informatie, hetzij als een eigen maatregel, hetzij als reactie op de acties van de tegenstander om informatie te verzamelenoorbeelden van dergelijke maatregelen zijn omgekeerde 'social engineering' of het gebruik van 'honeypots' om aanvallers te lokken.

**Overige informatie**

Hulpmiddelen om gegevenslekken te voorkomen, zijn ervoor ontworpen om gegevens te identificeren, het gebruik en de verplaatsing van gegevens te monitoren, en maatregelen te nemen om gegevenslekken te voorkomen (bijvebruikers waarschuwen voor hun risicogedrag en de overdracht van gegevens naar draagbare opslagapparatuur blokkeren).

Een inherent element van het voorkomen van gegevenslekken is toezicht op de communicatie en de online activiteiten van het personeel en, in het verlengde daarvan, op de berichten van externe partijen, hetgeen aanleiding kan geven tot juridische aspecten die behoren te worden overwogen voordat instrumenten om gegevenslekken te voorkomen worden ingezetllerlei wetgeving op het gebied van privacy, gegevensbescherming, werkgelegenheid, het onderscheppen van gegevens en telecommunicatie is van toepassing op monitoren en gegevensverwerking in het kader van het voorkomen van gegevenslekken.




Het voorkomen van gegevenslekken kan worden ondersteund door standaardbeheersmaatregelen voor informatiebeveiliging, zoals onderwerpspecifiek beleid inzake toegangscontrole en veilig documentenbeheer (zie 5.15 en 5.37).
