#iso27002/2022/NL
---
Standard: ISO 27002:2022 NL
---
## 5.1 Beleidsregels voor informatiebeveiliging

| Attribuut                            | Waarde                                           |
| :----------------------------------- | :----------------------------------------------- |
| Type beheersmaatregel:               | #Preventief                                      |
| Informatiebeveiligingseigenschappen: | #Vertrouwelijkheid #Integriteit #Beschikbaarheid |
| Cybersecurityconcepten:              | #Identificeren                                   |
| Operationele capaciteiten:           | #Governance                                      |
| Beveiligingsdomeinen:                | #Governance_en_Eco-systeem #Veerkracht           |

**Beheersmaatregel**

Informatiebeveiligingsbeleid en onderwerpspecifieke beleidsregels behoren te worden gedefinieerd, goedgekeurd door het management, gepubliceerd, gecommuniceerd aan en erkend door relevant personeel en relevante belanghebbenden en met geplande tussenpozen of zodra zich belangrijke veranderingen voordoen, te worden beoordeeld.

**Doel**

De voortdurende geschiktheid, toereikendheid, doeltreffendheid van de sturing en ondersteuning door het management overeenkomstig de bedrijfseisen en de eisen van wet- en regelgeving, statutaire en contractuele eisen bewerkstelligen.

**Richtlijn**

De organisatie behoort op het hoogste niveau een 'informatiebeveiligingsbeleid' te definiëren dat is goedgekeurd door de directie en dat de aanpak van de organisatie beschrijft om haar informatiebeveiliging te bereiken.

Het informatiebeveiligingsbeleid behoort eisen in aanmerking te nemen die zijn ontleend aan:

a) bedrijfsstrategie en -eisen;

b) wet- en regelgeving en contracten;

c) de huidige en verwachte risico\'s en dreigingen inzake informatiebeveiliging.

Het informatiebeveiligingsbeleid behoort uiteenzettingen te bevatten betreffende:

a) de definitie van informatiebeveiliging;

b) informatiebeveiligingsdoelstellingen of het kader voor het vaststellen van informatiebeveiligingsdoelstellingen;

c) principes die als leidraad dienen voor alle activiteiten in verband met informatiebeveiliging;

d) een verbintenis om te voldoen aan van toepassing zijnde eisen in verband met informatiebeveiliging;

e) een verbintenis tot continue verbetering van het managementsysteem voor informatiebeveiliging;

f) toekenning van verantwoordelijkheden voor informatiebeveiligingsbeheer aan gedefinieerde rollen;

g) procedures voor het behandelen van vrijgestelde situaties en uitzonderingen.

Eventuele wijzigingen aan het informatiebeveiligingsbeleid behoren ter goedkeuring aan de directie te worden voorgelegd.

Op een lager niveau behoort het informatiebeveiligingsbeleid te worden ondersteund door onderwerpspecifieke beleidsregels naarmate nodig is, om de implementatie van beheersmaatregelen voor informatiebeveiliging verder verplicht te stellene typische structuur van onderwerpspecifieke beleidsregels is dusdanig dat ze ingaan op de behoeften van bepaalde doelgroepen binnen een organisatie of dat ze bepaalde beveiligingsgebieden bestrijkennderwerpspecifieke beleidsregels behoren te worden afgestemd op het informatiebeveiligingsbeleid van de organisatie en dit aan te vullen.

Voorbeelden van dergelijke onderwerpen zijn:

a) toegangsbeveiliging;

b) fysieke beveiliging en beveiliging van de omgeving;

c) beheer van bedrijfsmiddelen;

d) overdragen van informatie;

e) beveiligde configuratie van en omgang met 'endpoint devices' van gebruikers;

f) netwerkbeveiliging;

g) beheer van informatiebeveiligingsincidenten;

h) back-up;

i) cryptografie en sleutelbeheer;

j) classificatie van en omgaan met informatie;

k) beheer van technische kwetsbaarheden;

l) veilig ontwikkelen.


De verantwoordelijkheid voor het ontwikkelen, beoordelen en goedkeuren van de onderwerpspecifieke beleidsregels behoort te worden toegewezen aan relevant personeel, op basis van passend bevoegdheidsniveau en technische bekwaamheide beoordeling behoort mede het beoordelen te omvatten van mogelijkheden voor het verbeteren van het informatiebeveiligingsbeleid en onderwerpspecifieke beleidsregels en het informatiebeveiligingsbeheer van de organisatie als antwoord op veranderingen in:

a) de bedrijfsstrategie van de organisatie;

b) de technische omgeving van de organisatie;

c) wet- en regelgeving en contracten;

d) informatiebeveiligingsrisico\'s;

e) huidige en verwachte dreigingen inzake informatiebeveiliging;

f) lering die wordt getrokken uit informatiebeveiligingsgebeurtenissen en -incidenten.

Bij de beoordeling van informatiebeveiligingsbeleid en onderwerpspecifieke beleidsregels behoort rekening te worden gehouden met de resultaten van directiebeoordelingen en auditsndien er één beleidsregel wordt gewijzigd, behoort, met het oog op de consistentie, te worden overwogen ook andere gerelateerde beleidsregels te beoordelen en bij te werken.

Het informatiebeveiligingsbeleid en de onderwerpspecifieke beleidsregels behoren in een vorm die relevant, toegankelijk en begrijpelijk is voor de beoogde lezer te worden gecommuniceerd aan relevant personeel en relevante belanghebbendenan ontvangers van de beleidsregels behoort te worden verlangd dat ze bevestigen dat ze de beleidsregels, indien van toepassing, begrijpen en zich eraan zullen houdene organisatie kan voor deze beleidsdocumenten formaten en namen vaststellen die aan de behoeften van de organisatie voldoenn bepaalde organisaties kunnen het informatiebeveiligingsbeleid en de onderwerpspecifieke beleidsregels in een en hetzelfde document worden opgenomene organisatie kan deze onderwerpspecifieke beleidsregels aanduiden als normen, richtlijnen, beleidsregels enz.

Als het informatiebeveiligingsbeleid of een onderwerpspecifieke beleidsregel buiten de organisatie wordt verspreid, behoort erop te worden gelet dat geen vertrouwelijke informatie openbaar wordt gemaakt.

Tabel 1 illustreert de verschillen tussen informatiebeveiligingsbeleid en onderwerpspecifiek beleid.

**Tabel 1 --- Verschillen tussen informatiebeveiligingsbeleid en onderwerpspecifiek beleid**


|                                                | **Informatiebeveiligingsbeleid** | **Onderwerpspecifiek beleid** |
| :--------------------------------------------- | :------------------------------- | :---------------------------- |
| **Detailniveau**                               | Algemeen of op hoofdlijnen       | Specifiek en gedetailleerd    |
| **Gedocumenteerd en formeel goedgekeurd door** | De directie                      | Het passende managementniveau |

**Overige informatie**

Onderwerpspecifieke beleidsregels kunnen van organisatie tot organisatie verschillen.