Categorie: informatiebeveiliging (blog)

Ja, met de Baseline Informatiebeveiliging Overheid (BIO) ben je nog wel even bezig. Net zoals je daarvoor al de nodige jaren bezig kon zijn met haar voorlopers, waaronder de Baseline Informatiebeveiliging Gemeenten. Zo gingen gemeenten van BIG naar BIO. Cynisch bezien kan je jaren blijven stellen dat je bezig bent met de implementatie, mits het normenkader steeds maar wijzigt. Oude wijn in nieuwe zakken is ons niet vreemd. Vandaag echter nauwelijks cynisme, maar een oprechte poging te ontleden waarom dat ‘vaart maken’ voor gemeenten zo verrekte lastig is.

Voor de liefhebber heb ik verwijzingen opgenomen naar 25 blogs die ik door de jaren heen schreef over de genoemde onderwerpen. Hopelijk zie je aanleiding (online) verder te lezen!

Met de komst van de AVG in 2018, is er ook veel aandacht voor de begrippen ‘Privacy by Design’ en ‘Security by Design’. Maar wat wordt hier nu eigenlijk mee bedoeld en waarom is het zo belangrijk? Eerder schreven wij al een blog over Privacy by Design. In deze blog wil ik graag specifiek ingaan op Security by Design.

Veel gemeenten in Nederland maken gebruiken van Office 365 en als onderdeel van de veel afgenomen E3 licentie (de zgn. VNG werkplek) hebben diezelfde gemeenten ook Intune tot hun beschikking voor het beheren van mobiele apparaten. Uiteraard bestaan er andere softwarepakketten, maar in deze blog refereer ik vooral naar Intune cq Endpoint Manager. Wanneer gebruik je nu MDM en wanneer MAM, en hoe zit dat met Windows 10 apparaten?

Gemeenten beheren en wisselen dagelijks veel informatie uit. Het is hierbij belangrijk dat gegevens niet zomaar voor iedereen inzichtelijk zijn. Een veel gebruikte manier om gegevens goed te beveiligen is encryptie (versleuteling). Encryptie is een serieus onderdeel geworden binnen veel organisaties. Niet voor niets worden er in de Baseline Informatiebeveiliging Overheid (BIO) eisen benoemd als het gaat om encryptie (hoofdstuk 10). Welke eisen zijn dit en wat moet je hier als CISO over weten?

Alhoewel we richting eind eerste kwartaal gaan van het nieuwe jaar, zal menig CISO en FG bezig zijn of gaan met het schrijven van een jaarverslag over het voorgaande jaar, of daarvoor input aanleveren. Maar wat zet je nu wel of niet in een jaarverslag? En wie durft het aan over informatiebeveiliging en/of privacy te verantwoorden in een separaat jaarverslag? De ingrediënten van zo’n jaarverslag staan centraal in deze blog.

Onlangs publiceerde de Vereniging van Nederlandse Gemeenten (VNG) het magazine ‘Grip op informatie’, waarin acht gemeenten een boekje opendoen over hoe zij omgaan met informatie en welke mogelijkheden dat oplevert voor de gemeente in termen van transparantie, democratie, efficiency en kwaliteit van dienstverlening. In deze blog licht ik enkele kernpunten en conclusies uit op het gebied van informatiebeveiliging en privacy die in het magazine op dit vlak naar voren komen.

Om te zorgen dat een ICT-product of -dienst aansluit bij de behoefte, wordt gemeenten aanbevolen om gebruik te maken van de Gemeentelijke Inkoopvoorwaarden bij IT, ook wel bekend als GIBIT. Deze uniforme inkoopvoorwaarden helpen gemeenten bij het professionaliseren van de inkoop van ICT-diensten en –producten. Maar worden hiermee ook alle informatiebeveiligingsvraagstukken gedekt?

Onlangs heb ik een break-out sessie mogen organiseren voor gemeenten op een klantdag van een ISMS/GRC softwareleverancier. De sessie ging over hoe je de organisatie betrekt bij informatiebeveiliging en privacymanagement. En dan met name over hoe je tooling ter ondersteuning van je ISMS kunt inzetten en ook over wanneer je dit doet.

Onlangs heb ik een cursus over ‘The Governance of Information Security – door Kevin Henry’ gevolgd met daarin een interessant onderdeel dat ik graag met jullie wil delen middels deze blog, namelijk het meten van en rapporteren over informatiebeveiliging. Want waarom is het belangrijk om dit te doen en hoe kun je dit dan het beste doen?

In mijn vorige blog heb ik de eisen die de Baseline Informatiebeveiliging Overheid (BIO) stelt als het gaat om toegangsbeveiliging (hoofdstuk 9) toegelicht. Eén van de punten die ik daar heb benoemd is het goed inrichten van autorisaties. Een handig hulpmiddel hierbij is een autorisatiematrix. Maar hoe stel je zo’n autorisatiematrix op? IB&P heeft een tien stappenplan gemaakt om je hierbij te helpen. In deze blog zal ik ingaan op hoe je zo’n autorisatiematrix opstelt én borgt binnen je organisatie.

Sinds 2020 geldt de Baseline Informatiebeveiliging Overheid (BIO) als norm voor alle overheden. Om gemeenten bij de implementatie hiervan te ondersteunen heeft de IBD handige kennisproducten ontwikkeld die je op weg kunnen helpen, zoals een Baselinetoets en handreiking Dataclassificatie. Maar welke producten zijn er nu allemaal precies, waar dienen ze voor en wat is de onderlinge samenhang? In deze blog zet ik er enkele voor je onder elkaar.

Als gemeente wil je voorkomen dat onbevoegden toegang hebben tot informatie, zowel digitaal als fysiek. In mijn vorige blog heb ik de eisen die de BIO stelt rondom personele beveiliging (hoofdstuk 7) toegelicht. In deze blog wil ik graag de focus leggen op de eisen die de BIO stelt als het gaat om toegangsbeveiliging (hoofdstuk 9). Want hoe kun je logische en fysieke toegangsbeveiliging inzetten binnen je organisatie? En wat is eigenlijk het verschil tussen deze twee? In deze blog ga ik hier verder op in en geef ik je concrete handvatten voor het inrichten van toegangsbeveiliging.