Onlangs heb ik een break-out sessie mogen organiseren voor gemeenten op een klantdag van een ISMS/GRC softwareleverancier. De sessie ging over hoe je de organisatie betrekt bij informatiebeveiliging en privacymanagement. En dan met name over hoe je tooling ter ondersteuning van je ISMS kunt inzetten en ook over wanneer je dit doet.
Onlangs heb ik een cursus over ‘The Governance of Information Security – door Kevin Henry’ gevolgd met daarin een interessant onderdeel dat ik graag met jullie wil delen middels deze blog, namelijk het meten van en rapporteren over informatiebeveiliging. Want waarom is het belangrijk om dit te doen en hoe kun je dit dan het beste doen?
In mijn vorige blog heb ik de eisen die de Baseline Informatiebeveiliging Overheid (BIO) stelt als het gaat om toegangsbeveiliging (hoofdstuk 9) toegelicht. Eén van de punten die ik daar heb benoemd is het goed inrichten van autorisaties. Een handig hulpmiddel hierbij is een autorisatiematrix. Maar hoe stel je zo’n autorisatiematrix op? IB&P heeft een tien stappenplan gemaakt om je hierbij te helpen. In deze blog zal ik ingaan op hoe je zo’n autorisatiematrix opstelt én borgt binnen je organisatie.
Sinds 2020 geldt de Baseline Informatiebeveiliging Overheid (BIO) als norm voor alle overheden. Om gemeenten bij de implementatie hiervan te ondersteunen heeft de IBD handige kennisproducten ontwikkeld die je op weg kunnen helpen, zoals een Baselinetoets en handreiking Dataclassificatie. Maar welke producten zijn er nu allemaal precies, waar dienen ze voor en wat is de onderlinge samenhang? In deze blog zet ik er enkele voor je onder elkaar.
Als gemeente wil je voorkomen dat onbevoegden toegang hebben tot informatie, zowel digitaal als fysiek. In mijn vorige blog heb ik de eisen die de BIO stelt rondom personele beveiliging (hoofdstuk 7) toegelicht. In deze blog wil ik graag de focus leggen op de eisen die de BIO stelt als het gaat om toegangsbeveiliging (hoofdstuk 9). Want hoe kun je logische en fysieke toegangsbeveiliging inzetten binnen je organisatie? En wat is eigenlijk het verschil tussen deze twee? In deze blog ga ik hier verder op in en geef ik je concrete handvatten voor het inrichten van toegangsbeveiliging.
Op 9 juli werd vrij geruisloos het rapport ‘Evaluatie en versterking ENSIA-stelsel’ gepubliceerd op de website Digitale Overheid. De opdracht tot een evaluatie kwam reeds twee jaar eerder vanuit de stuurgroep ENSIA (nu: regieraad). De drie tussenliggende jaren hebben echter niet geleid tot een degelijke evaluatie van het ENSIA-stelsel. Sterker nog, ik vind het evaluatierapport van erbarmelijke kwaliteit.
Als gemeente is het van belang dat je een sterke informatieveilige en privacybewuste omgeving hebt. Zowel op het vlak van techniek als op het vlak van de mens. Een informatiebeveiligingsbeleid is alleen doeltreffend wanneer collega’s ook slim en doordacht omgaan met informatiebeveiligingsaspecten en überhaupt weten wat er van hen verwacht wordt. Niet voor niets worden er in de Baseline Informatiebeveiliging Overheid (BIO) eisen benoemd als het gaat om personele beveiliging (hoofdstuk 7). In deze blog lees je hoe je kunt zorgen voor een veilige instroom, doorstroom en uitstroom van medewerkers.
Lokale overheden leggen middels de ENSIA-systematiek jaarlijks verantwoording af over informatiebeveiliging. M.i.v. dit jaar gaat dit grotendeels langs de lat van de Baseline Informatiebeveiliging Overheid (BIO). ENSIA wordt in de praktijk gemakkelijk gereduceerd tot een verplichte, jaarlijkse onderhoudsbeurt. Maar het is zoveel meer, toch?
Sinds 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. Hiermee is één gezamenlijk normenkader voor informatiebeveiliging ontstaan voor alle overheidslagen. De allereerste maatregel uit de BIO, en ook gelijk de belangrijkste, is het hebben van een informatiebeveiligingsbeleid. Maar hoe schrijf je een goed beleid dat niet in de kast belandt, maar waar je vervolgens ook echt iets mee kunt?
Eind april actualiseerde het Amerikaans ‘Cybersecurity & Infrastructure Security Agency’ (CISA) haar beveiligingsadvies voor Microsoft Office 365. Dat is relevante informatie omdat veel gemeenten momenteel, al dan niet versneld n.a.v. de noodzaak tot thuiswerken, bezig zijn met het uitrollen van Office 365. Daarom vandaag een blog waarin ik de belangrijkste beveiligingsinstellingen voor Office 365 bespreek.
Het kan gebeuren dat je als gemeente urenlang (of in het ergste geval dagen) niet kunt werken omdat werkplekken geïnfecteerd zijn met ransomware. In deze blog geef ik tips voor preventieve maatregelen die je kan treffen om besmetting te voorkomen. Ben je toch geraakt door ransomware? Dan vind je in deze blog ook een handig stappenplan om de schade zoveel mogelijk te beperken en voor het herstel.
In februari publiceerde de Vereniging van Nederlandse Gemeente (VNG) de Agenda Digitale Veiligheid 2020-2024. De agenda biedt gemeenten een handelingsperspectief dat aansluit bij de bestuurlijke praktijk en bevat 10 actielijnen met als doel het vertrouwen van inwoners en ondernemers in de digitale veiligheid te vergroten én vast te houden. Maar biedt deze nieuwe agenda daadwerkelijk een nieuw handelingsperspectief? Of is het oude wijn in nieuwe zakken…
