Voor menig CISO zal de ISO 27000-reeks grotendeels bekende materie zijn. Voor anderen zal het vooral vraagtekens oproepen. Onlangs is er door de NEN een toevoeging aan deze reeks gedaan rondom privacy management; de zogenaamde ISO 27701 . In deze blog geef ik je graag een overzicht van deze norm en vertel ik je de verschillen met twee andere usual suspects uit de reeks: 27001 en 27002.
Om de openbare orde te handhaven, hangen binnen veel gemeenten op openbare plaatsen camera’s. Maar ook steeds meer inwoners hangen (in en rondom hun huis) beveiligingscamera’s op. Dit roept vragen op. Zowel bij de buren: ‘Mag dat wel wat mijn buren doen?’, als bij gemeenten: ‘Wat doen we met beeldmateriaal dat we (ongevraagd) ontvangen van inwoners?’. In deze blog geef ik enkele handvatten hoe je als gemeente met dergelijke situaties om kunt gaan.
Sinds 2016 is elke organisatie die persoonsgegevens verwerkt verplicht om een melding te maken bij de Autoriteit Persoonsgegevens (AP) wanneer er zich een datalek heeft voorgedaan. Maar wanneer en hoe moet je een datalek melden bij de AP? En kun je een melding ook weer intrekken? In de praktijk blijken hier nog veel vragen over te zijn. Daarom in deze blog een aantal stappen die je moet doorlopen in het geval van een datalek.
De komst van de Algemene Verordening Gegevensbescherming (AVG) bracht ook de verplichte Functionaris voor de Gegevensbescherming (FG) met zich mee. De FG is de interne toezichthouder en dus verantwoordelijk voor, de naam zegt het al, het toezicht houden op de naleving van de privacywetten en –regels en heeft ook de taak om de organisatie hierop te controleren. Maar hoe doe je dat eigenlijk, toezicht houden?
Op 5 november 2018 organiseerde ISACA een ronde tafel over Privacy Control Frameworks . Tijdens deze drukbezochte avond werd aandacht besteed aan de historie van Privacy Control Frameworks in Nederland en de do’s en dont’s bij de toepassing van dergelijke frameworks. Maar wat is het nut en noodzaak van zo’n framework en welke verschillende frameworks zijn er? En is er behoefte aan een framework speciaal voor gemeenten?
Veel CISO’s en FG’s lopen er tegenaan: het creëren van draagvlak voor veranderingen op het vlak van informatiebeveiliging en privacy. Informatiebeveiliging en privacy raken het werk van de gemeentelijke bestuurders. Het is namelijk niet alleen een technische en organisatorische vraag, maar ook een politieke en bestuurlijke. Het raakt de bedrijfsvoering van de gemeente en vraagt daarom om een bestuurlijke visie, focus én draagvlak. Maar hoe doe je dat nou eigenlijk, draagvlak creëren?
Het einde van het jaar is alweer bijna in zicht. Als we terugblikken op 2018 dan kunnen we wel stellen dat het een jaar is geweest waarin een hoop is gebeurd op informatiebeveiliging- en privacyvlak. Zo kwamen er een hoop complexe zaken op de CISO’s en FG’s van gemeenten af dit jaar. In deze blog zetten we ze per functie voor je onder elkaar.
Iedere Nederlander heeft er één. Het unieke nummer dat als reeks van negen cijfers op jouw paspoort, identiteitskaart en rijbewijs staat, ofwel jouw Burgerservicenummer (BSN). Binnen gemeenteland wordt het BSN veelvuldig gebruikt. Toch is niet voor iedereen binnen de gemeente duidelijk wanneer en op welke wijze je het BSN mag gebruiken. Daarom wil ik in deze blog ingaan op een viertal vragen die ik in de praktijk vaak voorbij hoor komen. Wat mag wel en belangrijker, wat mag niet?
Vanuit de AVG ben je als organisatie verplicht om te zorgen voor de beveiliging van de persoonsgegevens die je als organisatie verwerkt, dit geldt dus ook wanneer je persoonsgegevens laat verwerken door een derde partij. Jouw organisatie blijft namelijk te allen tijde eindverantwoordelijke. Om te zorgen dat de verwerker ook de juiste beveiligingsmaatregelen treft moet je afspraken maken met de verwerker. Doorgaans gebeurt dit in een verwerkersovereenkomst. We geven je vijf tips voor wat je er in zou moeten zetten.
We zijn inmiddels 2 weken verder nadat de nieuwe privacywet, de Algemene Verordening Gegevensbescherming (AVG), van kracht is gegaan. Veel organisaties, waaronder gemeenten, hebben zich de afgelopen maanden met AVG-projecten bezig gehouden om ervoor te zorgen dat zij op 25 mei AVG-proof waren. De vele mails met privacystatements in je mailbox zullen je niet zijn ontgaan. Er is erg naar die streefdatum van 25 mei geleefd. Maar hoe zit het daarna? Kun je eigenlijk wel ‘AVG-proof’ zijn en is het voldoen aan de AVG wel een project, met een kop en een staart?
Tik Tak Tik.. de klok tikt door, nog 11 dagen en dan doet de AVG (Algemene Verordening Gegevensbescherming) zijn intrede. Dit heeft een grote impact op veel organisaties, met name gemeenten. Want hoe zorg je ervoor dat je AVG-proof bent op 25 mei? Een vraag waar veel gemeenten mee worstelen. Simpelweg omdat ze door de bomen het bos niet meer zien en niet weten waar ze moeten beginnen als het gaat om de implementatie van de AVG. Om je op weg te helpen geven we je daarom graag een aantal tips waarmee je de eerste stappen kunt zetten om aan de AVG te voldoen.
In februari nam ik deel aan een ISACA Round Table in Assen. Hier werd een verhelderende presentatie gegeven over ‘Privacy-by-Design’ door Jaap-Henk Hoepman, onder meer hoofddocent privacy preventie protocollen en Privacy-by-Design aan de Radboud Universiteit Nijmegen. Jaap-Henk maakte hier concreet wat Privacy-by-Design nu precies is en hoe je het kunt toepassen in de praktijk. Hij doet dit aan de hand van acht concrete en toepasbare strategieën die ik in deze blog graag met je doorneem.
