Ken je digitaal veiligheidsbeleid
1. Wat houdt een securitypolicy in?
Een beveiligingsbeleid of securitypolicy geeft op een gestructureerde manier weer hoe uw bedrijf zijn waardevolle assets (data, maar ook processen) het best beschermt.
Zo’n algemeen beveiligingsbeleid gaat vrij breed. Het omvat dan bijvoorbeeld zowel de fysieke toegangscontrole over deuren en wie er sleutels krijgt voor welke gebouwen, als het IT-beleid. Wanneer het specifiek gaat over het beschermen van data, heeft men het meestal over information security policy.
Deze politiek omvat paswoord- en firewallbeleid en schrijft onder meer voor wie toegang krijgt tot welke websites, systemen en processen, op welke manier data worden opgeslagen, wie er op het wifi-netwerk van het bedrijf mag enzovoort. Al mag u het fysieke aspect nooit vergeten: als uw belangrijkste server op een onbewaakte, bereikbare plek staat, zijn uw data niet veilig, hoeveel firewalls u ook heeft staan.
2. Waarom heb ik een information-securitybeleid nodig?
Om de haverklap verschijnen in de media berichten over vertrouwelijke informatie die verloren is gegaan of openbaar werd gemaakt. Vooral de toegenomen mobiliteit van data door middel van mobiele dragers zoals USB-memorysticks, smartphones, tablets en laptops brengt grotere risico"s met zich mee.
Ook de toenemende mobiliteit, zoals thuiswerk, vraagt om extra beveiliging. Het is voor een bedrijf dan ook van het grootste belang dat het haar visie op beveiliging duidelijk omschrijft, bijvoorbeeld wie toegang heeft tot welke data en welke beveiligingsmaatregelen daarvoor genomen moeten worden.
Een goed beleid moet, naast het vastleggen van de regels, ook werknemers alert houden en bewust maken van veiligheid. Zij zijn het die eraan moeten denken om niet hun eigen naam als paswoord te gebruiken, of het niet op een briefje te schrijven dat ze op hun bureau leggen.
3. Wat staat er in een goede securitypolicy?
Een beveiligingsbeleid moet in essentie antwoord geven op een aantal concrete vragen: wie is verantwoordelijk voor welk proces, en wie moet dus ingrijpen bij problemen. Welke processen en IT-systemen zijn kritisch en mogen nooit uitvallen? Wie mag ze gebruiken? En een resem gelijkaardige vragen.
Specifiek voor IT stipuleren verregaande security policies ook op welke manier hardware moet worden aangepakt of vernietigd, zodat de data die erop stonden zeker gewist zijn. Ook zullen ze encryptie- en veiligheidsmaatregelen voor toestellen zoals Blackberries en laptops formuleren. Steeds meer bedrijven voegen clausules over sociale netwerken zoals Facebook toe aan hun beleid.
4. Wat is de menselijke factor?
Zolang uw medewerkers niet begrijpen dat die virusscanner heel wat meer doet dan de laptop vertragen, gaan ze hem misschien proberen uit te schakelen. En zonder duidelijke communicatie over mp3-spelers, USB"s en digitale camera"s mag het u niet verbazen als iemand op die manier per ongeluk een virus binnensmokkelt.
Bijscholing, procedures, communicatie en geregelde (externe) audits leveren soms sneller resultaat op dan de pure implementatie van technische oplossingen.
5. Hoe komt zo’n policy tot stand?
De eerste stap is om alle betrokken personen in een werkgroep samen te brengen, al dan niet in aanwezigheid van een externe consultant. Meestal bestaat die werkgroep uit een achttal personen: een directielid, de HR-manager, IT-manager, business managers van de verschillende afdelingen, eventueel ook een juridisch verantwoordelijke en uiteraard een afgevaardigde van de gebruikers.
Aan de hand van een checklist zoals ISO 27002 worden dan de noden van het hele bedrijf blootgelegd.
6. Wat met ISO 27002 en 27001?
ISO 27002 is een internationaal erkende standaard die praktische maatregelen op het vlak van informatiebeveiliging formuleert. Het bevat een groot aantal concrete maatregelen en vormt zo een nuttige controlelijst die ervoor zorgt dat uw organisatie geen enkel aspect van IT-beveiliging over het hoofd ziet.
U hoeft ISO 27002 niet letterlijk te volgen, en u kunt er zich ook niet in certificeren. Daarvoor werd ISO 27001 in het leven geroepen. Die laatste formuleert eisen voor het implementeren, uitvoeren en controleren van een gedocumenteerd information security management-systeem, en voor die standaard kunt u zich wel certificeren.
