1 Beleidsdocument voor informatiebeveiliging
Het beleidsdocument voor informatiebeveiliging vormt het centrale kader waarbinnen onze organisatie haar informatiebeveiliging structureert, uitvoert en bewaakt. Het document beschrijft de strategische uitgangspunten, verantwoordelijkheden en maatregelen die noodzakelijk zijn om informatie te beschermen tegen ongeautoriseerde toegang, verlies, misbruik en verstoring. Informatiebeveiliging is een primaire verantwoordelijkheid van de bestuurder, terwijl het management volledig bevoegd is om operationele maatregelen te nemen binnen de ambtelijke organisatie, ook wanneer sprake is van ketenafhankelijkheid bij dienstoverstijgende informatiesystemen. Het beleidsdocument sluit aan op de internationale normen ISO 27001 en ISO 27002, waarin zowel het managementsysteem (ISMS) als de concrete beveiligingsmaatregelen zijn uitgewerkt. Door dit beleid te hanteren, waarborgen wij een aantoonbaar, consistent en toekomstbestendig beveiligingsniveau dat voldoet aan wettelijke verplichtingen, waaronder artikel 32 AVG.
2 Informatiebeveiligingsplan
Het informatiebeveiligingsplan vormt de praktische uitwerking van het informatiebeveiligingsbeleid en beschrijft de concrete maatregelen die nodig zijn om de beveiligingsdoelstellingen van de organisatie te realiseren. Waar het beleidsdocument de strategische kaders en verantwoordelijkheden vastlegt, vertaalt het plan deze naar operationele acties, processen, middelen en tijdslijnen. Het plan sluit aan op de beheersmaatregelen uit ISO 27002 en omvat onder meer risicobeheersing, toegangsbeheer, fysieke beveiliging, incidentrespons, leveranciersbeheer en bewustwording. De bestuurder draagt de primaire verantwoordelijkheid voor de uitvoering, terwijl het management volledig bevoegd is om operationele maatregelen te treffen binnen de organisatie, ook wanneer sprake is van ketenafhankelijkheid bij organisatie overstijgende informatiesystemen. Door dit plan systematisch te onderhouden en te evalueren, waarborgt de organisatie een aantoonbaar, consistent en toekomstbestendig beveiligingsniveau dat voldoet aan wettelijke verplichtingen, waaronder artikel 32 AVG.