Spelregel: beveiligingsmaatregelen

Algemeen

In deze spelregels m.b.t. beveiligingsmaatregelen binnen Het Handje wordt een overzicht gegeven van de spelregels waar jij je als medewerker van Het Handje aan dient te houden, om ervoor te zorgen dat de organisatie veilig blijft, alsook de gevoelige informatie die wij verwerken. Denk hierbij aan bedrijfsgevoelige informatie, maar ook persoonsgegevens van onze klanten, medewerkers of studenten. Door deze maatregelen na te leven voorkomen we dreigingen, zoals phishing en malware.

Voordat wij kunnen uitleggen hoe wij de gegevens, waarover Het Handje beschikt, beveiligen, is het van belang om eerst duidelijk vast te stellen wat onder het begrip ‘informatiebeveiliging’ wordt verstaan. Onder informatiebeveiliging wordt verstaan:  het treffen en onderhouden van een samenhangend pakket aan maatregelen om de vier aspecten beschikbaarheid, integriteit en vertrouwelijkheid en veerkracht van de informatievoorzieningen te garanderen.  

In deze definitie wordt verwezen naar beschikbaarheid, integriteit, vertrouwelijkheid en veerkracht. Deze begrippen kunnen als volgt uitgelegd worden:

• Beschikbaarheid: de beschikbaarheid van informatie. Bepalend voor de beschikbaarheid van informatie is de mate waarin beveiligingsmaatregelen ervoor zorgen dat ICT-middelen ongestoord gebruikt kunnen worden.  

• Integriteit: het in overeenstemming zijn van informatie met de werkelijkheid. Is informatie juist, volledig en actueel? Dit wordt bepaald door de mate waarin de beveiligingsmaatregelen de juistheid, volledigheid en actualiteit van gegevens, verwerkt in ICT-middelen, waarborgen.
• Vertrouwelijkheid: de mate waarin uitsluitend geautoriseerde personen de bevoegdheid en mogelijkheid hebben om toegang te verkrijgen tot de informatie. Dit al dan niet gereguleerd door (geautomatiseerde) procedures en/of technische maatregelen.
• Veerkracht: de mate waarin Het Handje over de mogelijkheden beschikt om dreigingen te identificeren, hierop te reageren en te herstellen na een informatiebeveiligingsincident. Om dit te bewerkstelligen kunnen zowel organisatorische als technische maatregelen getroffen worden.

Iedere categorie informatie kent zijn eigen eisen ten aanzien van de hierboven genoemde kwaliteitsaspecten. Sommige informatie is bijvoorbeeld zeer vertrouwelijk (persoonsgegevens van onze klanten), terwijl andere informatie juist is bedoeld om publiekelijk bekend te maken (informatie over lopende collecties van Het Handje). Bepaalde informatie heeft een hoge integriteitseis, terwijl andere informatie niet geverifieerd hoeft te zijn. Hetzelfde geldt voor beschikbaarheid. Voor sommige informatie geldt dat het essentieel is dat deze beschikbaar is, terwijl andere informatie als “aanvullend” of “niet noodzakelijk” kan worden aangemerkt.  

Per categorie informatie dient er daarom bepaald te worden in welke mate beschikbaarheid, integriteit, vertrouwelijkheid en veerkracht van belang zijn, om de juiste beveiligingsmaatregelen te kunnen treffen.  

Let op: het volledige informatiebeveiligingsdocument dat ten grondslag ligt aan deze spelregels kan opgevraagd worden bij Pieter Goudsmit. Op deze Wiki-pagina zijn de belangrijkste spelregels op een rij gezet die volgen uit dit document.

Spelregel 1: verantwoord gebruik apparatuur

Gebruik apparatuur verantwoord.

Dit is een brede spelregel maar betekent praktisch dat je:

• software alleen installeert als het echt nodig is en bij voorkeur via de website van de ontwikkelaar.
• updates dient te installeren. Zowel voor individuele programma’s als voor het besturingssysteem.
• je laptop dient te vergrendelen als je bij je laptop wegloopt.
• gebruik maakt van beveiligd mailen. Gewone e-mail is te vergelijken met het versturen van een briefkaart - iedereen die de briefkaart onderschept, kan meelezen. Dit is geen probleem voor alledaagse communicatie, maar wel als je gevoelige informatie verstuurt zoals persoonsgegevens.

Spelregel 2: gebruik van sterke wachtwoorden

Een sterk wachtwoordbeleid is essentieel voor de beveiliging van persoonsgegevens. Er zijn drie belangrijke aspecten voor veilig wachtwoordgebruik:

• Lengte: De lengte van een wachtwoord is de belangrijkste factor voor de veiligheid ervan. Een lang wachtwoord is veel moeilijker te kraken dan een kort wachtwoord, zelfs als het korte wachtwoord allerlei speciale tekens bevat. Een veilig wachtwoord bestaat uit minimaal 12 tekens. Hoe langer het wachtwoord, hoe beter. Een handige manier om een lang maar makkelijk te onthouden wachtwoord te maken is door een wachtzin te gebruiken. Bijvoorbeeld: "MijnHondEetGraag3BrokjesPerDag!" Dit wachtwoord is lang genoeg, makkelijk te onthouden, moeilijk te raden en bevat bovendien hoofdletters, kleine letters, cijfers en leestekens.
• Periodiek wijzigen: Ververs je wachtwoorden regelmatig, bijvoorbeeld elke 90 dagen. Dit vermindert het risico dat een gelekt wachtwoord langdurig misbruikt kan worden. Gebruik hierbij nooit eerder gebruikte wachtwoorden en kies ook compleet nieuw en sterk wachtwoord uit (verander dus niet alleen het laatste teken).
• Password manager: Een password manager (wachtwoordbeheerder) is een beveiligd programma dat je helpt bij het maken en bewaren van sterke wachtwoorden. Het werkt als een digitale kluis waarin al je wachtwoorden veilig worden opgeslagen. Je hoeft zelf nog maar één sterk hoofdwachtwoord te onthouden om toegang te krijgen tot al je andere wachtwoorden. Een password manager genereert doorgaans automatisch sterke en unieke wachtwoorden en slaat deze dan veilig en versleuteld op. Bovendien waarschuwen de meeste password managers je als je een wachtwoord hergebruikt. Het voordeel van deze programma's is dat ze vaak beschikbaar zijn op al je apparaten.

Extra veiligheidstips

• Gebruik nooit voor de hand liggende wachtwoorden, zoals '1234', je naam of je geboortedatum.
• Zorg er ook altijd voor dat de tweestapsverificatie aanstaat wanneer de applicatie of het systeem dat je gebruikt dit ondersteunt. Tweestapsverificatie, ook wel 2FA (een vorm van multifactorauthenticatie), is een extra beveiligingsmaatregel. Met tweestapsverificatie heb je niet alleen een wachtwoord nodig om in te loggen, maar zul je bijvoorbeeld ook een code in moeten vullen die afkomstig is uit een bijbehorende authenticatie-app op je telefoon, of een code die je per sms ontvangt op jouw mobiele nummer.
• Controleer regelmatig of je wachtwoorden niet zijn gelekt.
• Maak het hoofdwachtwoord voor de password manager extra sterk en goed onthoudbaar.

Let op: twijfel je over de toereikendheid van jouw wachtwoord? Check dan de app Passmate en controleer jouw wachtwoord!

Spelregel 3: vermijd onveilige verbindingen

Vermijd onveilige internetverbindingen als je buiten de Campus van Het Handje bent.

Gebruik nooit een onbekend/onbeveiligd/publiek Wifi-netwerk, maar maak buiten de Campus gebruik van je thuisaansluiting of een 4G hotspot.

Spelregel 4: pas op met externe tools

Gebruik geen externe tools behalve de tools die door Het Handje beschikbaar zijn gemaakt. Heb je toch specifieke wensen, neem dan contact op met het privacyaanspreekpunt.

Spelregel 5: pas op voor phishing (etc.)

Wees alert op verdachte e-mails, bijlages en websites. Reageer nooit op verzoeken om wachtwoorden of andere gevoelige gegevens te delen met derden.

Als hippe organisatie in het publieke oog is Het Handje een veel gezocht doelwit voor o.a. phishingmails. Twijfel je over de echtheid van een e-mail of website, open/bezoek deze dan niet.

Spelregel 6: meld incidenten in RegiServ

Meld (mogelijke) incidenten als je denkt dat er iets niet in de haak is via RegiServ, maar geef het ook aan wanneer je (per ongeluk) één van de spelregels niet na hebt kunnen leven. Ook wanneer iets geen datalek is, maar wel een beveiligingsincident, meld je dit in RegiServ.

Heb je vragen over deze beveiligingsmaatregelen, of gebruik je zelf nog een aanvullende goede maatregel die mogelijk ook handig is? Neem dan contact op met het privacyaanspreekpunt.