Informatiebeveiliging & Privacy - by Design

Maat: px

Weergave met pagina beginnen:

Download "Informatiebeveiliging & Privacy - by Design"

Arthur van Dijk
5 jaren geleden
Aantal bezoeken:

1 Informatiebeveiliging & Privacy - by Design Steven Debets Verdonck, Klooster & Associates

2 Even voorstellen e steven.debets@vka.nl m

3 Informatiebeveiliging Informatiebeveiliging houdt zich bezig met het beschermen van uw bedrijfsinformatie, in termen van: Beschikbaarheid Het waarborgen dat geautoriseerde gebruikers op de juiste momenten toegang hebben tot informatie en aanverwante bedrijfsmiddelen Integriteit Het waarborgen van de juistheid, tijdigheid (actualiteit) en volledigheid van informatie en de verwerking ervan. Vertrouwelijkheid Met vertrouwelijkheid wordt gedoeld op het waarborgen dat informatie alleen toegankelijk is voor degenen die hiertoe zijn geautoriseerd. 3

4 Privacy Privacy beschermt de persoonlijke levenssfeer van mensen: 1. Dataminimalisatie (min=max) 2. Gegevenskwaliteit (geautomatiseerde controles) 3. Doelbinding en verenigbaarheid 4. Limitering van gebruik (ontvangst, opslag en verzenden) 5. Beveiliging van gegevens (encryptie en LTB) 6. Transparantie (beleid, certificering, gedragscode) 7. Rechten van betrokkenen (zeggenschap) 8. Verantwoording (controles) 4

5 en wat hebben ze met elkaar te maken? 5

6 De kern van informatiebeveiliging Informatiebeveiliging gaat in principe over het beantwoorden van drie eenvoudige vragen: 1. Wat zijn mijn meest waardevolle informatiemiddelen (applicaties of informatie) 2. Welke gebeurtenissen hebben een gerede kans mijn informatie schade toebrengen 3. Hoe kan ik mijzelf beschermen tegen de meest waarschijnlijke gebeurtenissen 6

Informatiebeveiliging heeft een proces kant

Voer%risicoanalyse%uit% Management% van% Incidenten%

7 Informatiebeveiliging heeft een proces kant Definieer%Beleid%en%Standaarden% Stel%eigenaarschap%informa2esystemen%vast% Evalueren%% &% Rapporteren% Iden2ficeer%kri2eke%informa2esystemen% Voer%risicoanalyse%uit% Management% van% Incidenten% Opstellen%en%invoeren% beveiligingsplan% Accepteer% restrisico s% Monitoring% (lijn%en%onabankelijk)% 7

8 . en een inhoudelijke kant Information Risk Governance Information Security Functions Information Security Controls? Threats Information Security Policy Business Impact Assessment Information Risk Assessment Information Risk Reporting Laws & Regulations Information Security Baseline Authentication Identity Management Access Management Non-repudiation Filtering Security zoning Event registration Verification, alarming en reporting Continuity services System integrity Programmed controls Main question: Which information security functions do I need, based on policies, business impact, risk assessments and available reports. The baseline defines the minimum requirements. - Password - Token (soft of hard) - Biometrics - Internal identity - Federated identity - Authorisation matrix - Federated authorisations - (Digital) signature - Time stamping - Code signing - IDS/IPS services - Anomaly detection - Content scanning, anti-spam, anti-virus - Data loss prevention - Logging services - Packet filtering - (reverse) proxy services - Web application firewall - Crypto services - Audit - Reporting - SIEM - Back-up en restore - Data replication - Redundancy - Code integrity checks - Code reviews - Load balancing - Disaster Recovery Planning - Application Controls 8

9 And what about privacy? 9

10 Model voor Privacy by Design Verstandig gebruik Verzamel alleen wat je nodig hebt Gebruik gegevens alleen waarvoor je ze gevraagd hebt Kies bij configuratie standaard de privacy vriendelijke variant Let op kwaliteit van data Maak geen onnodige kopieën Gooi weg wat je niet langer nodig hebt Passende bescherming Sla gescheiden op Beperk de toegang Verwerk geaggregeerd Pas versleuteling, pseudonimisering of anonimisering toe 10

11 Vragen?

Vergelijkbare documenten

GDPR. General Data Protection Regulation

GDPR. General Data Protection Regulation GDPR General Data Protection Regulation Waarom? Veiligheid van data bevorderen Nood aan een uniforme wetgeving Verouderde Europese richtlijn 1995 % 90 80 Gezinnen met minstens 1 internetverbinding 70 60