Verantwoordelijkheid van de eindgebruiker voor Clean desk en Clear Screen beleid

Transcriptie

1 Information Security Guidelines Versie: januari 2015 Informatieveiligheid (Policy: ) Verantwoordelijkheid van de eindgebruiker voor Clean desk en Clear Screen beleid Version control please always check if you are using the latest version. Doc. Ref. :v clean desk policy.nl.1.20 Release Status Date Written by Edited by Approved by NL_ First edition 30/04/2013 Alain Houbaille Staff BCSS 27/05/2013 Opmerking: In dit document werd rekening gehouden met de opmerkingen die geformuleerd werden door een werkgroep waaraan de volgende personen hebben deelgenomen: de heer P. Bochart (KSZ), de heer R. Pierlot (KSZ).

2 Inhoudsopgave 1. Inleiding Context ISO-norm Historiek Rollen Toepassingsgebied Verantwoordelijkheden van de medewerker Scope Authenticatiemiddelen Specifieke "account" die door een groep personen wordt gebruikt Inadequaat gebruik Uitrusting zonder toezicht «Clear Desk» versus «Clean desk»-beleid: Definitie Doelstellingen In de praktijk Toegang tot de informatie Bijkomende beveiliging Antivirus Back-up USB-sleutel of andere draagbare media Printer Communicatiemiddelen Rapportering, evaluatie en sensibiliseringscampagne Bijlage: Brochure - Clean desk policy p 2

3 1. Inleiding In dit document worden de verantwoordelijkheden van de medewerker beschreven met betrekking tot het behoud van doeltreffende logische of fysieke toegangscontroles tot de Kruispuntbank van de Sociale Zekerheid. Met andere woorden, hoe moet de medewerker de fysieke en logische toegangsmiddelen die hem ter beschikking worden gesteld op een veilige manier beheren met het oog op een optimale bescherming van de IT-infrastructuur en van de lokalen van de Kruispuntbank van de Sociale Zekerheid. Maar ook, welke maatregelen moeten worden genomen met betrekking tot de beveiliging van de werkpost om zich tegen een ongeoorloofde toegang tot de informatie te beschermen. In dat opzicht kan dankzij de toepassing van het beleid van de "Clean Desk, opgeruimd bureau en leeg scherm" het risico op ongeoorloofde toegangen of op beschadiging van de dragers, papieren documenten of andere middelen en van de informatieverwerkingsmiddelen worden beperkt Context ISO-norm In dit document worden de veiligheidsmaatregelen opgenomen die in de volgende rubrieken van de ISO-norm worden beschreven: 11.3 Verantwoordelijkheden van de gebruiker o Gebruik van het paswoord o Materiaal van de gebruiker dat onbewaakt wordt achtergelaten o Clean Desk - en Clear Screen -beleid o Informatica en mobiele communicatie 1.2. Versie Historiek Commentaar 0.1 Draft (Alain Houbaille 15/8/2012) 0.2 Revisie (Alain Houbaille 15/11/2012) 0.3 Revisie (Patrick Bochart Régis Pierlot 28/01/2013) 1.0 Final (Alain Houbaille 31/01/2013) 1.2 Wijzigingen na opmerkingen van Staff (Alain Houbaille 25/02/2013) p 3

4 1.3. Rollen 1 Wie Rol R Veiligheidsdienst Verantwoordelijke voor het up-to-date houden van dit document A Staf Goedkeuring en uitvoering van dit document C N/A Raadplegingsrol I Medewerkers Persoon die op de hoogte moet worden gehouden 1.4. Toepassingsgebied 2 Het hierna beschreven beleid is van toepassing op alle medewerkers die in een landschapsbureau («open space») werken. Medewerkers die in een gesloten bureau werken dienen enkel kennis te nemen van deze goede praktijken inzake veiligheid, voor hen geldt dit beleid als aanbeveling. 1 R=Responsible, A=Accountable, C=Consulted, I=Informed 2 De term «toepassingsgebied» duidt op de soorten situaties waarin het beleid van toepassing is. p 4

5 2. Verantwoordelijkheden van de medewerker 2.1. Scope De medewerker speelt een belangrijke rol in de preventie van ongeoorloofde toegangen. Dit geldt zowel voor de toegangen tot de informatiesystemen en toepassingen als voor de fysieke toegang tot de lokalen. De medewerking van alle gemachtigde gebruikers is van essentieel belang voor de veiligheid Authenticatiemiddelen De authenticatie is een proces waarbij de identiteit van een persoon wordt gecontroleerd. Dit proces wordt veelvuldig gebruikt voor de toegang tot de informaticamiddelen. De authenticatiemiddelen die door de gebruiker van de Kruispuntbank van de Sociale Zekerheid worden gebruikt, zijn de volgende. Deze lijst is niet exhaustief ten opzichte van het aantal authenticatiemiddelen waarover een gebruiker eventueel kan beschikken: de elektronische identiteitskaart (eid); de burgertoken of de ambtenarentoken; de accounts "gebruiker" en de desbetreffende paswoorden; de toegangsbadge tot de lokalen; de eventuele sleutels van de bureaus of van de koffers; Gelet op het voorafgaande en rekening houdende met de functie van deze middelen, zijn deze middelen persoonlijk. De eigenaar ervan moet ze als goede huisvader beheren. Met andere woorden, de houder ervan is verantwoordelijk voor de beveiliging van zijn authenticatiemiddelen. Ze mogen nooit door andere personen worden gebruikt of aan hen worden overgemaakt, meegedeeld of uitgeleend. Zodra de gebruiker vermoedt dat zijn authenticatiemiddel mogelijk is gecompromitteerd doordat zijn toegangscode, zijn paswoord,... is gestolen, moet hij zo snel mogelijk aan de eigenaars/beheerders van de toegangssystemen vragen om zijn authenticatiemiddel of zijn getroffen account te blokkeren. Deze gebruiker moet een nieuw authenticatiemiddel vragen om zijn activiteit te kunnen voortzetten. De gebruiker is bovendien tevens verantwoordelijk voor de middelen die worden gebruikt om toegang te krijgen tot de gegevens. De gebruiker mag inderdaad nooit het toegangsmiddel open laten staan zodat een derde er misbruik van kan maken. p 5

6 2.3. Specifieke "account" die door een groep personen wordt gebruikt Een "specifieke" account kan uit twee verschillende types accounts bestaan. Het eerste type, de administratorsaccounts, wordt aangemaakt bij de installatie van een applicatie. Voor dit type accounts worden er meestal administratorrechten vastgelegd. Het tweede type accounts wordt gedefinieerd om specifieke taken te kunnen vervullen, zoals het nemen van back-ups, het verrichten van automatische taken (batch),.... De details van deze "specifieke" accounts zijn gekend door een welbepaalde groep van gebruikers. Dit heeft als gevolg dat het beheer van deze account moet worden vastgelegd en gekend zijn door alle gebruikers van deze account. Het paswoord voor deze soort account (die door alle teamleden wordt gedeeld) moet ook duidelijk worden vastgelegd. Deze "specifieke" accounts mogen enkel voor zeer specifieke taken worden gebruikt die niet aan een individuele account kunnen worden toevertrouwd. Om de verrichte handelingen te kunnen traceren en bijgevolg de auteur van deze handelingen formeel te kunnen identificeren, is het van essentieel belang om in de eerste plaats de individuele account te gebruiken Inadequaat gebruik Behalve het authenticatiesysteem heeft de Kruispuntbank van de Sociale Zekerheid bijkomende veiligheidscontroles geïmplementeerd voor de beveiliging van de werkomgeving. Het spreekt voor zich dat de gebruiker deze veiligheidscontroles niet mag omzeilen. Het is belangrijk om de gebruiker te sensibiliseren op het vlak van de veiligheid. Het is immers niet evident voor de eindgebruiker om de reële impact te bepalen van het uit werking stellen van deze veiligheidscontroles, bijvoorbeeld het loutere feit dat hij een nooddeur door onachtzaamheid laat openstaan. Bovendien moet elk verkeerd gebruik van een authenticatiemiddel zoals elke poging tot omzeiling van het authenticatiesysteem of elke poging tot het kraken van een toegangssysteem aan de beheerder van het toegangssysteem of aan de dienst veiligheid worden gemeld. Als de gebruiker dit niet doet, wordt hij geacht impliciet betrokken te zijn bij het misbruik van het systeem Uitrusting zonder toezicht Wanneer de gebruiker de logische toegang heeft gekregen tot het ene of andere systeem moet hij ervoor zorgen dat andere gebruikers er geen misbruik van kunnen maken. Wanneer de authenticatie is voltooid, "staat de deur immers open". Wanneer de gebruiker iets anders doet, zou iemand deze "open deur" kunnen gebruiken. De gebruiker moet de nodige maatregelen nemen en ervoor zorgen dat de "deur wordt gesloten" telkens hij iets anders doet. Bijvoorbeeld : p 6

7 Telkens wanneer de gebruiker zijn werkpost verlaat, moet hij de gepaste maatregelen nemen om deze informatie die beschikbaar is ingevolge de opening van de sessie, te beschermen. De gebruiker moet bijgevolg zijn werkpost vergrendelen (bijvoorbeeld de beveiligde screensaver). Aangezien mensen ook fouten maken, is het sterk aanbevolen om de screensaver door middel van een paswoord automatisch te activeren na 5 minuten. Door een deuropening fysiek te blokkeren, kunnen onbevoegden toegang krijgen tot de lokalen. De gebruiker moet ook voorzichtig zijn wanneer er samen met hem personen het gebouw betreden omdat deze onbevoegde personen voordeel zouden kunnen halen uit het feit dat de gebruiker de deur opent. Enkel de bevoegde personen mogen het gebouw betreden. In het specifieke geval dat de gebruiker zijn werkpost gedurende een langere periode niet gebruikt, moet hij alle nog open werksessies afsluiten en zijn computer uitschakelen. In vergelijking met de screensaver met paswoord biedt dit een betere bescherming. Wanneer een medewerker vermoedt dat iemand misbruik maakt van een uitrusting dat onbeheerd is achtergelaten, moet hij dit zo snel mogelijk rapporteren aan de veiligheidsdienst. p 7

8 3. «Clear Desk» versus «Clean desk»-beleid: 3.1. Definitie Het «Clean desk»-beleid is verschillend van het «Clear desk»-beleid. Het «Clean desk»-beleid gaat immers verder in die zin dat het begrip "order" wordt toegevoegd. Volgens het «Clear desk»-beleid is het met andere woorden niet nodig om alles wat op het bureau ligt op te ruimen. Het is wel verplicht om de gevoelige informatie ontoegankelijk te maken voor onbevoegden. Elk gevoelig gegeven mag dus niet onbewaakt worden achtergelaten op het bureau. Het «Clean desk»-beleid vereist daarentegen dat alles op het bureau wordt opgeruimd en op een veilige plaats wordt bewaard Doelstellingen De netheid binnen de Kruispuntbank van de Sociale Zekerheid verhogen Wanneer alle bureaus en werkruimtes zijn opgeruimd en er nergens papieren rondslingeren, betekent dit een groter comfortgevoel bij de medewerkers en een positieve indruk van de instelling bij de bezoekers. Ook daarom wordt u gevraagd om niet in de bureaus te eten. Andere ruimtes zijn hiertoe voorzien. De bescherming van de vertrouwelijke gegevens verbeteren Een groot deel van de informatie die door de Kruispuntbank van de Sociale Zekerheid wordt verwerkt, is vertrouwelijk en moet tegen ongeoorloofde toegangen worden beveiligd. De productiviteit verhogen We zijn ervan overtuigd dat een opgeruimd bureau de productiviteit zal verhogen omdat er minder tijd verloren gaat bij het zoeken van documenten. Het concept "Flexdesk" activeren Door toepassing van dat beleid kunnen de bureaus door meerdere medewerkers worden gedeeld In de praktijk Het «Clean desk»-beleid promoot in de praktijk de toepassing van deze drie basisregels: Wanneer de medewerker op kantoor aanwezig is De medewerker probeert enkel de documenten die hij die dag nodig heeft op zijn bureau te laten liggen. p 8

9 Wanneer de medewerker tijdelijk zijn bureau verlaat Indien de medewerker vaak aan vergaderingen deelneemt, moet hij controleren of er geen vertrouwelijke informatie aanwezig is op zijn bureau die onbewaakt mag worden achtergelaten. Indien dit wel het geval is, moet hij deze informatie veilig opbergen. Bovendien moet hij bij een langere afwezigheid zijn computer in slaaptoestand zetten en beveiligen aan de hand van een paswoord. Wanneer de medewerker zijn bureau verlaat Het is de taak van de medewerker om ervoor te zorgen dat alle gevoelige informatie op een veilige plaats wordt opgeborgen zoals een kast die op slot kan en dat zijn bureau is opgeruimd alvorens de instelling te verlaten. Een tweede sleutel moet bijgevolg worden afgegeven aan het Economaat om indien nodig toegang te hebben tot de documenten. Het behoort tot de verantwoordelijkheid van de gebruikers om de nodige veiligheidsmaatregelen te nemen in hun bureau Toegang tot de informatie Een (logisch of fysiek) toegangssysteem werd geïmplementeerd om elke ongeoorloofde toegang tot de instelling te voorkomen. De toegang wordt beveiligd door een toegangsprocedure. De gebruiker kan vertrouwelijke gegevens oproepen tijdens de uitvoering van zijn dagelijkse taken en ze op een andere plaats bewaren waar de toegangsprocedure niet werkt of niet van toepassing is. De gebruiker kan bijvoorbeeld gegevens printen die afkomstig zijn van een toepassing die door middel van de elektronische identiteitskaart is beveiligd. In dat geval is de geprinte versie van deze gegevens niet meer beveiligd. De gebruiker blijft verantwoordelijk voor de informatie, ongeacht de vorm waarin deze informatie wordt opgeslagen. De gebruiker moet dus zorgen voor een goede bescherming ervan. Zodra de informatie niet meer wordt gebruikt door de gebruiker, moet hij zorgen voor de verwijdering ervan. De hierboven toegelichte media moeten zorgvuldig door de gebruiker worden beheerd: prints, brieven, USB-sleutels, back-upschijven, gedeelde bestanden, pc, tablet,.... Dat wil zeggen dat de documenten met gevoelige gegevens niet onbewaakt mogen worden achtergelaten op de printer. Print enkel de documenten die u nodig heeft. Elke USB-sleutel kan worden gebruikt om documenten van het ene systeem naar het andere over te zetten. Wanneer gevoelige gegevens worden overgemaakt, moet elke USB-sleutel worden vercijferd en moeten de gegevens die hierop werden opgeslagen, onmiddellijk na de overzetting worden verwijderd. p 9

10 Elke back-up op om het even welk medium (SD drive, CD, DVD,...) moet in een fysiek beveiligde omgeving worden bewaard en mag nooit onbewaakt worden achtergelaten. Een vernietigingssysteem van de vertrouwelijke documenten is beschikbaar voor de medewerker. Het spreekt voor zich dat ieder vertrouwelijk document op het einde van zijn levenscyclus door dit systeem moet worden vernietigd. Geen enkel persoonsgegeven mag via worden overgemaakt. Alvorens gevoelige bestanden per worden verstuurd, moet ervoor worden gezorgd dat deze bestanden vercijferd zijn. In het geval van gedeelde mappen met gevoelige gegevens voor een bepaald publiek, moeten deze mappen op het niveau van de toegangsrechten worden geconfigureerd. Elke post-it met gevoelige gegevens is strikt verboden. p 10

11 4. Bijkomende beveiliging Binnen de werkomgeving van de Kruispuntbank van de Sociale Zekerheid werden een aantal bijkomende veiligheidsmaatregelen geïmplementeerd. De medewerker moet deze maatregelen in acht nemen en mag ze niet proberen te omzeilen. Onder veiligheidsmaatregelen wordt bijvoorbeeld verstaan de antivirussoftware die op de computers van de Kruispuntbank van de Sociale Zekerheid werd geïnstalleerd. Elke functionele anomalie met betrekking tot deze veiligheidsmaatregelen moet aan de dienst informatica (helpdesk) worden gerapporteerd. Het idee achter deze veiligheidsmaatregelen is de beveiliging van de werkomgeving van de KSZ tegen een menselijke fout. Deze maatregelen moeten de gebruiker in staat stellen om te kunnen werken zonder dat hij zich hoeft te bekommeren over de risico's te wijten aan menselijke fouten. De eindgebruiker moet dus vertrouwen hebben in deze veiligheidsmaatregelen en hij mag ze niet op de ene of andere manier wijzigen Antivirus De Kruispuntbank van de Sociale Zekerheid installeert en onderhoudt een antivirussoftware op elke pc van de instelling. In de wetenschap dat deze antivirus de pc beveiligt tegen iedere virusinfectie afkomstig van verschillende bronnen (mail, internet,...) mag de medewerker de configuratie van het antivirussysteem niet wijzigen of niet deactiveren Back-up De medewerker moet ervoor zorgen dat de gegevens op zijn pc beschermd zijn tegen verlies. Alle gegevens met betrekking tot de Kruispuntbank moeten worden opgeslagen op de "file system"-servers waar de eindgebruiker gebruik kan maken van gedeelde mappen USB-sleutel of andere draagbare media Alle vertrouwelijke informatie die op een draagbare media wordt opgeslagen, moet worden beveiligd tegen elk ongeoorloofd gebruik. In dat opzicht kan elke USBsleutel met een encryptietool worden vercijferd Printer Elke print moet door de eindgebruiker worden bevestigd op de printer. Als gevolg van het "paperless"-beleid wordt de medewerker verzocht de elektronische versie p 11

12 te gebruiken in plaats van de papieren versie. Met de validatie wordt de medewerker gesensibiliseerd voor het "paperless"-beleid. De bron die print, wordt bovendien telkens geïdentificeerd Communicatiemiddelen De medewerker dient in de mate van het mogelijke zijn status aan te duiden in de communicatiemiddelen waarover hij beschikt. Zo heeft hij bijvoorbeeld de mogelijkheid om op zijn VOIP-telefoon zijn status te beheren (aanwezig, afwezig of bezet). De «instant messaging»-software biedt dezelfde mogelijkheid. p 12

13 5. Rapportering, evaluatie en sensibiliseringscampagne Voor dit veiligheidsbeleid moeten de volgende aspecten worden uitgevoerd: Elke medewerker wordt op regelmatige tijdstippen bewust gemaakt voor de inhoud van het veiligheidsbeleid dat op de Kruispuntbank van de Sociale Zekerheid van kracht is. In dat opzicht moet er minstens jaarlijks een sensibiliseringscampagne of informatiesessie met betrekking tot de veiligheid plaatsvinden. De situatie met betrekking tot dit beleid moet worden geëvalueerd om na te gaan of deze veiligheidspolicy wordt nageleefd. p 13

14 6. Bijlage: Brochure - Clean desk policy De medewerker speelt een wezenlijke rol in de veiligheid van de instelling in het algemeen. Daarom is het belangrijk dat hij goed op de hoogte is van zijn rechten en plichten op dat vlak binnen de Kruispuntbank van de Sociale Zekerheid. In de eerste plaats is het de verantwoordelijkheid van de medewerker om de clean desk & clean screen policy in acht te nemen. Op die manier beperkt hij het risico van ongewettigde toegang of beschadiging van het materiaal en de informatieverwerkingsmiddelen dankzij de toepassing van de goede praktijken. De medewerker dient in de mate van het mogelijke: ervoor te zorgen dat alle gevoelige papieren of elektronische documenten zich achter slot bevinden in de daartoe bestemde kasten wanneer hij zijn bureau verlaat; zijn computer in stand-by te zetten en daarbij te beveiligen met een paswoord in geval van langere afwezigheid; vooraleer hij 's avonds vertrekt, zijn bureau op te ruimen en leeg te maken, zijn pc af te sluiten en te beveiligen en alle gevoelige informatie of dragers op een veilige plaats op te bergen. Wanneer een medewerker vermoedt dat iemand misbruik maakt van materiaal dat onbeheerd is achtergebleven, moet hij dit zo snel mogelijk melden aan de veiligheidsdienst. De gebruiker is verantwoordelijk voor de informatie, ongeacht in welke vorm, voor de toegang ertoe en voor zijn authenticatiemiddelen (paswoord, badge,...). De gebruiker dient dus te zorgen voor de adequate beveiliging ervan. Dit betekent dat: het verboden is zijn paswoord mee te delen aan anderen; de documenten met gevoelige informatie niet onbewaakt mogen worden achtergelaten op de printer; bij een overdracht van gevoelige gegevens, de USB-sleutel moet worden vercijferd en de gegevens die hierop werden opgeslagen onmiddellijk na de overdracht moeten worden verwijderd; elke opslagtool, zoals USB-sleutels, sd-, cd- of dvd-drives, zich in een fysiek beveiligde omgeving moet bevinden en niet onbewaakt mag worden achtergelaten; het verboden is om gebruik te maken van post-its waarop men gevoelige informatie neerschrijft. p 14