Informatiebeveiligingsbeleid (IBB)

Transcriptie

1 Cmpetentie Thermmeter Niclaes Maesstraat 2 unit 216 Infrmatiebeveiligingsbeleid (IBB) De veiligheid van de sftware die Cmpetentie Thermmeter BV (hierna: CT) aanbiedt, staat hg in het vaandel. We hebben daarm een Infrmatiebeveiligingsbeleid (IBB) met prcedures en prtcllen pgesteld. Op deze manier is zwel intern als vr vr klanten helder he gehandeld dient te wrden in verschillende situaties. Het IBB is een frmeel beleidsdcument dat tweemaal per jaar wrdt herzien en aangevuld. Leeswijzer Dit dcument is de basis van een set dcumenten met betrekking tt veiligheid en privacy. Algemene Vrwaarden De vrwaarden van CT waarmee klanten akkrd gaan bij het aangaan van de Overeenkmst vr het gebruik van de sftware; Calamiteitenplan Intern dcument met beleid en beschrijving van de prcedures bij diverse calamiteiten zals een string, diefstal, datalek, nalatigheid f uitval; Privacyverklaring Beschrijving van de mgang met gegevens en gevelige infrmatie van klanten, waarin tevens wrdt aangegeven welke gegevens wrden verwerkt bij bezekers van de website en scial media; Prcedure Datalek Beschrijving van de prcedure in het geval van een datalek waarbij gevelige infrmatie van klanten dr derden kan wrden ingezien f gebruikt. De wet Melding Datalek vereist dat iedere rganisatie een prcedure heeft pgesteld in het geval van een datalek; Risic Instructie Instructie vr medewerkers en partners van CT met beschrijving van mgelijke gevaren en risic s van het werken met gevelige gegevens en een beschrijving van de verantwrdelijkheden, functies en taken van de verschillende persnen binnen de rganisatie; Verwerkersvereenkmst Overeenkmst die wettelijk gezien dr de klanten van CT in de rl van Verwerkingsverantwrdelijke, met CT in de rl van Verwerker met wrden afgeslten p basis van de Algemene Verrdening Gegevensbescherming. CT heeft hier een mdelvereenkmst vr pgesteld die wrdt vrgelegd aan de klanten.

2 Cmpetentie Thermmeter Niclaes Maesstraat 2 unit 216 Risic Management Team Binnen de rganisatie van Cmpetentie Thermmeter is een Risic Management Team verantwrdelijk vr de uitver van het Risic Management Prgramma (RMP) en het beheren van alle dcumenten zals genemd in de Leeswijzer. Het Risic Management Team bestaat uit: Data Prtectin Officer (DPO) Marten Wilmink Verantwrdelijk vr het Risic Management Prgramma en vrzitter RMT; Directeur Cmpetentie Thermmeter Daniel Hpman Verantwrdelijk vr Cmpetentie Thermmeter BV; Privacy Officer (indien ndzakelijk) Jst Kuhlmann Juridisch adviseur wet en regelgeving p het gebied van privacy en IT. Risic Management Prgramma Cmpetentie Thermmeter heeft vr het beheersen van haar Infrmatiebeveiligingsbeleid een Risic Management Prgramma (RMP) ingericht dat wrdt uitgeverd dr het Risic Management Team (RMT). Dit team bestaat uit de Data Prtectin Officer en Directeur CT en kmt iedere zes maanden bijeen vr: Analyse van risic s vr privacy en veiligheid binnen bedrijfsprcessen en uitvering; Evaluatie van eerder geïmplementeerde verbetermaatregelen en vrstel van eventuele aanpassingen; Opstellen cncrete actiepunten en verbetermaatregelen vr nieuwe en bestaande risic s; Verslaglegging (verantwrdelijkheid DPO); De aanpak van risic s binnen het RMP is gebaseerd p de Plan-D-Check-Act-cyclus. Dit betekent dat cntinu wrdt gekeken naar ptimalisatie van prcessen en beleid p het gebied van veiligheid, ntwikkeling en risic s: Plan Analyse beveiligingsrisic s, vaststellen pririteit en ntwerpplan van aanpak vr ptimalisatie. D - Uitvering geplande ptimalisatie; Check - Evaluatie resultaat van de ptimalisatie; Act - Bijstellen aan de hand van de gevnden resultaten bij Check. Human Resurces Alle medewerkers en partners van CT wrden gescreend alvrens ze in dienst treden bij CT p basis van een Verklaring Omtrent het Gedrag (VOG). Deze screening zal peridiek wrden uitgeverd. Nieuwe medewerkers van CT en externe partijen die met gevelige infrmatie van CT werken, tekenen een geheimhudingsverklaring waarin ze bevestigen dat ze de Risic Instructie (RI), het Calamiteitenplan en de Prcedure Datalek die CT vrlegt bij indiensttreding, hebben gelezen en begrepen. De Risic Instructie bevat een verzicht van de verantwrdelijkheden die medewerkers aangaan bij indiensttreding en de bewustwrding van de mgelijke cnsequenties van nalatigheid f bepaalde beslissingen.

3 Cmpetentie Thermmeter Niclaes Maesstraat 2 unit 216 Alle dcumenten binnen het Infrmatiebeveiligingsbeleid wrden jaarlijks bijgewerkt als nderdeel van het Risic Management Prgramma. Medewerkers en externen wrden vervlgens van de aanpassingen p de hgte gesteld. Het pfrissen van de infrmatie uit de IBT, het Calamiteitenplan en de Prcedure Datalek is een vast nderdeel tijdens de jaarlijkse berdelingscyclus van CT met haar medewerkers en wrdt als dusdanig k vastgelegd in het gespreksverslag. Lgische tegang De Data Prtectin Officer is verantwrdelijk vr het beheer van de lgische tegang tt belangrijke gegevens met betrekking tt de applicatie. Hier valt te denken aan tegangscdes, sleutels en wachtwrden vr servers, sftware en databases. De lgische tegang vr de verschillende nderdelen van de rganisatie, zals de sftware, de servers, het CRM, diverse scial-mediakanalen en de website zijn vastgelegd in wachtwrd sftware met aparte kluizen vr verschillende niveaus en nderdelen. De directeur van Cmpetentie Thermmeter is verantwrdelijk vr de fysieke tegang tt panden, het sleutelbeleid en de alarminstallatie. Jaarlijks f indien ndzakelijk geacht, wrdt de lgische tegang als nderdeel van het PDCA van alle medewerkers en betrkkenen geëvalueerd en waar ndig bijgesteld. Indien gewenst kan een verzicht wrden gegeven van alle persnen met lgische tegang. Privacy Met betrekking tt de privacy van gebruikers en de verwerking van gegevens is een aparte Privacyverklaring pgesteld. Deze is te vinden p de website van CT ( Klanten van CT zijn wettelijk verplicht m in hun rl als Verwerkingsverantwrdelijke, zals gedefinieerd in de Algemene Verrdening Gegevensbescherming (Verrdening EU 2016/679) (hierna: AVG ), een verwerkersvereenkmst aan te gaan met de Verwerker van persnsgegevens, in dit geval CT. CT biedt hiervr een Verwerkersvereenkmst aan die ndertekend kan wrden m aan deze plicht te vlden. In deze Verwerkersvereenkmst wrden de persnsgegevens beschreven die wrden verwerkt in pdracht van de Verwerkingsverantwrdelijke. Datalek In geval van een datalek treedt de Prcedure Datalek in werking en zal de aangestelde Data Prtectin Officer (DPO) binnen één werkdag melding maken aan de Verwerkingsverantwrdelijke ver de aard, mvang en impact van het betreffende incident. Tevens zal binnen twee dagen melding nadat de verantwrdelijke persn binnen CT er kennis van heeft genmen, het incident bij de Autriteit Persnsgegevens gemeld wrden. Lees vr meer infrmatie ver dit nderwerp het dcument Prcedure Datalek. Dit dcument is te vinden p de website van CT ( Sftwarentwikkeling Bij het ntwikkelen van de sftware vr CT is veiligheid en bescherming van de (persns)gegevens één van de belangrijkste pijlers. Naast het cntinu testen van de sftware dr ntwikkelaars en testers, wrden k de best practices aangehuden p het gebied van veilige sftware. Het bijwerken en updaten van alle gebruikte sftware, framewrks en mdules naar de meest recente versies is hiervan een belangrijk nderdeel.

4 Cmpetentie Thermmeter Niclaes Maesstraat 2 unit 216 Bij aanpassingen van de sftware f servercnfiguratie wrdt een impactanalyse uitgeverd. Cncreet wrden alle wijzigingen p een acceptatiemgeving die identiek is aan de prductiemgeving getest. De sftware wrdt p de acceptatiemgeving sftwarematig en handmatig getest m de werking te cntrleren en de impact van aanpassingen f upgrades p andere nderdelen binnen de sftware te analyseren. Updates wrden vlgens het Releasebeleid van CT uitgeverd. Onderdeel van dit beleid is de cmmunicatie richting gebruikers vr en na geplande update. Beveiligingsmaatregelen Verwerker neemt de bescherming van de Persnsgegevens zeer serieus en neemt passende maatregelen m misbruik, verlies, nbevegde tegang, ngewenste penbaarmaking en ngerlfde wijziging tegen te gaan. Verwerker implementeert daarte de vlgende maatregelen met betrekking tt de sftware en infrastructuur: Beveiligingssftware: virusscanner en firewall; TLS (vrheen SSL): Verwerker verstuurt Persnsgegevens (en alle andere gegevens) via een beveiligde internetverbinding; DKIM en SPF: zijn twee internetstandaarden die Verwerker gebruikt m te vrkmen dat gebruikers uit naam van Verwerker s ntvangt die virussen bevatten, spam zijn f bedeld zijn m persnlijke (inlg)gegevens te bemachtigen. Leveranciers Hsting Verwerker slaat zwel applicatie als back-upgegevens p p servers van Amazn. Daarte gebruikt Verwerker het datacentrum van Amazn in Frankfurt, Duitsland. Amazn is een bedrijf dat gevestigd is in de Verenigde Staten. Amazn garandeert dat persnsgegevens die in Eurpa wrden pgeslagen nit naar de Verenigde Staten wrden getransprteerd, tenzij zij daarte wettelijk verplicht is. Mchten er tch persnsgegevens naar de Verenigde Staten wrden getransprteerd, dan garandeert Amazn dat p die gegevensverwerking in de Verenigde Staten hetzelfde strenge privacy-regime van tepassing is als in Eurpa. Om deze garantie te kunnen bieden is Verwerker met Amazn een vereenkmst aangegaan (AWS Data Prcessing Addendum) die Amazn heeft laten gedkeuren dr de Eurpese privacy tezichthuders. De Persnsgegevens van de gebruikers wrden dus k p deze servers pgeslagen. Persnsgegevens in de database zullen wrden pgeslagen p servers in en zullen niet wrden gekpieerd f verplaatst naar servers in landen waar een minder streng privacy-regime heerst dan in Eurpa. Via de vlgende link is na te lezen he Amazn de bescherming van persnsgegevens garandeert:

5 Cmpetentie Thermmeter Niclaes Maesstraat 2 unit 216 Certificering De hsting servers van Amazn zijn nder andere ISO 9001 en ISO gecertificeerd. Bekijk vr een vlledig verzicht van alle certificeringen de cmpliance pagina van Amazn p: Bedrijfscntinuïteit Vr het brgen van de bedrijfscntinuïteit is met een partner (Escrw4All) een prces ingericht waarin jaarlijks brncde, access en maintenance checks wrden uitgeverd. In het geval van faillissement f ngevallen, zal de applicatie drie maanden vlgens de gebruikelijke standaarden blijven werken. Hierin is het waarbrgen van data ns grtste belang. Het advies aan klanten is k m met enige regelmaat zelf exprts van gegevens te maken uit de applicatie. Indien klanten een Escrw-certificaat willen ntvangen en dit prces in gang willen zetten, dan is dat tegen vergeding mgelijk.