POLICY : VEILIGHEIDSBEHEERDER. Auteur André Staquet Andere auteurs Versie 0.1.a Update 22/06/2005 Naam Functie Datum Herzien door Goedgekeurd door

Transcriptie

1 POLICY : VEILIGHEIDSBEHEERDER Auteur André Staquet Andere auteurs Update 22/06/2005 Naam Functie Datum Herzien door Goedgekeurd door Directoraat-Generaal Dienstenbeheer 23/06/2005

2 1 MEDEWERKERS Naam Delphine Duprez Samoera Jacobs Peter Maes Alain Huet Functie Expert Dienstenbeheer Juriste Services Manager Hoofdconsulent informatieveiligheid Auteur André Staquet Pagina 2 van 15

3 2 HISTORIEK Datum Auteur Versie Commentaren en opmerkingen 01/06/05 A.Staquet 0.0.a Initiële versie Auteur André Staquet Pagina 3 van 15

4 3 INHOUDSTAFEL 1 MEDEWERKERS 2 2 HISTORIEK 3 3 INHOUDSTAFEL 4 4 DOELGROEP 5 5 DOELSTELLING 6 6 POLICY 7 7 DETAIL INHOUDSTAFEL 15 Auteur André Staquet Pagina 4 van 15

5 4 DOELGROEP Dit document is bestemd voor alle personen die verantwoordelijk en bevoegd zijn om de veiligheidscontactpersonen, de gedelegeerde veiligheidsbeheerders, de veiligheidsbeheerders of de voornaamste veiligheidsbeheerders te benoemen. Dit document is ook bestemd voor de persoon die optreedt als veiligheidscontactpersoon, als gedelegeerde veiligheidsbeheerder, als veiligheidsbeheerder of als voornaamste veiligheidsbeheerder. Auteur André Staquet Pagina 5 van 15

6 5 DOELSTELLING Dit document heeft als doel de benoemings- en uitvoeringsregels te bepalen voor de missie als veiligheidscontactpersoon, gedelegeerde veiligheidsbeheerder, veiligheidsbeheerder of voornaamste veiligheidsbeheerder. Auteur André Staquet Pagina 6 van 15

7 6 POLICY [1] Verschil tussen de functies Een aantal functies betreffende de veiligheid bestaan binnen de instellingen. Dewelke? Veiligheidsofficier : De veiligheidsofficier is belast met het beheer van de machtigingen en van de geclassificeerde documenten binnen zijn organisatie en zorgt voor de veiligheidsmaatregelen van de technische middelen voor de overzending van de geclassificeerde gegevens. De beheerder van het informatiesysteem mag geen functies van de veiligheidofficier uitoefenen. Referentie : Koninklijk besluit tot uitvoering van de wet van 11 december 1998 betreffende de classificatie en de veiligheidsmachtigingen. Informatieveiligheidsconsulent: De veiligheidsconsulent verzerkert, met het oog op de veiligheid van de sociale gegevens die door zijn instelling worden verwerkt of uitgewisseld (en met het oog op de bescherming van de persoonlijke levenssfeer van de personen op wie deze sociale gegevens betrekking hebben) : Het verstrekken van deskundige adviezen aan de persoon belast met het dagelijks bestuur; Het uitvoeren van opdrachten die hem door de persoon belast met het dagelijks bestuur worden toevertrouwd. Referentie : Wet houdende oprichting en organisatie van een Kruispuntbank van de sociale zekerheid (wet van 15 januari 1990) Hoofdinformatieveiligheidconsulent Zie Informatieveiligheidsconsulent Veiligheidsconsulent : Zie Informatieveiligheidsconsulent Veiligheidsconsulent De veiligheidsconsulent maakt Ambtenarentokens aan, verleent of annuleert de toegang, kent rollen toe binnen de on-line toepassingen aan de ambtenaren en vraagt het Ambtenarentoken aan. Hij waakt tevens over de veiligheid van de gegevens. In overleg met de eigenaar van de applicatie bepaalt hij/zij wie al dan niet toegang krijgt tot deze toepassing. Binnen deze toepassing bepaalt hij/zij welke gegevens de ambtenaar kan lezen, schrijven, bijwerken of verwijderen. Dit gebeurt eveneens in overleg met de eigenaar van de toepassing. Dit noemt men het toekennen van rollen. Referentie : Zie definitie gegeven door het federale portaal 1 1 Link naar de definitie veiligheidsconsulent : ontentpage&docid=30716 Auteur André Staquet Pagina 7 van 15

8 [2] Wat is een instelling? [3] Welke instellingen zijn betrokken? [4] Wat is een Ambtenarentoken? [5] Organisatie van en verantwoordelijkheid van de veiligheidsbeheerders en - contactpersonen Belangrijk : De functie veiligheidsconsulent werd herroepen en is vervangen door de functie veiligheidsbeheerder. Veiligheidsbeheerder en -contactpersoon: De veiligheidsbeheerder en contactpersoon zijn verantwoordelijk voor het operationele en dagelijkse beheer van het Ambtenarentoken binnen hun instelling, alsook voor de relaties tussen de instellingen i.v.m. het Ambtenarentoken. In onderhavige policy vindt u een volledige beschrijving van de functies veiligheidsbeheerder en -contactpersoon. Instelling van Belgisch recht aan wie taken van algemeen belang zijn toevertrouwd krachtens een wet, een decreet of een ordonnantie. Alle instellingen, aangehaald door de definitie van de instelling (zie [1]), waarvoor ten minste één van zijn personeelsleden over een Ambtenarentoken moet beschikken om zijn opdracht te kunnen vervullen. Een Token is een lijst met 24 persoonlijke codes die op een kaart (kredietkaartformaat) geschreven wordt. Het wordt gebruikt om de authenticatie op het portaal te versterken en de toegang tot beveiligde on-line diensten die eigen zijn aan de Overheid mogelijk te maken. De veiligheidsbeheerders en contactpersonen hebben een operationele rol en wordt als volgt georganiseerd: De voornaamste veiligheidsbeheerder (FEDICT) is de globale verantwoordelijke voor het beheer van het Ambtenarentoken en hij rapporteert aan de directeur-generaal Dienstenbeheer (FEDICT). Hij wordt bijgestaan door ofwel veiligheidsbeheerders ofwel door veiligheidscontactpersonen; De veiligheidsbeheerder rapporteert aan de voornaamste veiligheidsbeheerder en is verantwoordelijk voor een instelling (agentschap) van groot belang. Hij wordt bijgestaan doo rofwel gedelegeerde veiligheidsbeheerders ofwel door veiligheidscontactpersonen; De gedelegeerde veiligheidsbeheerder rapporteert aan de veiligheidsbeheerder en is verantwoordelijk voor een instelling van middelgroot belang (departement) die valt onder een instelling van groot belang. Hij wordt desgevallend door veiligheidscontactpersonen bijgestaan; De veiligheidscontactpersoon rapporteert afhankelijk van de organisatie ofwel aan de voornaamste veiligheidsbeheerder ofwel aan een veiligheidsbeheerder ofwel aan een delegeerde veiligheidsbeheerder. Hij is verantwoordelijke voor een klein groep gebruikers van het Ambtenarentoken. Het volgend schema toont de organisatorische afhankelijkheden tussen deze verschillende functies : Auteur André Staquet Pagina 8 van 15

9 VOORNAAMSTE VEILIGHEIDSBEHEERDER FEDICT VEILIGHEIDSBEHEERDER Instelling/Agentschap van groot belang (*) GEDELEGEERDE VEILIGHEIDSBEHEERDER Instelling/Agentschap van matig belang (*) VEILIGHEIDSCONTACTPERSOON Instelling van klein belang (*) VEILIGHEIDSCONTACTPERSOON Instelling van klein belang (*) VEILIGHEIDSCONTACTPERSOON Instelling van klein belang (*) G E B R U I K E R S V A N A M B T E N A R E N T O K E N (*) Belang = aantal gebruikers van Ambtenarentoken binnen de betrokken instelling [6] Rol van de voornaamste veiligheidsbeheerder De voornaamste veiligheidsbeheerder voert de volgende taken uit: De aanvragen i.v.m. de gebruikers invoeren; De gebruiker op het federale portaal desgevallend creëren; De samenwerking verzekeren met al de veiligheidsbeheerders en veiligheidscontactpersonen; De instellingen (agentschappen) in het gebruikersbeheersysteem te definiëren in samenwerking met P&O en de KBO (om het KBO-nummer te creëren) ; De veiligheidsbeheerders en veiligheidscontactpersonen in het gebruikersbeheersysteem definiëren; Ieder gerapporteerd probleem i.v.m. het Ambtenarentoken behandelen; Een (nieuw) Token aanvragen in de volgende gevallen: o De gebruiker heeft zijn Ambtenarentoken niet ontvangen; o De gebruiker heeft zijn Ambtenarentoken verloren; o Het Ambtenarentoken van de gebruiker werd gestolen. Een Ambtenarentoken desactiveren indien dit niet meer nuttig is (bijvoorbeeld: ontslag, pensioen, afwezigheid van lange duur ) en het opnieuw activeren indien nodig; De briefwisseling met de Tokens ontvangen en veilig aan de Auteur André Staquet Pagina 9 van 15

10 [7] Rol van de veiligheidsbeheerder [8] Rol van de gedelegeerde veiligheidsbeheerder gebruikers overhandigen; De veiligheidsbeheerders en veiligheidscontactpersonen sensibiliseren en vormen inzake hun verantwoordelijkheden, taken en hulpmiddelen die ze zullen gebruiken. De veiligheidsbeheerder voert de volgende taken uit: De aanvragen i.v.m. de gebruikers invoeren; De samenwerking met de voornaamste veiligheidsbeheerder verzekeren; Ieder probleem behandelen i.v.m. het Ambtenarentoken dat door de gebruikers gerapporteerd wordt; Een (nieuw) Token aanvragen in de volgende gevallen: o De gebruiker heeft zijn Ambtenarentoken niet ontvangen; o De gebruiker heeft zijn Ambtenarentoken verloren; o Het Ambtenarentoken van de gebruiker werd gestolen. Een Ambtenarentoken desactiveren indien dit niet meer nuttig is (bijvoorbeeld: ontslag, pensioen, afwezigheid van lange duur ) en het opnieuw activeren indien nodig; De briefwisseling met de Tokens ontvangen en veilig aan de gebruikers overhandigen; De samenwerking verzekeren met de gedelegeerde veiligheidsbeheerders en de veiligheidscontactpersonen die onder zijn instelling vallen; De departementen van de instelling in het gebruikersbeheersysteem definiëren; De gedelegeerde veiligheidsbeheerders en de veiligheidscontactpersonen in het gebruikersbeheersysteem toevoegen; De gedelegeerde veiligheidsbeheerders en de adjunctveiligheidscontactpersonen sensibiliseren en vormen inzake hun verantwoordelijkheden, taken en hulpmiddelen die ze zullen gebruiken. Andere terminologie: Agentschapsadministrateur De veiligheidsbeheerder voert de volgende taken uit: De aanvragen i.v.m. de gebruikers invoeren; De samenwerking met de veiligheidsbeheerder verzekeren; Ieder probleem behandelen i.v.m. het Ambtenarentoken dat door de gebruikers gerapporteerd wordt; Een (nieuw) Token aanvragen in de volgende gevallen: o De gebruiker heeft zijn Ambtenarentoken niet ontvangen; o De gebruiker heeft zijn Ambtenarentoken verloren; o Het Ambtenarentoken van de gebruiker werd gestolen. Een Ambtenarentoken desactiveren indien dit niet meer nuttig is (bijvoorbeeld: ontslag, pensioen, afwezigheid van lange Auteur André Staquet Pagina 10 van 15

11 [9] Rol van de veiligheidscontactpersoon duur ) en het opnieuw activeren indien nodig; De briefwisseling met de Tokens ontvangen en veilig aan de gebruikers overhandigen; De samenwerking verzekeren met de veiligheidscontactpersonen die onder zijn instelling vallen; De departementen van de instelling in het gebruikersbeheersysteem definiëren; De gedelegeerde veiligheidsbeheerders en de veiligheidscontactpersonen in het gebruikersbeheersysteem toevoegen; De veiligheidscontactpersonen sensibiliseren en vormen inzake hun verantwoordelijkheden, taken en hulpmiddelen die ze zullen gebruiken. Andere terminologie: Departementadministrateur De veiligheidscontactpersoon voert de volgende taken uit: De aanvraagformulieren valideren en aan de veiligheidsbeheerder doorgeven; De briefwisseling met de Tokens ontvangen en veilig aan de gebruikers overhandigen; Elk probleem i.v.m. het Ambtenarentoken aan de veiligheidsbeheerder rapporteren; De samenwerking met de veiligheidsbeheerder verzekeren. [10] Overzicht De volgende tabel geeft een samenvatting van de organisatorische afhankelijkheid en van de toekenning van rollen voor de veiligheidsbeheerders en -contactpersonen: Auteur André Staquet Pagina 11 van 15

12 Organisatieafhankelijkheid Voornaamste veiligheidsbeheerder (FEDICT) Veiligheidsbeheerder (Agentschap) Gedelegeerde veiligheidsbeheerder (Departement) Veiligheidscontactpersoon Rollen De gedelegeerde veiligheidsbeheerders en de veiligheidscontactpersonen in het gebruikersbeheersysteem toevoegen; Voornaamste veiligheidsbeheerd Veiligheidsbeheerder Gedelegeerde veiligheidsbeheer Veiligheidscontactpersoon [11] Als gebruiker van een Ambtenarentoken De samenwerking verzekeren met al de veiligheidsbeheerders en veiligheidscontactpersonen; De samenwerking met de veiligheidsbeheerder verzekeren; De samenwerking met de voornaamste veiligheidsbeheerder verzekeren De samenwerking verzekeren met de gedelegeerde veiligheidsbeheerders en de veiligheidscontactpersonen die onder zijn instelling vallen; De samenwerking verzekeren met de veiligheidscontactpersonen die onder zijn instelling vallen; De gebruiker op het federale portaal desgevallend creëren De departementen van de instelling in het gebruikersbeheersysteem definiëren De veiligheidsbeheerders en veiligheidscontactpersonen in het gebruikersbeheersysteem definiëren; De instellingen (agentschappen en departementen) in het gebruikersbeheersysteem te definiëren in samenwerking met P&O en de KBO (om het KBO-nummer te creëren) Een (nieuw) Token aanvragen in de volgende gevallen Een Ambtenarentoken desactiveren indien dit niet meer nuttig is (bijvoorbeeld: ontslag, pensioen, afwezigheid van lange duur ) en het opnieuw activeren indien nodig Ieder probleem behandelen i.v.m. het Ambtenarentoken dat door de gebruikers gerapporteerd is Ieder gerapporteerd probleem i.v.m. het Ambtenarentoken behandelen Elk probleem i.v.m. het Ambtenarentoken aan de veiligheidsbeheerder rapporteren De briefwisseling met de Tokens ontvangen en veilig aan de gebruikers overhandigen De aanvragen i.v.m. de gebruikers invoeren De veiligheidscontactpersonen sensibiliseren en vormen inzake hun verantwoordelijkheden, taken en hulpmiddelen die ze zullen gebruiken De gedelegeerde veiligheidsbeheerders en de adjunct-veiligheidscontactpersonen sensibiliseren en vormen inzake hun verantwoordelijkheden, taken en hulpmiddelen die ze zullen gebruiken De veiligheidsbeheerders en veiligheidscontactpersonen sensibiliseren en vormen inzake hun verantwoordelijkheden, taken en hulpmiddelen die ze zullen gebruiken De aanvraagformulieren valideren en aan de veiligheidsbeheerder doorgeven De veiligheidsbeheerders en contactpersonen moeten dezelfde toekennings- en gebruiksregels van het Ambtenarentoken naleven als de gebruikers. Referentie : Gebruikerspolicy [12] Privacy De veiligheidsbeheerders en contactpersonen verbinden zich de wet tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (wet van 8 december 1992) na te leven. [13] Rijksregister De veiligheidsbeheerders en contactpersonen verbinden zich de wet tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen en van de wet van 19 juli 1991 betreffende de bevolkingsregisters en de identiteitskaarten en tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen ) na te leven. Auteur André Staquet Pagina 12 van 15

13 [14] Specificiteiten van de opdracht [15] Voorwaarde om de functie veiligheidsbeheerder of contactpersoon te vervullen [16] Aanduiding van de veiligheidsbeheerder s en - contactpersonen [17] Bewaring van de documenten [18] Raadpleging van de documenten [19] Lijst van de te ondertekenen machtigingen [20] Controle van de toegangsaanvragen tot de on-line diensten voor ambtenaren De opdracht van de veiligheidsbeheerder en -contactpersoon is van vertrouwelijke aard (zie het punt over privacy). De veiligheidsbeheerders en contactpersonen kunnen in het kader van het Ambtenarentoken enkel rapporteren aan de veiligheidsbeheerder waaronder ze vallen; een uitzondering is voorzien voor de voornaamste veiligheidsbeheerder die valt onder de directeurgeneraaal Dienstenbeheer (FEDICT). De persoon die als veiligheidsbeheerder of contactpersoon benoemd wordt moet zich gedragen overeenkomstig met de functie, in het bezit zijn van zijn burgerrechten en van zijn politieke rechten en blijk geven van achtbaarheid en integriteit. De persoon dient het Ambtenarentoken te gebruiken. De veiligheidsbeheerders en contactpersonen worden benoemd binnen een instelling door de verantwoordelijke voor deze instelling op aanvraag van de voornaamste veiligheidsbeheerder of van de veiligheidsbeheerder en met het akkoord van deze. De voornaamste veiligheidsbeheerder wordt benoemd door de directeur-generaal Dienstenbeheer (FEDICT). De documenten betreffende het Ambtenarentoken en in het bijzonder alle documenten waar het Rijksregisternummer op vermeld wordt, moeten op een veilige manier bewaard worden. De documenten betreffende het Ambtenarentoken kunnen op aanvraag geraadpleegd worden bij de veiligheidsbeheerder- of contactpersoon die daarmee belast is. De personen die het recht hebben de raadpleging van deze documenten te vragen zijn de volgende : De gebruiker: Hij mag alleen de documenten raadplegen die hem aanbelangen. De veiligheidsbeheerder waaronder de betrokken veiligheidsbeheerder of contactpersoon ressorteert: De veiligheidsbeheerder kan alle documenten raadplegen i.v.m. het Ambtenarentoken dat onder de verantwoordelijkheid staat van de veiligheidsbeheerder of contactpersoon die onder zijn gezag is. Elke veiligheidsbeheerder of contactpersoon moet in het bezit zijn van een lijst van mensen die gemachtigd zijn een aanvraagformulier te ondertekenen voor de toegang tot de on-line diensten voor ambtenaren voor de gebruikers van zijn instelling. Per organisatieniveau van de veiligheidsbeheerders en contactpersonen er is consolidatie van de verschillende lijsten van de mensen die gemachtigd zijn om te ondertekenen. De voornaamste veiligheidsbeheerder heeft een volledige lijst in zijn bezit van de mensen die gemachtigd zijn te ondertekenen voor al de instellingen die het Ambtenarentoken gebruiken. Al de handtekeningen van de overheid op een document i.v.m. het Ambtenarentoken moeten geverifieerd worden door de veiligheidsbeheerder of -contactpersoon tegenover de lijst mensen die gemachtigd zijn te ondertekenen. Auteur André Staquet Pagina 13 van 15

14 [21] Sancties De niet-naleving van het gebruikerscharter en van onderhavig policy kan aanleiding geven tot een onderzoek dat kan worden afgesloten met een sanctie in overeenstemming met de regels die in de instelling van toepassing zijn2. Het belang van de sanctie staat in verhouding tot de rol van de gebruiker tegenover het Token: Rol gebruiker t.o.v. het Token Gradatie van sanctie 3 Gewone gebruiker + Veiligheidscontactpersoon 4 ++ Gedelegeerde veiligheidsbeheerder [22] Aanvaarding van de functie Voornaamste veiligheidsbeheerder ++++ Door de volgende voorwaarden te aanvaarden verbindt de veiligheidsbeheerder- of contactpersoon zich de bewoordingen van zijn opdracht te respecteren en is hij zich bewust van de sancties die verbonden zijn met de niet-naleving van deze voorwaarden. Voorwaarden: Het gebruikerscharter van de Ambtenarentoken aanvaarden; De gebruikerspolicy aanvaarden; Aanvraag om veiligheidsbeheerder- of contactpersoon te worden; Onderhavig policy aanvaarden. 2 Indien nodig dient het arbeidsreglement in deze zin aangepast te worden. 3 Gradatie van de sanctie: van simpele berisping ( + ) tot zware sanctie ( ++++ ). 4 De veiligheidscontactpersoon zou dezelfde sancties kunnen krijgen als een gedelegeerde veiligheidsbeheerder. 5 De gedelegeerde veiligheidsbeheerder zou dezelfde sancties kunnen krijgen als de voornaamste veiligheidsbeheerder. Auteur André Staquet Pagina 14 van 15

15 7 DETAIL INHOUDSTAFEL 1 MEDEWERKERS 2 2 HISTORIEK 3 3 INHOUDSTAFEL 4 4 DOELGROEP 5 5 DOELSTELLING 6 6 POLICY 7 7 DETAIL INHOUDSTAFEL 15 Auteur André Staquet Pagina 15 van 15