ALGEMENE BETROUWBAARHEIDSEISEN BEVEILIGING BIJZONDERE INFORMATIE A UITWERKING Inleiding 1 Zoals in het hoofddocument al is aangegeven wordt met de invoering van deze versie van het ABDO het begrip informatie zeer breed opgevat. Toch is omwille van overzichtelijkheid in de betrouwbaarheidseisen een tweedeling uitgevoerd. In deze bijlage wordt tabellarisch aangegeven aan welke algemene eisen voldaan moet worden om informatie van een bepaalde rubricering adequaat te beveiligen. De hier aangegeven betrouwbaarheidseisen hebben dus geen betrekking op beveiliging in een ICTomgeving. Deze korte inleiding dient ter verduidelijking van onderstaande betrouwbaarheidseisen. 2 Er is gekozen voor deze tabellarische benadering omdat zowel uit overleg binnen het ministerie van Defensie als uit overleg met industriële partners gebleken is dat dit de vorm is waar men het meeste behoefte aan heeft. Bij het opstellen van de betrouwbaarheidseisen is uitgegaan van een binnen de Nederlandse industrie breed geaccepteerde aanpak, namelijk de aanpak van de Code Voor Informatie Beveiliging (CVIB), versie november 2000. Ook overheidsbrede regelgeving in deze heeft in beginsel dit normstellend document gevolgd maar blijft op een abstracter niveau. Om de industriële partners echter meer duidelijkheid te verschaffen is in deze bijlage gekozen voor een benadering die duidelijk dichter bij de CVIB ligt. Derhalve zult u in onderstaande betrouwbaarheidseisen vrijwel iedere hoofdparagraaf van het CVIB vertegenwoordigd zien. 3 In de betrouwbaarheidseisen zijn onderwerpen aangegeven waaraan bij beveiliging van de respectievelijke categorieën aandacht besteed moet worden. Indien voor een bepaalde rubricering bij het betreffende onderwerp een markering middels aangebracht is betekend dit, dat invulling gegeven moet worden aan het betreffende onderwerp. Indien de markering bestaat uit een K betekent dit, dat invulling mogelijk is maar dat een beslissing genomen moet worden in samenspraak met de MIVD. Deze beslissing zal afhankelijk zijn van aanvullende beveiligingsmaatregelen. 4 Veel onderwerpen zullen voor ingewijden duidelijk zijn. Daar waar echter twijfel of onzekerheid bestaat kan verduidelijking gevonden worden in de corresponderende paragraaf van de Code voor Informatiebeveiliging (CVIB). U vindt de referenties aan het CVIB tussen vierkante haakjes achter de beschrijving van de betrouwbaarheidseisen. 5 In een aantal velden van de betrouwbaarheidseisen vindt u geen markeringen maar korte beschrijvende termen. Deze geven heel summier aan waarop expliciet te letten is bij de invulling van het betreffende onderwerp. Zo kan bijvoorbeeld een veld gevuld zijn met de tekst 3mnd dit geeft aan dat voor de betreffende bewaartermijn ten minste 3 maanden noodzakelijk geacht wordt. 6 Naast de referenties staat in een aantal velden voetnoten tussen haakjes vermeld. Deze verwijzen naar teksten die aan het einde van de lijst met betrouwbaarheidseisen opgenomen zijn. Deze teksten geven nadere uitleg omtrent de minimaal te nemen maatregelen maar zijn te omvangrijk om middels korte vermeldingen in de respectievelijke velden een duidelijk beeld te scheppen van wat verlangd wordt. 7 Over het algemeen geldt voor de gehele lijst van betrouwbaarheidseisen dat hierin de minimumeisen weergegeven worden die gesteld worden om de exclusiviteit van de toevertrouwde of gegenereerde informatie adequaat te beveiligen. Er is ook een aantal betrouwbaarheidseisen vermeld die betrekking hebben op de beschikbaarheid of de integriteit van gegevens. Deze zijn echter te verstaan als noodzakelijk om de exclusiviteit te waarborgen. Uiteraard kan het in het kader van de algemene beveiligingsmaatregelen binnen het bedrijf noodzakelijk zijn meer aandacht aan beschikbaarheid en integriteit te schenken. Dit is echter, zoals ook in het hoofddocument reeds aangegeven niet het primaire doel van de voorgeschreven maatregelen zoals in de ABDO neergelegd. (ABDO 2006) A 1
BETROUWBAARHEIDSEIS ZG G C DV 1 Beheer van bedrijfsmiddelen en informatie [CVIB 5] A Toegangsbeveiliging [CVIB 9.1] 1 Er worden procedures vastgesteld voor het verkrijgen van toegang tot bijzondere informatie [CVIB 9.1.1] B Verantwoording [CVIB 5.1] 1 Overzicht van bedrijfsmiddelen t.b.v. de uitvoering van gerubriceerde defensie opdrachten moet beschikbaar zijn CVIB 5.1.1] C Informatie [CVIB 5.2] 1 Rubriceringsaanduidingslijst moet zo mogelijk beschikbaar zijn [CVIB 5.2.1] 2 Informatie alleen reproduceren met toestemming van degene die de rubricering heeft vastgesteld [CVIB 5.2.2] 3 Het bijmaken van reproducties registreren [CVIB 5.2.2] 4 Het bijmaken van reproducties is voorbehouden aan daartoe aangewezen personen (degene die de registratie verzorgt) [CVIB 5.2.2] 5 Niet meer reproducties maken dan strikt noodzakelijk is [CVIB 5.2.2] 6 Bijzondere Informatie registreren en van een kenmerk voorzien [CVIB 5.2.2] 7 Bijzondere Informatie registreren en van een uniek exemplaarnummer voorzien [CVIB 5.2.2] 8 Geregistreerd wordt welke persoon de informatie heeft ingezien [CVIB 8.6.3] 9 Geregistreerd wordt welke persoon de informatie onder zijn berusting heeft [CVIB 8.6.3] 10 In geval van vernietiging een proces verbaal maken [CVIB 5.2.2] 11 Informatie wordt vernietigd middels een in overleg met MIVD vastgestelde wijze (1) [CVIB 5.2.2] D Gebruik van registratieapparatuur (recorders, camera s, mobiele telefoons, laptops, palmtops, overige apparatuur waarmee beeld- en/of geluidsopnamen kunnen worden gemaakt etc.) 1 Registratieapparatuur niet toegestaan in gespreksruimte/bewerkingsruimte Κ (ABDO 2006) A 2
BETROUWBAARHEIDSEIS ZG G C DV 2 Beveiligingseisen ten aanzien van personeel (2) [CVIB 6] A Betrouwbaarheid [CVIB 6.1] 1 Verklaring van geen bezwaar voor vervullen A-functie moet beschikbaar zijn (3) [CVIB 6.1.2] 2 Verklaring van geen bezwaar voor vervullen B-functie moet beschikbaar zijn (4) [CVIB 6.1.2] 3 Verklaring van geen bezwaar voor vervullen C-functie moet beschikbaar zijn (5) [CVIB 6.1.2] 4 Personeel dient eens per vijf jaar een geheimhoudingsverklaring te tekenen [CVIB 6.1.3] 5 Personeel dient een geheimhoudingsverklaring te tekenen [CVIB 6.1.3] B Training voor gebruikers [CVIB 6.2] 1 De BF dient een programma ter bevordering van het beveiligingsbewustzijn op te stellen waarbij regelmatige deelname van werknemers aantoonbaar moet zijn [CVIB 6.2.1] C Reageren op veiligheidsincidenten [CVIB 6.3] 1 De BF stelt een onderzoek in naar (vermeende) veiligheidsincidenten [CVIB 6.3.1] 2 Veiligheidsincidenten worden tijdens de eerstvolgende reguliere werkdag per fax aan de MIVD gemeld [CVIB 6.3.1] 3 Veiligheidsincidenten worden binnen een werkweek per fax aan de MIVD gemeld [CVIB 6.3.1] 4 Veiligheidsincidenten worden z.s.m. schriftelijke gemeld o.v.v. bijzonderheden en ondernomen acties [CVIB 6.3.1] 5 Gegevens ten aanzien van toegang en inzicht in bijzondere informatie worden vastgelegd en gedurende een bepaalde periode bewaard om achteraf onderzoek naar vermoede incidenten mogelijk te maken [CVIB 6.3.1] 6 Informatie aangaande vastgestelde incidenten wordt gedurende een bepaalde periode bewaard [CVIB 6.3.1] 6mnd 6mnd 3mnd 3mnd 3j 3j 3j 2j 7 Werknemers zijn gehouden zwakke plekken in de beveiliging aan de BF te direct werk week week rapporteren binnen de volgende termijn: [CVIB 6.3.2] dag 8 Er dient een evaluatiemechanisme gedefinieerd te zijn waarmee lering getrokken kan worden uit incidenten [CVIB 6.3.4] 9 Het veroorzaken van veiligheidsincidenten zal disciplinaire maatregelen tot gevolg hebben[cvib 6.3.5] D Beveiliging van informatie tijdens transport [CVIB 8.7.2] 1 Transport vindt uitsluitend plaats d.t.v. van de MIVD (6) 2 Transport binnen Nederland vindt plaats met gebruikmaking van aangetekende post, in dubbele verpakking en met ontvangstbevestiging binnen twee weken (6) 3 Transport buiten Nederland vindt uitsluitend plaats door tussenkomst van het ministerie van Buitenlandse Zaken of handcarried (onder direct toezicht van de reizende functionaris met koerierspas) (6) 4 Verzending wordt gereed gemaakt door daartoe aangewezen personeel (ABDO 2006) A 3
BETROUWBAARHEIDSEIS ZG G C DV 3 Fysieke beveiliging (7)[CVIB 7] A Beveiligde ruimten [CVIB 7.1] 1 Compartimentering toepassen [CVIB 7.1.1 en 7.1.4] Κ Κ 2 Fysieke toegangsbeveiliging en detectie van ongeautoriseerde toegang moeten leiden tot tijdige interventie [CVIB 7.1.2] Κ 3 Ruimtes waar bijzondere informatie opgeborgen wordt dienen afsluitbaar te zijn [CVIB 7.1.3] 4 Er dient een registratie van de uitgifte van sleutels plaats te vinden [CVIB 7.1.3] 5 Niet in gebruik zijnde sleutels opbergen in een sluitmiddel dat minimaal overeenkomt met de sterkte van het sluitmiddel waarmee de informatie beschermd wordt. (8) [CVIB 7.1.3] 6 Gecertificeerde sleutels gebruiken [CVIB 7.1.3] Κ 7 Toegang tot ruimtes waar bijzondere informatie aanwezig is dient op individueel niveau controleerbaar te zijn [CVIB 7.1.4] 8 Bezoekers dienen te worden begeleid binnen ruimtes waarin bijzondere informatie aanwezig is [CVIB 7.1.4] B Beveiliging van apparatuur (b.v. Crypto apparatuur) [CVIB 7.2] 1 Apparatuur moet zodanig geplaatst worden dat compromittering van bijzondere informatie of pogingen daartoe tijdig ontdekt en voorkomen kan worden [CVIB 7.2.1] 2 Apparatuur moet zodanig geplaatst worden dat compromittering van bijzondere informatie tijdig ontdekt kan worden [CVIB 7.2.1] 3 Apparatuur moet zodanig geplaatst worden dat compromittering van bijzondere informatie ontdekt wordt [CVIB 7.2.1] C Algemene beveiligingsmaatregelen [CVIB 7.3] 1 Regels voor Clean desk moeten opgesteld zijn [CVIB 7.3.1] 2 Bij het verlaten van de werkplek wordt de bijzondere informatie opgeborgen in een daartoe geëigend bergmiddel [CVIB 7.3.1] 3 De sterkte van het bergmiddel is gerelateerd aan de rubricering en de beveiliging van de ruimte waarin het opbergmiddel is geplaatst (9) [CVIB 7.3.1] 4 Bewakingspersoneel oefent na kantooruren permanente controle uit [CVIB 7.1.4] 5 Bewakingspersoneel loopt na kantooruren controlerondes [CVIB 7.1.4] 6 Na kantooruren de ruimten met technische middelen bewaken [CVIB 7.1.4] D Meenemen bijzondere informatie buiten gecontroleerd gebied (plaats tewerkstelling) [CVIB ] 1 Bijzondere informatie uitsluitend meenemen buiten plaats tewerkstelling indien dit voor de voortgang van de werkzaamheden strikt noodzakelijk is 2 Bijzondere informatie wordt uitsluitend vervoerd d.t.v. de MIVD 3 Bijzondere informatie wordt niet mee naar huis genomen Κ 4 Bijzondere informatie wordt niet mee naar het buitenland genomen Κ Κ 5 De BF stelt voorschriften op voor het registreren van het meenemen 6 Informatie meenemen in een door het MIVD goedgekeurd transportmiddel 7 Informatie meenemen in een afsluitbaar transportmiddel (ABDO 2006) A 4
(1) Indien gebruik wordt gemaakt van versnipperapparatuur moeten de snippers aan de volgende eisen voldoen: Stg. Zeer Geheim Stg. Geheim Stg. Confidentieel Dep. Vertrouwelijk Snipperafmetingen Grootte snipper Grootte snipper Grootte snipper lengte <20 mm breedte < 1,5 mm lengte < 25 mm breedte < 3 mm lengte < 30 mm breedte < 5 mm Voor cryptosleutels geldt een lengte < 12 mm, breedte < 0,8 mm. Alg: Indien versnipperen niet mogelijk is, dient de informatie onder toezicht verbrand te worden. (2) Geldt zowel voor vast, tijdelijk en ingehuurd personeel. (3) A-functies: Functies waarin werkzaamheden worden verricht met betrekking tot zeer geheim en lager gerubriceerde informatie. (4) B-functies: Functies waarin werkzaamheden worden verricht met betrekking tot geheim en lager gerubriceerde informatie. (5) C-functies: Functies waarin werkzaamheden worden verricht met betrekking tot confidentieel en lager gerubriceerde informatie. (6) Bij het verzenden van informatie die een Confidentieel of hoger gerubriceerd staatsgeheim bevat wordt in de binnenenveloppe een ontvangstbewijs bijgevoegd. Dit bewijs vermeldt het kenmerk en het eventuele aan de informatie toegekende nummer. De ontvanger zendt het ontvangstbewijs ondertekend en gedateerd terug naar de afzender. Deze ziet er op toe dat hij het ontvangstbewijs terugontvangt en doet indien dit niet binnen redelijke tijd plaatsvindt, navraag. Heeft dit geen resultaat dan stelt de afzender de BF hiervan op de hoogte. Een document waarin een staatsgeheim is vastgelegd wordt door de werknemer die het document behandelt uitsluitend meegenomen buiten de plaats van tewerkstelling in Nederland indien dit voor een goede voortgang der werkzaamheden noodzakelijk is. De werknemer die het document meeneemt, draagt er vooraf zorg voor dat: - de BF toestemming heeft verleend; - het document op voorgeschreven wijze wordt verpakt en de verpakking de mededeling draagt: "De vinder wordt verzocht te waarschuwen..."; (naam, adres, telefoonnummer van de BF van de opdrachtnemer); - het document voortdurend onder zijn persoonlijke beheer blijft; - het eventueel opbergen buiten de werkplek voldoet aan de voorgeschreven beveiligingseisen. Het verzenden per koerier als diplomatieke zending vindt plaats door tussenkomst van het Ministerie van Buitenlandse Zaken. Voor verdere bijzonderheden wordt verwezen naar bijlage C. (In sommige internationale samenwerkingsverbanden kunnen afwijkende procedures gelden). (7) Voor de fysieke beveiliging van cryptomiddelen zie VBV 41000 (B) en VBV 92002. (8) Niet in gebruik zijnde sleutels dienen veilig te worden opgeborgen. Dit dient minimaal te gebeuren in een kast gelijkwaardig aan de Rating Class van de kast waarin de gegevens zijn opgeborgen. (ABDO 2006) A 5
(9) Bergmiddelen. Installatie In onderstaande matrix is aangegeven welke bergmiddelen kunnen worden geïnstalleerd. Bij het bergen van Stg.GEHEIM en hoger gerubriceerd materiaal, moet het bergmiddel deugdelijk worden verankerd als het bergmiddel lichter is dan 1000 Kg. Er wordt van uit gegaan dat een braakpoging, wordt gedetecteerd en dat er tijdig wordt geïntervenieerd (interventietijd). Deze interventietijd kan op verschillende manieren worden gerealiseerd, b.v. door een elektronisch detectiesysteem met adequate opvolging, door het lopen van controlerondes, etc. De interventietijd mag nooit meer dan 4 uur bedragen. In het geval van Stg.ZEER GEHEIM gerubriceerde informatie mag de interventietijd nooit meer dan 2 uur bedragen. Rubricering Interventie tijd Stg. Zeer Geheim Stg. Geheim Stg. Confidentieel 0-15 min SAFE 3 SAFE 2 SAFE 2 15-30 min CEN 1 SAFE 3 SAFE 2 30-120 min CEN 2 CEN 1 SAFE 3 120-240 min Niet toegestaan CEN 2 CEN 1 Figuur 1 Matrix bergmiddelen. CEN 1 en CEN2 zijn inschalingen volgens NEN-EN-1143-1 (zie ook Handboek beveiligingstechniek van het Nederlands Centrum voor Preventie, Uitgave Ten Hage Stam; ISBN 904400 011 ). Dekkingsindicatie van inschalingen( bedragen in euro s): SAFE 2 2500,- CEN 1 9000,- SAFE 3 5000,- CEN 2 23000,- Bergmiddelen die Stg.Geheim of hoger gerubriceerde informatie bevatten zijn voorzien van een sleutelslot én een cijfercombinatieslot met 3 schijven. NB: Afhankelijk van de situatie kunnen aanvullende eisen worden gesteld. De combinatie dient steeds te worden gewijzigd indien: - 6 maanden zijn verstreken sinds de laatste wijziging; - een medewerker die bekend is met de code is vertrokken; - er vermoedens zijn van compromittatie van de code. (ABDO 2006) A 6