Aandachtspunten veiligheid

Aandachtspunten veiligheid
Bij de toetreding van de OCMW’s tot het netwerk van de Kruispuntbank, komen heel wat
verplicht na te leven minimale veiligheidsnormen kijken. Iedere instelling van sociale
zekerheid, en dus ook een OCMW, moet er immers voor zorgen dat er binnen hun organisatie
vertrouwelijk met cliëntgegevens en dossiers wordt omgesprongen.
Eén van de voornaamste taken van de veiligheidsconsulent moet dan ook zijn om het OCMW
bewust te maken en te informeren omtrent mogelijke maatregelen die het kan treffen om de
aanwezige informatie te beschermen en zo de nodige confidentialiteit in haar dagelijkse
werking te garanderen. Hiervoor schrijft de veiligheidsconsulent een veiligheidsplan dat ook
jaarlijks bijgesteld dient te worden.
Naast het hebben van zulk plan op beleidsniveau, is het natuurlijk ook van enorm belang dat
ook al de OCMW-medewerkers hier voldoende rond gesensibiliseerd worden. Aan een aantal
minimale normen kan immers voor een groot stuk tegemoet gekomen worden door goede
afspraken te maken en medewerkers attent te maken op de rol die zij hierin kunnen spelen.
Het regelmatig informeren van medewerkers omtrent procedures en technieken die hen in hun
omgang met vertrouwelijke gegevens kunnen ondersteunen, neemt dan ook een cruciale
plaats in binnen het ganse veiligheidsbeleid.
De hieronder gestelde aandachtspunten moeten dan ook veeleer geïnterpreteerd worden als
een technische vertaling van het beroepsgeheim. Hierbij gaat het niet alleen om
vertrouwelijke gegevens die op pc worden bewaard, maar om allerlei informatie, in welke
vorm dan ook. Kortom, zowel de logische als de fysieke beveiliging dient in overweging
genomen te worden1.
1
Voor de logische beveiliging zullen de medewerkers vooral afhankelijk zijn van
mogelijkheden en procedures die in samenwerking met de informaticaleverancier, of de
systeembeheerder zijn uitgewerkt.
Wat betreft de aandachtspunten fysieke beveiliging, hierin dient iedere medewerker gewezen
te worden op zijn verantwoordelijkheid. Al kunnen systemen van toegangscontrole en
procedures ook hier hun steentje bijdragen.
Logische Beveiliging:
-Zorg voor een goed wachtwoordbeleid (eventueel kan het document “wachtwoordbeleid”
hiervoor gebruikt worden.): Iedere gebruiker heeft een eigen wachtwoord dat nooit wordt
doorgegeven aan anderen. Ook niet aan collega’s of informatica-medewerkers. Als men toch
een bepaald bestand nodig heeft, moet je dit in een gedeelde map plaatsen die daarvoor
voorzien is, ofwel moeten ze onder hun gebruikersnaam op jouw pc aanmelden. (een goede
netwerkstructuur is hiervoor ook van belang, zie lager)
Van zodra je vermoedens hebt dat iemand jouw wachtwoord is te weten gekomen, moet je dit
wijzigen.
Voor meer tips omtrent een goed wachtwoord, zie het document : “wachtwoordbeleid.”
-Gebruik je schermbeveiliging en zet er zeker een wachtwoord op, nog beter is het om zelf
steeds de schermbeveiliging te activeren via Ctrl-Alt-Del (of in Win XP door op de windowstoets en de letter L te drukken) telkens je je PC verlaat, de automatische schermbeveiliging is
dan voor als je dit vergeten zou zijn.
-Zorg voor een goede netwerkstructuur: werk indien mogelijk met domeinen en
gebruikersgroepen, deel de netwerkschijf in aan de hand van een logische mappenstructuur:
gezamenlijke mappen voor gans de sociale dienst bijvoorbeeld, maar voorzie eventueel ook
persoonlijke directories.
-Zorg voor een duidelijke backup-procedure met een reserve-verantwoordelijke voor het
wisselen van de tapes. (eventueel kan het document “veiligheidsnormen backup”hiervoor
gebruikt worden.)
-Attendeer medewerkers er op dat het de bedoeling is dat ze steeds hun bestanden op de
netwerklocatie bewaren, zodat deze in de backup opgenomen worden. Bewaren ze toch
bestanden op hun eigen pc, dan zijn ze zelf verantwoordelijk voor de backup hiervan.
-Zorg voor een Antivirus-procedure zodat het Antiviruspakket ook regelmatig geüpdate
wordt. Als deze updates nog niet automatisch gebeuren, voorzie dan een reserveverantwoordelijke voor het manueel updaten van de virusdefinities. Let erop dat gebruikers
hun antivirus niet kunnen uitschakelen.
-Informeer al de PC-gebruikers regelmatig hoe ze moeten scannen op virussen en hoe
virussen te voorkomen. Zorg dat ze weten wat de stappen zijn die ze moeten ondernemen als
ze toch besmet raken.
-Bescherm je netwerk tegen spyware en spam door hier eventueel een speciaal programma
voor te installeren dat net als het antivirusprogramma ook regelmatig wordt bijgewerkt.
-Zorg voor een goed geconfigureerde firewall indien er toegang is tot externe verbindingen.
-Een noodstroombatterij is noodzakelijk om geen gegevensverlies te lijden bij een
stroompanne. Via een UPS kan een toepassing ondanks een stroomuitval toch nog deftig
afsluiten zodat er geen gegevens verloren gaan.
Fysieke beveiliging:
-Sluit kasten, laat niks van vertrouwelijke documenten rondslingeren, bijvoorbeeld aan het
kopieerapparaat, fax, refter, vergaderzaal,…
-Sluit deuren en ramen. Ook als je maar even afwezig bent, de deur zeker achter je dicht
trekken. En nog beter, ze telkens op slot te doen. Op deze manier vermijd je dat een
verdwaalde bezoeker zomaar een leeg lokaal kan binnenstappen en er kan rondneuzen of iets
kan laten verdwijnen. Hierbij gaat het niet alleen om persoonlijke spullen, zoals een handtas
en dergelijke, maar ook over gevoelige documenten, stempels,…
-Hou lamellen, blindingen of zonnewering zoveel mogelijk gesloten, zeker als je niet
aanwezig bent in het lokaal. Zo ziet een toevallige voorbijganger al niet wat er eventueel bij
een later ‘bezoekje’ te rapen valt. Maar ook naar privacy van cliënten toe. Niet iedereen hoeft
van buitenaf te kunnen zien wie er bij het OCMW langsloopt.
-Spreek bezoekers aan, begeleidt ze naar de plaats waar ze moeten zijn. Met een simpele ‘Kan
ik u ergens mee helpen’ vermijd je dat ze in lokalen terecht komen waar ze niet moeten zijn.
Let er dan ook op dat ‘zogenaamde cliënten’ niet plots uit de wachtzaal verdwenen zijn.
-Als je als laatste het gebouw of jouw bureau verlaat, kijk dan even na of alle vensters dicht
zijn en de deuren vast. Controleer voor je afsluit of je werkelijk de laatste bent in het gebouw,
zodat je niemand insluit. Vergeet hierbij ook niet de toiletten en andere lokalen die gans de
dag voor iedereen toegankelijk zijn. Deze vormen immers een handige schuilplaats voor
iemand die het perfecte ogenblik afwacht.
- Als je een telefoontje krijgt in verband met een vraag naar gegevens omtrent een cliënt, geef
gevoelige informatie dan niet meteen vrij. Controleer steeds even of deze persoon recht heeft
op deze informatie. Vraag bijvoorbeeld het telefoonnummer en zeg dat je, zodra je de
gevraagde info hebt gevonden, wel terug contact zal opnemen. Of nog beter, vraag of ze hun
vraag kunnen doorfaxen.
Tip: misschien is het handig deze aandachtspunten mee in een onthaalbrochure voor nieuwe
medewerkers te verwerken.
Hulpmiddelen voor de veiligheidsconsulent:
Volgende programma’s zijn voorbeelden van tooltjes die de veiligheidsconsulent van pas
kunnen komen bij het uitoefenen van zijn taak. Deze lijst is louter indicatief. Op het internet
zijn er vele gelijkaardige tools te vinden. Sommige van deze programma’s zijn free-ware,
andere dienen aangekocht te worden.
Let op, een programma als LC5 geeft niet louter passief informatie over het computersysteem
weer, maar gaat daadwerkelijk trachten het systeem te kraken. Zorg als veiligheidsconsulent
dan ook steeds dat je van de secretaris de schriftelijke toestemming hebt om deze
programma’s in samenspraak met de systeembeheerder uit te voeren.
PROGRAMMA
SiSoftware Sandra
LEVERANCIER
Starsoft
GFI LANguard N.S.S.
Gfi software
LC5 (Lophtcrack)
@stake
Steganos security sweet
Steganos
DOEL
Computerscan geeft informatie over de
pc: programma’s, hardware info,
mappen enz. Rapporten kunnen van elk
afzonderlijk punt gemaakt worden.
Network scan geeft info over alle
computers, printers, servers enz in het
netwerk. Info over instellingen van
gebruikers, wachtwoorden, policy,
gebruikers, gedeelde mappen enz.
Programma geeft advies van de
negatieve punten.
Wachtwoord auditing en recovery
programma. Geeft info over hoe sterk
de wachtwoorden in het netwerk zijn
door ze te proberen te kraken. Uit
veiligheidsoverwegingen kan dit
programma enkel gebruikt worden met
administrator-privileges.
Er kan een wachtwoord ingegeven
worden en het programma geeft de
sterkte van het wachtwoord weer.