Verantwoordelijkheid van de eindgebruiker voor “Clean desk – en

Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidelines
Versie: 1.20
26 januari 2015
Informatieveiligheid
(Policy:2013.0020)
Verantwoordelijkheid van de
eindgebruiker voor “Clean desk – en Clear
Screen – beleid”
Version control – please always check if you are using the latest version.
Doc. Ref. :v2013.0020. clean desk policy.nl.1.20
Release
Status
Date
Written by
NL_2013.0020
First edition
30/04/2013
Alain Houbaille
Edited by
Approved by
Staff BCSS
27/05/2013
Opmerking: In dit document werd rekening gehouden met de opmerkingen die geformuleerd werden door een
werkgroep waaraan de volgende personen hebben deelgenomen: de heer P. Bochart (KSZ), de heer R. Pierlot
(KSZ).
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
Inhoudsopgave
1.
2.
3.
4.
Inleiding .......................................................................................................................................................... 3
1.1.
Context ISO-norm 27002 ....................................................................................................................... 3
1.2.
Historiek ................................................................................................................................................ 3
1.3.
Rollen .................................................................................................................................................... 4
1.4.
Toepassingsgebied ................................................................................................................................ 4
Verantwoordelijkheden van de medewerker ................................................................................................ 5
2.1.
Scope ..................................................................................................................................................... 5
2.2.
Authenticatiemiddelen .......................................................................................................................... 5
2.3.
Specifieke "account" die door een groep personen wordt gebruikt ..................................................... 6
2.4.
Inadequaat gebruik................................................................................................................................ 6
2.5.
Uitrusting zonder toezicht ..................................................................................................................... 6
« Clear Desk » versus « Clean desk »-beleid: ................................................................................................. 8
3.1.
Definitie ................................................................................................................................................. 8
3.2.
Doelstellingen ........................................................................................................................................ 8
3.3.
In de praktijk .......................................................................................................................................... 8
3.4.
Toegang tot de informatie ..................................................................................................................... 9
Bijkomende beveiliging ................................................................................................................................ 11
4.1.
Antivirus............................................................................................................................................... 11
4.2.
Back-up ................................................................................................................................................ 11
4.3.
USB-sleutel of andere draagbare media .............................................................................................. 11
4.4.
Printer .................................................................................................................................................. 11
4.5.
Communicatiemiddelen ..................................................................................................................... 12
5.
Rapportering, evaluatie en sensibiliseringscampagne ................................................................................. 13
6.
Bijlage: Brochure - Clean desk policy .......................................................................................................... 14
p2
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
1. Inleiding
In dit document worden de verantwoordelijkheden van de medewerker beschreven met
betrekking tot het behoud van doeltreffende logische of fysieke toegangscontroles tot de
Kruispuntbank van de Sociale Zekerheid. Met andere woorden, hoe moet de
medewerker de fysieke en logische toegangsmiddelen die hem ter beschikking worden
gesteld op een veilige manier beheren met het oog op een optimale bescherming van de
IT-infrastructuur en van de lokalen van de Kruispuntbank van de Sociale Zekerheid. Maar
ook, welke maatregelen moeten worden genomen met betrekking tot de beveiliging van
de werkpost om zich tegen een ongeoorloofde toegang tot de informatie te beschermen.
In dat opzicht kan dankzij de toepassing van het beleid van de "Clean Desk, opgeruimd
bureau en leeg scherm" het risico op ongeoorloofde toegangen of op beschadiging van
de dragers, papieren documenten of andere middelen en van de
informatieverwerkingsmiddelen worden beperkt.
1.1. Context ISO-norm 27002
In dit document worden de veiligheidsmaatregelen opgenomen die in de volgende
rubrieken van de ISO-norm 27002 worden beschreven: 11.3 Verantwoordelijkheden van
de gebruiker
o
o
o
o
11.3.1 Gebruik van het paswoord
11.3.2 Materiaal van de gebruiker dat onbewaakt wordt achtergelaten
11.3.3 ‘Clean Desk’- en ‘Clear Screen’ -beleid
11.7.1 Informatica en mobiele communicatie
1.2. Historiek
Versie
Commentaar
0.1
Draft (Alain Houbaille – 15/8/2012)
0.2
Revisie (Alain Houbaille – 15/11/2012)
0.3
Revisie (Patrick Bochart – Régis Pierlot – 28/01/2013)
1.0
Final (Alain Houbaille – 31/01/2013)
1.2
Wijzigingen na opmerkingen van Staff (Alain Houbaille – 25/02/2013)
p3
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
1.3. Rollen 1
Wie
Rol
R
Veiligheidsdienst
Verantwoordelijke voor het up-to-date houden van dit
document
A
Staf
Goedkeuring en uitvoering van dit document
C
N/A
Raadplegingsrol
I
Medewerkers
Persoon die op de hoogte moet worden gehouden
1.4. Toepassingsgebied 2
Het hierna beschreven beleid is van toepassing op alle medewerkers die in een landschapsbureau (« open
space ») werken. Medewerkers die in een gesloten bureau werken dienen enkel kennis te nemen van
deze goede praktijken inzake veiligheid, voor hen geldt dit beleid als aanbeveling.
1
2
R=Responsible, A=Accountable, C=Consulted, I=Informed
De term « toepassingsgebied » duidt op de soorten situaties waarin het beleid van toepassing is.
p4
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
2. Verantwoordelijkheden van de medewerker
2.1. Scope
De medewerker speelt een belangrijke rol in de preventie van ongeoorloofde
toegangen. Dit geldt zowel voor de toegangen tot de informatiesystemen en
toepassingen als voor de fysieke toegang tot de lokalen. De medewerking van alle
gemachtigde gebruikers is van essentieel belang voor de veiligheid.
2.2. Authenticatiemiddelen
De authenticatie is een proces waarbij de identiteit van een persoon wordt
gecontroleerd. Dit proces wordt veelvuldig gebruikt voor de toegang tot de
informaticamiddelen.
De authenticatiemiddelen die door de gebruiker van de Kruispuntbank van de Sociale
Zekerheid worden gebruikt, zijn de volgende. Deze lijst is niet exhaustief ten opzichte
van het aantal authenticatiemiddelen waarover een gebruiker eventueel kan
beschikken:
•
•
•
•
•
•
de elektronische identiteitskaart (eID);
de burgertoken of de ambtenarentoken;
de accounts "gebruiker" en de desbetreffende paswoorden;
de toegangsbadge tot de lokalen;
de eventuele sleutels van de bureaus of van de koffers;
…
Gelet op het voorafgaande en rekening houdende met de functie van deze middelen,
zijn deze middelen persoonlijk. De eigenaar ervan moet ze als goede huisvader
beheren. Met andere woorden, de houder ervan is verantwoordelijk voor de
beveiliging van zijn authenticatiemiddelen. Ze mogen nooit door andere personen
worden gebruikt of aan hen worden overgemaakt, meegedeeld of uitgeleend.
Zodra de gebruiker vermoedt dat zijn authenticatiemiddel mogelijk is
gecompromitteerd doordat zijn toegangscode, zijn paswoord, ... is gestolen, moet hij
zo snel mogelijk aan de eigenaars/beheerders van de toegangssystemen vragen om
zijn authenticatiemiddel of zijn getroffen account te blokkeren. Deze gebruiker moet
een nieuw authenticatiemiddel vragen om zijn activiteit te kunnen voortzetten.
De gebruiker is bovendien tevens verantwoordelijk voor de middelen die worden
gebruikt om toegang te krijgen tot de gegevens. De gebruiker mag inderdaad nooit
het toegangsmiddel open laten staan zodat een derde er misbruik van kan maken.
p5
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
2.3. Specifieke "account" die door een groep personen wordt gebruikt
Een "specifieke" account kan uit twee verschillende types accounts bestaan. Het
eerste type, de administratorsaccounts, wordt aangemaakt bij de installatie van een
applicatie. Voor dit type accounts worden er meestal administratorrechten
vastgelegd. Het tweede type accounts wordt gedefinieerd om specifieke taken te
kunnen vervullen, zoals het nemen van back-ups, het verrichten van automatische
taken (batch), ... . De details van deze "specifieke" accounts zijn gekend door een
welbepaalde groep van gebruikers. Dit heeft als gevolg dat het beheer van deze
account moet worden vastgelegd en gekend zijn door alle gebruikers van deze
account. Het paswoord voor deze soort account (die door alle teamleden wordt
gedeeld) moet ook duidelijk worden vastgelegd.
Deze "specifieke" accounts mogen enkel voor zeer specifieke taken worden gebruikt
die niet aan een individuele account kunnen worden toevertrouwd.
Om de verrichte handelingen te kunnen traceren en bijgevolg de auteur van deze
handelingen formeel te kunnen identificeren, is het van essentieel belang om in de
eerste plaats de individuele account te gebruiken.
2.4. Inadequaat gebruik
Behalve het authenticatiesysteem heeft de Kruispuntbank van de Sociale Zekerheid
bijkomende veiligheidscontroles geïmplementeerd voor de beveiliging van de
werkomgeving. Het spreekt voor zich dat de gebruiker deze veiligheidscontroles niet
mag omzeilen. Het is belangrijk om de gebruiker te sensibiliseren op het vlak van de
veiligheid. Het is immers niet evident voor de eindgebruiker om de reële impact te
bepalen van het uit werking stellen van deze veiligheidscontroles, bijvoorbeeld het
loutere feit dat hij een nooddeur door onachtzaamheid laat openstaan.
Bovendien moet elk verkeerd gebruik van een authenticatiemiddel zoals elke poging
tot omzeiling van het authenticatiesysteem of elke poging tot het kraken van een
toegangssysteem aan de beheerder van het toegangssysteem of aan de dienst
veiligheid worden gemeld. Als de gebruiker dit niet doet, wordt hij geacht impliciet
betrokken te zijn bij het misbruik van het systeem.
2.5. Uitrusting zonder toezicht
Wanneer de gebruiker de logische toegang heeft gekregen tot het ene of andere
systeem moet hij ervoor zorgen dat andere gebruikers er geen misbruik van kunnen
maken. Wanneer de authenticatie is voltooid, "staat de deur immers open". Wanneer
de gebruiker iets anders doet, zou iemand deze "open deur" kunnen gebruiken. De
gebruiker moet de nodige maatregelen nemen en ervoor zorgen dat de "deur wordt
gesloten" telkens hij iets anders doet.
Bijvoorbeeld :
p6
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
•
•
Telkens wanneer de gebruiker zijn werkpost verlaat, moet hij de gepaste
maatregelen nemen om deze informatie die beschikbaar is ingevolge de
opening van de sessie, te beschermen. De gebruiker moet bijgevolg zijn
werkpost vergrendelen (bijvoorbeeld de beveiligde screensaver). Aangezien
mensen ook fouten maken, is het sterk aanbevolen om de screensaver door
middel van een paswoord automatisch te activeren na 5 minuten.
Door een deuropening fysiek te blokkeren, kunnen onbevoegden toegang
krijgen tot de lokalen. De gebruiker moet ook voorzichtig zijn wanneer er
samen met hem personen het gebouw betreden omdat deze onbevoegde
personen voordeel zouden kunnen halen uit het feit dat de gebruiker de deur
opent. Enkel de bevoegde personen mogen het gebouw betreden.
In het specifieke geval dat de gebruiker zijn werkpost gedurende een langere periode
niet gebruikt, moet hij alle nog open werksessies afsluiten en zijn computer
uitschakelen. In vergelijking met de screensaver met paswoord biedt dit een betere
bescherming.
Wanneer een medewerker vermoedt dat iemand misbruik maakt van een uitrusting
dat onbeheerd is achtergelaten, moet hij dit zo snel mogelijk rapporteren aan de
veiligheidsdienst.
p7
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
3. « Clear Desk » versus « Clean desk »-beleid:
3.1. Definitie
Het « Clean desk »-beleid is verschillend van het « Clear desk »-beleid. Het
« Clean desk »-beleid gaat immers verder in die zin dat het begrip "order" wordt
toegevoegd. Volgens het « Clear desk »-beleid is het met andere woorden niet
nodig om alles wat op het bureau ligt op te ruimen. Het is wel verplicht om de
gevoelige informatie ontoegankelijk te maken voor onbevoegden. Elk gevoelig
gegeven mag dus niet onbewaakt worden achtergelaten op het bureau. Het
« Clean desk »-beleid vereist daarentegen dat alles op het bureau wordt
opgeruimd en op een veilige plaats wordt bewaard.
3.2. Doelstellingen
•
De netheid binnen de Kruispuntbank van de Sociale Zekerheid verhogen
Wanneer alle bureaus en werkruimtes zijn opgeruimd en er nergens papieren
rondslingeren, betekent dit een groter comfortgevoel bij de medewerkers en
een positieve indruk van de instelling bij de bezoekers. Ook daarom wordt u
gevraagd om niet in de bureaus te eten. Andere ruimtes zijn hiertoe voorzien.
•
De bescherming van de vertrouwelijke gegevens verbeteren
Een groot deel van de informatie die door de Kruispuntbank van de Sociale
Zekerheid wordt verwerkt, is vertrouwelijk en moet tegen ongeoorloofde
toegangen worden beveiligd.
•
De productiviteit verhogen
We zijn ervan overtuigd dat een opgeruimd bureau de productiviteit zal
verhogen omdat er minder tijd verloren gaat bij het zoeken van documenten.
•
Het concept "Flexdesk" activeren
Door toepassing van dat beleid kunnen de bureaus door meerdere
medewerkers worden gedeeld.
3.3. In de praktijk
Het « Clean desk »-beleid promoot in de praktijk de toepassing van deze drie
basisregels:
•
Wanneer de medewerker op kantoor aanwezig is
De medewerker probeert enkel de documenten die hij die dag nodig heeft op
zijn bureau te laten liggen.
p8
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
•
Wanneer de medewerker tijdelijk zijn bureau verlaat
Indien de medewerker vaak aan vergaderingen deelneemt, moet hij
controleren of er geen vertrouwelijke informatie aanwezig is op zijn bureau
die onbewaakt mag worden achtergelaten. Indien dit wel het geval is, moet hij
deze informatie veilig opbergen. Bovendien moet hij bij een langere
afwezigheid zijn computer in slaaptoestand zetten en beveiligen aan de hand
van een paswoord.
•
Wanneer de medewerker zijn bureau verlaat
Het is de taak van de medewerker om ervoor te zorgen dat alle gevoelige
informatie op een veilige plaats wordt opgeborgen zoals een kast die op slot
kan en dat zijn bureau is opgeruimd alvorens de instelling te verlaten. Een
tweede sleutel moet bijgevolg worden afgegeven aan het Economaat om
indien nodig toegang te hebben tot de documenten. Het behoort tot de
verantwoordelijkheid
van
de
gebruikers
om
de
nodige
veiligheidsmaatregelen te nemen in hun bureau.
3.4. Toegang tot de informatie
Een (logisch of fysiek) toegangssysteem werd geïmplementeerd om elke
ongeoorloofde toegang tot de instelling te voorkomen. De toegang wordt beveiligd
door een toegangsprocedure. De gebruiker kan vertrouwelijke gegevens oproepen
tijdens de uitvoering van zijn dagelijkse taken en ze op een andere plaats bewaren
waar de toegangsprocedure niet werkt of niet van toepassing is. De gebruiker kan
bijvoorbeeld gegevens printen die afkomstig zijn van een toepassing die door middel
van de elektronische identiteitskaart is beveiligd. In dat geval is de geprinte versie van
deze gegevens niet meer beveiligd.
De gebruiker blijft verantwoordelijk voor de informatie, ongeacht de vorm waarin
deze informatie wordt opgeslagen. De gebruiker moet dus zorgen voor een goede
bescherming ervan. Zodra de informatie niet meer wordt gebruikt door de gebruiker,
moet hij zorgen voor de verwijdering ervan.
De hierboven toegelichte media moeten zorgvuldig door de gebruiker worden
beheerd: prints, brieven, USB-sleutels, back-upschijven, gedeelde bestanden, pc,
tablet, ... .
Dat wil zeggen dat
•
•
de documenten met gevoelige gegevens niet onbewaakt mogen worden
achtergelaten op de printer. Print enkel de documenten die u nodig heeft.
Elke USB-sleutel kan worden gebruikt om documenten van het ene systeem
naar het andere over te zetten. Wanneer gevoelige gegevens worden
overgemaakt, moet elke USB-sleutel worden vercijferd en moeten de
gegevens die hierop werden opgeslagen, onmiddellijk na de overzetting
worden verwijderd.
p9
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
•
•
•
•
•
Elke back-up op om het even welk medium (SD drive, CD, DVD, ...) moet in
een fysiek beveiligde omgeving worden bewaard en mag nooit onbewaakt
worden achtergelaten.
Een vernietigingssysteem van de vertrouwelijke documenten is beschikbaar
voor de medewerker. Het spreekt voor zich dat ieder vertrouwelijk document
op het einde van zijn levenscyclus door dit systeem moet worden vernietigd.
Geen enkel persoonsgegeven mag via e-mail worden overgemaakt. Alvorens
gevoelige bestanden per e-mail worden verstuurd, moet ervoor worden
gezorgd dat deze bestanden vercijferd zijn.
In het geval van gedeelde mappen met gevoelige gegevens voor een bepaald
publiek, moeten deze mappen op het niveau van de toegangsrechten worden
geconfigureerd.
Elke post-it met gevoelige gegevens is strikt verboden.
p 10
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
4. Bijkomende beveiliging
Binnen de werkomgeving van de Kruispuntbank van de Sociale Zekerheid werden
een aantal bijkomende veiligheidsmaatregelen geïmplementeerd. De medewerker
moet deze maatregelen in acht nemen en mag ze niet proberen te omzeilen. Onder
veiligheidsmaatregelen wordt bijvoorbeeld verstaan de antivirussoftware die op de
computers van de Kruispuntbank van de Sociale Zekerheid werd geïnstalleerd. Elke
functionele anomalie met betrekking tot deze veiligheidsmaatregelen moet aan de
dienst informatica (helpdesk) worden gerapporteerd.
Het idee achter deze veiligheidsmaatregelen is de beveiliging van de werkomgeving
van de KSZ tegen een menselijke fout. Deze maatregelen moeten de gebruiker in
staat stellen om te kunnen werken zonder dat hij zich hoeft te bekommeren over de
risico's te wijten aan menselijke fouten. De eindgebruiker moet dus vertrouwen
hebben in deze veiligheidsmaatregelen en hij mag ze niet op de ene of andere
manier wijzigen.
4.1. Antivirus
De Kruispuntbank van de Sociale Zekerheid installeert en onderhoudt een
antivirussoftware op elke pc van de instelling. In de wetenschap dat deze antivirus
de pc beveiligt tegen iedere virusinfectie afkomstig van verschillende bronnen (mail,
internet, ...) mag de medewerker de configuratie van het antivirussysteem niet
wijzigen of niet deactiveren.
4.2. Back-up
De medewerker moet ervoor zorgen dat de gegevens op zijn pc beschermd zijn
tegen verlies. Alle gegevens met betrekking tot de Kruispuntbank moeten worden
opgeslagen op de "file system"-servers waar de eindgebruiker gebruik kan maken
van gedeelde mappen.
4.3. USB-sleutel of andere draagbare media
Alle vertrouwelijke informatie die op een draagbare media wordt opgeslagen, moet
worden beveiligd tegen elk ongeoorloofd gebruik. In dat opzicht kan elke USBsleutel met een encryptietool worden vercijferd.
4.4. Printer
Elke print moet door de eindgebruiker worden bevestigd op de printer. Als gevolg
van het "paperless"-beleid wordt de medewerker verzocht de elektronische versie
p 11
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
te gebruiken in plaats van de papieren versie. Met de validatie wordt de
medewerker gesensibiliseerd voor het "paperless"-beleid. De bron die print, wordt
bovendien telkens geïdentificeerd.
4.5. Communicatiemiddelen
De medewerker dient in de mate van het mogelijke zijn status aan te duiden in de
communicatiemiddelen waarover hij beschikt. Zo heeft hij bijvoorbeeld de
mogelijkheid om op zijn VOIP-telefoon zijn status te beheren (aanwezig, afwezig of
bezet). De « instant messaging »-software biedt dezelfde mogelijkheid.
p 12
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
5. Rapportering, evaluatie en sensibiliseringscampagne
Voor dit veiligheidsbeleid moeten de volgende aspecten worden uitgevoerd:
•
•
Elke medewerker wordt op regelmatige tijdstippen bewust gemaakt voor de
inhoud van het veiligheidsbeleid dat op de Kruispuntbank van de Sociale
Zekerheid van kracht is. In dat opzicht moet er minstens jaarlijks een
sensibiliseringscampagne of informatiesessie met betrekking tot de veiligheid
plaatsvinden.
De situatie met betrekking tot dit beleid moet worden geëvalueerd om na te
gaan of deze veiligheidspolicy wordt nageleefd.
p 13
Verantwoordelijkheid van de eindgebruiker voor
“Clean desk – en Clear Screen – beleid”
Information Security Guidlines
Version : 1.20
26 januari 2015
6. Bijlage: Brochure - Clean desk policy
De medewerker speelt een wezenlijke rol in de veiligheid van de instelling in het algemeen.
Daarom is het belangrijk dat hij goed op de hoogte is van zijn rechten en plichten op dat vlak
binnen de Kruispuntbank van de Sociale Zekerheid.
In de eerste plaats is het de verantwoordelijkheid van de medewerker om de clean desk &
clean screen policy in acht te nemen. Op die manier beperkt hij het risico van ongewettigde
toegang of beschadiging van het materiaal en de informatieverwerkingsmiddelen dankzij de
toepassing van de goede praktijken.
De medewerker dient in de mate van het mogelijke:
• ervoor te zorgen dat alle gevoelige papieren of elektronische documenten zich
achter slot bevinden in de daartoe bestemde kasten wanneer hij zijn bureau verlaat;
• zijn computer in stand-by te zetten en daarbij te beveiligen met een paswoord in
geval van langere afwezigheid;
• vooraleer hij 's avonds vertrekt, zijn bureau op te ruimen en leeg te maken, zijn pc af
te sluiten en te beveiligen en alle gevoelige informatie of dragers op een veilige
plaats op te bergen.
• Wanneer een medewerker vermoedt dat iemand misbruik maakt van materiaal dat
onbeheerd is achtergebleven, moet hij dit zo snel mogelijk melden aan de
veiligheidsdienst.
De gebruiker is verantwoordelijk voor de informatie, ongeacht in welke vorm, voor de
toegang ertoe en voor zijn authenticatiemiddelen (paswoord, badge, ...). De gebruiker dient
dus te zorgen voor de adequate beveiliging ervan.
Dit betekent dat:
• het verboden is zijn paswoord mee te delen aan anderen;
• de documenten met gevoelige informatie niet onbewaakt mogen worden
achtergelaten op de printer;
• bij een overdracht van gevoelige gegevens, de USB-sleutel moet worden vercijferd en
de gegevens die hierop werden opgeslagen onmiddellijk na de overdracht moeten
worden verwijderd;
• elke opslagtool, zoals USB-sleutels, sd-, cd- of dvd-drives, zich in een fysiek beveiligde
omgeving moet bevinden en niet onbewaakt mag worden achtergelaten;
• het verboden is om gebruik te maken van post-its waarop men gevoelige informatie
neerschrijft.
p 14