Informatiebeveiliging

Informatiebeveiliging
Security awareness voor
medewerkers en studenten
Inhoud
• 
• 
• 
• 
• 
Waarom informatiebeveiliging
Grenzen van informatieveiligheid
Het kind en de rekening
Waar staan we?
Quo vadis?
Waarom informatiebeveiliging?
•  Omdat zorgvuldig omgaan met gegevens van de instelling en van
mensen in onze gemeenschap en hun privacy is belangrijk: instelling
beschermt haar medewerkers en studenten bij uitoefenen van
werkzaamheden.
•  niet goed beveiligen van informatie kan ernstige imagoschade of
directe schade kan opleveren voor de instelling.
•  informatie is onderdeel van onze core business: bescherming van
intellectueel eigendom, vertrouwelijkheid en integriteit van informatie
is van groot belang, de waardering van ons onderzoek is daarop
gebaseerd.
•  strenge eisen vanuit subsidiegevers
•  omdat de wetgever steeds strengere eisen stelt die bovendien
voorzien gaan worden van forse boeteclausules.
Bedreigingen en risico’s
•  Verkrijging en openbaarmaking van vertrouwelijke
gegevens
•  Identiteitsfraude
•  Manipulatie van data
•  Spionage
•  Verstoring van ICT-voorzieningen
•  Overname en misbruik van ICT-voorzieningen
•  Bewust beschadigen van Imago
Bron: Cyberdreigingsbeeld sector Hoger Onderwijs en Wetenschappelijk onderzoek
Grenzen aan informatieveiligheid
•  Absolute veiligheid is een illusie. In technische zin altijd een stap
achter. De menselijke factor is zeer bepalend.
•  Risicoanalyse op het gebied van Beschikbaarheid, Vertrouwelijkheid
en Integriteit is de sleutel voor het nemen van verantwoorde
beslissingen.
•  Cyclisch proces om steeds actuele
risico’s en te nemen maatregelen met
elkaar in balans te houden.
•  Roomser dan de Paus?
Gebruiksgemak
Beveiliging
Het kind en de rekening
Beleid en richtlijnen worden door CVB
vastgesteld: Doel, Verantwoordelijkheden,
Organisatie en Instrumentarium.
Wie is verantwoordelijk
•  Eigenaar van bedrijfsmiddel, informatiedomein,
voor informatiebeveiliging? proces, researchdata is integraal
verantwoordelijk.
Wie betaalt de rekening? •  De rekening volgt de verantwoordelijkheid.
Eigenaar maakt de afwegingen, binnen de
gestelde kaders.
En hoe hoog is die dan? •  Kosten in geld en in restricties. Minimaliseren
door security & privacy by design.
•  Toetsing vindt plaats door accountant, in
Wie toetst?
SURFaudit en specifieke audits.
•  Regelmatige review van risicoanalyse en te
Eenmalige aangelegenheid? nemen maatregelen moet onderdeel zijn van
reguliere P&C cyclus.
•  Wie bepaalt kaders?
• 
• 
• 
• 
• 
• 
En, hoe gaat het ?
Resultaat SURFaudit self-assessment 2013
Waar zijn we mee bezig?
Zelf in te vullen, bijvoorbeeld:
• 
• 
• 
• 
• 
• 
• 
• 
Vernieuwd beleid
Nieuw instrumentarium: PIA en Classificatie
Privacy
Cloud
Bewustwordingscampagne
Audit & Control minder maar beter
Planning & Controlcyclus invoeren
Centraal vs. Decentraal
…
•  Slides toevoegen vwb
–  Actuele vragen/problemen
–  Wat verwacht de organisatie van jullie?
–  Wat moet je daarvoor doen
–  Waar kun je terecht voor hulp en advies
–  Etc.
De bestemming
•  Helder beleid en kaders
•  Heldere verantwoordelijkheden, en een lijnorganisatie die daarnaar
handelt
•  Beveiligingsniveau in balans met te mitigeren risico’s.
Gebruiksgemak is belangrijke succesfactor.
•  Beveiligingsbewustzijn van individuen leidt tot verantwoord omgaan
met risico’s.