Wat moet er in een informatiebeveiligingsbeleid staan?

Een informatiebeveiligingsbeleid bevat de uitgangspunten, verantwoordelijkheden en spelregels die een organisatie hanteert om informatie aantoonbaar te beschermen. Het document legt vast welke informatie beschermd moet worden, wie daarvoor verantwoordelijk is en welke maatregelen daarvoor gelden. De vragen hieronder geven een compleet beeld van wat een goed beleid inhoudt en hoe je veelgemaakte valkuilen vermijdt.

Welke onderdelen zijn verplicht in een informatiebeveiligingsbeleid?

Een informatiebeveiligingsbeleid moet minimaal de reikwijdte van de beveiliging beschrijven, de doelstellingen van de organisatie op het gebied van informatiebeveiliging benoemen, de verantwoordelijkheden vastleggen en aansluiten op de geldende wet- en regelgeving. Wie werkt met ISO 27001, voldoet aan een internationale standaard die deze vereisten concreet maakt.

Concreet bevat een volledig informatiebeveiligingsbeleid de volgende onderdelen:

• Reikwijdte en toepassingsgebied: voor welke systemen, processen, locaties en medewerkers geldt het beleid?
• Beveiligingsdoelstellingen: wat wil de organisatie bereiken op het gebied van beschikbaarheid, integriteit en vertrouwelijkheid van informatie?
• Rollen en verantwoordelijkheden: wie is eindverantwoordelijk en wie voert welke taken uit?
• Risicobenadering: hoe identificeert en beoordeelt de organisatie informatiebeveiligingsrisico’s?
• Beleidsuitgangspunten: de concrete afspraken en gedragsregels die gelden voor medewerkers en systemen.
• Relatie met wet- en regelgeving: verwijzingen naar de AVG, NIS2 of sectorspecifieke normen zoals NEN 7510 voor de zorg.
• Versiebeheer en goedkeuring: datum, versienummer en handtekening van de verantwoordelijke directie of bestuurder.

Een beleid dat alleen een risicolijst bevat zonder doelstellingen, of dat verantwoordelijkheden niet expliciet benoemt, voldoet niet aan de eisen van gangbare normen. Het document is de basis waarop alle andere beveiligingsmaatregelen worden gebouwd.

Hoe gedetailleerd moet een informatiebeveiligingsbeleid zijn?

Een informatiebeveiligingsbeleid moet strategisch en leesbaar zijn, niet technisch gedetailleerd. Het beschrijft de richting en kaders, niet de technische uitvoering. Operationele details horen thuis in onderliggende procedures en werkinstructies. Een beleid van vier tot acht pagina’s is voor de meeste organisaties voldoende.

Het onderscheid tussen niveaus helpt om de juiste diepgang te bepalen:

• Beleidsniveau: de strategische kaders, doelstellingen en verantwoordelijkheden. Dit is wat in het informatiebeveiligingsbeleid staat.
• Procesniveau: procedures die beschrijven hoe afspraken worden uitgevoerd, zoals een procedure voor toegangsbeheer of incidentmelding.
• Werkinstructieniveau: stap-voor-stap instructies voor specifieke handelingen, bedoeld voor de uitvoerende medewerker.

Een veelgemaakte vergissing is het samenvoegen van al deze niveaus in één document. Dat leidt tot een onleesbaar geheel dat niemand raadpleegt. Het beleid moet begrijpelijk zijn voor directie en medewerkers zonder technische achtergrond. Technische specificaties, zoals configuratie-eisen voor firewalls of encryptiestandaarden, horen in aparte technische documentatie.

Wat is het verschil tussen een informatiebeveiligingsbeleid en een privacybeleid?

Een informatiebeveiligingsbeleid richt zich op de bescherming van alle bedrijfsinformatie, zowel persoonsgegevens als bedrijfsgeheimen, intellectueel eigendom en operationele data. Een privacybeleid richt zich specifiek op de verwerking van persoonsgegevens en de rechten van betrokkenen, zoals vereist door de AVG.

De twee documenten overlappen elkaar deels, maar hebben een duidelijk eigen doel:

• Het informatiebeveiligingsbeleid beschrijft hoe de organisatie informatie beschermt via technische, fysieke en organisatorische maatregelen. Het is intern gericht en geldt voor alle medewerkers.
• Het privacybeleid legt uit hoe de organisatie omgaat met persoonsgegevens: welke gegevens worden verzameld, met welk doel, hoe lang ze worden bewaard en welke rechten betrokkenen hebben. Dit document is ook extern gericht, naar klanten en relaties.

In de praktijk verwijzen beide documenten naar elkaar. Goede informatiebeveiliging is een randvoorwaarde voor AVG-compliance, maar een privacybeleid regelt ook zaken die buiten de scope van informatiebeveiliging vallen, zoals toestemmingsbeheer en het verwerken van verzoeken van betrokkenen. Organisaties die een Functionaris Gegevensbescherming aanstellen, laten deze rol vaak beide documenten bewaken.

Wie is verantwoordelijk voor het opstellen van het beleid?

De eindverantwoordelijkheid voor het informatiebeveiligingsbeleid ligt bij de directie of het bestuur van de organisatie. Zij stellen het beleid formeel vast en dragen de organisatorische verantwoordelijkheid. De operationele uitwerking wordt doorgaans gedelegeerd aan een Security Officer of Information Security Manager.

In de praktijk ziet de verdeling er als volgt uit:

• Directie of bestuur: stelt het beleid vast, draagt eindverantwoordelijkheid en toont betrokkenheid. Zonder formele goedkeuring van de top heeft een beleid geen gezag binnen de organisatie.
• Security Officer of CISO: stelt het beleid op, houdt het actueel en bewaakt de naleving. Bij kleinere organisaties is dit soms een medewerker met een gecombineerde functie.
• HR en leidinggevenden: zorgen dat medewerkers het beleid kennen en naleven, en signaleren afwijkingen.
• Externe adviseur: ondersteunt bij het opstellen van het beleid, met name wanneer de organisatie nog geen interne expertise heeft opgebouwd.

Een beleid dat uitsluitend door een externe partij is geschreven zonder betrokkenheid van de eigen organisatie, werkt zelden goed. Draagvlak begint bij de mensen die het beleid dagelijks moeten uitvoeren.

Hoe vaak moet een informatiebeveiligingsbeleid worden herzien?

Een informatiebeveiligingsbeleid moet minimaal één keer per jaar worden herzien. Daarnaast is een tussentijdse herziening nodig bij ingrijpende wijzigingen in de organisatie, de technologie of de wet- en regelgeving. ISO 27001 stelt deze jaarlijkse review expliciet als eis.

Situaties die een tussentijdse herziening rechtvaardigen zijn onder meer:

• Een significante uitbreiding of reorganisatie van de organisatie
• Introductie van nieuwe systemen, cloudoplossingen of leveranciers
• Een beveiligingsincident dat laat zien dat het beleid tekortschiet
• Nieuwe of gewijzigde wet- en regelgeving, zoals aanpassingen in de NIS2-richtlijn
• Uitkomsten van een interne audit die aanleiding geven tot beleidsaanpassingen

Een beleid dat jaren ongewijzigd blijft, verliest zijn waarde. De organisatie verandert, dreigingen evolueren en de regelgeving verschuift. Een actueel beleid is een levend document, geen archiefdocument.

Wat zijn veelgemaakte fouten bij het schrijven van een informatiebeveiligingsbeleid?

De meest voorkomende fout bij het opstellen van een informatiebeveiligingsbeleid is het kopiëren van een generiek sjabloon zonder aanpassing aan de eigen organisatie. Het resultaat is een document dat niet aansluit op de werkelijkheid en daardoor niet wordt gebruikt. Andere veelgemaakte fouten zijn het ontbreken van directiebetrokkenheid en het verwaarlozen van onderhoud.

Een overzicht van de meest voorkomende valkuilen:

• Te technisch of te vaag: het beleid is onbegrijpelijk voor medewerkers of zo algemeen dat het niets zegt over de specifieke situatie van de organisatie.
• Geen eigenaarschap: niemand voelt zich verantwoordelijk voor het beleid, waardoor het na vaststelling in een lade verdwijnt.
• Directie tekent zonder inhoudelijke betrokkenheid: het beleid heeft formeel een handtekening, maar de top draagt het niet actief uit.
• Geen koppeling met de praktijk: het beleid beschrijft ideale situaties die niet overeenkomen met hoe de organisatie werkelijk functioneert.
• Vergeten te communiceren: medewerkers weten niet dat het beleid bestaat of wat er van hen wordt verwacht.
• Geen versiebeheer: er circuleren meerdere versies van het document, waardoor onduidelijk is welke versie geldig is.
• Statisch document: het beleid wordt na vaststelling nooit meer herzien, ook niet als de organisatie of het dreigingslandschap verandert.

Een goed implementatietraject voorkomt de meeste van deze fouten. Wie het beleid samen met de organisatie opstelt, in begrijpelijke taal schrijft en actief communiceert, legt een fundament dat daadwerkelijk werkt.

Hoe Kwinzo helpt bij het opstellen van een informatiebeveiligingsbeleid

Wij begeleiden organisaties in zorg, ICT en onderwijs bij het opstellen van een informatiebeveiligingsbeleid dat niet alleen op papier klopt, maar ook werkt in de dagelijkse praktijk. Onze aanpak is concreet en afgestemd op de specifieke situatie van uw organisatie:

• We starten met een nulmeting om te bepalen wat al aanwezig is en wat nog ontbreekt
• We stellen het beleid op in begrijpelijke taal, afgestemd op uw sector en bedrijfsvoering
• We zorgen voor aansluiting op de normen die voor u relevant zijn, zoals ISO 27001, NEN 7510 of het normenkader IBP FO
• We begeleiden de directie bij de formele vaststelling en zorgen voor draagvlak in de organisatie
• We ondersteunen bij de jaarlijkse herziening en houden het beleid actueel via beheer van uw ISMS
• We bieden trainingen voor medewerkers zodat het beleid ook echt wordt gekend en nageleefd

Informatiebeveiliging moet werken in de praktijk, niet alleen op papier. Wilt u weten hoe wij uw organisatie kunnen ondersteunen bij het opstellen of herzien van uw informatiebeveiligingsbeleid? Neem contact met ons op voor een vrijblijvend adviesgesprek.