Informatiebeveiligingsbeleid

Dit control zorgt ervoor dat er een IB-beleid en onderwerpspecifieke beleidsregels bestaan, zijn goedgekeurd door de directie, en gecommuniceerd aan medewerkers.

Wat we doen

• Het overkoepelende IB-beleid staat in 05-leiderschap/5.2-beleid.md. Het is herschreven in januari 2026: kort, concreet, passend bij YipYip.
• Het beleid dekt de eisen uit ISO 27001 clausule 5.2: doel, principes, doelstellingen, verantwoordelijkheden, reviewcyclus en communicatie.
• Onderwerpspecifieke beleidsregels (toegang, classificatie, back-up, enz.) zijn vastgelegd als Annex A-controls in controls/.
• Beleid wordt beheerd in Git; elke wijziging is traceerbaar via versiebeheer en gaat via een pull request.
• Het beleid komt terug in het awareness-programma (zie 6.03).
• Directie reviewt het beleid minimaal jaarlijks als onderdeel van de directiebeoordeling (zie 9.3).
• Uitzonderingen op het beleid worden alleen verleend op basis van een expliciet besluit van de IB-coördinator of de directie. Er is geen standaard dispensatieproces; elke uitzondering is een bewuste beslissing.
• Wijzigingen aan onderwerpspecifieke beleidsregels (Annex A-controls) worden goedgekeurd door de IB-coördinator. Significante beleidswijzigingen worden ter kennisgeving aan de directie voorgelegd.

Gaps

• Het IB-beleid is nog niet ondertekend door de directie; ondertekening is gepland voor Q1 2027 (ISMS-324).
• Kennisname door medewerkers is niet aantoonbaar: de onboarding-checklist bevat nog geen stap “IB-beleid lezen en bevestigen” en er is geen jaarlijkse bevestiging door bestaande medewerkers. Voorstel: aanwezigheidslijst bij de jaarlijkse IB-presentatie plus bevestiging in de onboarding-checklist (epic ISMS-387, HR-manager).
• Geen formeel proces voor tussentijdse review bij significante veranderingen (nieuwe regelgeving, groot incident, organisatieverandering). Nu is alleen de jaarlijkse directiebeoordeling afgesproken.
• Beleid wordt niet proactief gecommuniceerd aan klanten en leveranciers; het is beschikbaar op verzoek.

Bewijs

• IB-beleid: 05-leiderschap/5.2-beleid.md (Git-history)
• Control-beschrijvingen: controls/ (Git-history)
• Awareness-sessies: rapporten in awareness-sessions/
• Ondertekening en kennisname: nog geen bewijs; zie Gaps.