Classificatie van informatie
GedeeltelijkIB-coördinator
Informatie wordt ingedeeld in drie niveaus; het niveau bepaalt hoe ermee wordt omgegaan.
Classificatieniveaus
Section titled “Classificatieniveaus”| Niveau | Betekenis | Voorbeelden |
|---|---|---|
| Openbaar | Mag vrij worden gedeeld | Website, publieke documentatie, open-source code |
| Intern | Alleen voor medewerkers; schade bij lekken beperkt | Projectdocumentatie, interne procedures, ISMS-documenten |
| Vertrouwelijk | Alleen voor wie het nodig heeft; schade bij lekken groot | Persoonsgegevens, klantdata, credentials, contracten, personeelsdossiers |
Gezondheidsinformatie en andere bijzondere persoonsgegevens zijn altijd vertrouwelijk.
De 1-5-schaal in de BIA (06-planning/6.1-risicobeoordeling/6.1.2-methodiek.md) is een risicoscore per systeem voor beschikbaarheid, integriteit en vertrouwelijkheid, geen classificatie. Eisen aan beschikbaarheid en integriteit per systeem volgen uit die BIA (RTO/RPO, zie 5.30) en niet uit dit schema.
Classificatieproces
Section titled “Classificatieproces”- De informatie-eigenaar bepaalt het niveau bij het aanmaken van informatie of het opzetten van een systeem.
- Het niveau wordt vastgelegd bij het asset in
registers/assets.yaml(5.09); voor documenten bepaalt de opslaglocatie het niveau (5.13). - Bij wijziging van gevoeligheid wordt opnieuw geclassificeerd; jaarlijkse review als onderdeel van de reviewcyclus.
Maatregelen per niveau
Section titled “Maatregelen per niveau”| Opslaan | Verwerken | Delen | |
|---|---|---|---|
| Openbaar | Geen eisen | Geen eisen | Vrij |
| Intern | Bedrijfssystemen (Google Workspace, GitHub, Jira), toegang beperkt tot medewerkers | Alleen op bedrijfslaptops | Intern via Slack, Drive, e-mail; extern alleen met reden |
| Vertrouwelijk | Versleuteld at rest (cloudprovider-standaard), toegang op need-to-know, Secret Manager/1Password voor credentials | Need-to-know, productietoegang alleen DevOps | Via Drive-link met toegangsbeperking of beveiligde API, niet als e-mailbijlage (5.14) |
Verantwoordelijkheden
Section titled “Verantwoordelijkheden”- Informatie-eigenaar: classificeert en zorgt voor passende bescherming
- IB-coördinator: onderhoudt dit schema
- Alle medewerkers: handelen conform de classificatie
- Classificatie is nog niet per asset vastgelegd; dat volgt bij de migratie van het assetregister naar
registers/assets.yaml(ISMS-376). - Classificatie wordt nog niet consequent toegepast op informatieobjecten buiten het assetregister (documenten, Drive-mappen).
Bewijs
Section titled “Bewijs”- Classificatieschema en maatregelen: dit document
- Classificatie per asset: nog geen bewijs; zie Gaps.