Organisatiebeheersing en informatieveiligheid Vlaamse Toezichtcommissie voor het elektronische bestuurlijke gegevensverkeer Organisatiebeheersing en informatieveiligheid Caroline Vernaillen & Anne Teughels 21 maart 2013

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid INLEIDING Wie zijn wij Waarom informatieveiligheid Hoe past informatieveiligheid in organisatiebeheersing Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Overheidscommunicatie en informatieveiligheid WIE Wie zijn wij adviseurs van de VTC De Vlaamse Toezichtcommissie voor het elektronische bestuurlijke gegevensverkeer Controleren van stromen van persoonsgegevens die uitgaan van een Vlaamse instantie Hoe:1° machtigen van die stromen 2° adviezen (regelgeving, VDI-decreet) 3° beantwoorden van vragen en begeleiding Opgericht bij E-GOV decreet Verantwoording aan Vlaams Parlement Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid WAAROM ‘De jongste maanden zagen we de fraudes bij onlinebankieren toenemen’, zegt CEO Michel Vermaerke van Febelfin, de Belgische federatie van de financiële sector. ‘Vaak gebruiken de fraudeurs persoonlijke informatie om het vertrouwen van de slachtoffers te winnen, en hen met een geloofwaardig verhaal te overtuigen om hun codes te openbaren. Met de virale video wilden we mensen duidelijk maken dat ze zulke informatie vaak zelf op het internet hebben achtergelaten. Soms zonder het zelf te beseffen.’ https://www.youtube.com/watch?v=F7pYHN9iC9I en enkele voorbeelden bij overheden … Vlaamse Toezichtcommissie

http://www. computerweekly http://www.computerweekly.com/news/2240084015/UK-government-loses-data-on-25-million-Britons   http://news.cnet.com/U.K.-government-loses-pensioner-data/2100-1029_3-6223493.html http://webwereld.nl/nieuws/108815/weer-certificatenleverancier-overheid-gehackt.html http://frontpage.fok.nl/nieuws/214628/1/1/50/franse-overheid-gehackt.html Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid WAAROM “NMBS heeft een groter probleem dan het denkt De gegevens van 1,5 miljoen NMBS-klanten zijn gelekt. En dat is een veel groter probleem dan wij denken. Dat dit zomaar kon gebeuren is al bedroevend. Maar de manier waarop de NMBS met deze situatie omgaat is nóg bedroevender. De NMBS ondernam via twitter weliswaar een minieme poging tot het aanbieden van verontschuldigingen, op zijn website is van enig excuus geen sprake. Integendeel, het spoorbedrijf gaat direct in de verdediging en minimaliseert het datalek. Het gaat om “een gedeelte” van het klantenbestand (anderhalf miljoen! anderhalf! miljoen!) dat maar “een heel korte tijd” beschikbaar zou zijn geweest (in werkelijkheid ging het om bijna een maand). Het zou bovendien enkel zichtbaar zijn voor wie “geavanceerde kennis heeft van zoekmachines”. Een geruststellende gedachte: je opa kon de gegevens niet raadplegen….” Bron: http://samfeys.be/nmbs-heeft-een-groter-probleem-dan-het-denkt/ Zie ook: http://datanews.knack.be/ict/nieuws/nmbs-lek-naar-justitie/article-4000229416512.htm Vlaamse Toezichtcommissie

De certificatendatabank van de Vlaamse energieregulator VREG staat opnieuw online. Zo luidt het donderdag bij de VREG. Dinsdagavond werd de databank na een programmeerfout offline gehaald. De energieregulator zal zelf contact opnemen met de 21 mensen van wie de gegevens verwijderd werden door het probleem. "We hebben opnieuw de vorige versie van de databank online gezet, nadat er een probleem geslopen was in de nieuwe software", aldus Sofie Lauwaert, woordvoerster van de VREG. Eigenaars van zonnepanelen die dinsdag inlogden op de certificatendatabank van de VREG, konden een tijd lang privégegevens van de 200.000 andere gebruikers bekijken en aanpassen, zelfs hun rekeningnummers. De meterstanden die ingevoerd werden toen er problemen waren met de databank, werden opnieuw verwijderd. "De VREG zal de 21 personen die hun meterstanden dinsdagavond tussen 18 en 22 uur invoerden, persoonlijk contacteren en vragen om de gegevens opnieuw door te geven", legt Lauwaert nog uit. Het is nog niet duidelijk wat er dinsdag precies foutgelopen is. (Belga/RDM) bron: http://ikgabouwen.knack.be/bouwen-renovatie/nieuws/certificatendatabank-vreg-opnieuw-online/article-4000221247672.htm Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid HOE Hoe past informatieveiligheid in organisatiebeheersing ? Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid HOE Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Bescherming van persoonsgegevens geldt in meeste domeinen organisatiebeheersing HR: personeelsgegevens! Communicatie: klantengegevens, cookies, sociale media, … Facilitair: gebouwinfrastructuur, toegang, bewaking Cultuur: deontologie, awareness, sociale media ICT: natuurlijk Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid HOE Bij de uitbouw of optimalisatie van de organisatiebeheersing moeten de volgende principes voor ogen gehouden worden:  Organisatiebeheersing is ingebouwd in de processen en loopt continu. Organisatiebeheersing is een zaak van iedereen. Organisatiebeheersing verschaft redelijke zekerheid. Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid HOE Bij de uitbouw of optimalisatie van de organisatiebeheersing moeten de volgende principes voor ogen gehouden worden:  Informatieveiligheid is ingebouwd in de processen en loopt continu. Privacy by Design Informatieveiligheid is een zaak van iedereen. Informatieveiligheid verschaft redelijke zekerheid. Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Organisatiebeheersing (of interne controle): redelijke zekerheid bekomen in de volgende domeinen: het bereiken van de opgelegde doelstellingen en het effectief en efficiënt beheer van risico's;  de naleving van regelgeving en procedures;  de betrouwbaarheid van de financiële en beheersrapportering;  de effectieve en efficiënte werking van de diensten en het efficiënt inzetten van de middelen; de bescherming van haar activa en de voorkoming van fraude.  Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid HOE Volgen van reglementen en procedures Voor Vlaamse overheidsinstanties gelden de privacywet het e-govdecreet Risicobeheersing of informatieveiligheid sensu stricto Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Volgen van reglementen en procedures De privacywet: wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (WVP) http://vtc.corve.be/wetgeving.php Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Definitie van persoonsgegeven: iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon … = zeer ruim = niet beperkt tot privacy/persoonlijke levenssfeer Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Definitie van verantwoordelijke voor de verwerking Niet de IT-dienst Niet de personeelsleden WEL het management – het hoofd van de entiteit = verantwoordelijk voor de naleving van de privacywet Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid HOE De principes van de privacywet naleven: Finaliteit Proportionaliteit Transparantie Veiligheid Finaliteit of doelmatigheid (art. 4, §1, 2°): Doeleinde van de verdere verwerking van persoonsgegevens? Oorspronkelijk doeleinde? De persoonsgegevens dienen te worden verkregen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden, en enkel niet verder mogen worden verwerkt op een wijze die onverenigbaar is met de oorspronkelijk doeleinden van de gegevensverwerking. + eerlijk en rechtmatig (art. 4, §1, 1°) Proportionaliteit (art. 4, §1, 3°): de persoonsgegevens moeten toereikend, ter zake dienend en niet overmatig zijn, uitgaande van de doeleinden waarvoor ze worden verkregen of waarvoor ze verder worden verwerkt. + nauwkeurig, up to date (art. 4, §1, 4°) Bewaartermijn: persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk voor de verwezenlijking van de doeleinden (art. 4, §1, 5°).. Transparantie (art. 9-15): de gegevensverwerker heeft de verplichting tot informatie van de betrokken personen van wie de gegevens worden gebruikt (art. 9). Veiligheid (art. 16): gepaste technische en organisatorische maatregelen die nodig zijn voor de bescherming van persoonsgegevens tegen vernietiging, verlies, diefstal, wijziging van en toegang tot en iedere andere niet toegelaten verwerking = passend beveiligingsniveau. Veiligheidsconsulent: verplichting art. 9 e-gov.decreet + BVR 15/05/09 Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Het e-govdecreet: Decreet van 18 juli 2008 betreffende het elektronische bestuurlijke gegevensverkeer http://vtc.corve.be/docs/egov_decreet.pdf Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Artikel 6: verplichtingen Vlaamse Bestuursinstanties § 1. De instanties zijn in ieder geval verplicht : 1° persoonsgegevens te verwerken overeenkomstig de privacywet; 2° bij iedere nieuwe toepassing van het elektronische bestuurlijke gegevensverkeer vooraf adequate technische en organisatorische maatregelen in te bouwen voor de naleving van de privacywet; 3° op elk moment te waken over de kwaliteit en de veiligheid van gegevens en alle maatregelen te treffen om een perfecte bewaring van persoonsgegevens te garanderen; 4° de toezichtcommissie te ondersteunen bij de vervulling van haar opdrachten; 5° de toezichtcommissie informatie te verstrekken en inzage in alle dossiers en informatieverwerkende systemen te verschaffen telkens als ze daarom vraagt.   Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Artikel 8: machtigingsverplichting De elektronische mededeling van persoonsgegevens door een instantie vereist een machtiging van de Toezichtcommissie[...]   Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Artikel 9: Veiligheidsconsulent Iedere instantie die een authentieke gegevensbron beheert die persoonsgegevens bevat, iedere instantie die elektronische persoonsgegevens ontvangt of uitwisselt, en iedere entiteit die overeenkomstig artikel 4, § 3, aangewezen is en persoonsgegevens verwerkt, wijst een veiligheidsconsulent aan. De Vlaamse Regering bepaalt de opdrachten en de manier van aanwijzing van die veiligheidsconsulenten. http://vtc.corve.be/docs/E_GOV_decreet_BVR_VEILIGHEID.pdf http://vtc.corve.be/docs/Aanvraag_advies_aanstelling_veiligheidsconsulent.doc Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Sancties: niet naleven privacywet is strafbaar verwerking/gegevensstroom kan worden stopgezet tuchtsancties/ontslag Schadeclaims Vertrouwen in de Vlaamse Overheid krijgt een deuk Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Informatieveiligheid - risicobeheersing Leidraad Interne Controle Organisatiebeheersing: 10.1.6 Beveiligingsmanagement ICT-beveiliging is het geheel van maatregelen (voorschriften, processen, activiteiten,…) dat ervoor zorgt dat informatiesystemen (bedrijfs- en bestuursprocessen) een optimale bescherming genieten (rekening houdend met het kosten-baten principe) op het vlak van vertrouwelijkheid, privacy, integriteit en beschikbaarheid. Organisaties moeten hun ICT-veiligheidsbeleid uitstippelen vanuit drie invalshoeken: de menselijke factor (veiligheidscultuur), de processen en de technologie. Alleen op deze manier zal de integriteit, vertrouwelijkheid en beschikbaarheid van informatie immers gewaarborgd zijn. Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Informatieveiligheid ook informatie op papier betreft niet alleen persoonsgegevens maar ook andere vertrouwelijke informatie de beschikbaarheid en betrouwbaarheid van de informatie voor beleid, voor dossierverwerking,… Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid HOE Belangrijkste instrumenten: informatieveiligheidsconsulent informatieveiligheidsplan Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Informatieveiligheidsplan - ISO 27002 norm als inspiratie (cf. IT-dienst) - Richtsnoeren privacycommissie http://vtc.corve.be/infoveiligheid.php - Leidraad Organisatiebeheersing (p. 86) http://www.bestuurszaken.be/sites/bz.vlaanderen.be/files/Leidraad%20interne%20controle.pdf Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Informatieveiligheidsplan ! risico-analyse ! awareness ! voldoende middelen ! stappenplan ! contract met de verwerker (dataleverancier, (onder)aannemer) Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Informatieveiligheidsplan Hoofdstukken: Risico Beleid Organisatie: intern + externe partijen Bedrijfsmiddelen: classificatie informatie! Personeel Fysieke omgeving Communicatie en operationele procedures Toegang tot persoonsgegevens Aanschaffen, ontwikkelen en onderhouden informatiesystemen Informatiebeveiligingsincidenten Bedrijfscontinuïteit Naleving Vlaamse Toezichtcommissie

Vlaamse Toezichtcommissie Organisatiebeheersing en informatieveiligheid Recente aanbeveling privacycommissie ivm datalekken http://vtc.corve.be/docs/CBPL_gegevenslekken_aanbeveling_01_2013.pdf CLOUDproblematiek Voor het probleem van de datalekken is er een recente aanbeveling van de privacycommissie die ook technische minimumvereisten oplegt. De cloudproblematiek is een ander recent opduikend thema waarover dringend verder moet nagedacht worden binnen de Vlaamse Overheid. Goede contracten met cloudproviders zijn een noodzaak, maar dan nog is het algemeen te bekijken, ook ruimer dan de bescherming van persoonsgegevens, of het verantwoord is dat de Vlaamse Overheid haar data laat inkijken door een andere mogendheid (in casu de Amerikaanse cf. Patriot Act en FISA Amendments Act) Vlaamse Toezichtcommissie

Organisatiebeheersing en informatieveiligheid BESLUIT Besluit : neem privacy en informatieveiligheid mee wanneer jullie plannen maken in de verschillende domeinen en integreer dit ook in de globale organisatiebeheersing Linken www.vlaamsetoezichtcommissie.be www.privacycommission.be Vragen? toezichtcommissie{at}vlaanderen{dot}be Vlaamse Toezichtcommissie