Bijlage I Regeling informatiebeveiliging politie: betrouwbaarheidscriteria en -normklassen

Regeling informatiebeveiliging politie

Artikel 2 van de regeling bepaalt dat bij gegevensuitwisseling binnen de politie (lid 3) en met andere instanties (lid 4) schriftelijke afspraken gemaakt worden over de betrouwbaarheid van de informatiesystemen en de informatie daarin. Vanzelfsprekend kunnen (en dienen) dergelijke afspraken, al dan niet schriftelijk, ook gemaakt te worden bij gegevensuitwisseling binnen de politie. Deze betrouwbaarheidsafspraken kunnen op drie niveaus worden gemaakt: Duidelijk zal zijn dat afspraken op het niveau van gevoeligheid voor de partijen in uitwisseling weinig houvast biedt bij het invullen van de beveiliging (zekerstellen van de betrouwbaarheid) van de informatie en de informatiesystemen, terwijl afspraken op het niveau van maatregelen veel omvattend en complex zullen zijn en de geldigheidsduur van de afspraken ook beperkt zal zijn als gevolg van technologische en organisatorische ontwikkelingen. Afspraken over betrouwbaarheid van informatie en informatiesystemen moeten daarom gemaakt worden op het niveau van eisen. Bovendien is het zaak de eisen kwantitatief te formuleren, ten einde de afspraken meetbaar te maken. In deze bijlage worden de criteria en -normklassen omschreven die door de politie dienen te worden gehanteerd bij het formuleren van eisen inzake de betrouwbaarheid van informatie en informatiesystemen. Beschikbaarheid wordt omschreven als: de mate waarin een informatiesysteem in bedrijf is op het moment dat de politie het nodig heeft. Voor het formuleren van beschikbaarheidseisen zijn er de volgende criteria. Beschikbaarheid wordt hier gespecificeerd in tijdafhankelijke criteria (het moment dat de politie het informatiesysteem nodig heeft), niet in locatieafhankelijke criteria (de plaats waar het informatiesysteem nodig is). Indien ook locatieafhankelijke beschikbaarheidseisen moeten worden gesteld, dan kunnen de hierboven genoemde criteria nader worden gespecificeerd per werkplek, afdeling of gebouw of organisatie. Integriteit wordt omschreven als: de mate waa

• op het niveau van gevoeligheid, waarbij de afspraken betrekking hebben op de consequenties voor bedrijfsprocessen die van de informatie c.q. het informatiesysteem gebruik maken en voor de belangen van personen en instanties waarover gegevens worden uitgewisseld als er verstoring optreedt van de betrouwbaarheid van de informatie en de informatiesystemen;
• op het niveau van eisen, waarbij de afspraken betrekking hebben op de mate van betrouwbaarheid van de informatie en de informatiesystemen;
• op het niveau van maatregelen, waarbij de afspraken betrekking hebben op de realisatie van de betrouwbaarheid van de informatie en de informatiesystemen.
• Beschikbaarheidsperiode: de tijd dat de informatie en het informatiesysteem nodig is. De beschikbaarheidsperiode wordt uitgedrukt in tijdseenheden, bijvoorbeeld kantoortijd, 7x24 uur, etc.
• Bedrijfszekerheid: de mate waarin de gegevensverwerking vrij blijft van storingen of, anders gezegd, de gemiddelde tijd tussen het optreden van beschikbaarheidsstoringen. De bedrijfszekerheid wordt uitgedrukt in uren, bijvoorbeeld: 1 beschikbaarheidsstoring per 200 uur is acceptabel.
• Herstelbaarheid: de snelheid waarmee de gegevensverwerking hersteld kan worden na een storing. Daarbij kan onderscheid gemaakt worden in:
• de gemiddelde duur van een beschikbaarheidsstoring en
• de maximaal toegestane duur van een beschikbaarheidsstoring, beide uitgedrukt in uren.
• Juistheid: het percentage van de gegevensverzameling dat door het informatiesysteem juist, conform specificaties, wordt verwerkt. Bijvoorbeeld: 95% van de gegevens wordt juist verwerkt.
• Volledigheid: het percentage van de gegevensverzameling dat door het informatiesysteem volledig (zonder manco’s) en enkelvoudig (zonder doublures) wordt verwerkt.
• Tijdigheid: het percentage van de gegevensverzameling dat door het informatiesysteem binnen de gespecificeerde termijn wordt verwerkt.
• Hersteltijd: het aantal uren na constatering van niet-integer verwerkte gegevens waarbinnen herstel dient plaatsgevonden te hebben.
• Autorisatie: de aanduiding van de groep van personen die voor toegang tot en kennisname van een informatiesysteem en de informatie daarin gerechtigd is. Hoewel autorisatie feitelijk een specificatie is van exclusiviteit en niet van zekerstelling van exclusiviteit, wordt ervan uitgegaan dat naarmate de groep van geautoriseerde personen nauwkeuriger omschreven wordt de noodzakelijke zekerstelling van de exclusiviteit hoger wordt.
• Geoorloofdheid: de mate van zekerheid dat toegang tot en kennisname van een informatiesysteem en van de informatie daarin uitsluitend voor personen die daartoe gerechtigd zijn mogelijk is. Geoorloofdheid wordt uitgedrukt in het percentage van de feitelijke gebruik van het informatiesysteem. Bijvoorbeeld: 99% van het feitelijk gebruik van het systeem is geoorloofd gebruik. In die gevallen waarin de vereiste geoorloofdheid nagenoeg 100% moet zijn is het vaak praktischer de eis te formuleren in faalkansen, bijvoorbeeld: 1 ongeoorloofde toegang per 1000 toegangen is acceptabel.
• Braakbestendigheid: de tijd dat het kost om ongeoorloofd toegang tot een informatiesysteem te verkrijgen, uitgedrukt in uren.