Bijlage 3 Besluit voorschrift informatiebeveiliging rijksdienst – bijzondere informatie: matrix exclusiviteitseisen

Besluit voorschrift informatiebeveiliging rijksdienst – bijzondere informatie

1. Het Voorschrift informatiebeveiliging rijksdienst bijzondere informatie (Vir-bi) deelt in artikel 5 bijzondere informatie in vier categorieën in. Bij iedere categorie behoort een verdere uitwerking van de eisen met betrekking tot de bescherming van de exclusiviteit, die in artikel 12 van het Voorschrift zijn gegeven. Onder exclusiviteit wordt verstaan de mate waarin de toegang tot en kennisname van informatie is beperkt tot een gedefinieerde groep van gerechtigden. De in de matrix opgenomen eisen zijn in de eerste plaats gericht op het voorkomen dat niet gerechtigden bijzondere informatie kunnen behandelen of inzien of voorzover dit noodzakelijk is voor een goede uitvoering van hun taak en dat inbreuken op de beveiloging worden gedetecteerd en gedegen onderzoek naar (mogelijke) inbreuken mogelijk is. Als een dreiging manifest wordt, is het belangrijk dat er maatregelen zijn getroffen om deze te kunnen detecteren en om zonodig te kunnen interveniëren. De tijd waarbinnen deze detectie en eventuele interventie moeten plaatsvinden is afhankelijk van de kwetsbaarheid van de informatie zoals dat blijkt uit de aan de informatie toegekende rubricering. Ook hieraan worden in de matrix eisen gesteld: De in de matrix opgenomen eisen zijn alle gericht op de bescherming van de exclusiviteit. Om dit te bereiken zullen er in het informatiesysteem ook enkele maatregelen op het terrein van de bescherming van de integriteit moeten worden getroffen. Bij het verzenden van stukken via netwerken is het van belang dat de gegevens met betrekking tot de ontvanger juist en authentiek zijn. Onjuistheid van deze gegevens kan er toe leiden dat onbevoegden kennis nemen van de informatie. 2. Om te komen tot de exclusiviteitseisen is een tot het aspect exclusiviteit beperkte generieke afhankelijkheids- en kwetsbaarheidsanalyse (A&K-analyse) uitgevoerd. Voor de aspecten beschikbaarheid en integriteit kan ook voor bijzondere informatie worden volstaan met de A&K-analyse op grond van het Vir. Deze

• a. de beveiliging van staatsgeheimen moet zodanig ingericht zijn dat inbreuken op de beveiliging en pogingen daartoe worden gedetecteerd en dat interventie kan plaatsvinden;
• b. de beveiliging van ‘Dep. VERTROUWELIJK’ moet zodanig zijn ingericht dat inbreuken op de beveiliging zoveel mogelijk worden gedetecteerd.
• a. Afhankelijkheidsanalyse De afhankelijkheidsanalyse is uitgevoerd om onder andere te komen tot een stelsel van exclusiviteitseisen voor de verschillende rubriceringsniveaus. Voor zover dit noodzakelijk is om de exclusiviteit te waarborgen zijn de eisen met betrekking tot de integriteit meegenomen (zoals het authentiseren van berichten). Omdat de exclusiviteitseisen rechtstreeks voortvloeien uit de rubricering, is het voor de lijnmanager dus niet nodig om nog een separate afhankelijksanalyse voor het aspect exclusiviteit uit te voeren.
• b. Inventarisatie van dreigingen (dreigingsanalyse) Als uitgangspunt is een algemene dreigingsinventarisatie zoals die wordt gehanteerd door de AIVD en MIVD genomen (zie bladzijde 29).
• c. Kwetsbaarheidsanalyse Op basis van de afhankelijkheids- en dreigingsanalyse is een kwetsbaarheidsanalyse uitgevoerd.
• a. er is geen keuzemogelijkheid; Met een √-teken is aangegeven dat aan de beveiligingseis moet worden voldaan en voor welke rubriceringen dit geldt (zie bijvoorbeeld ‘Fysieke beveiliging van locaties en gebouwen’ onder b).
• b. er is een keuzemogelijkheid om aan de eis te voldoen; Indien aan een eis op verschillende wijzen kan worden voldaan zijn alle mogelijkheden in de matrix aangegeven (zie bijvoorbeeld ‘Fysieke beveiliging van locaties en gebouwen’ onder f). Met een }-teken is aangegeven uit welke maatregelen, gegeven de rubricering, de lijnmanager kan kiezen.
• c. de eis verschilt per categorie in zwaarte; Indien een eis per categorie verschilt is dit in de matrix aangegeven (zie bijvoorbeeld ‘Fysieke beveiliging van locaties en gebouwen’ onder a). Met een √-teken is per categorie aangegeven dat aan de eis voor de desbetreffende rubricering moet worden voldaan.
• d. de eis bestaat uit meerdere onderdelen; Indien een eis voor een bepaalde rubricering uit meerdere onderdelen bestaat is dit in de matrix aangegeven (zie bijvoorbeeld ‘Beveiliging tegen diefstal/ongeautoriseerd meenemen’ onder a). Met een √-teken is aangegeven dat aan de eis voor de desbetreffende rubricering moet worden voldaan.