Title: wetten.nl - Regeling - Regeling informatiebeveiliging politie - BWBR0008599

Source: https://wetten.overheid.nl/BWBR0008599/

Content:
{"title": "wetten.nl - Regeling - Regeling informatiebeveiliging politie - BWBR0008599", "content": "Regeling informatiebeveiliging politie\n\nDe Minister van Binnenlandse Zaken en de Minister van Justitie,\n\nGelet op de artikelen 38, derde lid, artikel 46 en 48, eerste lid, van de Politiewet 1993;\n\nGezien het advies van de korpsbeheerders, kenmerk 0113\\1235\\EMd\u2019H, d.d. 17 december\n                                    1996, en van de Raad voor het Korps landelijke politiediensten, d.d. 25 oktober 1996;\n\nBesluiten:\n\nIn deze regeling wordt verstaan onder:\n\nhet vaststellen in hoeverre bedrijfsprocessen die door informatiesystemen ondersteund\n                                          worden, afhankelijk zijn van de betrouwbaarheid van deze systemen en het vaststellen\n                                          welke potenti\u00eble schades kunnen optreden als gevolg van het falen van deze informatiesystemen;\n\nde mate waarin de politie zich kan verlaten op een informatiesysteem voor haar informatievoorziening;\n\nde mate waarin een informatiesysteem in bedrijf is op het moment dat de politie het\n                                          nodig heeft;\n\nde mate waarin een informatiesysteem zonder fouten is;\n\nde mate waarin de toegang tot en de kennisname van een informatiesysteem en de informatie\n                                          daarin beperkt is tot een gedefinieerde groep van gerechtigden;\n\neen geheel van gegevensverzamelingen, personen, procedures, programmatuur en opslagverwerkings-\n                                          en communicatie-apparatuur;\n\neen geheel van voorzieningen dat ter beschikking staat aan \u00e9\u00e9n of meerdere informatiesystemen\n                                          binnen de politie en waarvoor de verantwoordelijkheid eenduidig is toe te wijzen aan\n                                          \u00e9\u00e9n organisatorische eenheid;\n\nhet vaststellen van de invloed van het manifest worden van bedreigingen op het functioneren\n                                          van een informatiesysteem of een gemeenschappelijke IT-dienst;\n\nhet treffen en onderhouden van een samenhangend pakket van maatregelen ter waarborging\n                                          van de beschikbaarheid, integriteit en exclusiviteit van een informatiesysteem en\n                                          daarmee van de informatie daarin;\n\nde opsomming van alle beveiligingsmaatregelen of de vindplaatsen daarvan die voor\n                                          een informatiesysteem of een gemeenschappelijke IT-dienst van kracht zijn;\n\nde opsomming van alle maatregelen die tot uitvoering moeten komen als zich een situatie\n                                          voordoet waarbij de beschikbaarheid, integriteit of exclusiviteit van een informatiesysteem\n                                          in beduidende mate niet aan de eisen voldoen;\n\nde mate waarin het geheel van eigenschappen van een informatiesysteem voldoet aan\n                                          de uit het gebruiksdoel voortvloeiende eisen;\n\nde zorg voor het functioneren van (een deel van) een informatiesysteem;\n\nde zorg voor het ontwikkelen, kopen, huren en dergelijke en het uitvoeren van aanpassingen\n                                          aan (delen van) een informatiesysteem zoals procedures, programmatuur of apparatuur.\n\n1 Deze regeling is van toepassing op het gehele proces van informatievoorziening en\n                                          de gehele levenscyclus van informatiesystemen, ongeacht de toegepaste technologie\n                                          en ongeacht het karakter van de informatie.\n\n2 De korpschef is verantwoordelijk voor informatiebeveiliging, hetgeen een onderdeel\n                                          van de kwaliteitszorg voor bedrijfsprocessen en de ondersteunende informatiesystemen\n                                          vormt.\n\n3 Bij de uitwisseling van gegevens tussen de politie en andere instanties, worden afspraken\n                                          gemaakt over de betrouwbaarheid van de informatiesystemen en van de informatie daarin\n                                          en de wijze waarop zekerheid wordt verkregen over de realisatie daarvan.\n\n1 De korpschef stelt het informatiebeveiligingsbeleid vast in een beleidsdocument en\n                                          draagt dit beleid uit. Indien het informatiebeveiligingsbeleid mede betrekking heeft\n                                          op informatiesystemen ten behoeve van de opsporing van strafbare feiten, stelt de\n                                          korpschef dit beleidsdocument vast na overleg met de hoofdofficier van justitie.\n\n2 Het document omvat tenminste:\n\na.  de strategische uitgangspunten en randvoorwaarden die de politie hanteert ten aanzien\n                                                van informatiebeveiliging, met name de inbedding in en afstemming op het algemene\n                                                beveiligingsbeleid en het informatievoorzieningsbeleid;\n\nb.  de organisatie van de beveiligingsfunctie, waaronder het toedelen van verantwoordelijkheden,\n                                                taken en bevoegdheden;\n\nc.  de eenduidige en volledige indeling van informatievoorzieningsfaciliteiten in informatiesystemen\n                                                en gemeenschappelijke IT-diensten en toewijzing van de verantwoordelijkheden daarvoor\n                                                aan leidinggevenden;\n\nd.  de wijze waarop het beleid wordt vertaald naar concrete maatregelen en de wijze waarop\n                                                deze gefinancierd worden;\n\ne.  de gemeenschappelijke betrouwbaarheidseisen en maatregelen, vastgesteld met inachtneming\n                                                van de bij deze regeling gevoegde bijlage, die voor de politie van toepassing zijn;\n\nf.  de wijze waarop geconstateerde dan wel vermoede inbreuken op de informatiebeveiliging\n                                                door politieambtenaren gemeld worden, de politieambtenaar bij wie deze inbreuken worden\n                                                gemeld en de wijze waarop deze worden afgehandeld;\n\ng.  de wijze waarop en de frequentie waarmee volgens een vastgesteld schema het informatiebeveiligingsbeleid\n                                                ge\u00ebvalueerd wordt en de toereikendheid van het informatiebeveiligingsbeleid alsmede\n                                                de implementatie en de uitvoering daarvan wordt beoordeeld door een onafhankelijke\n                                                deskundige;\n\nh.  de wijze waarop het beveiligingsbewustzijn wordt bevorderd en\n\ni. de te nemen maatregelen met betrekking tot de interceptiefaciliteiten binnen het korps.\n\nDe korpschef draagt er zorg voor dat voor elk informatiesysteem en voor elke gemeenschappelijke\n                                    IT-dienst op systematische wijze met inachtneming van de betrouwbaarheidscriteria\n                                    en -normklassen, bedoeld in bijlage I, bepaald wordt welk stelsel van maatregelen uit hoofde van informatiebeveiliging\n                                    getroffen dient te worden. Deze zorgplicht houdt tenminste in dat:\n\na.  voor elk informatiesysteem een afhankelijkheidsanalyse wordt uitgevoerd, uitmondend\n                                          in de aan het informatiesysteem te stellen betrouwbaarheidseisen;\n\nb.  voor elke gemeenschappelijke IT-dienst een afhankelijkheidsanalyse wordt uitgevoerd,\n                                          uitmondend in de aan die IT-dienst te stellen betrouwbaarheidseisen;\n\nc.  voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de bedreigingen\n                                          worden ge\u00efdentificeerd en geanalyseerd;\n\nd.  voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst dusdanig maatregelen\n                                          worden gekozen dat door middel van een kwetsbaarheidsanalyse aangetoond kan worden\n                                          dat aan de gestelde betrouwbaarheidseisen wordt voldaan;\n\ne.  voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst een informatiebeveiligingsplan\n                                          wordt vastgesteld. Hierin is in elk geval opgenomen:\n\n1.  een actieplan ter implementatie van alle beveiligingsmaatregelen;\n\n2.  een calamiteitenparagraaf waarvan de effectiviteit periodiek wordt getoetst.\n\n[Vervallen per 01-01-2013]\n\nDe korpschef draagt er zorg voor dat voor elk bedrijfsproces de maatregelen die uit\n                                    hoofde van de informatiebeveiliging van toepassing zijn op de ondersteunende informatiesystemen\n                                    en dat de maatregelen die van toepassing zijn op elke gemeenschappelijke IT-dienst,\n                                    worden vastgelegd, ge\u00efmplementeerd of uitgedragen en dat de werking volgens een vaststaand\n                                    schema wordt gecontroleerd. Deze zorgplicht houdt tenminste in dat:\n\na.  voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de uit het informatiebeveiligingsplan\n                                          voortvloeiende maatregelen voor de gebruikers worden vastgelegd en door dde korpschef\n                                          worden uitgedragen;\n\nb.  voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de uit het informatiebeveiligingsplan\n                                          voortvloeiende maatregelen voor systeemexploitatie schriftelijk worden vastgelegd;\n\nc.  volgens een vastgesteld schema een onafhankelijk oordeel over de kwaliteit van de\n                                          getroffen informatiebeveiligingsmaatregelen en over het handhaven en naleven daarvan\n                                          wordt verlangd;\n\nd.  voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de uit het informatiebeveiligingsplan\n                                          voortvloeiende maatregelen voor systeemmanagement door de korpschef schriftelijk worden\n                                          vastgelegd;\n\ne.  de uit het informatiebeveiligingsplan voortvloeiende maatregelen voor systeemverwerving\n                                          worden getoetst op hun implementatie en werking.\n\n[Vervallen per 15-12-2017]\n\nDe korpschef draagt ervoor zorg dat onbevoegde kennisneming van criminele inlichtingen\n                                    en informantgegevens niet kan plaatsvinden. In dat kader ziet hij erop toe dat:\n\na. deze informatie niet door onbevoegden waarneembaar is;\n\nb. deze informatie niet zonder toestemming wordt vermenigvuldigd of vernietigd dan wel\n                                          uit de vertrekken, bedoeld in artikel 12 van het Besluit verplichte politiegegevens, wordt meegenomen;\n\nc. informatiedragers op afdoende wijze vernietigd kunnen worden;\n\nd. toegang tot geautomatiseerde registers wordt beveiligd met een gebruikersnaam en periodiek\n                                          wisselende wachtwoorden;\n\ne. bij geautomatiseerd transport van criminele inlichtingen voldoende beveiligingsmaatregelen\n                                          worden getroffen;\n\nf. bij gebruik van een netwerksysteem voldoende beveiligingsmaatregelen zijn getroffen\n                                          tegen het verloren gaan van de informatie en ter voorkoming van onbevoegde bevraging.\n\nDeze regeling berust op artikel 23, eerste lid, onder b, van de Politiewet 2012.\n\nDeze regeling treedt in werking op 1 april 1997.\n\nDeze regeling wordt aangehaald als Regeling informatiebeveiliging politie.\n\nDeze regeling zal met de toelichting en de bijbehorende bijlage in de Staatscourant en het Algemeen Politieblad worden geplaatst.\n\n\u2019s-Gravenhage, 17 maart 1997\n\nMinister\n\nH.F. Dijkstal\n\nMinister\n\nW. Sorgdrager\n\nArtikel 2 van de regeling bepaalt dat bij gegevensuitwisseling binnen de politie (lid 3) en\n                                    met andere instanties (lid 4) schriftelijke afspraken gemaakt worden over de betrouwbaarheid\n                                    van de informatiesystemen en de informatie daarin.\n\nVanzelfsprekend kunnen (en dienen) dergelijke afspraken, al dan niet schriftelijk,\n                                    ook gemaakt te worden bij gegevensuitwisseling binnen de politie.\n\nDeze betrouwbaarheidsafspraken kunnen op drie niveaus worden gemaakt:\n\nop het niveau van gevoeligheid, waarbij de afspraken betrekking hebben op de consequenties\n                                          voor bedrijfsprocessen die van de informatie c.q. het informatiesysteem gebruik maken\n                                          en voor de belangen van personen en instanties waarover gegevens worden uitgewisseld\n                                          als er verstoring optreedt van de betrouwbaarheid van de informatie en de informatiesystemen;\n\nop het niveau van eisen, waarbij de afspraken betrekking hebben op de mate van betrouwbaarheid\n                                          van de informatie en de informatiesystemen;\n\nop het niveau van maatregelen, waarbij de afspraken betrekking hebben op de realisatie\n                                          van de betrouwbaarheid van de informatie en de informatiesystemen.\n\nDuidelijk zal zijn dat afspraken op het niveau van gevoeligheid voor de partijen in\n                                    uitwisseling weinig houvast biedt bij het invullen van de beveiliging (zekerstellen\n                                    van de betrouwbaarheid) van de informatie en de informatiesystemen, terwijl afspraken\n                                    op het niveau van maatregelen veel omvattend en complex zullen zijn en de geldigheidsduur\n                                    van de afspraken ook beperkt zal zijn als gevolg van technologische en organisatorische\n                                    ontwikkelingen. Afspraken over betrouwbaarheid van informatie en informatiesystemen\n                                    moeten daarom gemaakt worden op het niveau van eisen. Bovendien is het zaak de eisen\n                                    kwantitatief te formuleren, ten einde de afspraken meetbaar te maken.\n\nIn deze bijlage worden de criteria en -normklassen omschreven die door de politie\n                                    dienen te worden gehanteerd bij het formuleren van eisen inzake de betrouwbaarheid\n                                    van informatie en informatiesystemen.\n\nBeschikbaarheid wordt omschreven als: de mate waarin een informatiesysteem in bedrijf\n                                    is op het moment dat de politie het nodig heeft. Voor het formuleren van beschikbaarheidseisen\n                                    zijn er de volgende criteria.\n\nBeschikbaarheidsperiode: de tijd dat de informatie en het informatiesysteem nodig\n                                          is. De beschikbaarheidsperiode wordt uitgedrukt in tijdseenheden, bijvoorbeeld kantoortijd,\n                                          7x24 uur, etc.\n\nBedrijfszekerheid: de mate waarin de gegevensverwerking vrij blijft van storingen\n                                          of, anders gezegd, de gemiddelde tijd tussen het optreden van beschikbaarheidsstoringen.\n                                          De bedrijfszekerheid wordt uitgedrukt in uren, bijvoorbeeld: 1 beschikbaarheidsstoring\n                                          per 200 uur is acceptabel.\n\nHerstelbaarheid: de snelheid waarmee de gegevensverwerking hersteld kan worden na\n                                          een storing. Daarbij kan onderscheid gemaakt worden in:\n\nde gemiddelde duur van een beschikbaarheidsstoring en\n\nde maximaal toegestane duur van een beschikbaarheidsstoring, beide uitgedrukt in uren.\n\nBeschikbaarheid wordt hier gespecificeerd in tijdafhankelijke criteria (het moment\n                                    dat de politie het informatiesysteem nodig heeft), niet in locatieafhankelijke criteria\n                                    (de plaats waar het informatiesysteem nodig is). Indien ook locatieafhankelijke beschikbaarheidseisen\n                                    moeten worden gesteld, dan kunnen de hierboven genoemde criteria nader worden gespecificeerd\n                                    per werkplek, afdeling of gebouw of organisatie.\n\nIntegriteit wordt omschreven als: de mate waarin een informatiesysteem zonder fouten\n                                    is. \u2019Zonder fouten\u2019 wil zeggen dat de informatieverwerking plaatsvindt volgens vooraf\n                                    vastgestelde specificaties. De randvoorwaarde voor het maken van afspraken over de\n                                    integriteit van informatiesystemen en de informatie daarin is dus de aanwezigheid\n                                    van specificaties van de verwerking, zowel de geautomatiseerde als de handmatige.\n                                    Voor het formuleren van integriteitseisen zijn er de volgende criteria.\n\nJuistheid: het percentage van de gegevensverzameling dat door het informatiesysteem\n                                          juist, conform specificaties, wordt verwerkt. Bijvoorbeeld: 95% van de gegevens wordt\n                                          juist verwerkt.\n\nVolledigheid: het percentage van de gegevensverzameling dat door het informatiesysteem\n                                          volledig (zonder manco\u2019s) en enkelvoudig (zonder doublures) wordt verwerkt.\n\nTijdigheid: het percentage van de gegevensverzameling dat door het informatiesysteem\n                                          binnen de gespecificeerde termijn wordt verwerkt.\n\nHersteltijd: het aantal uren na constatering van niet-integer verwerkte gegevens waarbinnen\n                                          herstel dient plaatsgevonden te hebben.\n\nIn die gevallen waarin de vereiste juistheid, volledigheid en/of tijdigheid nagenoeg\n                                    100% moet zijn, is het soms praktischer de eisen te formuleren in faalkansen, bijvoorbeeld:\n                                    1 onjuist verwerkte transaktie per 1000 transakties is acceptabel.\n\nExclusiviteit wordt omschreven als: de mate waarin de toegang tot en kennisname van\n                                    een informatiesysteem en de informatie daarin beperkt is tot een gedefinieerde groep\n                                    van gerechtigden. Voor het formuleren van eisen inzake exclusiviteit kunnen de volgende\n                                    criteria van dienst zijn.\n\nAutorisatie: de aanduiding van de groep van personen die voor toegang tot en kennisname\n                                          van een informatiesysteem en de informatie daarin gerechtigd is. Hoewel autorisatie\n                                          feitelijk een specificatie is van exclusiviteit en niet van zekerstelling van exclusiviteit,\n                                          wordt ervan uitgegaan dat naarmate de groep van geautoriseerde personen nauwkeuriger\n                                          omschreven wordt de noodzakelijke zekerstelling van de exclusiviteit hoger wordt.\n\nGeoorloofdheid: de mate van zekerheid dat toegang tot en kennisname van een informatiesysteem\n                                          en van de informatie daarin uitsluitend voor personen die daartoe gerechtigd zijn\n                                          mogelijk is. Geoorloofdheid wordt uitgedrukt in het percentage van de feitelijke gebruik\n                                          van het informatiesysteem. Bijvoorbeeld: 99% van het feitelijk gebruik van het systeem\n                                          is geoorloofd gebruik. In die gevallen waarin de vereiste geoorloofdheid nagenoeg\n                                          100% moet zijn is het vaak praktischer de eis te formuleren in faalkansen, bijvoorbeeld:\n                                          1 ongeoorloofde toegang per 1000 toegangen is acceptabel.\n\nBraakbestendigheid: de tijd dat het kost om ongeoorloofd toegang tot een informatiesysteem\n                                          te verkrijgen, uitgedrukt in uren.\n\nAls voor elk informatiesysteem specifieke betrouwbaarheidsnormen worden geformuleerd,\n                                    dan ontstaat een complex normenstelsel. Wat te doen als het ene systeem een bedrijfszekerheidsnorm\n                                    stelt van 1 storing per 200 uur, het volgende systeem een norm stelt van 1 storing\n                                    per 240 uur en het derde weer een norm stelt van 1 storing per 300 uur? Voor het maken\n                                    van afspraken zal het op den duur handiger blijken om normklassen te hanteren. In\n                                    deze regeling worden vier normklassen onderscheiden: \u2019laag\u2019, \u2019gemiddeld\u2019, \u2019hoog\u2019 en\n                                    \u2019zeer hoog\u2019.\n\nHet is de bedoeling dat de normklassen worden ingevuld door de politie. Hieronder\n                                    volgt een voorbeeld van een mogelijke invulling van normklassen voor de onderscheiden\n                                    betrouwbaarheidscriteria.\n\nNormklasse \u00e0 Criterium\n\nLaag\n\nGemiddeld\n\nHoog\n\nZeer hoog\n\nBeschikbaarheid\n\nBeschikbaarheids- periode\n\nKantoortijd\n\nKantoortijd\n\n7x24 uur\n\n7x24 uur\n\nBedrijfszekerheid\n\n200 uur\n\n400 uur\n\n1500 uur\n\n6000 uur\n\nHerstelbaarheid\n\n8 uur\n\n4 uur\n\n2 uur\n\n1 uur\n\nIntegriteit\n\nJuistheid\n\n< 90%\n\n90-95%\n\n95-99,9%\n\n>99,9%\n\nVolledigheid\n\n< 90%\n\n90-95%\n\n95-99,9%\n\n>99,9%\n\nTijdigheid\n\n< 90%\n\n90-95%\n\n95-99,9%\n\n>99,9%\n\nHersteltijd\n\n> 24 uur\n\n24-8 uur\n\n8-1 uur\n\n< 1 uur\n\nExclusiviteit\n\nAutorisatie\n\nIedereen in het korps\n\nspecifieke afdelingen\n\nspecifieke functies\n\nspecifieke personen\n\nGeoorloofdheid\n\n90%\n\n99%\n\n99,99%\n\n99,99%\n\nBraakbestendigheid\n\n< 2 uur\n\n2-4 uur\n\n4-12 uur\n\n> 12 uur\n\nDe in deze bijlage beschreven verzameling van betrouwbaarheidscriteria is niet volledig\n                                 en vaststaand. Zoals elke taal is ook de \u2019informatiebeveiligingstaal\u2019 in ontwikkeling.\n                                 Op basis van ervaringen met het toepassen van de betrouwbaarheidscriteria en van de\n                                 normklassen zullen aanpassingen en uitbreidingen van de verzameling van criteria en\n                                 invullingen van de normklassen kunnen worden verwacht.\n\n[Vervallen per 15-12-2017]"}