20080325 - 801 - Scriptie - definitief - Vurore

Daarnaast worden binnen de Rijksoverheid diverse ‘best practices’ en anderevormen van wet- of regelgeving gehanteerd die betrekking hebben opinformatiebeveiliging: de Code voor Informatiebeveiliging en ITIL SecurityManagement. De genoemde voorschriften en ‘best practices’ worden nog korttoegelicht.Voorschrift Informatiebeveiliging Rijksdienst 2007De essentie van het VIR 2007 is ervoor te zorgen dat de overheid op eenbetrouwbare manier omgaat met gegevens van burgers en bedrijfsleven.De overheid is daarbij afhankelijk van informatietechnologie.Voor de beschikbaarheid van geautomatiseerde of handmatige informatiesystemenworden meestal Service Level Agreements (SLA) - of vergelijkbare overeenkomstenmet een andere benaming - afgesloten tussen de eigenaar van hetinformatiesysteem (uiteindelijk lijnmanagement) en de IT dienstenleverancier.Beveiliging is daarin een onderdeel van de afspraken.Veiligheidsvoorschrift Rijksdienst 2005Het ‘Veiligheidsvoorschrift Rijksdienst 2005’ geeft aan dat de secretaris-generaalverantwoordelijk is voor de integrale beveiliging van de organisatie, demedewerkers, het materieel, de informatiesystemen, de gebouwen en de overigeobjecten en de inrichting en de werking van de beveiligingsorganisatie.De secretaris-generaal wijst een beveiligingsambtenaar aan die deverantwoordelijkheid voor integrale beveiliging krijgt overgedragen.In het voorschrift is opgenomen dat onder integrale beveiliging wordt verstaan: eenafgewogen en consistente toepassing van beveiligingsmaatregelen in een breedscala van toepassingsgebieden. Het bedrijfsproces dient centraal te staan.Onder integrale beveiliging wordt niet verstaan de bedrijfsveiligheid.Er zijn verschillende ‘best practices’ die naast informatiebeveiliging in het algemeen,specifiek ingaan op SLA’s:In de Code voor Informatiebeveiliging 14 wordt op contractniveau - niet op hetgedetailleerde niveau van de SLA - ingegaan op beveiligingseisen die behoren bijuitbesteding. Om de bijbehorende beveiliging te regelen wordt een aantalmaatregelen geadviseerd, bijvoorbeeld op het gebied van fysiek- en logischtoegangsbeheer of het recht om te mogen auditen.ITIL is een ‘best practice’ voor IT-beheerprocessen. ITIL beoogt meer grip te krijgen opde kwaliteit van de IT-dienstverlening. Het basisprincipe van ITIL is, dat de ITserviceorganisaties diensten leveren aan de afnemers (gebruikersorganisaties) tegenwat heet ‘gerechtvaardigde kosten’. Het ITIL proces Security Management 15 geeftde structurele inpassing van beveiliging in de IT-beheerorganisatie en moet ervoorzorgen dat de dienstverlening blijft voldoen aan de met de klant afgesproken eisenop het gebied van de informatiebeveiliging.De SLA valt onder de verantwoordelijkheid van het Service Level Management enfungeert als stuurinstrument voor de ITIL-processen.In bijlage 2 zijn de bovengenoemde voorschriften en ‘best practices’ naderuitgewerkt terug te vinden.13 Veiligheidsvoorschrift Rijksdienst 200514 Code voor Informatiebeveiliging (NEN-ISO-IEC 17799:2005)15 J. Bon, G. Kemmerling en D. Pondman, IT servicemanagement, an introduction ITSMF (2002)Afstudeerscriptie team 801 blz. 19 van 49