Onderstaand voorbeeld is ontleend aan de toezichtpraktijk van het CBP

Het geeft onder meer weer welke aandachtspunten het CBP in het betreffende onderzoek hanteerde bij de beoordeling van de uitgevoerde risico-analyses.

Gezamenlijk met de Inspectie voor de Gezondheidszorg (IGZ) voert het CBP in 2007 een onderzoek uit naar de mate waarin de normen voor de informatiebeveiliging worden nageleefd door twintig ziekenhuizen.

Bij vijf van de onderzochte ziekenhuizen concluderen IGZ en CBP dat er geen sprake is van een passend beveiligingsniveau zoals bedoeld in artikel 13 Wbp. Na nader onderzoek in 2008 legt het CBP in 2009 aan vier van de ziekenhuizen een last onder dwangsom op, waarbij het CBP de ziekenhuizen onder meer sommeert om een risicoanalyse informatiebeveiliging uit te voeren en daarvan een rapportage op te stellen.

Als toelichting op deze maatregelen verwijst het CBP naar de NEN 7510, waarin de Code voor Informatiebe-veiliging voor de zorgsector nader is uitgewerkt en die als een gezaghebbende en sectorale uitwerking van artikel 13 Wbp wordt beschouwd.

Het CBP geeft daarbij het volgende aan:

“Een risicoanalyse vormt de basis voor het informatiebeveiligingsbeleid van een organisatie. Zonder risicoanalyse is het niet mogelijk om een adequaat informatiebeveiligingsbeleid te formuleren: pas na een risicoanalyse kunnen de prioritaire maatregelen voor informatiebeveiliging worden bepaald.

De definitie van een risicoanalyse in NEN 7510 – ‘beoordeling van de bedreigingen voor, effecten op en kwetsbaarheid van informatiesystemen en gegevens en de waarschijnlijkheid van het optreden van deze bedreigingen’ is gangbaar binnen het vakgebied informatiebeveiliging en geeft een organisatie – binnen de grenzen van de definitie – de vrijheid zelf een risicoanalysemethode te kiezen. Zodra echter elementen uit de definitie ontbreken is de risicoanalyse ontoereikend en wordt gezien het bovenstaande niet voldaan aan de norm van artikel 13 Wbp.”

Het cbp constateert dat twee van de vier ziekenhuizen in eerste instantie een risicoanalyse hebben uitge­voerd die niet voldoet aan de last. In de risicoanalyse van één ziekenhuis ontbreekt een inventarisatie van de (reële) bedreigingen, is er geen zicht op de kwetsbaarheid van de informatiesystemen en is er onvol­doende zicht op de beveiligingsmaatregelen die al zijn geïmplementeerd, waardoor er niet kan worden afgebakend welke maatregelen er uiteindelijk nog moeten worden getroffen. Het tweede ziekenhuis heeft aan de hand van een checklist in kaart gebracht hoe informatiebeveiliging volgens NEN7510 in de dagelijkse praktijk wordt toegepast, wat geen of hooguit zeer beperkt inzicht geeft in de concrete ICT-risico”s die het ziekenhuis loopt.

Beide ziekenhuizen vullen de risicoanalyse aan, zodat zij uiteindelijk alsnog aan de last voldoen.

De risicoanalyse geeft aan welke risico”s moeten worden afgedekt; beveiligingsstandaarden geven houvast bij het daadwerkelijk treffen van passende maatregelen om de risico”s af te dekken. Welke beveiligingsstandaarden voor een bepaalde verwerking relevant zijn en welke beveiligingsmaatregelen op grond van deze beveiligingsstandaarden moeten worden getroffen, moet van geval tot geval worden bepaald.

Bij het onderzoeken en beoordelen van de beveiliging van persoonsgegevens hanteert het CBP als uitgangspunt een aantal beveiligingsmaatregelen die binnen het vakgebied informatiebeveiliging gebruikelijk zijn en die in veel situaties in een of andere vorm noodzakelijk zijn. Het gaat om de volgende maatregelen:

• Beleidsdocument voor informatiebeveiliging

63 Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 5.1.1.

Het beleidsdocument gaat expliciet in op de maatregelen die de verantwoordelijke treft om de verwerkte persoonsgegevens te beveiligen. Het document is goedgekeurd op bestuurlijk c.q. leidinggevend niveau en kenbaar gemaakt aan alle werknemers en relevante externe partijen.

• Toewijzen van verantwoordelijkheden voor informatiebeveiliging

64 Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 6.1.3.

Alle verantwoordelijkheden, zowel op sturend als op uitvoerend niveau, zijn duidelijk gedefinieerd en belegd.

• Beveiligingsbewustzijn

65 Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 8.2.2.

Alle werknemers van de organisatie en, voor zover van toepassing, ingehuurd personeel en externe gebruikers krijgen geschikte training en regelmatige bijscholing over het informatiebeveiligings­beleid en de informatiebeveiligingsprocedures van de organisatie, voor zover relevant voor hun functie. Binnen de training en bijscholing wordt expliciet aandacht besteed aan de omgang met (bijzondere of anderszins gevoelige) persoonsgegevens.

• Fysieke beveiliging en beveiliging van apparatuur

66 Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 9.1 en 9.2.

IT-voorzieningen en apparatuur zijn fysiek beschermd tegen toegang door onbevoegden en tegen schade en storingen. De geboden bescherming is in overeenstemming met de vastgestelde risico”s.

• Toegangsbeveiliging

67 Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 11.2.

Er zijn procedures om bevoegde gebruikers toegang te geven tot de informatiesystemen en -diensten die ze voor de uitvoering van hun taken nodig hebben en om onbevoegde toegang tot informatiesystemen te voorkomen. De procedures omvatten alle fasen in de levenscyclus van de gebruikerstoegang, van de eerste registratie van nieuwe gebruikers tot de uiteindelijke afmelding van gebruikers die niet langer toegang tot informatiesystemen en -diensten nodig hebben. Waar van toepassing wordt bijzondere aandacht besteed aan het beheren van toegangsrechten van gebruikers met extra ruime bevoegdheden, zoals systeembeheerders.

• Logging en controle

68 Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 10.10.

Activiteiten die gebruikers uitvoeren met persoonsgegevens worden vastgelegd in logbestanden. Hetzelfde geldt voor andere relevante gebeurtenissen, zoals pogingen om ongeautoriseerd toegang te krijgen tot persoonsgegevens en verstoringen die kunnen leiden tot verminking of verlies van persoonsgegevens. De logbestanden worden periodiek gecontroleerd op indicaties van onrechtmatige toegang of onrechtmatig gebruik van de persoonsgegevens en waar nodig wordt actie ondernomen.

De verantwoordelijke moet er rekening mee houden dat er, als de gegevens in de logbestanden tot personen herleidbaar zijn, sprake is van een verwerking van persoonsgegevens in de zin van de Wbp waarop de verplichtingen uit deze wet van toepassing zijn. In dat geval kan er ook sprake zijn van een personeelsvolgsysteem in de zin van artikel 27 lid 1 van de Wet op de ondernemingsraden (WOR), waarvoor instemming van de ondernemingsraad is vereist.

• Correcte verwerking in toepassingssystemen

69 Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 12.2.

In alle toepassingssystemen, inclusief toepassingen die door gebruikers zelf zijn ontwikkeld, zijn beveiligingsmaatregelen ingebouwd. Tot deze beveiligingsmaatregelen behoort de controle dat de invoer, de interne verwerking en de uitvoer aan vooraf gestelde eisen voldoen (validatie). Voor systemen waarin gevoelige persoonsgegevens worden verwerkt of die invloed hebben op de verwerking van gevoelige persoonsgegevens, kunnen aanvullende beveiligingsmaatregelen nodig zijn.

• Beheer van technische kwetsbaarheden

70 Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 12.6.