Informatiebeveiligingsbeleid: voorbeeld voor het mkb

Wat staat er in een informatiebeveiligingsbeleid

• Doel en reikwijdte: waarom je informatie beschermt en voor wie en wat het beleid geldt, inclusief cloud en thuiswerkplekken.
• Toezeggingen van de directie: risico’s jaarlijks in kaart, wetten en contracten naleven, training, need-to-know, incidenten melden, verbeteren.
• Rollen: directie, security lead en iedereen; met naam of functie.
• Communicatie en herziening: waar het beleid staat, wie het bevestigt en hoe vaak je het herziet.

ISO 27001 vraagt in clausule 5.2 om zo’n beleid en in maatregel 5.1 om onderwerpspecifiek beleid; onder de Cyberbeveiligingswet laat het zien dat de directie haar zorgplicht serieus neemt.

Voorbeeld voor het mkb

Dit is het sjabloon zoals het in Dazr staat. Placeholders zoals {{company}} vult Dazr bij het aanmaken in waar dat kan.

Sjabloon – eerst nakijken voor publicatie. Dit is een vertrekpunt voor het mkb. Vervang elke {{placeholder}}, schrap wat niet van toepassing is en vul aan wat specifiek is voor {{company}}. Dit is geen juridisch advies.

Informatiebeveiligingsbeleid

Doel

{{company}} beschermt de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie die we beheren voor klanten, medewerkers en partners. Dit beleid legt de koers en de toezeggingen van de directie vast; onderwerpspecifiek beleid (toegangsbeheer, acceptabel gebruik, incidentrespons, back-up en meer) werkt dit verder uit.

Reikwijdte

Dit beleid geldt voor iedereen die voor of namens {{company}} werkt - medewerkers, ingehuurde krachten en stagiairs - en voor alle informatie, systemen, apparaten en locaties die we voor ons werk gebruiken, inclusief clouddiensten en thuiswerkplekken.

Onze toezeggingen

• We brengen informatiebeveiligingsrisico's minstens jaarlijks in kaart en behandelen ze binnen onze risicobereidheid.
• We voldoen aan geldende wet- en regelgeving en contracten, waaronder de AVG.
• Iedereen kent zijn of haar verantwoordelijkheden en volgt bij indiensttreding en daarna jaarlijks een bewustwordingstraining.
• Toegang tot informatie krijg je alleen als je die nodig hebt voor je werk (need-to-know) en wordt regelmatig herzien.
• Beveiligingsincidenten meld je direct; ze worden afgehandeld volgens de incidentresponsprocedure.
• We stellen meetbare beveiligingsdoelen, volgen die op en verbeteren voortdurend.

Rollen en verantwoordelijkheden

• Directie keurt dit beleid goed, stelt middelen beschikbaar en beoordeelt het ISMS minstens jaarlijks.
• Security lead ({{security_lead}}) onderhoudt het ISMS, het risicoregister en de beleidsset en rapporteert aan de directie.
• Iedereen volgt het beleid, beschermt de informatie die aan hem of haar is toevertrouwd en meldt incidenten en zwakke plekken.

Communicatie

Dit beleid en het onderwerpspecifieke beleid staan in het compliance portal. Iedereen leest en bevestigt ze bij indiensttreding en bij elke nieuwe hoofdversie.

Herziening en uitzonderingen

Eigenaar van dit beleid is {{owner}}. Het beleid wordt minstens elke 12 maanden herzien, of eerder na een groot incident of een belangrijke wijziging. Uitzonderingen worden schriftelijk aangevraagd, goedgekeurd door de eigenaar en vastgelegd met een einddatum. Overtreding van dit beleid kan leiden tot disciplinaire maatregelen.

Van sjabloon naar beleid dat leeft

• Aanpassen: vervang de placeholders, schrap wat niet past en vul aan wat specifiek is voor jouw bedrijf.
• Goedkeuren: de directie keurt een versie goed; elke nieuwe hoofdversie opnieuw.
• Laten aftekenen: medewerkers bevestigen in het portal dat ze het hebben gelezen, en je ziet wie nog ontbreekt.
• Koppelen: het beleid hangt aan de juiste ISO 27001- of NIS2-maatregelen en telt daar als bewijs.
• Herzien: minstens jaarlijks, met een herinnering aan de eigenaar.

Naast dit beleid staan er sjablonen klaar voor acceptabel gebruik, toegang, incidentrespons, back-up, wachtwoorden, thuiswerken, leveranciers en het melden van kwetsbaarheden. Beleid met sjablonen, versies en goedkeuring en de leesbevestiging zitten in Pro, € 99 per maand; 14 dagen gratis te proberen.

Veelgestelde vragen

Mag ik dit voorbeeld zo overnemen?

Gebruik het als vertrekpunt. Vervang de placeholders en pas het aan je eigen organisatie aan; een auditor wil zien dat het beleid bij jouw bedrijf past en door de directie is goedgekeurd.

Hoe lang moet een informatiebeveiligingsbeleid zijn?

Kort: één tot twee pagina’s. De details staan in onderwerpspecifiek beleid, zoals toegangsbeleid en back-upbeleid.

Hoe vaak herzie je het beleid?

Minstens jaarlijks, en eerder na een groot incident of een belangrijke wijziging. In Dazr krijgt de eigenaar daar een herinnering voor.