ISOR:Passend niveau- gebaseerd op analyse van het verwerkingsrisico: verschil tussen versies

Uit NORA Online
ISOR:Passend niveau- gebaseerd op analyse van het verwerkingsrisico
Ga naar: navigatie, zoeken
k (Tekst vervangen - 'Status Actualiteit' door 'Status actualiteit')
 
k (Tekst vervangen - '====Voetnoot==== <References/>' door '')
 
(8 tussenliggende versies door 2 gebruikers niet weergegeven)
Regel 1: Regel 1:
 +
 
{{#Element:
 
{{#Element:
 +
|Elementtype=Norm
 
|ID=PRIV_U.04.02.02
 
|ID=PRIV_U.04.02.02
 
|Titel=Passend niveau, gebaseerd op analyse van het verwerkingsrisico
 
|Titel=Passend niveau, gebaseerd op analyse van het verwerkingsrisico
|Elementtype=Norm
+
|Kent element met zelfde titel=Nee
|Is subnorm=0
+
|Is subnorm=Nee
 
|Versieaanduiding=3.1
 
|Versieaanduiding=3.1
 
|Gebruik in Nederlandse publieke sector=In gebruik
 
|Gebruik in Nederlandse publieke sector=In gebruik
 
|Status actualiteit=Actueel
 
|Status actualiteit=Actueel
 
|Practice=CIP
 
|Practice=CIP
|Redactionele wijzigingsdatum=16-10-17
+
|Redactionele wijzigingsdatum=2017/10/16
|Publicatiedatum=16-10-17
 
 
|Toelichting=In de risicoanalyse wordt het gewenste niveau van beveiliging vastgesteld. Door een risicoanalyse uit te voeren wordt inzichtelijk welke maatregelen waar nodig zijn om welke risico's te beheersen. Daarbij moet proportionaliteit zijn tussen de beveiligingsmaatregelen en de aard van te beschermen gegevens. Naarmate de gegevens bijv. een vertrouwelijker karakter hebben of de context waarin deze worden gebruikt een grotere bedreiging voor de persoonlijke levenssfeer betekenen, worden zwaardere eisen gesteld aan de beveiliging van de gegevens. Sommige gegevens zijn naar hun aard vertrouwelijker (zoals bijzondere persoonsgegevens zoals ras, religie, seksuele voorkeur, biometrische gegevens en inloggegevens), andere gegevens worden vertrouwelijk als ze in een bepaalde context worden geplaatst (bijv. gegevens over uithuisplaatsing van een minderjarige, of over de financiële situatie van een persoon). Een bijkomende vuistregel: hoe groter de verzameling van persoonsgegevens van een specifieke betrokkene is, des te risicovoller en daarmee vertrouwelijker deze gegevens kunnen worden.
 
|Toelichting=In de risicoanalyse wordt het gewenste niveau van beveiliging vastgesteld. Door een risicoanalyse uit te voeren wordt inzichtelijk welke maatregelen waar nodig zijn om welke risico's te beheersen. Daarbij moet proportionaliteit zijn tussen de beveiligingsmaatregelen en de aard van te beschermen gegevens. Naarmate de gegevens bijv. een vertrouwelijker karakter hebben of de context waarin deze worden gebruikt een grotere bedreiging voor de persoonlijke levenssfeer betekenen, worden zwaardere eisen gesteld aan de beveiliging van de gegevens. Sommige gegevens zijn naar hun aard vertrouwelijker (zoals bijzondere persoonsgegevens zoals ras, religie, seksuele voorkeur, biometrische gegevens en inloggegevens), andere gegevens worden vertrouwelijk als ze in een bepaalde context worden geplaatst (bijv. gegevens over uithuisplaatsing van een minderjarige, of over de financiële situatie van een persoon). Een bijkomende vuistregel: hoe groter de verzameling van persoonsgegevens van een specifieke betrokkene is, des te risicovoller en daarmee vertrouwelijker deze gegevens kunnen worden.
  
Het niveau van de technische, organisatorische en fysieke maatregelen wordt periodiek geëvalueerd en zo nodig geactualiseerd zodat het niveau passend blijft .
+
Het niveau van de technische, organisatorische en fysieke maatregelen wordt periodiek geëvalueerd en zo nodig geactualiseerd zodat het niveau passend blijft{{Noot| |Een 'Information Security Management System (ISMS)' biedt een organisatie een procesbenadering voor het beheersen van de informatiebeveiliging. ISO/IEC 27001 is daarvoor de norm. Dit norm-document beschrijft het cyclische proces (plan/do/check/act) voor het bepalen van beveiligingsdoelstellingen op basis van een risicobeoordeling, het treffen van maatregelen en het monitoren en beoordelen van de uitkomsten. Zie voor informatiebeveiliging in de zorg: https://www.werkenmetnen7510.nl.}}.
 +
 
 +
Als sprake is van bijzondere persoonsgegevens, uniek identificerende gegevens (zoals BSN-nummers, vingerafdrukken, biometrische gegevens) of gegevens over kwetsbare groepen, personen of gebruikersnamen, wachtwoorden en andere inloggegevens, dan vraagt dit om extra aandacht in de risicoanalyse en eventuele maatregelen{{Noot| |De lidstaten kunnen de specifieke voorwaarden voor de verwerking van een nationaal identificatienummer of enige andere identificator van algemene aard nader vaststellen (zie Avg art. 87).}}.
 +
 
  
Als sprake is van bijzondere persoonsgegevens, uniek identificerende gegevens (zoals BSN-nummers, vingerafdrukken, biometrische gegevens) of gegevens over kwetsbare groepen, personen of gebruikersnamen, wachtwoorden en andere inloggegevens, dan vraagt dit om extra aandacht in de risicoanalyse en eventuele maatregelen.
 
|Heeft bron=de Privacy Baseline
 
 
|Beveiligingsaspect=Uitvoering
 
|Beveiligingsaspect=Uitvoering
|Stelling=De beveiligingsmaatregelen zijn gebaseerd op een analyse van het verwerkingsrisico (risicoanalyse). Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met verwerkingsrisico's als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig.
+
|Stelling=De beveiligingsmaatregelen zijn gebaseerd op een analyse van het verwerkingsrisico (risicoanalyse). Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met verwerkingsrisico's als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig{{Noot|AVG| art. 32 lid 2.}}.
 +
 
 +
 
 
|Conformiteitsindicator=passend niveau te beveiligen
 
|Conformiteitsindicator=passend niveau te beveiligen
 +
|Heeft bron=de Privacy Baseline
 
|Heeft ouder=ISOR:Beveiligen van de verwerking van persoonsgegevens
 
|Heeft ouder=ISOR:Beveiligen van de verwerking van persoonsgegevens
 
|Realiseert=ISOR:Beveiligen van de verwerking van persoonsgegevens
 
|Realiseert=ISOR:Beveiligen van de verwerking van persoonsgegevens
 
}}
 
}}

Huidige versie van 18 jan 2018 om 18:58

De BIO themadocumenten zijn levende documenten, die van tijd tot tijd een update krijgen. Wijzigingen die geïmplementeerd worden in Q4 2019:
  • Het BIO Thema logische toegangsbeveiliging is opgevolgd door BIO Thema Toegangsbeveiliging. Dit kader is ruimer dan alleen logische toegangsbeveiliging. Een deel van de inhoud van het oude thema komt terug in het nieuwe, de resterende pagina's vervallen en worden niet meer bijgehouden.
  • De Privacy Baseline krijgt een nieuwe versie.
Logo ISOR normen (een hangslot met de tekst ISOR norm)
Bovenliggende principe
Meer in normenkader èn aspect
Alle normen
Alle normenkaders
ISOR

Stelling

De beveiligingsmaatregelen zijn gebaseerd op een analyse van het verwerkingsrisico (risicoanalyse). Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met verwerkingsrisico's als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd, hetzij per ongeluk hetzij onrechtmatigAVG art. 32 lid 2..

In de risicoanalyse wordt het gewenste niveau van beveiliging vastgesteld. Door een risicoanalyse uit te voeren wordt inzichtelijk welke maatregelen waar nodig zijn om welke risico's te beheersen. Daarbij moet proportionaliteit zijn tussen de beveiligingsmaatregelen en de aard van te beschermen gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd. Naarmate de gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd bijv. een vertrouwelijker karakter hebben of de context waarin deze worden gebruikt een grotere bedreiging voor de persoonlijke levenssfeer betekenen, worden zwaardere eisen gesteld aan de beveiliging van de gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd. Sommige gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd zijn naar hun aard vertrouwelijker (zoals bijzondere persoonsgegevens zoals ras, religie, seksuele voorkeur, biometrische gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd en inloggegevens), andere gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd worden vertrouwelijk als ze in een bepaalde context worden geplaatst (bijv. gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd over uithuisplaatsing van een minderjarige, of over de financiële situatie van een persoon). Een bijkomende vuistregel: hoe groter de verzameling van persoonsgegevens van een specifieke betrokkene is, des te risicovoller en daarmee vertrouwelijker deze gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd kunnen worden.

Het niveau van de technische, organisatorische en fysieke maatregelen wordt periodiek geëvalueerd en zo nodig geactualiseerd zodat het niveau passend blijft Een 'Information Security Management System (ISMS)' biedt een organisatie een procesbenadering voor het beheersen van de informatiebeveiligingHet proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen.. ISO/IEC 27001 is daarvoor de norm. Dit norm-document beschrijft het cyclische proces (plan/do/check/act) voor het bepalen van beveiligingsdoelstellingen op basis van een risicobeoordeling, het treffen van maatregelen en het monitoren en beoordelen van de uitkomsten. Zie voor informatiebeveiligingHet proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen. in de zorg: https://www.werkenmetnen7510.nl..

Als sprake is van bijzondere persoonsgegevens, uniek identificerende gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd (zoals BSN-nummers, vingerafdrukken, biometrische gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd) of gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd over kwetsbare groepen, personen of gebruikersnamen, wachtwoorden en andere inloggegevens, dan vraagt dit om extra aandacht in de risicoanalyse en eventuele maatregelen De lidstaten kunnen de specifieke voorwaarden voor de verwerking van een nationaal identificatienummer of enige andere identificator van algemene aard nader vaststellen (zie Avg art. 87)..

Bovenliggende principe(s)

Deze norm realiseert het privacyprincipe Beveiligen van de verwerking van persoonsgegevens via de conformiteitsindicator passend niveau te beveiligen.

Grondslag