Vertrouwelijkheid (principe)

In de NORA Gebruikersraad van 8 november 2016 is een Request for Change Beveiliging (PDF, 816 kB) aangenomen, met gevolgen voor een aantal Afgeleide principes die (mede) raken aan Beveiliging en Informatieveiligheid: De AP's 35, 36, 37, 38 en 39 zijn geschrapt als Afgeleide Principes AP 40 is gewijzigd Toegevoegd zijn AP 41:Beschikbaarheid, AP 42:Integriteit, AP 43:Vertrouwelijkheid (principe), AP 44:Controleerbaarheid.

 

Afgeleide principes zijn principes die volgen uit de NORA-basisprincipes en die een verdere concretisering van die basisprincipes beogen.

Eigenschappen

ID	AP43
Stelling	De dienstverlenerDe persoon of organisatie die voorziet in het leveren van een afgebakende prestatie (dienst) aan haar omgeving (de afnemers) verschaft alleen geautoriseerde afnemers toegang tot vertrouwelijke gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd.
Rationale	De gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem moet erop kunnen vertrouwen dat gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd niet worden misbruikt.
Implicaties	De vertrouwelijkheidDe eigenschap dat informatie niet beschikbaar wordt gesteld of wordt ontsloten aan onbevoegde personen van gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd wordt gegarandeerd door scheiding van systeemfuncties, door controle op communicatiegedrag en gegevensuitwisseling, door validatie op toegang tot gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd en systeemfuncties en door versleuteling van gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd. Fysieke en logische toegang: Per dienst zijn de mate van vertrouwelijkheidDe eigenschap dat informatie niet beschikbaar wordt gesteld of wordt ontsloten aan onbevoegde personen en de bijbehorende identificatieHet bekend maken van de identiteit van personen, organisaties of IT-voorzieningen.-eisen vastgesteld Voor een intern systeem, besloten gebouw of ruimte, geldt: “niets mag, tenzij toegestaan”. Daarom wordt de gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem voor toegangsverlening geauthenticeerd. Voor afnemers van vertrouwelijke diensten geldt hetzelfde. Daardoor zijn deze gebruikers en afnemers uniek herleidbaar tot één natuurlijk persoon, organisatie of ICT-voorziening. Bij authenticatieHet aantonen dat degene die zich identificeert ook daadwerkelijk degene is die zich als zodanig voorgeeft: ben je het ook echt? Authenticatie noemt men ook wel verificatie van de identiteit. dwingt het systeem toepassing van sterke wachtwoordconventies af. De instellingen van het aanmeldproces voorkomen dat een gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem werkt onder een andere dan de eigen identiteit. Om de mogelijkheden van misbruik te beperken, hebben gebruikers van systemen niet méér rechten dan zij voor hun werk nodig hebben (autorisatieHet proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen). Daarbij zijn maatregelen getroffen om een onbedoeld gebruik van autorisaties te voorkomen. Verleende toegangsrechten zijn inzichtelijk en beheersbaar. De identificatieHet bekend maken van de identiteit van personen, organisaties of IT-voorzieningen..-eis voor een samengestelde dienst wordt bepaald door de dienst met de hoogste identificatieHet bekend maken van de identiteit van personen, organisaties of IT-voorzieningen. -eis. Zonering en Filtering: De zonering en de daarbij geldende uitgangspunten en eisen per zone zijn vastgesteld. De fysieke en technische infrastructuur is opgedeeld in zones. Deze zones zijn voorzien van de benodigde vormen van beveiliging (de 'filters'). InformatieBetekenisvolle gegevens.-betekenisvolle gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd.-uitwisseling en bewegingen van mensen tussen zones wordt naar vorm en inhoud gecontroleerd en zo nodig geblokkeerd
Voorbeelden	Ouders zijn geautoriseerd om bepaalde persoonsgegevens van hun kinderen in te zien. Zodra het kind achttien wordt verdwijnt de rechtsgrond hiervoor: het kind is volwassen. De autorisatieHet proces van het toekennen van rechten voor de toegang tot geautomatiseerde functies en/of gegevens in ICT voorzieningen moet dus (automatisch) worden beëindigd.
Cluster	betrouwbaarheid
Architectuurlaag	Informatiearchitectuur
Architectuurdomein	Informatieuitwisseling
RelatieToelichting	De gebruikerIedere persoon, organisatie of functionele eenheid die gebruik maakt van een informatiesysteem moet ook kunnen vertrouwen dat gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd (door geautoriseerde afnemers) niet worden gebruikt voor andere doelen (AP15 Doelbinding (AP)).
Status actualiteit	Actueel

Relaties

Vertrekpunt	Relatie	Eindpunten
Vertrouwelijkheid (principe)	Is gerelateerd aan	Doelbinding (AP) (Afgeleid principe) Themapatroon identity & access management ()
Vertrouwelijkheid (principe)	Realiseert	Vertrouwelijk (Basisprincipe)
Vertrouwelijkheid (principe)	Heeft bron	RFC Beveiliging 2016 (Bron)

Afgeleide relaties

Vertrekpunt	Relatie	Eindpunt
Informatie-objecten systematisch beschreven (Afgeleid principe)	Is gerelateerd aan	Vertrouwelijkheid (principe)
Perspectief gebruiker (Afgeleid principe)	Is gerelateerd aan	Vertrouwelijkheid (principe)
XACML (eXtensible Access Control Markup Language) (StandaardEen document dat een set van regels bevat die beschrijven hoe mensen materialen, producten, diensten, technologieën, taken, processen en systemen dienen te ontwikkelen en beheren)	Realiseert	Vertrouwelijkheid (principe)
Authenticatie (beheersmaatregel) ()	Realiseert	Vertrouwelijkheid (principe)
Autorisatie (beheersmaatregel) ()	Realiseert	Vertrouwelijkheid (principe)
Controle op communicatiegedrag ()	Realiseert	Vertrouwelijkheid (principe)
Controle op gegevensuitwisseling ()	Realiseert	Vertrouwelijkheid (principe)
Identificatie (beheersmaatregel) ()	Realiseert	Vertrouwelijkheid (principe)
PKIoverheid (Voorziening)	Realiseert	Vertrouwelijkheid (principe)
Scheiding van systeemfuncties ()	Realiseert	Vertrouwelijkheid (principe)