Het informatieclassificatiebeleid beschrijft de manier waarop Stichting MedMij en de deelnemers informatie classificeren, zodat deze informatie passend kan worden behandeld vanuit het oogpunt van informatiebeveiliging. Dat betekent dat de omgang met de informatie (en de bijbehorende maatregelen rond onder meer beveiliging toegang) moet aansluiten bij het vereiste zekerheidsniveau in termen van beschikbaarheid, integriteit en vertrouwelijkheid.

Om deze aansluiting praktisch hanteerbaar te maken, hanteert MedMij een beperkt aantal classificatieniveaus en een eenvoudige wijze van het koppelen van een niveau aan informatie. Daarmee behoeft niet voor elk afzonderlijk informatie-element een afzonderlijke inschatting op de zekerheidsaspecten, noch een afzonderlijke afweging over de bijpassende informatiebeveiligingsmaatregelen gemaakt te worden.

Classificaties

In onderstaande tabel zijn de gehanteerde classificaties opgesomd. Voor de classificatie van de zekerheidsaspecten is aangesloten bij NEN7512:2015.

		Classificatie van zekerheidsaspecten
MedMij-classificatie	Type informatie	Beschikbaarheid	Integriteit	Vertrouwelijkheid
Gezondheid	Gegevens waaruit direct of indirect informatie over de gezondheid van een persoon uit kan worden afgeleid.	Midden	Hoog	Zeer hoog
Operationele kern	Gegevens die operationeel noodzakelijk zijn voor de gegevensuitwisseling via het MedMij-netwerk.	Midden	Hoog	Laag
Samenwerking en ontwikkeling	Gegevens die betrekking hebben op de communicatie van partijen over de huidige of toekomstige inhoud van het MedMij Afsprakenstelsel en de afsprakenset.	Laag	Midden	Laag
Kwetsbaarheid	Niet algemeen bekende gegevens over een (mogelijke) kwetsbaarheid bij een of meerdere deelnemers of de beheerorganisatie, al dan niet voortkomend uit de afsprakenset, waarmee een kwaadwillende partij inbreuk op de informatiebeveiliging van het MedMij-netwerk zou kunnen maken.	Laag	Midden	Hoog

Labeling

In onderstaande tabel is aangegeven welke typen informatie of informatieproducten volgens welke MedMij-classificatie behandeld moeten worden. De informatie zelf wordt niet afzonderlijk voorzien van een 'label'; op grond van dit beleid moet deze informatie worden behandeld conform de bijbehorende classificatie.

Voor informatieproducten die niet in deze tabel voorkomen moet na analyse ofwel

een passende MedMij-classificatie, worden gekozen en is labeling noodzakelijk om duidelijk te maken wat de MedMij-classificatie van de informatie is; ofwel
wanneer geen passende MedMij-classificatie voorhanden is, een afzonderlijke behandeling plaatsvinden. De drie zekerheidsaspecten moeten worden geclassificeerd, de noodzakelijke informatiebeveiligingsmaatregelen moeten worden bepaald en het moet voor degenen die toegang hebben tot de informatie duidelijk zijn hoe die informatie behandeld moet worden. Dat kan door de informatie te voorzien van een label of andere aanduiding, dan wel door langs andere weg duidelijkheid te verschaffen over de regels rond de omgang met de betreffende informatie.

Type informatie	MedMij-classificatie
Functionele logging op grond van de afspraken onder (MedMij Afsprakenstelsel 2.1.0) Verantwoordelijkheden, Core en de verantwoordelijkheden binnen de verschillende extensies.	Gezondheid
Alle gegevens verkregen of verstrekt in het kader van een van de interacties in het kader van de usecases uit de (MedMij Afsprakenstelsel 2.1.0) Architectuur en technische specificaties	Gezondheid
Aanbiederslijst	Operationele kern
Whitelist	Operationele kern
OAuthclientlist	Operationele kern
Gegevensdienstnamenlijst	Operationele kern
Inhoud van het MedMij Afsprakenstelsel	Samenwerking en ontwikkeling
Informatie ten behoeve van of aangaande doorontwikkeling	Samenwerking en ontwikkeling
Kwetsbaarheden	Kwetsbaarheid
Risicoanalyse op stelselniveau	Kwetsbaarheid
Gegevens in het kader van forensisch onderzoek, indien deze geen persoonsgegevens bevatten	Kwetsbaarheid
Gegevens in het kader van forensisch onderzoek, indien deze wel persoonsgegevens bevatten	Gezondheid
Verklaringen van auditors over de toepassing van NEN7510 en het (MedMij Afsprakenstelsel 2.1.0) Normenkader informatiebeveiliging, voor zover daarin opmerkingen zijn opgenomen aangaande niet-volledige compliance	Kwetsbaarheid
Rapporten van penetratietesten	Kwetsbaarheid

Maatregelen

In onderstaande tabel is indicatief (zonder de pretentie volledig te zijn) aangegeven waar de maatregelen te vinden zijn die van toepassing zijn op informatie die is gelabeld met een bepaalde MedMij-classificatie. Deze maatregelen betreffen veelal de omgang in het kader van de uitwisseling tussen partijen. Deelnemers en de beheerorganisatie zijn daarnaast op grond van het (MedMij Afsprakenstelsel 2.1.0) Normenkader informatiebeveiliging (maatregel A.8.2.1 Classificatie van informatie) verplicht om ook hun interne informatiebeveiliging te laten aansluiten bij de MedMij-classificatie. Dat betekent dat zij de informatie van een interne classificatie moeten voorzien die op geen van de drie zekerheidsaspecten (betrouwbaarheid, integriteit, vertrouwelijkheid) lager is dan die van de MedMij-classificatie die verbonden is aan de informatie.

MedMij-classificatie	Maatregelen
Gezondheid	(MedMij Afsprakenstelsel 2.1.0) Architectuur en technische specificaties: beschrijft de maatregelen om de uitwisseling van gezondheidsgegevens veilig en betrouwbaar te laten plaatsvinden. (MedMij Afsprakenstelsel 2.1.0) Normenkader informatiebeveiliging: beschrijft de aanvullende maatregelen die deelnemers minimaal moeten treffen om ook in het eigen domein op veilige en betrouwbare manier met gezondheidsgegevens om te gaan. (MedMij Afsprakenstelsel 2.1.0) Deelnemersovereenkomsten: beschrijft de juridische bepalingen tussen Stichting MedMij en de deelnemers gericht op de privacy en (informatie)beveiliging van gezondheidsgegevens (artikel 5).
Operationele kern	(MedMij Afsprakenstelsel 2.1.0) Architectuur en technische specificaties: beschrijft de maatregelen om op veilige en betrouwbare wijze om te gaan met de operationele uitwisselgegevens. (MedMij Afsprakenstelsel 2.1.0) Normenkader informatiebeveiliging: beschrijft de aanvullende maatregelen die deelnemers minimaal moeten treffen om ook in het eigen domein op veilige en betrouwbare manier met de operationele uitwisselgegevens om te gaan.
Samenwerking en ontwikkeling	(MedMij Afsprakenstelsel 2.1.0) Change- en releasebeleid: beschrijft hoe met ontwikkelinformatie moet worden omgegaan bij de doorontwikkeling van het MedMij Afsprakenstelsel. (MedMij Afsprakenstelsel 2.1.0) Samenwerkings- en escalatiebeleid: beschrijft de onderlinge samenwerking en communicatie van partijen rondom het afsprakenstelsel.
Kwetsbaarheid	(MedMij Afsprakenstelsel 2.1.0) Privacy- en informatiebeveiligingsbeleid: beschrijft welke maatregelen zijn ingericht om de privacy- en informatiebeveiliging van het stelsel te borgen. (MedMij Afsprakenstelsel 2.1.0) Operationele processen: beschrijft met het Proces beheren technische kwetsbaarheden hoe met kwetsbaarheden wordt omgegaan.

Browser not supported