Informatieclassificatiebeleid
- Martin Wilmink
Het informatieclassificatiebeleid beschrijft de manier waarop Stichting MedMij en de deelnemers informatie classificeren, zodat deze informatie passend kan worden behandeld vanuit het oogpunt van informatiebeveiliging. Dat betekent dat de omgang met de informatie (en de bijbehorende maatregelen rond onder meer beveiliging toegang) moet aansluiten bij het vereiste zekerheidsniveau in termen van beschikbaarheid, integriteit en vertrouwelijkheid.
Om deze aansluiting praktisch hanteerbaar te maken, hanteert MedMij een beperkt aantal classificatieniveaus en een eenvoudige wijze van het koppelen van een niveau aan informatie. Daarmee behoeft niet voor elk afzonderlijk informatie-element een afzonderlijke inschatting op de zekerheidsaspecten, noch een afzonderlijke afweging over de bijpassende informatiebeveiligingsmaatregelen gemaakt te worden.
Classificaties
In onderstaande tabel zijn de gehanteerde classificaties opgesomd. Voor de classificatie van de zekerheidsaspecten is aangesloten bij NEN7512:2015.
| Classificatie van zekerheidsaspecten | ||||
|---|---|---|---|---|
| MedMij-classificatie | Type informatie | Beschikbaarheid | Integriteit | Vertrouwelijkheid |
| Gezondheid | Gegevens waaruit direct of indirect informatie over de gezondheid van een persoon uit kan worden afgeleid. | Midden | Hoog | Zeer hoog |
| Operationele kern | Gegevens die operationeel noodzakelijk zijn voor de gegevensuitwisseling via het MedMij-netwerk. | Midden | Hoog | Laag |
| Samenwerking en ontwikkeling | Gegevens die betrekking hebben op de communicatie van partijen over de huidige of toekomstige inhoud van het MedMij Afsprakenstelsel en de afsprakenset. | Laag | Midden | Laag |
| Kwetsbaarheid | Niet algemeen bekende gegevens over een (mogelijke) kwetsbaarheid bij een of meerdere deelnemers of de beheerorganisatie, al dan niet voortkomend uit de afsprakenset, waarmee een kwaadwillende partij inbreuk op de informatiebeveiliging van het MedMij-netwerk zou kunnen maken. | Laag | Midden | Hoog |
Labeling
In onderstaande tabel is aangegeven welke typen informatie of informatieproducten volgens welke MedMij-classificatie behandeld moeten worden. De informatie zelf wordt niet afzonderlijk voorzien van een 'label'; op grond van dit beleid moet deze informatie worden behandeld conform de bijbehorende classificatie.
Voor informatieproducten die niet in deze tabel voorkomen moet na analyse ofwel
- een passende MedMij-classificatie, worden gekozen en is labeling noodzakelijk om duidelijk te maken wat de MedMij-classificatie van de informatie is; ofwel
- wanneer geen passende MedMij-classificatie voorhanden is, een afzonderlijke behandeling plaatsvinden. De drie zekerheidsaspecten moeten worden geclassificeerd, de noodzakelijke informatiebeveiligingsmaatregelen moeten worden bepaald en het moet voor degenen die toegang hebben tot de informatie duidelijk zijn hoe die informatie behandeld moet worden. Dat kan door de informatie te voorzien van een label of andere aanduiding, dan wel door langs andere weg duidelijkheid te verschaffen over de regels rond de omgang met de betreffende informatie.
| Type informatie | MedMij-classificatie |
|---|---|
| Functionele logging op grond van de afspraken onder Verantwoordelijkheden, Core en de verantwoordelijkheden binnen de verschillende extensies. | Gezondheid |
| Alle gegevens verkregen of verstrekt in het kader van een van de interacties in het kader van de usecases uit de Architectuur en technische specificaties | Gezondheid |
| Aanbiederslijst | Operationele kern |
| Whitelist | Operationele kern |
| OAuthclientlist | Operationele kern |
| Gegevensdienstnamenlijst | Operationele kern |
| Inhoud van het MedMij Afsprakenstelsel | Samenwerking en ontwikkeling |
| Informatie ten behoeve van of aangaande doorontwikkeling | Samenwerking en ontwikkeling |
| Kwetsbaarheden | Kwetsbaarheid |
| Risicoanalyse op stelselniveau | Kwetsbaarheid |
| Gegevens in het kader van forensisch onderzoek, indien deze geen persoonsgegevens bevatten | Kwetsbaarheid |
| Gegevens in het kader van forensisch onderzoek, indien deze wel persoonsgegevens bevatten | Gezondheid |
| Verklaringen van auditors over de toepassing van NEN7510 en het Normenkader informatiebeveiliging, voor zover daarin opmerkingen zijn opgenomen aangaande niet-volledige compliance | Kwetsbaarheid |
| Rapporten van penetratietesten | Kwetsbaarheid |
Maatregelen
In onderstaande tabel is indicatief (zonder de pretentie volledig te zijn) aangegeven waar de maatregelen te vinden zijn die van toepassing zijn op informatie die is gelabeld met een bepaalde MedMij-classificatie. Deze maatregelen betreffen veelal de omgang in het kader van de uitwisseling tussen partijen. Deelnemers en de beheerorganisatie zijn daarnaast op grond van het Normenkader informatiebeveiliging (maatregel A.8.2.1 Classificatie van informatie) verplicht om ook hun interne informatiebeveiliging te laten aansluiten bij de MedMij-classificatie. Dat betekent dat zij de informatie van een interne classificatie moeten voorzien die op geen van de drie zekerheidsaspecten (betrouwbaarheid, integriteit, vertrouwelijkheid) lager is dan die van de MedMij-classificatie die verbonden is aan de informatie.
| MedMij-classificatie | Maatregelen |
|---|---|
| Gezondheid | Architectuur en technische specificaties: beschrijft de maatregelen om de uitwisseling van gezondheidsgegevens veilig en betrouwbaar te laten plaatsvinden. Normenkader informatiebeveiliging: beschrijft de aanvullende maatregelen die deelnemers minimaal moeten treffen om ook in het eigen domein op veilige en betrouwbare manier met gezondheidsgegevens om te gaan. Deelnemersovereenkomsten: beschrijft de juridische bepalingen tussen Stichting MedMij en de deelnemers gericht op de privacy en (informatie)beveiliging van gezondheidsgegevens (artikel 5). |
| Operationele kern | Architectuur en technische specificaties: beschrijft de maatregelen om op veilige en betrouwbare wijze om te gaan met de operationele uitwisselgegevens. Normenkader informatiebeveiliging: beschrijft de aanvullende maatregelen die deelnemers minimaal moeten treffen om ook in het eigen domein op veilige en betrouwbare manier met de operationele uitwisselgegevens om te gaan. |
| Samenwerking en ontwikkeling | Change- en releasebeleid: beschrijft hoe met ontwikkelinformatie moet worden omgegaan bij de doorontwikkeling van het MedMij Afsprakenstelsel. Samenwerkings- en escalatiebeleid: beschrijft de onderlinge samenwerking en communicatie van partijen rondom het afsprakenstelsel. |
| Kwetsbaarheid | Privacy- en informatiebeveiligingsbeleid: beschrijft welke maatregelen zijn ingericht om de privacy- en informatiebeveiliging van het stelsel te borgen. Operationele processen: beschrijft met het Proces beheren technische kwetsbaarheden hoe met kwetsbaarheden wordt omgegaan. |