Quickscan informatiebeveiliging

Iemand in de directie is eindverantwoordelijk voor informatiebeveiliging, en de directie bespreekt het onderwerp minstens één keer per jaar.

We hebben een actueel overzicht van onze belangrijkste informatie, systemen, cloudapplicaties en apparaten, met per onderdeel een eigenaar.

We hebben de grootste risico's voor onze informatie in kaart gebracht en bewust gekozen welke maatregelen we nemen.

Er zijn schriftelijke afspraken over veilig werken (bijvoorbeeld over wachtwoorden, thuiswerken en gebruik van eigen apparaten) en medewerkers kennen ze.

Medewerkers krijgen minstens één keer per jaar training of voorlichting over phishing, wachtwoorden en veilig werken.

Bij in- en uitdiensttreding of een functiewijziging worden accounts en rechten direct aangemaakt, aangepast of ingetrokken.

Medewerkers weten hoe en bij wie ze een verdachte e-mail, een verloren laptop of een ander beveiligingsincident melden, en doen dat ook.

Alle accounts die via internet bereikbaar zijn, zoals e-mail, cloudapplicaties en externe toegang, zijn beveiligd met tweestapsverificatie.

Medewerkers hebben alleen toegang tot de informatie die ze voor hun werk nodig hebben, en beheerrechten zijn beperkt tot een paar aparte beheeraccounts.

We gebruiken een wachtwoordmanager, wachtwoorden zijn lang en uniek, en accounts of wachtwoorden worden niet gedeeld.

Updates van besturingssystemen, software en apparaten worden automatisch of binnen enkele weken geïnstalleerd, kritieke updates binnen enkele dagen.

Alle laptops en telefoons waarop zakelijke gegevens staan, zijn versleuteld, hebben een schermvergrendeling en een actuele beveiliging tegen malware.

Het netwerk is beschermd met een goed ingestelde firewall, en gasten en slimme apparaten zitten op een apart netwerk.

Onze e-mail is beschermd tegen phishing en misbruik van ons domein, met spamfiltering en SPF, DKIM en DMARC.

Van alle belangrijke gegevens, ook in de cloud, worden automatisch back-ups gemaakt, waarvan minstens één offline of niet te wijzigen is.

We testen minstens één keer per jaar of we een back-up echt kunnen terugzetten, en weten hoe lang dat duurt.

We weten hoe we doorwerken als een belangrijk systeem of een leverancier een aantal dagen uitvalt.

Er is een draaiboek voor een beveiligingsincident of datalek: wie doet wat, wie we bellen en wanneer we moeten melden bij de Autoriteit Persoonsgegevens.

Aanmeldingen en belangrijke gebeurtenissen worden gelogd, en we krijgen een waarschuwing bij verdachte activiteiten, zoals inloggen vanuit het buitenland.

Met leveranciers die onze gegevens of systemen beheren, zijn afspraken gemaakt over beveiliging, en waar nodig is er een verwerkersovereenkomst.