Classificatie
Inleiding
Een betrouwbare informatieverwerking is essentieel voor het goed functioneren van de EUR. Studenten en medewerkers moeten er op kunnen vertrouwen dat informatie correct en volledig is, beschikbaar is wanneer nodig en alleen toegankelijk is voor geautoriseerde personen.
Voor het inrichten van een dergelijke informatievoorziening moeten we op zoek naar een balans, immers niet alle informatie(systemen) behoeven een gelijke beveiliging.
Proportionaliteit, ook omwille van efficiënt gebruik van de beschikbare financiële middelen, is hierbij gewenst. Het ligt dus voor de hand om onderscheid in benodigde bescherming aan te brengen, hiervoor is classificatie een hulpmiddel.
Vragenlijsten
Om tot classificatie van een informatiesysteem te komen worden vragen gesteld, hiertoe zijn twee vragenlijsten opgesteld:
Resultaten
In het overzicht van de resultaten (hieronder te downloaden) staan in drie kolommen de aspecten die bepalend zijn voor de betrouwbaarheid van de informatieverwerking: Beschikbaarheid, Integriteit en Vertrouwelijkheid. De waarde van deze aspecten, het classificatieniveau, kan Standaard, Gevoelig of Kritiek zijn.
De classificatieniveaus geven een indruk van de (potentiele) schade die de EUR ondervindt als gevolg van beveiligingsincidenten met het betreffende systeem.
- Standaard:
een beveiligingsincident met een Standaard geclassificeerd systeem heeft geringe gevolgen voor de EUR.
- Gevoelig:
een beveiligingsincident met een Gevoelig geclassificeerd systeem heeft grote gevolgen voor de EUR: het veroorzaken van een ernstige verstoring in het primaire proces of het toebrengen van mogelijke schade aan het imago van de EUR.
- Kritiek:
een beveiligingsincident met een Kritiek geclassificeerd systeem heeft zeer grote gevolgen voor de EUR: het veroorzaken van een zeer ernstige of onomkeerbare verstoring in het primaire proces, het toebrengen van ernstige schade aan het imago van de EUR of het overtreden van de wet.
Een in zwart weergegeven classificatieniveau geeft aan dat voor de classificatie van het betreffende systeem de vragenlijst voor de proceseigenaar is gebruikt, een in geel weergegeven classificatieniveau geeft aan dat de vragenlijst voor de Key user is gebruikt.
De classificatie is medebepalend voor de te treffen beveiligingsmaatregelen ten behoeve van het systeem. Bij de ontwikkeling en aanpassing van systemen dient de classificatie meegenomen te worden als niet-functionele eis.
Het kan voorkomen dat de classificatie van een systeem moet worden aangepast, neem in dat geval contact op met de security officer van de EUR, oost@ict.eur.nl
- resultaten classificatie (zie de Producten- en Diensten Catalogus voor aanvullende systeeminformatie)
