miniatuur|De CIA-triad: vertrouwelijkheid (confidentiality), integriteit (integrity) en beschikbaarheid (availability).
Informatiebeveiliging is het samenhangende geheel van organisatorische, procedurele, technische en fysieke maatregelen waarmee informatie en informatiesystemen tegen bedreigingen worden beschermd. Het doel is de beschikbaarheid, integriteit en vertrouwelijkheid van informatie op een aanvaardbaar niveau te waarborgen. Informatiebeveiliging heeft betrekking op informatie in alle vormen, zoals digitale gegevens, papieren documenten en mondeling overgedragen kennis. Zij omvat dus meer dan uitsluitend de beveiliging van computersystemen, netwerken en andere digitale voorzieningen.
Kernbegrippen De drie klassieke kwaliteitsaspecten van informatiebeveiliging worden vaak aangeduid als de BIV-driehoek: beschikbaarheid, integriteit en vertrouwelijkheid. In Engelstalige literatuur is de aanduiding CIA-triad gebruikelijk, naar confidentiality, integrity en availability.
Beschikbaarheid Beschikbaarheid is de mate waarin geautoriseerde gebruikers of systemen tijdig toegang hebben tot informatie en informatiesystemen. Zij heeft onder meer betrekking op de continuïteit en robuustheid van dienstverlening. Maatregelen zoals redundantie, back-ups, herstelprocedures en bedrijfscontinuïteitsmanagement kunnen bijdragen aan de beschikbaarheid van informatie en systemen.
Integriteit Integriteit is de mate waarin informatie volledig, juist en actueel is, en uitsluitend op geautoriseerde wijze kan worden gewijzigd. Integriteit kan onder andere worden ondersteund door functiescheiding, invoercontroles, versiebeheer, logging en het controleren van wijzigingen.
Vertrouwelijkheid Vertrouwelijkheid is de bescherming van informatie tegen onbevoegde inzage, gebruik of openbaarmaking. Toegangsbeheer, versleuteling, classificatie van informatie en bewustwording van medewerkers zijn voorbeelden van maatregelen die aan vertrouwelijkheid kunnen bijdragen. Vertrouwelijkheid omvat de bescherming tegen ongewenste openbaarmaking, waaronder een datalek.
Aanvullende eigenschappen Naast de BIV-driehoek worden, afhankelijk van de organisatie en het toepassingsgebied, ook andere eigenschappen onderscheiden. Voorbeelden zijn authenticiteit, controleerbaarheid, onweerlegbaarheid en toerekenbaarheid. Toerekenbaarheid houdt in dat een handeling of gebeurtenis aan een persoon, systeem of andere verantwoordelijke partij kan worden gekoppeld, bijvoorbeeld met behulp van logbestanden of digitale ondertekening.
Risicomanagement en maatregelen Het gewenste niveau van informatiebeveiliging wordt doorgaans vastgesteld met een risicoanalyse. Daarbij worden onder meer de waarde van de te beschermen informatie, dreigingen, kwetsbaarheden, de kans op incidenten en de mogelijke gevolgen beoordeeld. Beveiligingsmaatregelen worden vervolgens gekozen in verhouding tot de vastgestelde risico's.
Maatregelen kunnen naar hun functie worden onderscheiden in preventieve, detectieve, repressieve en correctieve maatregelen. Preventieve maatregelen zijn gericht op het voorkomen van incidenten, bijvoorbeeld toegangscontrole en opleiding. Detectieve maatregelen zijn gericht op het tijdig herkennen van incidenten, bijvoorbeeld monitoring en loganalyse. Repressieve maatregelen beperken een incident dat al plaatsvindt, terwijl correctieve maatregelen herstel en verbetering na een incident ondersteunen.
Maatregelen kunnen tevens organisatorisch, procedureel, technisch of fysiek van aard zijn. Organisatorische en procedurele maatregelen omvatten bijvoorbeeld beveiligingsbeleid, rollen en verantwoordelijkheden, classificatie en incidentbeheer. Technische maatregelen omvatten onder meer authenticatie, autorisatie, versleuteling, netwerksegmentatie en beveiligingssoftware. Fysieke maatregelen kunnen bestaan uit toegangsbeveiliging van gebouwen, beveiligde archiefruimten en bescherming tegen brand, waterschade en stroomuitval.
Privacy en cyberbeveiliging Informatiebeveiliging en privacybescherming overlappen, maar zijn niet hetzelfde. Privacybescherming heeft betrekking op de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer. Informatiebeveiliging betreft daarentegen alle soorten informatie, dus ook bedrijfsgeheimen, financiële gegevens, intellectueel eigendom en niet-persoonsgebonden operationele gegevens.
Cyberbeveiliging richt zich in het bijzonder op de bescherming van digitale systemen, netwerken, toepassingen en gegevens tegen digitale dreigingen. Zij kan daarom als een belangrijk, technisch georiënteerd onderdeel van informatiebeveiliging worden beschouwd. Informatiebeveiliging omvat daarnaast ook niet-digitale informatie, de menselijke factor, processen en fysieke beveiliging. Het Nationaal Cyber Security Centrum benadrukt dat informatiebeveiliging meer omvat dan het verhelpen van technische kwetsbaarheden of het inzetten van beveiligingssoftware.
De NIS2-richtlijn is een richtlijn van de Europese Unie die tot doel heeft in de lidstaten een hoog gemeenschappelijk niveau van cyberbeveiliging te bereiken. Zij bevat onder meer verplichtingen inzake risicobeheersing en het melden van significante cyberincidenten voor entiteiten in aangewezen essentiële en belangrijke sectoren. In Nederland is de richtlijn omgezet in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden en de Wet beveiliging netwerk- en informatiesystemen heeft vervangen. De wet verplicht de onder haar toepassingsbereik vallende organisaties onder meer passende en evenredige maatregelen voor de beveiliging van hun netwerk- en informatiesystemen te nemen, zich te registreren en significante cyberincidenten te melden.
Normen en regelgeving
De ISO/IEC 27000-serie is een verzameling internationale normen voor het beheren van informatiebeveiliging. Centraal staat het informatiebeveiligingsmanagementsysteem (ISMS) of IS-Code of Practice (IS-COP), een stelsel waarmee een organisatie informatiebeveiligingsrisico's systematisch beheerst. ISO/IEC 27001 bevat eisen voor het opzetten, invoeren, onderhouden en voortdurend verbeteren van een ISMS. De norm is toepasbaar op organisaties van uiteenlopende aard en omvang en benadert informatiebeveiliging als een risicomanagementproces.
Tot de belangrijkste normen van de serie behoren:
ISO/IEC 27000, met een overzicht van informatiebeveiligingsmanagementsystemen en de daarbij gebruikte begrippen en definities; ISO/IEC 27001, met eisen voor een informatiebeveiligingsmanagementsysteem; ISO/IEC 27002, met richtlijnen voor het selecteren, invoeren en beheren van informatiebeveiligingsmaatregelen; ISO/IEC 27005, met richtlijnen voor risicomanagement op het gebied van informatiebeveiliging; ISO/IEC 27014, met richtlijnen voor de sturing, het toezicht en de verantwoording inzake informatiebeveiliging binnen organisaties. Voor de verwerking van persoonsgegevens verplicht de Algemene verordening gegevensbescherming verwerkingsverantwoordelijken en verwerkers om, rekening houdend met onder meer het risico, passende technische en organisatorische maatregelen te treffen. Als voorbeelden noemt artikel 32 onder andere pseudonimisering en versleuteling, het blijvend waarborgen van vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen en diensten, en het tijdig kunnen herstellen van de beschikbaarheid van persoonsgegevens na een incident.
Voor Nederlandse overheidsorganisaties vormt de Baseline Informatiebeveiliging Overheid (BIO) een overheidsbreed normenkader voor informatiebeveiliging. Het kader is van toepassing binnen het Rijk, gemeenten, provincies en waterschappen.
Geschiedenis De bescherming van vertrouwelijke informatie bestond al vóór de ontwikkeling van computers, bijvoorbeeld door geheimhouding, fysieke toegangsbeveiliging, zegels en administratieve controles. Met de ontwikkeling van geautomatiseerde gegevensverwerking kreeg de beveiliging van computersystemen en digitale gegevens een steeds grotere betekenis. In de Verenigde Staten richtte het toenmalige National Bureau of Standards in 1972 een programma voor computerbeveiliging op. Het publiceerde in de jaren daarna onder meer richtlijnen voor computerbeveiliging, authenticatie en versleuteling.
De ontwikkeling van normen voor informatiebeveiliging droeg bij aan de verdere professionalisering van het vakgebied. In het Verenigd Koninkrijk werd de Code of Practice for Information Security Management in 1995 als BS 7799 gepubliceerd. Het eerste deel daarvan werd later overgenomen als ISO/IEC 17799:2000, dat in 2005 werd herzien en vervolgens als ISO/IEC 27002 in de ISO/IEC 27000-serie werd opgenomen. Het tweede deel van BS 7799 vormde de basis voor de eerste editie van ISO/IEC 27001, die in 2005 werd gepubliceerd.
Vanaf het begin van de eenentwintigste eeuw nam het belang van informatiebeveiliging verder toe door de groei van internetdiensten, mobiele apparatuur, cloudcomputing en digitale ketens tussen organisaties. Daardoor groeide ook de aandacht voor cyberbeveiliging als onderdeel van informatiebeveiliging. Het Nationaal Cyber Security Centrum wijst erop dat een doeltreffend informatiebeveiligingsmanagementsysteem voortdurende aandacht vereist voor risico's, maatregelen en de digitale weerbaarheid van organisaties.
Zie ook Computerbeveiliging Cyberbeveiliging Informatiebeveiligingsmanagementsysteem ISO/IEC 27001 Risicomanagement
Referenties
Externe links NOREA ISACA Nationaal Cyber Security Centrum
Categorie:IT-management