Gegevensbeveiliging

Gegevensbeveiliging is het geheel van maatregelen en processen die bedoeld zijn om gegevens te beschermen tegen ongeoorloofde toegang, verlies, diefstal, beschadiging en misbruik. De zorg geldt voor persoonsgegevens en bedrijfsgegevens, zowel digitaal als op papier, en omvat organisatorische, technische en fysieke aspecten.

Kernprincipes zijn vertrouwelijkheid, integriteit en beschikbaarheid van informatie, vaak aangeduid als de CIA-trilogie. Daarnaast komen authenticiteit, niet-reputatie en privacy-by-design voor om zeker te stellen dat gegevens juist en alleen toegankelijk zijn voor bevoegde personen, en dat privacy in het ontwerp van systemen is ingebouwd.

Risicomanagement houdt in dat organisaties periodieke risicoanalyses uitvoeren om bedreigingen en kwetsbaarheden te identificeren, de impact en kans te beoordelen en passende maatregelen te kiezen. Dit proces geldt gedurende de hele levenscyclus van informatie en systemen.

Beveiligingsmaatregelen omvatten technische maatregelen zoals encryptie, sterke authenticatie, toegangscontrole, patchbeheer, logging en monitoring, back-ups en incidentdetectie; organisatorische maatregelen zoals beveiligingsbeleid, bewustwordingssessies, incidentrespons, continuity planning en third-party risk management; en veilige fysieke beveiliging van kantoren en datacenters.

Juridische en normen zijn onder meer regels voor persoonsgegevens zoals de Algemene Verordening Gegevensbescherming (GDPR) binnen de EU. Organisaties moeten datalekken melden waar verplicht, privacy-by-design en data minimization toepassen, en kunnen streven naar normen zoals ISO/IEC 27001 voor een gestructureerd informatiemanagementsysteem.

Toepassing en governance vragen om verantwoordingslijnen, regelmatig testen en evalueren, en betrokkenheid van het management en security officers. Praktisch begint men met data-inventarisatie en classificatie, het opstellen van beveiligingsbeleid en incidentresponsplannen.