*Muziek*
Ik ben Bart Pieters, adviseur Informatiebeveiliging en Privacy bij CIO Rijk.
Ik doe nu een jaar of twintig informatiebeveiliging en een jaar of acht privacy.
Ik ga het met jullie hebben over informatiebeveiliging en privacy by design.
Dat zijn populaire termen, maar wat houdt het nu eigenlijk in?
Het houdt eigenlijk in dat je goed nadenkt over informatiebeveiliging en privacy...
bij alles wat je doet.
Als je er aan de voorkant over nadenkt, hoef je het aan de achterkant niet meer even te regelen.
Dus goed nadenken, goed ontwerpen. Dat is informatiebeveiliging en privacy by design.
Hoe dat werkt, licht ik toe aan de levenscyclus van een systeem.
Je hebt een project. Dat leidt tot een systeem wat je gebruikt.
Aan het einde ga je het systeem afstoten.
Helemaal aan het begin zit vaak het vooronderzoek.
Daarin maak je een businesscase met de kosten en de baten...
en ook een Project Start Architectuur.
In beide documenten moet al aandacht zijn voor informatiebeveiliging en privacy.
Meestal voer je een quickscan uit...
om de basiszaken van beide onderwerpen aan de orde te krijgen.
Hoe gevoelig is informatie? Wat voor persoonsgegevens worden er verwerkt?
Zo weet je in de basis al vrij behoorlijk hoe belangrijk het onderwerp wordt.
In de tweede stap gaat de projectleider aan de slag.
Die krijgt de opdracht om een plan uit te werken, de planfase.
Hij pakt meestal een sjabloon van een plan van aanpak...
waarin de privacy- en beveiligingsproducten al zijn opgenomen...
en maakt daar een keuze uit die past bij de inhoud van het project.
Zo krijg je een goede definitie...
van de privacy- en securityproducten die in de planfase worden opgeleverd.
Dan komt de belangrijkste fase: de ontwerpfase, de by-designfase.
Je kijkt dan eigenlijk naar voren, naar het einde van het systeem.
Wat heb je nodig om het systeem af te stoten?
Vaak heb je een exportfunctie, een archieffunctie nodig.
Wat heb je nodig tijdens de operationele fase? Functionele releases, beheerpatches.
Zo redeneer je dat terug naar allerlei ontwerpeisen...
en maak je het ontwerp van het systeem.
Dat ontwerp pas je toe in de volgende fase, de realisatiefase...
waarbij je systematisch het ontwerp toepast in het maken van het systeem.
Wat daarbij heel belangrijk is, is dat je toetst of het systeem ook goed is gerealiseerd.
Je gaat een pentest uitvoeren, je gaat een audit uitvoeren...
om te kijken of alle privacy- en securityeisen ook goed gerealiseerd zijn.
Deze by-designaanpak pas je verder toe op alle levensfases van het systeem.
Wat betekent dat voor jou als medewerker?
Als je als medewerker ergens in dit proces zit...
betekent dit dat je wanneer je documentatie van je voorganger aangeleverd krijgt...
je hierin kijkt naar wat informatiebeveiliging en privacy inhouden voor dit project...
en dat vervolgens systematisch bij jouw werkzaamheden uitvoert...
en ook aantoonbaar uitvoert zodat degene die na jou komt er ook mee verder kan.
Wat ook heel belangrijk is, is dat je voldoende kennis en ervaring hebt.
De opleidingen zijn er echt voor alle ICT-medewerkers.
Ze zijn er voor beheerders, programmeurs, testers.
Hoe ga je op jouw vakgebied om met informatiebeveiliging en privacy.
Zorg dat je de kennis hebt.
Vraag bij je leidinggevende om die opleidingen. Maak er gebruik van.
*Muziek*
*Muziek eindigt*