Informatieclassificatie is het indelen van je informatie naar hoe erg het is als die uitlekt, ongemerkt verandert of niet beschikbaar is. Die indeling bepaalt welke bescherming nodig is: wie erbij mag, hoe je het deelt en waar het mag staan. In vrijwel elke GAP-analyse die wij uitvoeren ontbreekt die indeling, terwijl bijna alle andere maatregelen erop leunen.
In het kort
- Bijna elke organisatie regelt toegang via mappen en groepen. Bijna niemand heeft vastgelegd welke informatie in die mappen staat en hoe ermee moet worden omgegaan.
- BIV-classificatie is dezelfde oefening langs drie assen: beschikbaarheid, integriteit en vertrouwelijkheid.
- Zonder informatieclassificatie hangt elke regel in de lucht: welke bijlage mag per e-mail, wat mag een leverancier zien, wat mag in een AI-tool.
- Begin bij soorten informatie en hun eigenaren, niet bij losse documenten en niet bij een tool.
- Drie niveaus zijn voor de meeste organisaties genoeg.
Wat is informatieclassificatie precies?
Informatiebeveiliging draait om drie eigenschappen van informatie: beschikbaarheid, integriteit en vertrouwelijkheid. Bij classificatie geef je per soort informatie aan hoe zwaar elk van die drie weegt. Voor documenten en gegevens is vertrouwelijkheid in de praktijk de bepalende as. Iets wat strikt vertrouwelijk is, mag ook niet ongemerkt worden gewijzigd, dus integriteit loopt daar meestal mee. Beschikbaarheid speelt vooral bij systemen en apparaten, en die horen thuis in het overzicht van bedrijfsmiddelen met een eigenaar en een klasse per middel.
Classificatie is iets anders dan documentbeheer. Een versienummer of een documentcode op een procedure zegt dat het document wordt beheerd, niet hoe vertrouwelijk de inhoud is. Dat onderscheid blijkt in gesprekken vaak nieuw: de documenten van het kwaliteitssysteem dragen keurig een label, en al het andere draagt niets.
Waarom ontbreekt het bijna overal?
Als wij in een GAP-analyse vragen of informatie wordt geclassificeerd, is het antwoord vrijwel altijd een variant van hetzelfde: “Niet op die manier. We hebben de rechten per afdeling ingericht.” Er zijn beveiligingsgroepen in de Active Directory, er is een afgeschermde HR-map, finance heeft een openbaar en een besloten deel, en de directie ziet alles. In een van de gesprekken stond het zelfs letterlijk in het beleid: informatie wordt niet ingedeeld in categorieën, omdat de toegangsrechten dat al regelen.
Dat is op gebruikersniveau geregeld, niet op het niveau van de informatie zelf. Welke gegevens er precies in een map staan, en hoe je daarmee om hoort te gaan, is nergens beschreven. Het personeelshandboek bevat meestal een alinea over vertrouwelijke informatie, en daar houdt het op.
Hetzelfde patroon zien we bij het delen van informatie. De enige vastgelegde regel is vaak dat persoonsgegevens versleuteld moeten worden verstuurd. Voor andere vertrouwelijke informatie, zoals contracten, calculaties of productinformatie, bestaat geen regel. Een beveiligde dienst voor het versturen van grote bestanden is er wel, maar alleen de IT-afdeling weet dat die bestaat.
In risicoanalyses komt dit terug als een risico met zowel een hoge kans als een hoge impact: ongeoorloofde toegang tot informatie door onduidelijkheid over bevoegdheid en vertrouwelijkheid. De reden staat er meestal direct achter: de informatie is nog niet geclassificeerd.
Wat gaat er mis zonder classificatie?
Informatieclassificatie is geen doel op zich. Het is de basis waar andere maatregelen op steunen. Zonder die basis loopt elk van deze onderwerpen vast:
- Delen. Of iets per e-mail mag, via een beveiligde overdracht moet of helemaal niet naar buiten mag, kun je alleen bepalen als je weet in welke klasse het valt.
- Toegang. Rechten die nergens aan zijn opgehangen, stapelen zich op. Wie bepaalt of een nieuwe collega bij de calculaties mag, als nergens staat hoe gevoelig die zijn?
- Leveranciers. Contracten regelen meestal alleen geheimhouding. Welke informatie een leverancier mag inzien, en onder welke voorwaarden, volgt uit de classificatie.
- Technische hulpmiddelen. Gevoeligheidslabels en beveiliging tegen gegevensverlies in Microsoft 365 werken pas als je hebt bepaald wanneer een document vertrouwelijk is. In een van de gesprekken zei de IT-manager het zelf: de basis is de classificatie, en die stap moeten we nog maken.
- AI-tools. De vraag welke informatie in een chatbot of een vertaaltool mag, is zonder classificatie niet te beantwoorden.
- Bewaren en opruimen. Hoe lang iets bewaard wordt en hoe het wordt vernietigd, hangt af van wat het is.
Hoe voer je informatieclassificatie in?
De fout die wij het vaakst zien, is beginnen bij documenten of bij een tool. Dan ligt er na een paar maanden een half gelabelde SharePoint en is er nog steeds geen antwoord op de vraag wat vertrouwelijk is. De volgorde die werkt:
- Inventariseer soorten informatie per proces. Personeelsgegevens, financiële gegevens, klantgegevens, contracten, productinformatie, technische documentatie. Niet per bestand, maar per soort.
- Wijs per soort een eigenaar aan. De eigenaar bepaalt de klasse en wie erbij mag. Dat is zelden IT; het is de manager van het proces waar de informatie vandaan komt.
- Kies weinig niveaus. Drie is voor de meeste organisaties genoeg. Werk per niveau uit wat erin valt, wie erbij mag, hoe je het deelt en waar het mag staan.
- Bepaal een standaard. Alles wat niet is ingedeeld, is intern. Daarmee hoef je niet elk bestaand bestand langs te lopen.
- Leg het vast in beleid. Classificatie hoort in je informatiebeveiligingsbeleid, met een verwijzing vanuit het personeelshandboek, zodat medewerkers weten wat er van hen wordt verwacht.
- Pas daarna de hulpmiddelen toe. Labels, mappenstructuur en technische blokkades volgen het schema. Niet andersom.
- Beoordeel het periodiek. Neem de classificatie mee in de jaarlijkse risicobeoordeling. Soorten informatie komen erbij, en wat vorig jaar intern was, kan door een nieuwe klant of een nieuwe wet vertrouwelijk zijn geworden.
Wat is BIV-classificatie?
BIV-classificatie is informatieclassificatie langs drie assen: Beschikbaarheid, Integriteit en Vertrouwelijkheid. Per informatiesoort geef je voor elke as een niveau, meestal laag, midden of hoog. Een klantdossier scoort bijvoorbeeld hoog op vertrouwelijkheid en midden op beschikbaarheid; een productieplanning juist hoog op beschikbaarheid en laag op vertrouwelijkheid. De term komt uit de Baseline Informatiebeveiliging Overheid en wordt ook in NEN 7510-trajecten gebruikt; in ISO 27001 heet dezelfde oefening informatieclassificatie en mag je de assen zelf kiezen.
In de praktijk werkt BIV-classificatie goed als tweede stap: eerst de vertrouwelijkheidsniveaus uit dit artikel, zodat iedereen weet wat waar mag; daarna per kritiek systeem de beschikbaarheids- en integriteitseis, want die bepalen je back-upfrequentie, je hersteldoelen en je continuïteitsplan. Wie met BIV begint, raakt vaak verstrikt in matrixen voordat de basisregel staat.
Wat verwacht een auditor of toezichthouder?
ISO 27001 vraagt om classificatie van informatie, om labeling waar dat zinvol is en om regels voor het overdragen van informatie. Een auditor wil het schema zien, de eigenaren per soort informatie en bewijs dat de regels worden toegepast: een voorbeeld van een versleutelde verzending, een leverancierscontract met afspraken over informatie, een onboarding waarin het schema wordt uitgelegd. Hij verwacht niet dat elk bestand een label draagt. Wat telt is dat iemand in de organisatie kan uitleggen welke informatie er is en hoe ermee wordt omgegaan, en dat dat aantoonbaar is.
Wil je weten waar je staat voordat je begint? In een GAP-analyse lopen we onder meer langs welke informatie de organisatie in huis heeft, waar die staat en wat er al over is vastgelegd.
Veelgestelde vragen
Wat is informatieclassificatie?
Het indelen van informatie naar hoe erg het is als die uitlekt, ongemerkt verandert of niet beschikbaar is. Aan elke klasse hangen regels, bijvoorbeeld wie erbij mag, hoe je het deelt en waar het mag staan. Zo weet iedereen zonder overleg hoe hij met een document moet omgaan.
Is informatieclassificatie verplicht voor ISO 27001?
Ja. De norm vraagt dat je informatie classificeert, waar nodig labelt en regels hebt voor het overdragen ervan. Een auditor wil het schema zien, de eigenaren per soort informatie en voorbeelden van hoe de regels in de praktijk worden toegepast. Hij verwacht niet dat elk bestand een label draagt.
Hoeveel niveaus heb je nodig?
Voor de meeste organisaties drie, bijvoorbeeld openbaar, intern en vertrouwelijk. Meer niveaus maken de keuze per document lastiger, en een indeling die mensen niet in een paar seconden kunnen maken, wordt in de praktijk niet gebruikt.
Zijn rechten op mappen niet genoeg?
Nee. Mappenrechten regelen wie ergens bij kan, maar zeggen niets over wat iemand met de informatie mag doen zodra hij die heeft. Of een bijlage per e-mail mag, of een leverancier het mag zien en of het in een AI-tool mag, volgt uit de classificatie, niet uit de map.
Wat is het verschil tussen BIV-classificatie en informatieclassificatie?
BIV-classificatie is een vorm van informatieclassificatie waarbij je per informatiesoort drie waarden geeft: beschikbaarheid, integriteit en vertrouwelijkheid. Informatieclassificatie in ISO 27001 laat de assen vrij; de meeste mkb-organisaties beginnen met alleen vertrouwelijkheid en voegen beschikbaarheid en integriteit toe voor hun kritieke systemen. BIV is gangbaar bij de overheid (BIO) en in de zorg (NEN 7510).
