Classificatie

Niet alle informatie binnen een organisatie is even gevoelig. Een intern telefoonlijstje heeft een heel ander beschermingsniveau nodig dan klantgegevens of strategische bedrijfsplannen. Classificatie is het proces waarmee je informatie indeelt in categorieen op basis van gevoeligheid en het vereiste beschermingsniveau. Door informatie systematisch te classificeren, weet je precies welke beveiligingsmaatregelen nodig zijn en voorkom je dat gevoelige data onvoldoende wordt beschermd of dat publieke informatie onnodig streng wordt afgeschermd. In de context van cybersecurity vormt classificatie de basis voor een effectief informatiebeveiligingsbeleid en helpt het bij het efficient inzetten van beveiligingsmiddelen.

Het meest gebruikte classificatiesysteem in Nederland is de BIV-classificatie, wat staat voor Beschikbaarheid, Integriteit en Vertrouwelijkheid. Bij elke dataset of informatiesysteem beoordeel je deze drie aspecten en ken je een niveau toe dat de mate van bescherming bepaalt. Dit kan varieren van openbare informatie waarvoor geen bijzondere maatregelen nodig zijn, tot staatsgeheime data die de zwaarste beveiligingseisen kent. De overheid gebruikt hiervoor de Baseline Informatiebeveiliging Overheid (BIO) met drie basisbeveiligingsniveaus (BBN1 tot BBN3), terwijl bedrijven vaak eigen classificatieschema's hanteren die zijn afgestemd op hun specifieke risicoprofiel en branche.

Waarom is classificatie belangrijk voor cybersecurity?

Zonder classificatie behandel je alle informatie op dezelfde manier, wat leidt tot twee serieuze problemen. Enerzijds wordt gevoelige informatie onvoldoende beschermd omdat je de risico's niet hebt geidentificeerd en de juiste maatregelen niet hebt getroffen. Anderzijds besteed je onnodig veel middelen aan de bescherming van informatie die helemaal niet gevoelig is. Classificatie helpt je om beveiligingsinvesteringen gericht in te zetten waar ze het meeste effect hebben en voorkomt verspilling van schaarse beveiligingsbudgetten.

Een gedegen classificatiesysteem is ook essentieel voor compliance met wet- en regelgeving. De AVG en de NIS2-richtlijn stellen eisen aan de bescherming van bepaalde typen informatie. Door te classificeren maak je inzichtelijk welke informatie onder welke regelgeving valt en welke maatregelen je moet treffen om aan de eisen te voldoen. Dit voorkomt boetes van toezichthouders en juridische aansprakelijkheid bij incidenten.

Classificatie draagt ook bij aan het beveiligingsbewustzijn van medewerkers. Wanneer documenten en systemen een duidelijk classificatielabel dragen, weten medewerkers direct hoe ze met die informatie moeten omgaan. Een document met het label "vertrouwelijk" mag niet zomaar per e-mail worden verstuurd of op een gedeelde schijf worden geplaatst zonder adequate versleuteling. Dit maakt security awareness concreet en toepasbaar in de dagelijkse praktijk, in plaats van een abstract concept dat moeilijk te vertalen is naar concreet gedrag.

Daarnaast vormt classificatie de basis voor effectief toegangsbeheer. Door te weten welke informatie welk beschermingsniveau heeft, kun je toegangsrechten toewijzen op basis van het need-to-know-principe. Niet iedereen in de organisatie hoeft toegang te hebben tot alle informatie, en classificatie helpt bij het bepalen wie wat mag zien en bewerken. Dit vermindert het risico op onbevoegde toegang en beperkt de impact wanneer een account wordt gecompromitteerd.

Hoe pas je classificatie toe?

Begin met het vaststellen van classificatieniveaus die passen bij jouw organisatie. Een veelgebruikt schema voor bedrijven omvat vier niveaus: openbaar, intern, vertrouwelijk en geheim. Voor elk niveau definieer je welke beveiligingsmaatregelen van toepassing zijn, wie er toegang heeft en hoe de informatie mag worden opgeslagen, verwerkt en gedeeld. Houd het schema eenvoudig genoeg om praktisch toepasbaar te zijn, maar gedetailleerd genoeg om zinvolle onderscheidingen te maken.

De volgende stap is het inventariseren van alle informatie-assets binnen je organisatie. Dit omvat niet alleen digitale bestanden en databases, maar ook fysieke documenten, e-mails, mondelinge communicatie en informatie die wordt verwerkt door externe dienstverleners. Voor elke asset beoordeel je de impact van een inbreuk op vertrouwelijkheid, integriteit en beschikbaarheid. De hoogste score op een van deze drie aspecten bepaalt doorgaans het classificatieniveau.

Stel duidelijke richtlijnen op voor het labelen van informatie. Documenten krijgen een classificatielabel in de header of footer, e-mails krijgen een classificatiemarkering in de onderwerpregel en digitale bestanden worden opgeslagen in mappen die corresponderen met hun classificatieniveau. Automatisering kan hierbij helpen: Data Loss Prevention-tools kunnen automatisch gevoelige informatie herkennen en van het juiste label voorzien op basis van patronen zoals BSN-nummers, creditcardgegevens of medische informatie.

Train je medewerkers in het classificatieproces en maak het onderdeel van de dagelijkse werkroutine. Zij zijn vaak degenen die informatie creeren en moeten weten hoe ze het juiste classificatieniveau toekennen. Maak het classificatiebeleid eenvoudig en toegankelijk, en voorzie het van praktische voorbeelden die relevant zijn voor de dagelijkse werkzaamheden van verschillende afdelingen. Evalueer en actualiseer je classificatieschema regelmatig, want de gevoeligheid van informatie kan in de loop van de tijd veranderen door nieuwe regelgeving, bedrijfsontwikkelingen of veranderingen in het dreigingslandschap.

In de praktijk

De Nederlandse overheid hanteert een gestandaardiseerd classificatiesysteem via de BIO. Informatie wordt ingedeeld in drie basisbeveiligingsniveaus: BBN1 voor informatie met beperkte impact bij een incident zoals openbare beleidsdocumenten, BBN2 voor departementaal vertrouwelijke informatie zoals interne beleidsstukken en persoonsgegevens, en BBN3 voor staatsgeheime informatie waarvan openbaarmaking de nationale veiligheid kan schaden. Elk niveau brengt specifieke technische en organisatorische maatregelen met zich mee, van basisbeveiliging tot streng gecontroleerde toegang.

In het bedrijfsleven zie je dat organisaties die werken met ISO 27001 classificatie als een kernonderdeel van hun informatiebeveiligingsbeleid hebben ingericht. Het classificatieproces begint bij de risicoanalyse, waarbij je per informatiecategorie beoordeelt wat de mogelijke financiele, juridische en reputatieschade is bij een beveiligingsincident. Op basis daarvan wijs je classificatieniveaus toe en implementeer je passende beveiligingsmaatregelen die proportioneel zijn aan het risico.

Een concreet voorbeeld: een financiele instelling classificeert klantgegevens als "vertrouwelijk", wat betekent dat deze gegevens alleen toegankelijk zijn voor geautoriseerde medewerkers, versleuteld worden opgeslagen en niet via onbeveiligde kanalen mogen worden verstuurd. Jaarverslagen die al gepubliceerd zijn worden geclassificeerd als "openbaar". Interne nieuwsbrieven worden geclassificeerd als "intern", wat minder strenge maatregelen vereist maar nog steeds niet geschikt is voor externe verspreiding zonder goedkeuring van de communicatieafdeling.

Bij incident response speelt classificatie eveneens een grote rol. Wanneer er een datalek optreedt, bepaalt de classificatie van de gelekte informatie de ernst van het incident en de vereiste meldprocedures. Een lek van openbare informatie is minder urgent dan een lek van vertrouwelijke persoonsgegevens, waarvoor je binnen 72 uur een melding moet doen bij de Autoriteit Persoonsgegevens. Classificatie helpt je om snel de juiste prioriteiten te stellen en de wettelijk vereiste stappen te nemen wanneer elk uur telt.

Veelgestelde vragen

Hoeveel classificatieniveaus heeft mijn organisatie nodig?

Drie tot vier niveaus zijn voor de meeste organisaties voldoende en praktisch hanteerbaar.

Wie is verantwoordelijk voor het toekennen van een classificatielabel?

De eigenaar van de informatie is verantwoordelijk voor het toekennen van het juiste niveau.

Moet ik alle bestaande documenten alsnog classificeren?

Ja, begin met de meest gevoelige informatie en werk vervolgens gefaseerd door de rest.

Hoe vaak moet ik classificatielabels herzien?

Minimaal jaarlijks, of eerder wanneer de context of het gebruik van informatie verandert.

Kan ik classificatie automatiseren?

Deels, met tools voor data discovery en labeling, maar menselijke beoordeling blijft noodzakelijk.

Wil je weten hoe classificatie past binnen een breder informatiebeveiligingsbeleid? Ontdek meer begrippen in het cyberwoordenboek op IBgidsNL.