Clean desk policy (ISO 27001 A.7.7) met voorbeeld
Een clean desk policy is een korte set afspraken dat medewerkers geen gevoelige papieren, USB-sticks of ontgrendelde schermen onbeheerd achterlaten. In ISO/IEC 27001:2022 valt dit onder beheersmaatregel A.7.7 “Clear desk and clear screen” uit Annex A. Je regelt er twee dingen mee: een opgeruimd bureau en een vergrendeld scherm.
De maatregel is eenvoudig, maar wordt bij een ISO 27001-audit vaak in de praktijk getoetst. Een auditor loopt door je kantoor en kijkt wat er op bureaus en printers ligt. Het NCSC noemt het vergrendelen van je computer ook expliciet als aandachtspunt bij thuiswerken.
Kort antwoord: een clean desk policy onder ISO 27001 (A.7.7) beschrijft dat gevoelige informatie op papier en op media wordt opgeborgen als je je werkplek verlaat, en dat schermen automatisch en handmatig worden vergrendeld. Je hebt een korte beleidstekst nodig, technische instellingen voor schermvergrendeling, en bewijs dat je het controleert.
Wat eist A.7.7 clear desk en clear screen?
ISO 27001 Annex A noemt de maatregel alleen bij titel. De uitwerking staat in ISO 27002:2022 . Samengevat vraagt de maatregel om regels voor papier en verwijderbare opslagmedia op bureaus, en om regels voor schermen van informatieverwerkende apparatuur.
In gewone taal betekent dat:
| Onderdeel | Wat je regelt | Voorbeeld |
|---|---|---|
| Opgeruimd bureau | Gevoelige papieren en media gaan in een afsluitbare kast of lade | Personeelsdossiers liggen ‘s avonds niet op het bureau van HR |
| Vergrendeld scherm | Schermen worden vergrendeld bij weglopen en automatisch na inactiviteit | Windows+L bij weglopen, automatische vergrendeling na 5 minuten |
| Printers en kopieerapparaten | Afdrukken worden direct opgehaald, bij voorkeur met follow-me printing | Afdruk komt pas uit de printer na het scannen van je pas |
| Vergaderruimtes | Whiteboards en flip-overs worden schoongemaakt na gebruik | Na een klantoverleg worden de prijsafspraken van het bord gewist |
| Afvoer | Vertrouwelijk papier gaat in een afsluitbare papiercontainer | Container wordt geleegd door een gecertificeerde vernietiger |
A.7.7 hangt samen met andere maatregelen. Vertrouwelijk papier vernietigen raakt aan A.7.10 (opslagmedia) en A.7.14 (veilig afvoeren van apparatuur). Wat “vertrouwelijk” is, bepaal je met je informatieclassificatie.
Voorbeeld clean desk policy om over te nemen
Hieronder staat een voorbeeldtekst voor een organisatie van ongeveer 30 medewerkers met een kantoor en thuiswerkers. Pas namen, termijnen en middelen aan je eigen situatie aan. Een beleid dat niet klopt met wat mensen echt doen, valt bij de audit door de mand.
Clean desk en clear screen beleid Versie 1.2, vastgesteld door de directie op 3 maart 2026. Eigenaar: informatiebeveiligingsfunctionaris.
1. Doel. Dit beleid voorkomt dat onbevoegden vertrouwelijke informatie zien of meenemen op kantoor, thuis en onderweg. Het geldt voor alle medewerkers, stagiairs en ingehuurde krachten.
2. Bureau. Verlaat je je werkplek langer dan een half uur of aan het eind van de dag, dan berg je documenten met classificatie “intern” of hoger op in je afsluitbare ladeblok. USB-sticks en externe schijven met bedrijfsinformatie berg je altijd op.
3. Scherm. Je vergrendelt je scherm altijd als je wegloopt (Windows+L of Ctrl+Cmd+Q). Laptops en werkstations vergrendelen automatisch na 5 minuten inactiviteit. Deze instelling wordt centraal afgedwongen en kun je niet uitzetten.
4. Printen. Je haalt afdrukken direct op. Vertrouwelijke documenten print je alleen via de beveiligde printwachtrij die je met je pas vrijgeeft.
5. Vergaderruimtes. Je wist whiteboards en neemt papieren mee na elk overleg.
6. Thuis en onderweg. Je werkt niet met vertrouwelijke informatie op plekken waar anderen mee kunnen kijken. Je gebruikt een privacyfilter in de trein. Je laat je laptop nooit onbeheerd in de auto achter.
7. Vernietigen. Vertrouwelijk papier gooi je in de afgesloten papiercontainer, niet in de prullenbak.
8. Controle. De informatiebeveiligingsfunctionaris doet elk kwartaal een onaangekondigde ronde na kantoortijd. Bevindingen worden besproken in het teamoverleg. Herhaalde overtredingen volgen de disciplinaire procedure (A.6.4).
Je kunt deze tekst als losse pagina in je ISMS opnemen of als hoofdstuk in een bredere gedragscode. Dat laatste werkt vaak beter in kleine organisaties: één document dat medewerkers bij indiensttreding tekenen.
Hoe controleer je de clean desk policy?
Een beleid zonder controle is een wens. ISO 27001 vraagt dat je de werking van maatregelen kunt aantonen. Voor A.7.7 doe je dat met een eenvoudige ronde langs de werkplekken, bijvoorbeeld na 18:00 uur.
Gebruik een vast registratieformulier, zodat je resultaten over de tijd kunt vergelijken:
| Datum | Locatie | Werkplekken gecontroleerd | Bevindingen | Actie |
|---|---|---|---|---|
| 12-03-2026 | Kantoor Utrecht, 2e verdieping | 18 | 2 ontgrendelde schermen, 1 klantdossier op bureau | Persoonlijk aangesproken, herinnering in teamoverleg |
| 11-06-2026 | Kantoor Utrecht, 2e verdieping | 18 | 1 afdruk in printerbak | Follow-me printing aangezet voor afdeling sales |
Het aantal bevindingen per ronde is een bruikbare indicator voor je directiebeoordeling. Daalt het, dan werkt je aanpak.
Wat vraagt de auditor als bewijs voor A.7.7?
De auditor kijkt zowel naar papier als naar de praktijk. Reken op deze vragen en bewijsstukken:
- Het beleid zelf, met versie, datum en goedkeuring van de directie.
- Technische instelling van de schermvergrendeling, bijvoorbeeld een screenshot van de policy in Intune of Group Policy.
- Registraties van controles, zoals de tabel hierboven.
- Communicatie, bijvoorbeeld de bewustwordingstraining waarin clean desk aan bod komt.
- Een rondgang door het kantoor tijdens de audit. Ligt er een paspoortkopie op de printer, dan heb je een bevinding.
Een auditor die tijdens de rondgang een ontgrendeld scherm met klantgegevens ziet, schrijft dat op, ook als je beleid perfect is. Doe daarom vlak voor de audit zelf een ronde.
Veelgemaakte fouten bij een clean desk policy
Alleen beleid, geen techniek. Mensen vergeten hun scherm te vergrendelen. Een centraal afgedwongen time-out vangt dat op.
Thuiswerkers vergeten. Een groot deel van het werk gebeurt thuis. Neem thuis en onderweg op in hetzelfde beleid, of verwijs naar je thuiswerk- en BYOD-beleid.
Te streng voor de praktijk. “Niets op je bureau” is onhaalbaar voor een tekenaar met bouwtekeningen. Koppel de regel aan de classificatie: alleen informatie vanaf “intern” of “vertrouwelijk” moet weg.
Geen afsluitbare opslag. Je kunt niet eisen dat mensen documenten opbergen als er geen ladeblok met slot is. Regel eerst de middelen.
Nooit controleren. Zonder rondes heb je geen bewijs van werking. Eén ronde per kwartaal is voor de meeste mkb-bedrijven genoeg.
Is een clean desk policy verplicht voor ISO 27001?
Niet automatisch. Je kiest Annex A-maatregelen op basis van je risicoanalyse en legt de keuze vast in je verklaring van toepasselijkheid. In de praktijk sluit vrijwel geen organisatie A.7.7 uit. Zelfs een volledig remote bedrijf heeft laptops die vergrendeld moeten worden.
Uitsluiten mag alleen met een goede onderbouwing. “Wij werken papierloos” is geen reden om het clear screen-deel weg te laten.
Veelgestelde vragen over de clean desk policy
Geldt een clean desk policy ook voor thuiswerkers?
Ja. A.7.7 gaat over elke plek waar je met informatie werkt. Thuis zijn de risico’s anders: huisgenoten, bezoek, een laptop op de keukentafel. Neem thuis daarom expliciet op in het beleid.
Hoe snel moet een scherm automatisch vergrendelen?
ISO 27001 noemt geen termijn. Vijf tot tien minuten is gangbaar voor kantoorwerk. Kies korter voor werkplekken waar veel mensen langslopen, zoals een balie.
Mag ik een clean desk policy kopiëren?
Je mag een voorbeeld als startpunt gebruiken. Pas het wel aan je eigen kantoor, middelen en classificatie aan. Een auditor herkent een beleid dat niet klopt met de praktijk.
Meer informatie
- Annex A: alle 93 beheersmaatregelen, inclusief de fysieke maatregelen A.7
- Informatie classificeren: bepaal welke documenten van het bureau af moeten
- Thuiswerken en BYOD-beleid: afspraken voor werken buiten kantoor
- Wachtwoordbeleid: de andere kant van een vergrendeld scherm
- Bewustwording en training: zo laat je het beleid landen
- ISO 27002:2022 : de implementatierichtlijn bij A.7.7