Informatie classificeren volgens ISO 27001 (A.5.12 en A.5.13) met voorbeeld
Informatie classificeren betekent dat je informatie indeelt in een paar niveaus van gevoeligheid, zodat iedereen weet hoe hij ermee om moet gaan. In ISO/IEC 27001:2022 staat dit in beheersmaatregel A.5.12 “Classification of information” uit Annex A. A.5.13 “Labelling of information” regelt dat je die indeling ook zichtbaar maakt op documenten en in systemen.
Een classificatieschema werkt als een vertaaltabel. Het label “vertrouwelijk” zegt een medewerker direct: niet naar privémail sturen, versleuteld delen, opbergen bij weglopen. De classificatie komt terug in je assetregister en bepaalt welke maatregelen uit je risicoanalyse waar gelden.
Kort antwoord: voor ISO 27001 A.5.12 stel je een classificatieschema op met meestal drie of vier niveaus, gebaseerd op de schade bij uitlekken, wijzigen of kwijtraken. Per niveau leg je regels vast voor opslaan, delen en vernietigen. Voor A.5.13 zorg je dat het niveau zichtbaar is, bijvoorbeeld met een label in de koptekst of een gevoeligheidslabel in Microsoft 365.
Wat eisen A.5.12 en A.5.13?
ISO 27002:2022 geeft de uitwerking. A.5.12 vraagt dat je informatie classificeert op basis van de eisen voor vertrouwelijkheid, integriteit en beschikbaarheid, en op basis van wat belanghebbenden en wetgeving vragen. A.5.13 vraagt een procedure om informatie te labelen volgens dat schema.
| Maatregel | Titel (ISO/IEC 27001:2022) | Wat je oplevert |
|---|---|---|
| A.5.12 | Classification of information | Classificatieschema met niveaus en regels |
| A.5.13 | Labelling of information | Afspraken en hulpmiddelen om labels zichtbaar te maken |
| A.5.14 | Information transfer | Regels voor het delen van informatie, gekoppeld aan het niveau |
| A.5.10 | Acceptable use of information and other associated assets | Gebruiksregels per niveau |
De norm schrijft niet voor hoeveel niveaus je kiest of hoe ze heten. Kies wat je medewerkers kunnen onthouden. Meer dan vier niveaus werkt in de praktijk zelden.
Voorbeeld classificatieschema ISO 27001
Dit schema met vier niveaus is geschreven voor een organisatie van 20 tot 200 medewerkers. De kolom “Voorbeelden” is het belangrijkste deel: daar herkennen medewerkers hun eigen werk in.
| Niveau | Wanneer | Voorbeelden | Schade bij uitlekken |
|---|---|---|---|
| Openbaar | Bedoeld voor iedereen | Website, vacatures, brochure, persbericht | Geen |
| Intern | Voor alle medewerkers, niet voor buiten | Werkinstructies, intranet, interne nieuwsbrief, organogram | Beperkt, vervelend maar niet schadelijk |
| Vertrouwelijk | Alleen voor wie het nodig heeft | Klantgegevens, offertes, contracten, broncode, projectdossiers | Merkbare schade voor klanten of het bedrijf |
| Zeer vertrouwelijk | Kleine, benoemde groep | Personeelsdossiers, medische gegevens, salarissen, overnameplannen, wachtwoordkluis | Ernstige schade, mogelijk meldplichtig datalek |
Niet-gelabelde informatie valt standaard onder “intern”. Zo hoeft niemand elk e-mailtje te labelen en is er toch een veilige standaard.
Regels per classificatieniveau
Een niveau zonder regels heeft geen effect. Koppel daarom aan elk niveau concrete afspraken. Medewerkers lezen deze tabel vaker dan het beleid zelf.
| Regel | Openbaar | Intern | Vertrouwelijk | Zeer vertrouwelijk |
|---|---|---|---|---|
| Opslaan | Overal | Bedrijfsomgeving | Bedrijfsomgeving, toegang op rol | Afgeschermde map of systeem, toegang op naam |
| Delen binnen bedrijf | Vrij | Vrij | Alleen met wie het nodig heeft | Alleen met toestemming van de eigenaar |
| Delen buiten bedrijf | Vrij | Niet zonder reden | Via beveiligde deellink of versleutelde mail | Alleen versleuteld, na toestemming van de eigenaar |
| Printen | Vrij | Vrij | Ophalen met pas | Liever niet; anders direct ophalen en opbergen |
| Op het bureau | Vrij | Vrij | Opbergen bij weglopen | Altijd opbergen |
| Vernietigen | Prullenbak | Prullenbak | Papiercontainer | Papiercontainer, digitaal veilig wissen |
| Label | Geen | Optioneel | Verplicht | Verplicht |
De regels voor bureau en printer sluiten aan op je clean desk policy. De regels voor delen horen bij A.5.14.
Hoe label je informatie (A.5.13)?
Labelen hoeft niet ingewikkeld te zijn. Kies per soort informatie een methode die past bij hoe mensen werken:
- Documenten: het niveau in de koptekst of voettekst, via een sjabloon dat het label al bevat.
- Microsoft 365 of Google Workspace: gevoeligheidslabels die ook technische regels afdwingen, zoals versleuteling of een blokkade op extern delen.
- Mappen en systemen: label de map of het systeem in plaats van elk bestand. Alles in de map “HR-dossiers” is zeer vertrouwelijk.
- E-mail: een label in de onderwerpregel of via een knop in de mailclient.
- Fysieke media: een sticker op de USB-schijf of het archiefdossier.
Labelen op systeemniveau is voor kleine organisaties vaak genoeg. Leg in je assetregister vast welk niveau bij welk systeem hoort.
Wat vraagt de auditor als bewijs voor A.5.12 en A.5.13?
Bij een ISO 27001-audit toetst de auditor of het schema bestaat en of medewerkers het gebruiken. Reken op:
- Het vastgestelde classificatieschema met niveaus en regels.
- De classificatiekolom in het assetregister.
- Een steekproef: de auditor opent een offerte en vraagt welk niveau die heeft.
- Een gesprek met een medewerker: “Hoe stuur je een contract naar een klant?”
- Technische instellingen, zoals gevoeligheidslabels of een blokkade op extern delen van bepaalde mappen.
Een prachtig schema dat medewerkers niet kennen, levert een bevinding op. Neem de vier niveaus en de regels op in je bewustwordingstraining en hang de tabel op waar mensen hem zien.
Veelgemaakte fouten bij informatieclassificatie
Te veel niveaus. Zes niveaus met subtiele verschillen onthoudt niemand. Drie of vier is genoeg.
Alles is vertrouwelijk. Als alles het hoogste label krijgt, nemen mensen het label niet meer serieus. Gebruik “zeer vertrouwelijk” spaarzaam.
Alleen vertrouwelijkheid. A.5.12 gaat ook over integriteit en beschikbaarheid. Een productieplanning is misschien niet geheim, maar moet wel kloppen en beschikbaar zijn.
Geen standaard voor ongelabelde informatie. Leg vast wat geldt als er geen label op staat.
Classificatie en AVG los van elkaar. Persoonsgegevens vallen meestal minimaal onder “vertrouwelijk”. Bijzondere persoonsgegevens, zoals gezondheid, onder het hoogste niveau. Zie ook AVG en ISO 27001.
Informatieclassificatie bij de overheid
Overheidsorganisaties die de BIO2 volgen, classificeren informatie in alle informatiesystemen met een expliciete risicoafweging en een vastgestelde methode voor impactclassificatie. Dat is strenger dan ISO 27001, dat de methode vrijlaat.
Veelgestelde vragen over informatieclassificatie
Hoeveel classificatieniveaus heb je nodig voor ISO 27001?
De norm schrijft geen aantal voor. Drie of vier niveaus is gangbaar. Kies het aantal dat je medewerkers kunnen onthouden.
Moet elk document een label hebben?
Nee. Met een standaardniveau voor ongelabelde informatie en labels op map- of systeemniveau dek je het meeste af. Label alleen losse documenten die gevoeliger zijn dan hun omgeving.
Wie bepaalt de classificatie?
De eigenaar van de informatie, zoals vastgelegd in het assetregister. Medewerkers die nieuwe documenten maken, volgen het niveau van de map of het systeem.
Meer informatie
- Assetregister: waar je de classificatie per item vastlegt
- Clean desk policy: regels voor papier en schermen per niveau
- Thuiswerken en BYOD-beleid: welke informatie mag op een privéapparaat
- Annex A: alle 93 maatregelen, inclusief A.5.9 tot en met A.5.14
- Verplichte documenten: het classificatieschema in de documentatieset
- ISO 27002:2022 : de implementatierichtlijn bij A.5.12 en A.5.13