3.4.2 Contextbepaling

Het eerste dat verwerkingsverantwoordelijken en verwerkers bij het ontwerpen van een ISMS moeten doen, is het vaststellen van het bereik ervan. Ze dienen daarbij alle interne en externe aspecten die invloed kunnen hebben op de uitkomst van het systeem in kaart te brengen.1 Het gaat hierbij natuurlijk om hun eigen wensen, maar ook om de verplichtingen die op hen rusten.2 Dit betekent dat wanneer het op enig moment duidelijk is welke waarborgen verwerkings­verantwoordelijken en verwerkers op grond van de AVG-beveiligingsbepalingen moeten bieden, zij deze verplichtingen moeten meenemen bij de eerste fase van beveiliging. Ze gelden daarbij als minimum. Verwerkings­verantwoordelijken en verwerkers kunnen er natuurlijk voor kiezen om meer te doen dan dat wat ‘passend’ is.

Het belangrijkste contextuele aspect voor een ISMS is de informatie die moet worden beveiligd. Bij de vormgeving van een ISMS moeten verwerkingsverantwoordelijken en verwerkers daarom eerst vaststellen ter beveiliging van welke informatie dit systeem dient. Vervolgens moeten ze de waarde van deze gegevens te bepalen, zodat ze in een later stadium kunnen beslissen in welke mate ze deze gegevens gaan beveiligen.3 Hierbij is bijvoorbeeld hun waarde voor de bedrijfsvoering relevant, net als (in de termen van art. 32 AVG) hun aard en gevoeligheid.4 Omdat de beveiliging van informatie grotendeels vorm krijgt via de beveiliging van de systemen waarmee deze gegevens worden verwerkt,5 kijken informatie­beveiligings­specialisten bij het vaststellen van de context van een ISMS ook naar de bij de informatie betrokken (ICT-)infrastructuur. Daarbij gaat het om alle hardware, software, informatie, procedures en mensen die verband houden met deze persoonsgegevens en hun (voorgenomen) verwerkingen.6 Ook eventuele onderlinge prioriteitsverschillen voor wat betreft de beveiliging van deze verschillende elementen is van belang.

Als duidelijk is welke gegevens en (ICT-)infrastructuur er in het kader van het ISMS moeten worden beveiligd, zullen verwerkingsverantwoordelijken en verwerkers moeten onderzoeken welke dreigingen bestaan ten aanzien daarvan.7 Hierbij dienen ze te kijken naar onder meer software-aanvallen (zoals virussen, wormen en DDoS-aanvallen), technische gebreken in de software (zoals bugs, codeproblemen en zogenoemde loopholes), menselijke fouten (ongelukken, niet-naleving van een protocol) en fysieke aanvallen (zoals vernietigingen, maar ook bijvoorbeeld overstromingen).8 Ook dienen ze te beoordelen hoe deze dreigingen zich verhouden tot de kwetsbaarheden die inherent zijn aan de betrokken (ICT-)infrastructuur.9 Het gaat daarbij om zwaktes of fouten waarop dreigingen gemakkelijk vat kunnen krijgen.10 Aanvallen zullen in de regel op deze kwetsbaarheden zijn gericht, waardoor zij goed moeten worden beveiligd.11

Bij de contextbepaling van een ISMS moet uiteindelijk een overzicht worden gemaakt van alle beveiligingselementen, de kwetsbaarheden daarvan en de relevante dreigingen.12 Dit betekent kort gezegd dat verwerkingsverantwoordelijken en verwerkers, naast de aard van de gegevens, ook de context en omvang van de voorgenomen verwerkingen in kaart moeten brengen. Doordat de vormgeving van een ISMS zeer contextgerichtheid is, dienen verwerkings­verantwoordelijken en verwerkers, wanneer zij bijvoorbeeld verschillende verwerkingen verrichten of verschillende soorten persoonsgegevens verwerken, veelal meerdere informatiebeveiligings­managementsystemen op te stellen.

Hoewel de manier waarop de context van een ISMS dient te worden bepaald vrij duidelijk lijkt, is het in de praktijk niet gemakkelijk deze context vast te stellen.13 Zo heeft het inschatten van de waarde van gegevens een zeker subjectief karakter en vereist de vaststelling van relevante dreigingen en kwetsbaarheden veel kennis van informatiebeveiliging. Normen en certificeringsmethodes bieden hierbij weliswaar houvast, maar voornamelijk in de vorm van kaders waarbinnen verwerkingsverantwoordelijken en verwerkers zelf belangrijke afwegingen en keuzes moeten maken. Omdat ze hierbij ook de wettelijke eisen moeten meenemen, klinkt de manier waarop zij de wettelijke beveiligingsnorm interpreteren door in deze keuzes.14