Informatieveiligheid is hot: sla een krant open en er is aandacht voor cybersecurity. Ook binnen de informatiesector groeit de aandacht voor dat thema; redenen genoeg – dacht het Forum van Afgestudeerden Archivistiek en hedendaags Documentbeheer (FAAD) – om de jaarlijkse studiedag op 28 april aan dat topic te wijden. Naar oude gewoonte werd de studiedag georganiseerd in samenwerking met het Centrum voor Academische en Vrijzinnige Archieven (CAVA) en werden de deelnemers ontvangen op de campus van de Vrije Universiteit Brussel (VUB) te Etterbeek.

Informatieveiligheid in de praktijk

Na een informeel netwerkontbijt opende Joseph Berthels de dag met enkele praktijkervaringen vanuit zijn functie als diensthoofd Informatieveiligheid bij POLIS (Provincie Oost-Vlaanderen). Hij hield een pleidooi om voldoende aandacht te hebben voor cybersecurity zeker bij overheidsinstanties. Joseph stelde dat er een verhoogde bedreiging is voor informatieveiligheid. De laatste jaren zien we meer en meer cyberaanvallen (onder andere stad Antwerpen in 2022) en de impact van dergelijke incidenten is enorm. Niet alleen kan de dienstverlening van overheden of bedrijven stilliggen, wellicht komen er ook onvoorziene kosten bij kijken en schaadt het de reputatie van en het vertrouwen in de overheid. Het is dus belangrijk dat de informatiesector zijn weerbaarheid verhoogt.

Joseph illustreerde hoe POLIS inzet op informatieveiligheid. Zo is er een team van vijftien functionarissen voor gegevensbescherming (data protection officers, DPO’s) aan het werk. Zij staan onder meer in voor strategisch beleid, risicoanalyse en het Information Security Management System (ISMS). Toch blijft ook de maturiteit hieromtrent lager dan gewenst, onder meer door onvoldoende budget, personeelsverloop en de nood aan cultuurverandering. Als tip voor omgang met informatieveiligheid gaf Joseph de KISS-methode (Keep It Simple, Stupid). Het is belangrijk om simpele maatregelen te nemen die medewerkers gemakkelijk kunnen implementeren.

Evoluties in de wet- en regelgeving

In de tweede lezing benaderde professor emeritus Frankie Schram (KU Leuven Instituut van de Overheid) informatieveiligheid vanuit de regelgeving. Met zijn presentatie ‘Veiligheid in de virtuele wereld: een juridische benadering’ stelde hij de laatste ontwikkelingen op het vlak van wetgeving voor.

Frankie stond eerst stil bij de veiligheid van persoonsgegevens binnen de Algemene Verordening Gegevensbescherming (AVG). Deze stelt dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen moet nemen ter bescherming van persoonsgegevens. Het niveau van de beveiliging moet hierbij afgestemd worden op het risico. Instrumenten ter beveiliging van persoonsgegevens die uit deze wet voortvloeien zijn onder meer de gegevensbeschermingseffectbeoordeling, de functionaris voor gegevensbescherming en een beleid met betrekking tot de verwerking van persoonsgegevens. Mocht er toch een inbreuk op de beveiliging gebeuren, dan bepaalt de AVG dat men verplicht is dat te melden aan de toezichthoudende autoriteit en de betrokkene.

Vervolgens ging Frankie in op de Network and Information Security 2-richtlijn (NIS2). Deze Europese richtlijn verplicht de lidstaten tot het vaststellen van nationale cyberbeveiligingsstrategieën en het instellen van cybercrisisbeheerautoriteiten, centrale contactpunten voor cyberbeveiliging en computer security incident response teams (CSIRT’s). Verder is er ook een verplichting voor het nemen van risicobeheermaatregelen en rapportage op het gebied van cyberbeveiliging.

Informatiebeheer en informatieveiligheid: een zoektocht naar een geslaagde samenwerking in Mechelen

Een korte maar welverdiende pauze later ontdekten we tijdens de presentatie van Wouter Kesteloot hoe centrumstad Mechelen sinds de aanwerving van een informatiebeheerder in 2017 kruisbestuivingen zoekt tussen informatiebeheer en informatieveiligheid. Goede relaties met andere actoren uit de stedelijke administratie bleken essentieel, zo is de DPO sinds 2021 een regelmatige gesprekspartner.

Belangrijk is het nieuw opgerichte informatieveiligheidsteam, dat beslist over het informatieveiligheidsbeleid. Het team, waarbij ook de informatiebeheerder aansluit, behandelt thema’s als toegangsbeheer, multifactorauthenticatie, regels voor TikTok-gebruik en risico’s omtrent cybersecurity. Het belangrijkste vraagstuk waar het team zich de voorbije jaren over boog, was evenwel de juridische haalbaarheid om de applicatie Digitaal Sociaal Dossier (boordevol persoonsgegevens) in de cloud te plaatsen. Een negatief advies van de Mechelse DPO – gebaseerd op adviezen van de Vlaamse Toezichtcommissie (VTC), de Gegevensbeschermingsautoriteit (GBA) en de Kruispuntbank van de Sociale Zekerheid (KSZ) – zorgde ervoor dat er voorlopig met SharePoint on Premise gewerkt wordt en dat archivering naar het Digitaal Archief Vlaanderen (DAV) uitgesteld werd.

De hoofdwerf van de dienst Informatiebeheer is sinds een audit in 2024 de implementatie van SharePoint. Ook hier zien we raakvlakken tussen informatiebeheer en informatieveiligheid. Zo worden oude netwerkschijven vervangen door SharePoint-websites waarin medewerkers niet alleen beter kunnen samenwerken, maar waar ook een beter en transparanter (rechten)beheer mogelijk wordt. Om de privacyrisico’s van de verschillende gegevensverwerkingen te beperken en het hoofd te bieden aan de beperkte technische middelen die de huidige Microsoft-licentiemodellen verschaffen, wordt de nieuwe digitale werkplek zo ingericht dat sommige websites enkel binnen het eigen team bereikbaar zijn, andere gedeeld kunnen worden met andere teams binnen de stedelijke administratie en nog andere ook met externen. De basis is een analyse van de noodzaak voor een goede werking en tegelijkertijd het gewenste informatieveiligheidsniveau.

Informatieveiligheid in het privaatrechtelijk archief

Christopher De Keyser sloot de studiedag af met enkele praktijken uit het Archief en Museum voor het Vlaams leven te Brussel (AMVB). Hij onderscheidt verschillende fases waarin informatieveiligheid een rol speelt in de werking van het AMVB. De eerste fase is die van de ondersteuning. Aan de hand van vormingen, plaatsbezoeken, archiefdoorlichtingstrajecten en dergelijke worden (potentiële) archiefvormers gesensibiliseerd over een goed archief- en hedendaags documentbeheer, waarbij ook de AVG, wachtwoordbeheer, cybersecurity en back-upstrategieën aan bod komen.

Bij de verwerving van een archief start fase twee. In een contract worden afspraken vastgelegd waaronder toegankelijkheid en ontsluiting. Er wordt ruimte gelaten voor specifieke wensen van de archiefvormer zodat deze zich comfortabel voelt bij de getroffen regeling. Zo willen sommige archiefvormers per leeszaal- of bruikleenaanvraag geraadpleegd worden om zeker te zijn dat informatie niet in verkeerde handen valt. Andere willen dan weer hun archief zelf inventariseren of wensen dat hun archief ontoegankelijk blijft tot na hun dood.

De derde fase – bewaring – vraagt opnieuw maatregelen. Waar papieren archief eenvoudig in een afgesloten depot geplaatst kan worden, stelt het groeiende aandeel digitale archieven een kleine instelling als het AMVB voor grote uitdagingen. Het in 2018 opgerichte AIDA-netwerk (Automatisering Ingest Digitale Archieven) bood soelaas. Dat netwerk brengt middelen en kennis vanuit verschillende privaatrechtelijke archiefinstellingen samen voor de bouw van een gedeeld digitaal depot voor de preservatie van born digital archieven. Gepaste beveiligingsmaatregelen worden genomen, ook wat betreft back-up en toegang tot het systeem.

Als laatste fase worden gevoelige stukken (id est stukken met persoonsgegevens of delicate inhoud) in de inventaris anoniem beschreven en/of gemarkeerd als niet toegankelijk. Als archiefinstelling beroept het AMVB zich op artikel 89.1 van de AVG die archivering in het algemeen belang toelaat. Voor verdere verwerking moet een leeszaalbezoeker een onderzoeksverklaring invullen om de raadpleging te motiveren, dat geeft de archivaris de mogelijkheid om het risico van het ter beschikking stellen van de stukken beter in te schatten of te weigeren.