Data Management Controls
Een volwassen aanpak van ISM Data Management begint met een gedeeld begrip binnen de hele organisatie van welke informatie er wordt verwerkt, hoe gevoelig deze is en welke wettelijke en beleidsmatige eisen daarop van toepassing zijn. Zonder een eenduidige dataclassificatie ontstaat versnippering: afdelingen hanteren hun eigen definities van vertrouwelijk, systemen worden verschillend geconfigureerd en het is voor CISO, FG en informatiebeheer nauwelijks aantoonbaar dat aan de BIO en AVG wordt voldaan. In deze richtlijn wordt daarom uitgewerkt hoe organisaties tot een praktische, maar robuuste datamanagementaanpak komen die aansluit bij bestaande processen voor informatiebeheer, archivering en beveiliging.
De eerste pijler is dataclassificatie. Organisaties definiëren een beperkt aantal klassen – bijvoorbeeld openbaar, intern, vertrouwelijk en staatsgeheim of zeer vertrouwelijk – en leggen per klasse vast welke eisen gelden voor opslag, transport, delen en vernietiging. Het is belangrijk dat deze classificatie niet alleen in beleid bestaat, maar zichtbaar wordt in het dagelijks werk: in sjablonen, in DMS- en samenwerkingstools, in Microsoft 365-labels en in processen zoals projectstart-ups. Medewerkers moeten eenvoudig kunnen herkennen welke classificatie van toepassing is en welke maatregelen daarbij horen. Dit vraagt om heldere voorbeelden die aansluiten bij de praktijk van beleid, uitvoering, toezicht en dienstverlening binnen de publieke sector.
De tweede pijler is het beheer van bewaartermijnen. Voor veel informatie gelden wettelijke termijnen op basis van archiefwetgeving, fiscale regels, sectorale wetgeving of contractuele afspraken. In de praktijk zien we vaak dat bestanden oneindig worden bewaard voor de zekerheid of juist te snel worden verwijderd zonder dat er een goede afweging is gemaakt. Een effectief ISM Data Management-proces koppelt daarom dataclassificatie aan bewaartermijnen: per informatiecategorie wordt vastgelegd hoe lang deze minimaal en maximaal bewaard moet worden, wie verantwoordelijk is voor de beslissing tot vernietiging en hoe uitzonderingen worden vastgelegd en beoordeeld. Deze afspraken worden niet alleen in beleidsdocumenten opgenomen, maar ook geconfigureerd in Microsoft 365, DMS en line-of-business-applicaties, zodat vernietiging zoveel mogelijk geautomatiseerd en aantoonbaar plaatsvindt.
De derde pijler is veilige vernietiging. Wanneer informatie het einde van de bewaartermijn bereikt of wanneer er geen gerechtvaardigde grondslag meer is voor verwerking onder de AVG, moet de organisatie kunnen aantonen dat gegevens op een passende manier zijn verwijderd. Voor digitale gegevens betekent dit onder meer gecontroleerde verwijdering uit productiesystemen, back-ups en exportbestanden, waarbij rekening wordt gehouden met replicatie over meerdere datacenters en systemen. Voor fysieke dragers, zoals papieren dossiers of verwijderbare media, gelden procedures voor vernietiging via gecertificeerde verwerkers en duidelijke registraties van wat wanneer is vernietigd. Processen voor media-sanitization, bijvoorbeeld bij het afvoeren van hardware, worden afgestemd met leveranciers en vastgelegd in contracten en servicebeschrijvingen.
Cruciaal is dat deze drie pijlers in samenhang worden bestuurd. Datamanagement is geen exclusief domein van de CISO, de FG of het informatiebeheer; het vereist samenwerking tussen beleid, ICT, security, privacy, archief, inkoop en de lijnorganisatie. Een governance-structuur, bijvoorbeeld in de vorm van een datagovernanceboard, bewaakt dat nieuwe systemen en projecten vanaf het ontwerp rekening houden met classificatie, bewaartermijnen en vernietiging. Bij de introductie van nieuwe cloudoplossingen, AI-functionaliteit of dataanalyticsplatformen wordt expliciet beoordeeld welke dataklassen worden verwerkt, hoe lang gegevens worden bewaard en hoe verwijdering en dataportabiliteit zijn georganiseerd.
Voor Nederlandse overheidsorganisaties is daarnaast de samenloop met transparantie- en verantwoordingsverplichtingen essentieel. Een goede dataclassificatie en bewaartermijnen ondersteunen niet alleen beveiliging, maar ook het kunnen voldoen aan Woo-verzoeken, parlementaire vragen, audits en onderzoeken. Door duidelijke informatiecategorieën en bijbehorende termijnen te hanteren, wordt voorkomen dat essentiële informatie te vroeg verdwijnt of dat gevoelige persoonsgegevens onnodig lang beschikbaar blijven. De gekozen aanpak moet daarom altijd worden afgestemd met juridische adviseurs, informatiebeheerders en de privacyorganisatie.
Tot slot vraagt ISM Data Management om continue verbetering. Incidenten, datalekken, auditbevindingen en veranderende wet- en regelgeving bieden aanknopingspunten om classificaties, termijnen en vernietigingsprocedures te actualiseren. Door periodiek te evalueren of de gekozen klassen, bewaartermijnen en technische implementaties nog aansluiten bij de praktijk, blijft het datamanagementstelsel werkbaar én toekomstbestendig. De Information Protection-onderdelen van de "Nederlandse Baseline voor Veilige Cloud" geven hierbij concrete technische handvatten voor de inrichting in Microsoft 365, Azure en aanpalende systemen.