Beveiligingsclassificatie (CIA / BIV)¶
Organisaties vragen bij onboarding vaak om een classificatie van je workload. Die bepaalt hoe strikt de beheersmaatregelen moeten zijn. Het model heet CIA; in Nederlandse organisaties BIV.
| Aspect | Vraag |
|---|---|
| Confidentiality (Vertrouwelijkheid) | Wat gebeurt er als onbevoegden dit lezen? |
| Integrity (Integriteit) | Wat gebeurt er als data wordt gewijzigd of beschadigd? |
| Availability (Beschikbaarheid) | Hoe lang mag het systeem uitvallen? Is er directe impact op het primaire proces? |
Elk aspect krijgt een niveau:
| Niveau | Betekenis | Typische voorbeelden |
|---|---|---|
| Laag | Een incident heeft geen echte impact | Openbare informatie, test en ontwikkeling zonder productiedata |
| Midden | Beperkte impact | Interne bedrijfsinformatie, niet-kritieke applicaties |
| Hoog | Grote impact | Kernsystemen van het bedrijf, medische of financiële gegevens, personeelsgegevens |
Gebruikte schalen¶
Drie niveaus is het eenvoudigst. Sommige organisaties gebruiken per aspect een fijnere schaal, bijvoorbeeld 0 tot 3, waarbij 0
openbaar of geen impact is en 3 het hoogste niveau. Gebruik de schaal van je organisatie en pas die toe op alle drie de aspecten. De
betekenis van elk niveau, in je eigen woorden, hoort in je classificatiebeleid.
Hersteldoelen¶
De classificatie bepaalt ook de doelen voor herstel. Spreek die af met de business en leg ze vast voor de workload:
| Term | Betekenis |
|---|---|
| RPO (recovery point objective) | Het punt waarnaar data moet worden hersteld om de activiteit voort te zetten. In de praktijk: hoeveel dataverlies acceptabel is. |
| RTO (recovery time objective) | De tijd na een verstoring waarbinnen de activiteit of dienst moet zijn hersteld of hervat |
| MTPD (maximum tolerable period of disruption) | De langste tijd dat een activiteit verstoord mag zijn voordat de impact onacceptabel wordt |
De RTO moet binnen de MTPD vallen. Gebruik ze om de back-upfrequentie, redundantie en failovertests te kiezen (Je workload beheren).
Waar je de classificatie vastlegt¶
Leg de classificatie vast op de workload, zodat die zichtbaar is en maatregelen kan sturen. Sommige platforms gebruiken tags voor de drie aspecten, de hersteldoelen, de business criticality en een service class die de workload aan een supportniveau koppelt (Uitgebreide tagset). De classificatie kan ook toegangsmaatregelen sturen: bijvoorbeeld een strengere conditional access policy voor toegang tot productiedata van een hoger niveau (Developer-toegang met point-to-site VPN).
Hoe het zich verhoudt tot het platform¶
- De baseline van het platform (private endpoints, versleuteling, centrale logging, policies, netwerksegmentatie, Entra ID RBAC) is bedoeld om voldoende te zijn voor workloads met niveau Laag en vaak ook Midden.
- Hoog vraagt doorgaans extra maatregelen per service, bijvoorbeeld customer-managed keys, hogere redundantie, strengere netwerkregels, extra logging of tests. Dit zijn jouw beslissingen en jouw werk, met advies van het platformteam.
- De classificatie bepaalt ook de
pii-tag, de keuze van de omgeving voor productiedata (alleenprd) en de management group (corp of online).
Zie Je workload beheren voor keuzes rond resilience, versleuteling en back-up, en Onboarding voor waar de classificatie wordt opgevraagd.
Referentie
Sommige klantplatformen houden een gedetailleerde tabel bij met beheersmaatregelen per Azure-service en niveau (Laag, Midden, Hoog). Zo'n tabel is klantspecifiek en geen onderdeel van het MCP-product. Vraag je security officer naar het equivalent binnen je organisatie. Externe referenties: NIST SP 800-60, ISO 27001, NEN 7510 (Nederlandse zorg), GDPR/AVG, NIS2.