Inleiding

Met machine learning en deep learning realiseert ViNotion softwareoplossingen waarmee mensen en verkeer met een camera automatisch en real-time gedetecteerd en geclassificeerd worden. ViNotion is in staat om verschillende objecten met behulp van voorbeeldfoto’s of -video in te leren en te modelleren. Met deze technieken en algoritmes bouwt ViNotion slimme observatiesystemen onder de productlijn ViSense. De softwareoplossingen genereren data uit beeld waardoor sturing mogelijk wordt gemaakt. ViNotion kan hiermee inzichten verschaffen in de dynamiek van verkeer. Denk hierbij aan onder andere: aantallen, snelheid, verplaatsingspaden, GPS posities, dichtheid en congestie.

ViNotion beschouwt informatiebeveiliging al jarenlang als een belangrijk issue. ViNotion verwerkt grote hoeveelheden data en daarmee komt een grote verantwoordelijkheid. ViNotion onderkent het belang van privacy en doet veel om dat te waarborgen. Hierbij moet zekergesteld worden dat risico’s voor de klant acceptabel zijn en dat maatregelen werkend gemaakt moeten worden zonder dat dit ten koste gaat van de effectiviteit, flexibiliteit en efficiency van de dienstverlening.  Klanten verlangen steeds vaker een ISO 27001 certificatie van ViNotion om zekerheid te krijgen dat zij haar informatiebeveiliging op orde heeft.  ViNotion wil daarom het ISO 27001 certificaat verkrijgen om die zekerheid te bieden.

Een dergelijke camera geeft voor elke beeldpixel in plaats van een kleurtje de temperatuur van het gemeten object. De camera’s worden gekalibreerd met een apart “black body” element, een verwarmingselement met zeer constante temperatuur. Het brein van deze technologische oplossing wordt gevormd door de artificiële intelligentie software die achter de camera’s wordt gekoppeld. Deze software detecteert gezichten in de beelden en meet voor ieder gezicht of de temperatuur boven de koortsgrens (typisch 38 graden) uitkomt. Omdat deze systemen volledig automatisch werken zonder menselijke interactie, kunnen grote hoeveelheden passerende mensen snel worden gescreend. Dat zulke koorts systemen al op grote schaal worden toegepast is wel te zien aan de enorme recente stijging in verkochte warmtebeeldcamera’s. Sinds de aanvang van de coronacrisis zijn er nu meer dan 75 bedrijven die zulke systemen verkopen (bron).

Verantwoordelijkheid, doelstelling en doelgroep

Gelet op de mogelijke impact van verstoringen op de bedrijfsvoering en continuïteit van ViNotion en haar klanten berust eindverantwoordelijkheid voor het beleid voor informatiebeveiliging bij de directie van ViNotion. Het Beleid Informatiebeveiliging (hierna te noemen beleid IB) heeft als doel de risico’s met betrekking tot de beschikbaarheid, integriteit en vertrouwelijkheid van de informatievoorziening binnen ViNotion te beheersen en definiëren we als volgt:

Een raamwerk van beleidsuitgangspunten met betrekking tot de vertrouwelijkheid, integriteit en beschikbaarheid van de informatievoorziening, waarbinnen een evenwichtig (doeltreffend en doelmatig) stelsel van onderling samenhangende maatregelen ontwikkeld wordt, om de informatievoorziening te beschermen tegen interne en externe bedreigingen.

Alle betrokkenen moeten zorgen, dat aan de in dit beleid IB geformuleerde beleidsuitgangspunten wordt voldaan bij de inrichting van de organisatie, procedures, werkwijze en de daarbij gehanteerde informatiesystemen.Beschikbaarheid: zekerstellen dat informatie op de juiste momenten aanwezig is.

· Beschikbaarheid: zekerstellen dat informatie op de juiste momenten aanwezig is.

· Vertrouwelijkheid: beschermen van gevoelige informatie tegen onbevoegde kennisname.

· Vertrouwelijkheid: beschermen van gevoelige informatie tegen onbevoegde kennisname.

Toepassingsgebied

Dit beleid is van toepassing op alle informatie die gecreëerd, ontvangen, verzonden of bewaard wordt in de dienstverlening van ViNotion aan klanten en de daarmee samenhangende contractuele verplichtingen en ondersteunende processen. Het beleid en de uitwerking hiervan gelden voor alle medewerkers van ViNotion. Afwijkingen hierop moeten gemeld worden, zodat het managementsysteem continu verbeterd wordt. Daarnaast geldt het beleid ook voor contractanten, die ViNotion ondersteunen bij haar dienstverlening aan klanten.

Onlosmakelijk onderdeel van dit beleid is de “Ethische Code”, waaraan ook alle medewerkers, contractanten en stagiaires zich moeten houden. Er wordt zoveel mogelijk gestreefd naar beveiligingsmaatregelen die gebaseerd zijn op logische principes, omdat deze kosteneffectief en duurzaam zijn. Deze principes zijn:

  1. Vertrouwelijke gegevens die je niet hebt, hoef je ook niet te beveiligen.
  2. Niet slepen met vertrouwelijke gegevens.
  3. Scheiden van gegevens.

Houderschap en reikwijdte van het beleid

ViNotion is dus verantwoordelijk voor het beschikbaar stellen van haar diensten en producten met voldoende beveiligingsopties, zodat haar klanten kunnen voldoen aan de voor haar geldende IB-normen en andere wet- en regelgeving. Ook voldoet de hosting en het beheer van de software aan deze eisen. Dit ontslaat echter de klant niet van de eindverantwoordelijkheid voor de beveiliging van haar informatievoorziening.

Van elk informatiesysteem, inclusief de daarbij behorende gegevens, moet expliciet één houder zijn benoemd. Het houderschap impliceert de eindverantwoordelijkheid voor het betreffende systeem, inclusief het bepalen van de bij het systeem te onderkennen risico’s, het classificeren van het systeem en de daarbij behorende gegevens en het (laten) ontwikkelen van adequate beveiligingsmiddelen en interne controlemaatregelen. Naast de applicatie betreft dit ook de juiste inzet van de infrastructurele componenten (werkstations, servers en het interne en externe netwerk), de juiste verwerking, het adequate beheer, het goed functioneren van het personeel, het maken van afspraken met derden, fysieke beveiliging en voorzieningen om incidenten en calamiteiten te voorkomen of af te handelen.

Er wordt gesproken over eindverantwoordelijk omdat een aantal aspecten van het informatiesysteem uitbesteed worden aan andere houders dan ViNotion. Hierbij wordt niet een maximaal beveiligingsniveau nagestreefd, maar een optimaal niveau, zodat ViNotion haar diensten kan bieden tegen acceptabele kosten.

Uitwerking van dit beleid

Op basis van dit beleid worden risicoanalyses uitgevoerd en wordt een set van maatregelen gedefinieerd als interne norm, dat geldt als minimumniveau van beveiliging voor de dienstverlening aan klanten. In overleg kan een hoger niveau met een klant worden afgesproken.

Controle werking en naleving van het beleid

In de directiebeoordeling wordt de werking en de naleving van het beleid intern geëvalueerd en zo nodig aangepast.

Jaarlijks wordt een interne audit gehouden. Onderdeel van deze interne audit zijn het opnieuw beoordelen van risico’s en een beoordeling van nieuwe contracten en wet- en regelgeving. Onderdeel van deze rapportage is ook een plan met verbetervoorstellen. De directie beoordeelt de rapportage, keurt voorstellen al dan niet goed en kent budget toe voor de realisatie van de voorstellen.

Daarnaast wordt jaarlijks een externe audit uitgevoerd op de werking van het IB-managementsysteem door een onafhankelijke derde partij, die hiertoe bevoegd en deskundig is. De rapportage hiervan is beschikbaar voor (potentiële) klanten.

Beleidsuitgangspunten

Met onderstaande kwalitatieve beleidsuitgangspunten verwacht ViNotion haar informatiebeveiligingsrisico’s te beheersen en tegelijk haar flexibiliteit en efficiency bij het uitvoeren van haar werkzaamheden te behouden. De beleidsuitgangspunten vormen de brug tussen de informatiebeveiligingsrisico’s en de beheersdoelstellingen en -maatregelen uit de Interne Norm van ViNotion. 
De beleidsuitgangspunten bieden bovendien het kader voor de directie, op welke wijze zij wil dat de informatiebeveiligingsdoelstellingen worden vormgegeven, die passend zijn voor ViNotion. Genoemde beleidsuitgangspunten gelden voor die gegevensbewerkingen, waarvoor ViNotion wettelijk en/of contractueel verantwoordelijk is. Bij de verdere invulling van dit beleid gelden de volgende uitgangspunten:

  1. Informatiebeveiliging is een belangrijk bedrijfsrisico voor ViNotion. De directie stelt daarom het beleid vast, beoordeelt de risico’s, stelt de maatregelen vast, stelt voldoende middelen ter beschikking en laat periodiek de werking van het beleid en de naleving van deze maatregelen intern en extern beoordelen om te borgen, dat het IB-managementsysteem blijvend adequaat werkt en waar nodig verbeterd wordt.
  2. ViNotion conformeert zich met betrekking tot de informatiebeveiliging aan de relevante wetgeving en de contractuele afspraken met klanten en business partners.
  3. ViNotion streeft ernaar om haar dienstverlening aan klanten continu te verbeteren met betrekking tot de informatiebeveiliging.
  4. De beheersdoelstellingen en beheersmaatregelen van de norm NEN-ISO/IEC 27001 en de privacyrichtlijnen van de Autoriteit Persoonsgegevens (AP) vormen, voor zover zij bijdragen aan de informatiebeveiliging van ViNotion en handhaafbaar zijn, het uitgangspunt voor de te definiëren maatregelen. Dit is vooral een bedrijfseconomische afweging.
  5. ViNotion beschouwt computercriminaliteit als een ongewenst maatschappelijk probleem en ziet het slechts als haar taak om passende maatregelen te nemen om schade ten gevolge van criminele activiteiten zoveel mogelijk te beperken.
  6. Vertrouwen is voor ViNotion een groot goed en zij hanteert naar medewerkers, klanten, leveranciers en andere stakeholders het wederkerigheidsprincipe. ViNotion gaat ervan uit, dat zij afspraken nakomen m.b.t. beschikbaarheid, integriteit en vertrouwelijkheid van de informatievoorziening.
  7. Het HRM-beleid is mede gericht op het verbeteren van de beschikbaarheid, integriteit en vertrouwelijkheid van de informatievoorziening bij medewerkers. Tijdens een jaarlijkse evaluatie wordt dit aan de orde gesteld.
  8. De fysieke en logistieke beveiliging van de gebouwen en de ruimtes daarin zijn zodanig, dat de beschikbaarheid, integriteit en vertrouwelijkheid van de gegevens en gegevensverwerking inclusief de bedrijfsmiddelen gewaarborgd zijn.
  9. Ontwikkeling of aanschaf, installatie en onderhoud van informatie- en communicatiesystemen, alsmede inpassing van nieuwe technologieën, moeten zo nodig met aanvullende maatregelen worden uitgevoerd, dat hiermee geen afbreuk wordt gedaan aan de informatiebeveiliging.
  10. Opdrachten aan derden voor het uitvoeren van werkzaamheden worden zodanig omgeven met maatregelen, dat er geen inbreuk op de beschikbaarheid, integriteit en vertrouwelijkheid van de informatievoorziening kan ontstaan.
  11. Bij de verwerking en het gebruik van gegevens worden maatregelen getroffen om de privacy van klanten, medewerkers en andere betrokkenen te waarborgen.
  12. Toegangsbeveiliging zorgt ervoor, dat ongeautoriseerde personen of processen geen toegang krijgen tot de informatiesystemen, gegevensbestanden en programmatuur van ViNotion.
  13. Gegevensverstrekking extern gebeurt op basis van ‘need to know’. Intern is dit niet altijd wenselijk omdat kennisdeling essentieel is voor een kosteneffectieve dienstverlening aan klanten.
  14. ViNotion en haar medewerkers treffen maatregelen om te voorkomen, dat vertrouwelijke informatie in handen van derden terechtkomt.
  15. Input van klanten die vertrouwelijke data bevat, wordt na verwerking op korte termijn gearchiveerd of vernietigd.
  16. Datatransport is zodanig met beveiligingsmaatregelen omkleed, dat geen inbreuk kan worden gepleegd op de vertrouwelijkheid en de integriteit van deze gegevens.
  17. Geautoriseerde medewerkers moeten ook op afstand een beveiligde toegang hebben tot de voor hun relevante productie omgevingen. Er worden geen vertrouwelijke gegevens buiten de productieomgeving opgeslagen. Onder condities kan hiervan afgeweken worden.
  18. Productie omgevingen zijn gescheiden van andere omgevingen en hierin kunnen specifiek toegangsrechten worden verleend en is monitoring van de toegang mogelijk.
  19. Het beheer en de opslag van gegevens in productieomgevingen zijn zodanig, dat geen informatie verloren kan gaan tenzij er sprake is van overmacht.
  20. Er zijn functiescheidingen aangebracht tussen de ontwikkel-, beheer- en gebruikersorganisatie. Verder wordt functiescheiding toegepast waar dat mogelijk en wenselijk is.
  21. Er is een proces om incidenten adequaat af te handelen en hier ‘lessons learned’ uit te trekken.
  22. Er zijn calamiteitenplannen en -voorzieningen om de beschikbaarheid van de informatievoorziening te waarborgen.
  23. Bij uitbesteding van gegevensverwerking kan de directie besluiten om tijdelijk af te wijken van deze beleidsuitgangspunten en de risico’s hiervan tijdelijk te accepteren.
  24. Bij conflicten prevaleert de missie van ViNotion boven de eisen die gesteld worden door IB en of privacy.
  25. Informatiebeveiliging is onderdeel van het ontwerpen, ontwikkelen en beheren van software, ook als die door derden wordt ontwikkeld. Security by design en privacy by design en default vormen hierbij de voornaamste uitgangspunten.
  26. ViNotion en haar medewerkers realiseren zich de privacy gevoeligheid van de (bijzondere) persoonsgegevens die zij verwerken en waarborgen te allen tijde de afscherming, corrigeerbaarheid en transparantie van deze gegevens ter bescherming van de persoonlijke levenssfeer van de betrokkenen.