Met de beleidsuitgangspunten worden drie doelstellingen gerealiseerd:

• Duidelijkheid te verschaffen aan stakeholders hoe Peercode omgaat met informatiebeveiliging.
• Handvatten te bieden aan de planningsfunctie om gepaste maatregelen te definiëren en te plannen.
• Duidelijk te maken aan interne en externe auditors welk belang de Peercode toekent aan de verschillende aandachtsgebieden binnen de informatiebeveiliging (nodig voor verklaring van toepasselijkheid).

Uitgangspunten

In deze beleidsuitgangspunten geeft de directie aan op welke wijze zij wil dat de informatiebeveiliging vorm gegeven wordt die past bij Peercode. Bij de verdere invulling van dit beleid dienen de volgende uitgangspunten gehanteerd te worden:

1. Informatiebeveiliging is een belangrijk bedrijfsrisico voor Peercode. De directie stelt daarom het beleid vast, beoordeelt de risico's, stelt de maatregelen vast, stelt voldoende middelen ter beschikking en laat periodiek de werking van het beleid en de naleving van deze maatregelen intern en extern beoordelen om te borgen, dat het IB-managementsysteem blijvend adequaat werkt en waar nodig verbeterd wordt.
2. Peercode conformeert zich m.b.t. de informatiebeveiliging aan de relevante wetgeving en de contractuele afspraken met klanten en business partners.
3. Peercode streeft er naar om haar dienstverlening aan klanten continu te verbeteren.
4. De doelstellingen en beheersmaatregelen van de norm NEN-ISO/IEC 27001 en de privacy richtsnoeren van de AP vormen, voor zover zij bijdragen aan de informatiebeveiliging van Peercode en handhaafbaar zijn, het uitgangspunt voor de te definiëren maatregelen. Dit is vooral een bedrijfseconomische afweging.
5. Peercode beschouwt computercriminaliteit als een ongewenst maatschappelijk probleem en ziet het slechts als haar taak om passende maatregelen te nemen om schade ten gevolge van criminele activiteiten zoveel mogelijk te beperken.
6. Vertrouwen is voor Peercode een groot goed en zij hanteert naar medewerkers, klanten, leveranciers en andere stakeholders het wederkerigheidsprincipe. Peercode gaat er vanuit, dat zij afspraken nakomen m.b.t. integriteit, vertrouwelijkheid en continuïteit van de informatievoorziening.
7. Het HRM-beleid is mede gericht op het verbeteren van de integriteit, vertrouwelijkheid en continuïteit van de informatievoorziening bij medewerkers. Tijdens een jaarlijkse evaluatie wordt dit aan de orde gesteld.
8. De fysieke en logistieke beveiliging van de gebouwen en de ruimtes daarin zijn zodanig, dat de vertrouwelijkheid, integriteit en beschikbaarheid van de gegevens en gegevensverwerking gewaarborgd zijn.
9. Aanschaf, installatie en onderhoud van informatie- en communicatiesystemen, alsmede inpassing van nieuwe technologieën, moeten zo nodig met aanvullende maatregelen worden uitgevoerd, dat hiermee geen afbreuk wordt gedaan aan de informatiebeveiliging.
10. Opdrachten aan derden voor het uitvoeren van werkzaamheden worden zodanig omgeven met maatregelen, dat er geen inbreuk op de vertrouwelijkheid, integriteit en continuïteit van de informatievoorziening kan ontstaan.
11. Bij de verwerking en het gebruik van gegevens worden maatregelen getroffen om de privacy van klanten, medewerkers en andere betrokkenen te waarborgen.
12. Toegangsbeveiliging zorgt ervoor, dat ongeautoriseerde personen of processen geen toegang krijgen tot de informatiesystemen, gegevensbestanden en programmatuur van Peercode.
13. Gegevensverstrekking extern gebeurt op basis van 'need to know'. Intern is dit niet altijd wenselijk omdat kennisdeling essentieel is voor een kosteneffectieve dienstverlening aan klanten.
14. Peercode en haar medewerkers treffen maatregelen om te voorkomen, dat vertrouwelijke informatie in handen van derden terechtkomt.
15. Input van klanten die vertrouwelijke data bevat, wordt na verwerking op korte termijn gearchiveerd of vernietigd.
16. Datatransport is zodanig met beveiligingsmaatregelen omkleed, dat geen inbreuk kan worden gepleegd op de vertrouwelijkheid en de integriteit van deze gegevens.
17. Geautoriseerde medewerkers moeten ook op afstand een beveiligde toegang hebben tot de voor hun relevante productie omgevingen. Er worden geen vertrouwelijke gegevens buiten de productieomgeving opgeslagen. Onder condities kan hiervan afgeweken worden.
18. Productie omgevingen zijn gescheiden van andere omgevingen en hierin kunnen specifiek toegangsrechten worden verleend en is monitoring van de toegang mogelijk.
19. Het beheer en de opslag van gegevens in productie omgevingen zijn zodanig, dat geen informatie verloren kan gaan tenzij er sprake is van overmacht.
20. Er zijn functiescheidingen aangebracht tussen de ontwikkel-, beheer- en gebruikersorganisatie. Voorts wordt functiescheiding toegepast waar dat mogelijk en wenselijk is.
21. Er is een proces om incidenten adequaat af te handelen en hier 'lessons learned' uit te trekken.
22. Er zijn calamiteitenplannen en -voorzieningen om de continuïteit van de informatievoorziening te waarborgen.
23. Bij uitbesteding van gegevensverwerking kan de directie besluiten om tijdelijk af te wijken van deze beleidsuitgangspunten en de risico's hiervan tijdelijk te accepteren.
24. Genoemde beleidsuitgangspunten gelden voor die gegevensbewerkingen, waarvoor Peercode wettelijk en/of contractueel verantwoordelijk is.
25. Informatiebeveiliging is onderdeel van het ontwerpen, ontwikkelen en beheren van het hostingplatform. Security by design vormt hierbij het voornaamste uitgangspunt.
26. Peercode en haar medewerkers realiseren zich de privacy gevoeligheid van de (bijzondere) persoonsgegevens die zij verwerken en waarborgen te allen tijde de afscherming, corrigeerbaarheid en transparantie van deze gegevens ter bescherming van de persoonlijke levenssfeer van de betrokkenen.
27. In de productieomgeving wordt gewerkt met geautoriseerde versies van programmatuur.
28. Open source software wordt alleen gebruikt indien deze voldoet aan open standaards en afkomstig is van betrouwbaar geachte bronnen.
29. Wijzigingen aan softwarepakketten van derden worden ontraden, tenzij dit vanuit veiligheidsoogpunt wenselijk is. Bij voorkeur moet gebruik gemaakt worden van standaard pakketten waarbij veiligheidsupdates automatisch geïnstalleerd worden.