Privacyreglement en rechtenplan voor sleutelbeheer

Privacyreglement en rechtenplan voor sleutelbeheer

Bij sleutelbeheer wordt vaak precies vastgelegd wie op welk moment toegang heeft gehad tot welke ruimte. Dat betekent dat er persoonsgegevens worden verwerkt, en dat de AVG van toepassing is. Om aan de wet te voldoen, moet je vastleggen waarom je deze gegevens registreert, hoe lang je ze bewaart, en wie er toegang heeft tot de informatie.

Privacyreglement opstellen in 6 onderdelen

Een compleet privacyreglement bevat:

1. De verwerkingsgrondslag (bijv. gerechtvaardigd belang).
2. De bewaartermijn van sleutel-logs (meestal 90 dagen).
3. Procedures voor inzage-, correctie- en verwijderverzoeken.
4. Een overzicht van wie toegang heeft tot de gegevens.
5. Een lijst van eventuele subverwerkers.
6. De contactpersoon voor privacyvragen.

Rechtenplan & rol-scheiding

Een rechtenplan voorkomt dat één persoon teveel macht krijgt in het sleutelbeheerproces.

• Beveiliging: mag logbestanden inzien.
• Facilitair: geeft sleutels uit en registreert de uitgifte.
• HR: beheert persoonsgegevens en autorisaties.

Door rollen te scheiden voldoe je aan de eisen van ISO 27001 en beperk je het risico op fouten of misbruik.

Audit & logging voor ISO 27001

Maandelijkse rapportages tonen afwijkingen en helpen bij interne audits. Bij incidenten kan het systeem versleutelde logbestanden exporteren met een hash-checksum, zodat de integriteit van het bewijs vaststaat.