Direct antwoord
Annex A-maatregel 5.13 eist procedures voor het labelen van informatie conform het classificatieschema uit 5.12: zichtbaar maken welk gevoeligheidsniveau informatie heeft, zodat mens en systeem er correct mee omgaan. Invulling kan licht: standaardlocaties met vaste classificatie, een kopregel of voettekst in vertrouwelijke documenten, en waar beschikbaar automatische labels via de office-omgeving.
Annex A-maatregel 5.13 van ISO 27001, “Labelling of information”, maakt de classificatie uit 5.12 zichtbaar en verwerkbaar: als niemand kan zien dat een document vertrouwelijk is, werken de omgangsregels niet.
Wat eist de maatregel?
Procedures voor labeling moeten aansluiten op het classificatieschema en gelden voor informatie in alle vormen: digitale documenten, e-mail, systemen en fysieke dragers. Labels moeten herkenbaar zijn voor medewerkers én waar mogelijk voor systemen (metadata), zodat technische maatregelen zoals DLP erop kunnen sturen.
Zo vul je hem in
- Label via locatie: de eenvoudigste vorm: mappen en systemen hebben een vaste classificatie (“alles in de HR-omgeving is vertrouwelijk”). Documenteer die toewijzing.
- Label zichtbaar wat rondgaat: documenten die de organisatie verlaten of gedeeld worden, krijgen een aanduiding in voettekst of titelblad (“Vertrouwelijk”).
- Automatiseer waar de tooling het biedt: gevoeligheidslabels in Microsoft 365 of Google Workspace, met gekoppeld beleid (versleuteling, blokkade op extern delen).
- Vergeet fysiek niet: geprinte vertrouwelijke stukken, archiefdozen en gegevensdragers krijgen een fysieke aanduiding of vaste, afgesloten bewaarlocatie.
Waar let de auditor op?
De auditor pakt een vertrouwelijk document en kijkt of de status herkenbaar is en of de bijbehorende regels worden nageleefd. De valkuil is een beleid dat volledige labeling belooft terwijl de praktijk niets labelt: beloof in de procedure alleen wat je waarmaakt. Een beperkte maar consequent uitgevoerde labelingaanpak scoort beter dan een ambitieuze die niet leeft.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Moet elk document een zichtbaar label hebben?
Nee. De norm eist een procedure die past bij het classificatieschema; die mag bepalen dat interne informatie ongelabeld blijft en alleen vertrouwelijke en strikt vertrouwelijke informatie een label krijgt. Uitzonderingen moeten wel beredeneerd zijn.
Kan labeling geautomatiseerd worden?
Ja. Microsoft 365 en Google Workspace ondersteunen gevoeligheidslabels die handmatig of automatisch worden toegepast en waaraan beleid gekoppeld kan worden, zoals versleuteling of een deelverbod buiten de organisatie. Voor het MKB is dit de meest duurzame route.