Deze Norm Beschrijft Ook Hoe Shell-medewerkers Zich Dienen Op Te Stellen

UNCONTROLLED INDIEN GEPRINT

BBS norm/standaard 05.00.3004

NORM/STANDAARD:

BEVEILIGING EN VERSTREKKING VAN BEDRIJFSINFORMATIE (PERNIS/MOERDIJK) Doel / scope

Wec Veiligheidsrapport Aannemers Noodplan SOX gerelateerd

: : : : :

Ja Nee Ja Nee Nee

Comm. Index : Risico : Classificatie :

B/ D H Unrestricted

Met dit voorschrift worden de normen en standaarden voor de beveiliging en verstrekking van bedrijfsinformatie in het algemeen beschreven. Deze norm beschrijft ook hoe Shell-medewerkers zich dienen op te stellen, indien vertegenwoordigers van overheden op of buiten de bedrijfslocaties van SNR en SNC hen met vragen over het bedrijf of de bedrijfsactiviteiten benaderen. Het betreft alle informatie die betrekking heeft op het beleid, de plannen, bedrijfsmiddelen, organisatie, technologie, bedrijfsuitoefening, activiteiten en het personeel van Shell. Daarbij kan het gaan om informatie die op papier, film, cassette, CD-Rom of een ander elektronisch medium is vastgelegd of om mondelinge informatie.

Doelgroep

Alle medewerkers van SNC en SNR, aannemers en Third Parties die gebruik kunnen maken van bedrijfsinformatie van Shell.

Toetsers

RHSSE/2, CHSSE/3, RJUR /10, Leden werkgroep Beveiliging, Verkeer en beheer van wegen.

Risico

H(oog). Het niet opvolgen van deze kan grote gevolgen hebben voor de beveiliging en veiligheid, zowel voor personen als voor installaties. Door deze regels bekend te maken bij alle personen die op terreinen van SNR en SNC aanwezig zijn of betreden, worden de risico’s van het niet opvolgen ervan zoveel mogelijk bestreden. Overtreding van deze regels kan leiden tot de toepassing van sancties, zoals vastgelegd in de procedure ‘Sanctiebeleid en disciplinaire maatregelen’, 00.00.1012.

Revisie info

Laatste revisie

Datum

Reden

A

03-02-2009

Eerste uitgave. Algehele toetsing op inhoud en actualiteit. Hiermee vervallen de voorschriften 05.03.3004 en 05.05.3004.

Meer revisie info

Inhoudsopgave 1.

ACTIVITEITENBESCHRIJVING.......................................................... 2 1.1 1.2

BEVEILIGING EN VERSTREKKING VAN BEDRIJFSINFORMATIE............... 2 VERSTREKKEN VAN INFORMATIE AAN AMBTENAREN ............................. 5

2.

REFERENTIE...................................................................................... 6

3.

BIJLAGEN ........................................................................................... 7 3.1

Filenaam: 05003004.doc

DEFINITIES EN AFKORTINGEN ..................................................................... 7

Rev.: A

Inhoudelijk beheer: RHSSE/3 Eigenaar: Voorzitter BBS proces 05

Pagina: 1 van 7 Niveau: 2

UNCONTROLLED INDIEN GEPRINT

BBS norm/standaard 05.00.3004

1.

ACTIVITEITENBESCHRIJVING

1.1

BEVEILIGING EN VERSTREKKING VAN BEDRIJFSINFORMATIE Bepaalde informatie is in het bedrijfsleven erg veel waard. Concurrenten, leveranciers, aannemers of klanten zouden een concurrentievoordeel kunnen hebben indien zij de hand weten te leggen op gevoelige bedrijfsinformatie van Shell. Indien de informatie wordt misbruikt, kan dit bovendien ernstige gevolgen hebben voor de reputatie van Shell en de privacy van werknemers. Vanuit het oogpunt van beveiliging dient een passende bescherming te worden toegepast op alle vormen van informatie. Door de beveiligingsdienst worden ieder jaar regelmatig controleronden uitgevoerd, waarvan het management een rapportage ontvangt met daarin de geconstateerde informatie- en cleardeskgebreken. Worden gebreken vastgesteld, dan moeten direct maatregelen getroffen worden om schade te voorkomen c.q. te beperken. De beveiligingsdienst kan hierbij adviseren. Informatiebeveiliging is gebaseerd op drie basisprincipes: Vertrouwelijkheid: het beschermen van gevoelige informatie tegen onbevoegde kennisname. Integriteit

: het waarborgen van de correctheid en de volledigheid van informatie.

Beschikbaarheid : zeker stellen dat informatie en essentiële diensten op de juiste momenten beschikbaar zijn voor gebruikers en informanten. 1.1.1

1.1.2

Vormen van informatie Informatie komt in vele vormen voor: •

Afgedrukt of geschreven.

•

In gesproken vorm, zoals gesprekken, bandopnamen, via computers of andere elektronische informatiedragers.

•

Alle methoden die worden gebruikt om kennis en ideeën over te dragen, zoals: films, modellen, presentaties etc.

Classificatie van informatie Bedrijfsinformatie wordt bij Shell onderverdeeld in vier categorieën, naar gelang de gevoeligheid van de informatie. Iedere medewerker dient te weten welke informatie in welke categorie hoort en welke regels op de diverse categorieën van toepassing zijn. Richtlijnen zijn te vinden in http://sww-itforshell.shell.com/infosec/ "Group Security Guide", Part 5 - Security Operations (Information), Chapter 32 "Security Classification Systems". Het is belangrijk dat de juiste classificatie wordt toegepast, om te voorkomen dat informatie: • in een te lage categorie wordt ingedeeld. Dit kan leiden tot het uitlekken van gevoelige informatie. •

in een te hoge categorie wordt ingedeeld. Dit kan het delen van informatie beperken en zodoende de waardevermeerdering beïnvloeden.

Unclassified Deze informatie kan zonder beperking worden uitgewisseld, ook naar buiten, aangezien het onwaarschijnlijk is dat deze schade aan Shell kan veroorzaken indien ze in handen van derden komt. Restricted Deze informatie kan vrij worden uitgewisseld met personeel van Shell en partnerbedrijven, inclusief personeel van voor Shell werkzame aannemers, die een verklaring van geheimhouding hebben getekend, maar niet met derden en Third Parties.

Filenaam: 05003004.doc

Rev.: A

Inhoudelijk beheer: RHSSE/3 Eigenaar: Voorzitter BBS proces 05

Pagina: 2 van 7 Niveau: 2

UNCONTROLLED INDIEN GEPRINT

BBS norm/standaard 05.00.3004

Confidential Deze informatie dient enkel te worden uitgewisseld met bepaalde medewerkers die van deze informatie op de hoogte moeten zijn, aangezien de belangen van een groepsonderdeel of een persoon zouden kunnen worden geschaad, indien deze informatie bij onbevoegden bekend zou worden. Most Confidential Deze informatie mag enkel worden verstrekt aan met name genoemde Shell-medewerkers en enkel indien zij ervan op de hoogte moeten zijn aangezien de belangen van een groepsonderdeel of persoon ernstig zouden kunnen worden geschaad indien deze informatie bij onbevoegden bekend zou worden. Beveiligingsregels voor geclassificeerde informatie Bij het verwerken van geclassificeerde informatie is het volgende van belang: • Beperk de distributie tot het minimum dat nodig is voor een goed verloop van het werk. •

Archiveer geclassificeerde informatie dusdanig, dat deze niet toegankelijk is voor onbevoegden.

•

Maak overbodige informatiedragers, zoals diskettes, overhead sheets en dergelijke onbruikbaar door deze door midden te knippen of te breken alvorens het in de afvalbak te doen.

•

Gebruik facsimileapparatuur en centrale printers geclassificeerde informatie onder ogen krijgen.

zodanig,

dat

onbevoegden

geen

Zie ook het document ‘Beveiligingsrichtlijnen voor omgaan met informatie en computergebruik’, 09.00.3008. 1.1.3

1.1.4

Verantwoordelijkheid voor het beveiligen van informatie •

De medewerker die de informatie levert (bezit) dient te beslissen over classificatie, opslag, bewaring en toegankelijkheid. Zie hiervoor de procedure ‘Documentatie Beheersprocedure’, 00.01.1010/00.02.1010.

•

De eigenaar of het verantwoordelijke lijnmanagement is bevoegd voor eventuele herindeling in een lagere categorie.

•

Medewerkers zijn verantwoordelijk voor informatie die zij in bezit hebben.

•

Iedere werknemer dient erop toe te zien dat ongeoorloofd of onopzettelijk verstrekken van informatie wordt voorkomen.

•

De lijnmanager is verantwoordelijk voor het goedkeuren van het verstrekken van informatie door een werknemer.

Standaard beveiligingsrichtlijnen Naast het hanteren van geclassificeerde informatie zijn er standaardrichtlijnen voor de beveiliging van informatie: • Berg informatie geregistreerd op, in een daartoe aangewezen archief. Bewaar deze nooit alleen in een persoonlijk archief. •

Ruim aan het einde van de werktijd alle informatie, ook post, op in kasten en/of in bureaus. Deze moeten vervolgens worden afgesloten (Clean Desk Policy).

•

Bij tijdelijke afwezigheid, bijvoorbeeld tijdens de lunch, moet geclassificeerde informatie opgeborgen worden in afgesloten kasten en/of bureaus. Ook kan men in plaats daarvan de kamer afsluiten.

•

Sluit de ramen van kamers wanneer u deze verlaat.

•

Neem geen geclassificeerde informatie zonder noodzaak mee buiten de terreinen van SNC en SNR. Indien dit wel gebeurt, dan dient de bescherming van deze informatie tenminste gelijkwaardig te zijn aan die welke op de Shell terreinen vereist is.

•

Wees tijdens het verwerken van geclassificeerde informatie bedacht op meelezen of meeluisteren door onbevoegden.

Filenaam: 05003004.doc

Rev.: A

Inhoudelijk beheer: RHSSE/3 Eigenaar: Voorzitter BBS proces 05

Pagina: 3 van 7 Niveau: 2

UNCONTROLLED INDIEN GEPRINT

BBS norm/standaard 05.00.3004

1.1.5

•

Wees u ervan bewust dat u bij zakelijke gesprekken in openbare ruimtes kunt worden afgeluisterd en dat u bij zakelijke gesprekken met derden eventueel gevoelige informatie zou kunnen verstrekken.

•

Maak activiteiten van Shell nooit onderwerp van een toespraak, werkstuk of discussie (ook niet op het internet) zonder vooraf uw lijnmanagement om toestemming te vragen.

•

Stuur geen zakelijke e-mails door naar uw privé e-mailadres. Dit is minder veilig dan de e-mail service van Shell. Gebruik bij voorkeur Shell Mobile Office.

•

Papier e.d. in een afvalbak is voor derden toegankelijk. Let erop wat u weggooit. Pas bij voorkeur de plaatselijke afvalprocedures toe (speciale afvalbakken of blauwe zakken, afhankelijk van de vestiging) of vernietig papier in de versnipperaar indien noodzakelijk.

•

Laat buiten kantooruren geen informatie met de classificatie ‘Confidential’ of ‘Most Confidential’ op bureaus liggen, zelfs niet in beveiligde kantoren. Al deze informatie moet in afgesloten kasten of bureaus worden bewaard.

•

Neem geen informatie die als ‘Confidential’ is geclassificeerd en die niet aan u is geadresseerd mee zonder schriftelijke toestemming van uw lijnmanager.

•

Alle geclassificeerde documenten dienen enkel aan medewerkers van Shell te worden verspreid. Zij zijn verantwoordelijk voor de verdere verspreiding en dienen erop toe te zien dat ze niet voor onbevoegden toegankelijk worden.

Veiligheids- en Beveiligingsregels voor (kantoor)ruimten Kantoor- en vergaderruimten Naast hetgeen reeds in § 1.1.5 van dit voorschrift is vermeld, zijn nog enkele punten voor kantooren vergaderruimten van belang: •

Het is niet toegestaan materialen, dossiers en dergelijke boven op de kasten te leggen.

•

Elektrische apparatuur moet aan het eind van de werkdag uitgeschakeld worden. Apparatuur die om een bijzondere reden ingeschakeld moet blijven, moet voorzien zijn van een sticker “niet uitschakelen”, met een eventuele aanvullende tekst en de naam van een contactpersoon.

•

Wanneer een vergaderruimte wordt verlaten, moet alle geclassificeerde informatie van schrijfborden of flip-overbladen verwijderd zijn en mogen geen geclassificeerde documenten en elektronische informatiedragers onbeheerd achterblijven.

Kritische ruimten In ruimten, waarin voor het bedrijf vertrouwelijke of gevoelige informatie wordt verwerkt via computerapparatuur, moet een door Shell erkend legitimatiebewijs zichtbaar worden gedragen. Dit is bij de toegang tot deze ruimten aangegeven. Alleen daartoe door de betreffende lijnchef bevoegd verklaarde personen hebben toegang tot deze ruimten. Onbemande ruimten die hiertoe behoren zijn alleen toegankelijk met een daartoe gevalideerde keycard. Zie hiervoor ook de Trust Domain Implementation Guide. Sleutelbeheer Het algemeen sleutelbeheer is onderdeel van een goed gebruik van de werkplek. Binnen afdelingen moeten goede afspraken gemaakt worden over beheer en gebruik van sleutels binnen de eigen afdeling en in het bijzonder van sleutels van kritische ruimtes. Lijnchefs en het Hoofd Beveiligingsdienst kunnen bepalen welke ruimten als kritische ruimtes worden aangemerkt. Een kritische ruimte dient als zodanig (her)kenbaar te zijn gemaakt. De sloten en sleutels van een kritische ruimte zijn in beheer bij de Beveiligingsdienst.

Filenaam: 05003004.doc

Rev.: A

Inhoudelijk beheer: RHSSE/3 Eigenaar: Voorzitter BBS proces 05

Pagina: 4 van 7 Niveau: 2

UNCONTROLLED INDIEN GEPRINT

BBS norm/standaard 05.00.3004

Sleutels van kantoorkamers maken deel uit van de standaardinventaris van de kamer waarvoor de gebruiker(s) verantwoordelijk is/zijn. Dit houdt in dat:

1.2

•

Er zo weinig mogelijk reservesleutels in omloop zijn.

•

Sleutels opgeborgen worden in sleutelkasten die beheerd worden door een hiertoe aangewezen persoon.

•

Er geen sleutels in eigen opdracht bijgemaakt mogen worden.

VERSTREKKEN VAN INFORMATIE AAN AMBTENAREN Ambtenaren hebben de bevoegdheid om het terrein te betreden zonder begeleiding. Begeleiding kan gewenst zijn, maar kan niet worden afgedwongen. Dit hoofdstuk beschrijft de norm/standaard voor het contact met een overheidsvertegenwoordiger, die handelt vanuit een handhavende, toezichthoudende of opsporende taak namens een overheidsinstantie. Indien een medewerker op of buiten het terrein aangesproken wordt ter beantwoording van vragen over het bedrijf of over bedrijfsactiviteiten, dan dient deze medewerker de volgende stappen te ondernemen.

1.2.1

Legitimatie door de ambtenaar a. Eerst dient de medewerker de overheidsvertegenwoordiger (ambtenaar) om een legitimatie te vragen. b.

Als legitimatiebewijs geldt dan veelal een (geplastificeerd) kaartje, waarmee de persoon aantoont dat hij als toezichthoudende en/of opsporingsambtenaar is aangesteld. Indien er sprake is van een legitimatiebewijs zonder foto dan is tenminste overlegging van een ander wettelijk legitimatie bewijs nodig. Voor personen met de Nederlandse nationaliteit zijn dat het paspoort, de Nederlandse identiteitskaart of het rijbewijs.

c.

Als de overheidsvertegenwoordiger geen legitimatie kan overleggen, dient de medewerker hem in principe geen medewerking te verlenen. De beveiligingsdienst moet van een dergelijk voorval direct op de hoogte gebracht te worden.

1.2.2

Hoedanigheid van de ambtenaar De ambtenaar dient vervolgens gevraagd te worden of hij zijn vragen stelt in de hoedanigheid van: • toezichthoudend (handhavend) ambtenaar of •

opsporingsambtenaar

Een ambtenaar heeft onder meer de bevoegdheid om documenten en gegevens in te zien, een kopie op te eisen, monsters te nemen, voorwerpen in beslag te nemen en een proces-verbaal op te maken. Ambtenaren van de arbeidsinspectie en van de milieudienst zijn bovendien bevoegd om installaties te doen stilleggen. 1.2.3

Het verstrekken informatie aan een ambtenaar Bij het beantwoorden van vragen dient de medewerker er op te letten dat men alleen datgene vertelt wat men zelf gezien heeft of waarvan men zeker weet dat het juist is. Daarbij is het van belang een onderscheid te maken tussen feiten en vermoedens. Men dient alleen feitelijkheden die men zelf heeft waargenomen weer te geven en geen uitspraken te doen over vermoedelijke oorzaken. Indien vragen géén betrekking hebben op de taken, verantwoordelijkheden en bevoegdheden van de medewerker, dan dient deze op deze vragen níet te antwoorden. Toezichthoudend ambtenaar Indien de ambtenaar als toezichthouder informatie wenst, is de medewerker in beginsel verplicht de door hem gevraagde inlichtingen te verschaffen en inzage in de door hem gevraagde stukken te verlenen. De vragen dienen naar waarheid beantwoord te worden.

Filenaam: 05003004.doc

Rev.: A

Inhoudelijk beheer: RHSSE/3 Eigenaar: Voorzitter BBS proces 05

Pagina: 5 van 7 Niveau: 2

UNCONTROLLED INDIEN GEPRINT

BBS norm/standaard 05.00.3004

Opsporingsambtenaar •

Indien de ambtenaar als opsporingsambtenaar informatie wenst (omdat er sprake is van een vermoeden van een strafbaar feit) dan kan de medewerker als getuige worden gehoord. De medewerker kan aan een functionaris van de juridische afdeling vragen om als toehoorder bij het verhoor aanwezig te zijn, als dat naar zijn oordeel op grond van de omstandigheden wenselijk is. Hiertoe kan de medewerker ook tijdens het verhoor besluiten. Indien de betreffende ambtenaar tegen een dergelijke aanwezigheid bezwaar zou maken dan dient de medewerker tenminste de juridische afdeling direct van zijn wens om bijstand op de hoogte te brengen.

1.2.4

•

Als de medewerker zelf als verdachte wordt aangemerkt, geldt de regel dat een verdachte nimmer tot antwoorden verplicht is. De opsporingsambtenaar is verplicht een verdachte heel duidelijk op dit recht te wijzen.

•

In geval er een vermoeden is gerezen dat Shell een overtreding heeft begaan, wordt het bedrijf zelf, en niet de medewerker, in eerste instantie als verdachte aangemerkt. Een medewerker kan als daar gronden voor zijn, ook als verdachte worden vervolgd, maar er kan van worden uitgegaan dat bij een vermoedelijke overtreding van SNR of SNC (Pernis en Moerdijk) de medewerker in de meeste gevallen niet als verdachte, maar als getuige zal worden gehoord.

Registratie van contacten met ambtenaren Van alle gesprekken met ambtenaren in het kader van handhaving, welke consequenties kunnen hebben voor SNR of SNC, moet een rapportage gemaakt worden. •

In Pernis wordt hiervoor het elektronische formulier ‘Rapportageformulier DCMR-, Rijkswaterstaat-, Havendienst- en Arbeids Inspectie- contacten (COR-rapportage)’, 05.05.7068 gebruikt.

•

In Moerdijk wordt alleen een rapportageformulier voor afvalwatercontroles gebruikt.

•

Overige rapportage wordt gedaan door de Afdeling Milieu Beheer.

Kopieën van deze rapportages moeten zo spoedig mogelijk naar de Beveiligingsdienst, de afdeling HSEQ en de juridische afdeling worden gezonden.

2.

REFERENTIE 05.05.7068

: Formulier Contacten Overheden Rapportage

09.00.3008

: Beveiligingsrichtlijnen voor omgaan met informatie en computergebruik

Website IT for Shell : Trust Domain Implementation Guide

Filenaam: 05003004.doc

Rev.: A

Inhoudelijk beheer: RHSSE/3 Eigenaar: Voorzitter BBS proces 05

Pagina: 6 van 7 Niveau: 2

UNCONTROLLED INDIEN GEPRINT

BBS norm/standaard 05.00.3004

3.

BIJLAGEN

3.1

DEFINITIES EN AFKORTINGEN Definities Geclassificeerde informatie

: Informatie waaraan duidelijk en herkenbaar een bepaalde mate van beveiliging aan is toegekend, afhankelijk van de gevoeligheid van de inhoud. Er zijn vier mogelijke classificaties: Unclassified, Restricted, Confidential en Most Confidential.

Kritische ruimte

: Een door de lijnchef en de Beveiligingsdienst aangewezen ruimte die als gevolg van de kwetsbaarheid of vertrouwelijkheid van gegevens of materialen die daarin aanwezig zijn, gereglementeerd toegankelijk is.

Ambtenaar

: Overheidsvertegenwoordiger (van een specifieke instantie)

Opsporingsambtenaar

: Ambtenaar die belast is met het opsporen van strafbare feiten.

Handhavingambtenaar

: Ambtenaar die er voor zorgt dat de naleving van regelgeving in stand wordt gehouden.

Geheime informatie

: Informatie die geclassificeerd is als Most Confidential.

Toezichthoudend ambtenaar : Ambtenaar die er op toeziet dat iets gebeurt en dat men zich gedraagt volgens de voorgeschreven norm. Afkortingen DCMR :

Dienst Centraal Milieubeheer Rijnmond

RWS

:

Rijkswaterstaat

WM

:

Wet Milieubeheer

COR

:

Contacten Overheden Rapportage

terug naar voorblad Revisie informatie Revisie

Datum

Filenaam: 05003004.doc

Reden

Rev.: A

Inhoudelijk beheer: RHSSE/3 Eigenaar: Voorzitter BBS proces 05

Pagina: 7 van 7 Niveau: 2