Information Security Policy

1. Beleidsverklaring

Het doel van dit beleid is een beveiligingskader te bieden dat de bescherming van universitaire informatie tegen ongeoorloofde toegang, verlies of beschadiging waarborgt en tegelijkertijd de open, informatie-uitwisselende behoeften van onze academische cultuur ondersteunt. Universitaire informatie kan mondeling, digitaal en/of hardcopy zijn, individueel gecontroleerd of gedeeld, op zichzelf staand of in een netwerk, gebruikt voor administratie, onderzoek, onderwijs of andere doeleinden. Normen en procedures met betrekking tot dit informatiebeveiligingsbeleid zullen afzonderlijk worden ontwikkeld en gepubliceerd.

Het niet naleven van dit beleid kan leiden tot disciplinaire maatregelen en mogelijke sancties zoals beschreven in paragraaf 1.1.7 van Rechten, Regels, Verantwoordelijkheden.

2. Op wie is dit beleid van toepassing

Het informatiebeveiligingsbeleid is van toepassing op alle faculteiten en personeelsleden van de universiteit, evenals op studenten die namens de universiteit van Princeton optreden door zitting te nemen in universitaire organen zoals taskforces, raden en commissies (bijvoorbeeld de Faculty-Student Committee on Discipline). Dit beleid is ook van toepassing op alle andere personen en entiteiten die gebruik mogen maken van universitaire informatie, met inbegrip van, maar niet beperkt tot, aannemers, tijdelijke werknemers en vrijwilligers.

3. Definities

Autorisatie – de functie van het vaststellen van de privilegeniveaus van een individu om toegang te krijgen tot en/of om te gaan met informatie.

Beschikbaarheid – ervoor zorgen dat informatie klaar en geschikt is voor gebruik.

Confidentialiteit – het waarborgen dat informatie in strikte privacy wordt bewaard.

Integriteit – het waarborgen van de nauwkeurigheid, volledigheid en consistentie van informatie.

Onbevoegde toegang – het opzoeken, bekijken, kopiëren, wijzigen, verwijderen, analyseren of hanteren van informatie zonder de juiste autorisatie en legitieme zakelijke noodzaak.

Universiteitsinformatie – informatie die Princeton University verzamelt, bezit of waartoe zij toegang heeft, ongeacht de bron. Dit omvat informatie in papieren documenten of andere media, gecommuniceerd via spraak- of datanetwerken, of uitgewisseld in gesprekken.

4. Beleid

Princeton University beveiligt haar informatie op passende wijze tegen ongeoorloofde toegang, verlies of beschadiging en ondersteunt tegelijkertijd de open, informatiedelende behoeften van onze academische cultuur.

A. Classificatieniveaus

Alle universitaire informatie wordt geclassificeerd in een van de vier niveaus op basis van de gevoeligheid ervan en de risico’s die verbonden zijn aan openbaarmaking. Het rubriceringsniveau bepaalt de beveiligingsmaatregelen die voor de informatie moeten worden gebruikt.

Bij het combineren van informatie moet het rubriceringsniveau van de resulterende informatie opnieuw worden beoordeeld, onafhankelijk van de rubricering van de broninformatie, om de risico’s te beheersen.

Aanvullende vereisten voor de bescherming van informatie in elk rubriceringsniveau worden geïdentificeerd in de Princeton Information Protection Standards and Procedures.

De rubriceringsniveaus zijn:

1. Restricted

De volgende universitaire informatie is geclassificeerd als Restricted:

• Socialezekerheidsnummer
• Bankrekeningnummer
• Rijbewijsnummer
• Staatsidentiteitskaartnummer
• Creditkaartnummer
• Beschermde gezondheidsinformatie (zoals gedefinieerd door HIPAA)

Staats- en federale wetten vereisen dat ongeoorloofde toegang tot bepaalde Beperkte informatie moet worden gemeld aan de juiste instantie(s). Alle meldingen van deze aard aan externe partijen moeten worden gedaan door of in overleg met het Office of the General Counsel (zie: Office of General Counsel/Privacy/Information Technology).

Deling van Beperkte informatie binnen de Universiteit kan toelaatbaar zijn indien dit noodzakelijk is om te voldoen aan de legitieme zakelijke behoeften van de Universiteit. Tenzij de wet anders voorschrijft (of met het oog op uitwisseling tussen wetshandhavingsinstanties), mag geen Restricted information worden bekendgemaakt aan partijen buiten de universiteit, met inbegrip van contractanten, zonder de voorafgaande schriftelijke toestemming van de voorgestelde ontvanger om (i) passende maatregelen te nemen om de vertrouwelijkheid van de Restricted information te waarborgen; (ii) de Restricted information aan geen enkele andere partij voor enig doel bekend te maken zonder voorafgaande schriftelijke toestemming van de Universiteit of een geldig rechterlijk bevel of dagvaarding; en (iii) de Universiteit vooraf in kennis te stellen van enige bekendmaking ingevolge een rechterlijk bevel of dagvaarding, tenzij het rechterlijk bevel of de dagvaarding een dergelijke kennisgeving uitdrukkelijk verbiedt. Bovendien moet de voorgestelde ontvanger zich aan de vereisten van dit beleid houden. Het delen van vertrouwelijke informatie binnen de universiteit moet voldoen aan het universiteitsbeleid, waaronder Rechten, regels en verantwoordelijkheden en het beleid voor aanvaardbaar gebruik van informatietechnologie en digitale bronnen van Princeton University.

2. Vertrouwelijk

Universiteitsinformatie wordt als vertrouwelijk geclassificeerd als het buiten de classificatie Beperkt valt, maar niet bedoeld is om vrijelijk binnen of buiten de universiteit te worden gedeeld vanwege de gevoelige aard en/of contractuele of wettelijke verplichtingen. Voorbeelden van vertrouwelijke informatie zijn alle niet-beperkte informatie in personeelsdossiers, gegevens over wangedrag en wetshandhavingsonderzoeken, interne financiële gegevens, donorgegevens en onderwijsgegevens (zoals gedefinieerd in de FERPA).

Het delen van Vertrouwelijke informatie kan toelaatbaar zijn indien dit noodzakelijk is om te voldoen aan de legitieme zakelijke behoeften van de Universiteit. Tenzij bekendmaking bij wet verplicht is (of met het oog op het delen tussen wetshandhavingsinstanties), moet de voorgestelde ontvanger bij het bekendmaken van Vertrouwelijke informatie aan partijen buiten de Universiteit ermee instemmen (i) passende maatregelen te nemen om de vertrouwelijkheid van de informatie te waarborgen:(ii) de informatie aan geen enkele andere partij bekend te maken voor enig doel zonder de voorafgaande schriftelijke toestemming van de Universiteit of een geldig rechterlijk bevel of dagvaarding; en (iii) de Universiteit vooraf in kennis te stellen van elke bekendmaking ingevolge een rechterlijk bevel of dagvaarding, tenzij het bevel of de dagvaarding een dergelijke kennisgeving uitdrukkelijk verbiedt. Bovendien moet de voorgestelde ontvanger zich houden aan de vereisten van dit beleid. Het delen van vertrouwelijke informatie binnen de universiteit moet voldoen aan het universiteitsbeleid, waaronder Rechten, regels en verantwoordelijkheden en het beleid voor aanvaardbaar gebruik van informatietechnologie en digitale middelen van Princeton University.

3. Unrestricted Within Princeton (UWP)

Universiteitsinformatie wordt geclassificeerd als Unrestricted Within Princeton (UWP) als het buiten de classificaties Restricted en Confidential valt, maar niet bedoeld is om vrijelijk te worden gedeeld buiten de universiteit. Een voorbeeld hiervan is het Facebook van de faculteit.

Het uitgangspunt is dat UWP-informatie binnen Princeton University blijft. Deze informatie mag echter buiten Princeton worden gedeeld indien dit nodig is om te voldoen aan de legitieme zakelijke behoeften van de universiteit, en de voorgestelde ontvanger ermee instemt de informatie niet opnieuw openbaar te maken zonder toestemming van de universiteit.

4. Openbaar

Universiteitsinformatie wordt geclassificeerd als openbaar indien deze bedoeld is om beschikbaar te worden gesteld aan iedereen binnen en buiten Princeton University.

B. Bescherming, behandeling en classificatie van informatie

1. Gebaseerd op de classificatie, moet universitaire informatie op de juiste wijze worden beschermd tegen ongeoorloofde toegang, verlies en beschadiging. Specifieke beveiligingseisen voor elke classificatie zijn te vinden in de Princeton Information Protection Standards and Procedures.
2. Het omgaan met universiteitsinformatie van een andere bron dan Princeton University kan naleving vereisen van zowel dit beleid als de vereisten van de persoon of entiteit die de informatie heeft gecreëerd, verstrekt of beheert. Als u zich afvraagt of u zich aan de regels kunt houden, raadpleegt u de betreffende leidinggevende en het Office of the General Counsel.
3. Wanneer dit nodig wordt geacht, kan het rubriceringsniveau worden verhoogd of kunnen extra beveiligingseisen worden opgelegd die verder gaan dan wat wordt vereist door het informatiebeveiligingsbeleid en de Princeton Information Protection Standards and Procedures.
4. Als u Controlled Unclassified Information (CUI) ontvangt of creëert, neem dan contact op met het Information Security Office (ISO) om er zeker van te zijn dat de juiste beveiligingsmaatregelen op de gegevens worden toegepast. Als u niet zeker weet of het om CUI gaat, neem dan contact op met het Office for Research Project Administration of het ISO.

5. Verantwoordelijkheden

Alle faculteiten, medewerkers, studenten (wanneer zij namens de universiteit optreden door dienst te doen in universitaire organen) en anderen die gebruik mogen maken van universitaire informatie wordt van Princeton University verwacht dat zij:

• de informatieclassificatieniveaus begrijpen die in het informatiebeveiligingsbeleid zijn gedefinieerd.
• indien van toepassing, de informatie waarvoor men verantwoordelijk is dienovereenkomstig classificeren.
• Toegang tot informatie alleen als dit nodig is om te voldoen aan legitieme zakelijke behoeften.
• Geen universitaire informatie bekendmaken, kopiëren, vrijgeven, verkopen, uitlenen, wijzigen of vernietigen zonder een geldig zakelijk doel en/of toestemming.
• Bescherm de vertrouwelijkheid, integriteit en beschikbaarheid van universitaire informatie op een wijze die in overeenstemming is met het classificatieniveau en het type van de informatie.
• Hanteer informatie in overeenstemming met de Princeton Information Protection Standards and Procedures en alle andere toepasselijke universitaire normen of beleidslijnen.
• Bewaak elke fysieke sleutel, ID-kaart, computeraccount of netwerkaccount waarmee men toegang heeft tot universitaire informatie.
• Gooi media met universitaire informatie van Princeton weg op een manier die in overeenstemming is met het classificatieniveau van de informatie, het type, en elke toepasselijke universitaire bewaarplicht. Dit omvat informatie in een papieren document (zoals een memo of rapport) of in een elektronisch, magnetisch of optisch opslagmedium (zoals een memorystick, cd, harde schijf, magnetische tape of schijf).
• Neem contact op met het Office of the General Counsel voordat u door dat kantoor gegenereerde informatie openbaar maakt of voordat u reageert op dagvaardingen voor rechtszaken of wetshandhaving, gerechtelijke bevelen en andere informatieverzoeken van particuliere procespartijen en overheidsinstanties.
• Neem contact op met het juiste universiteitsbureau voordat u reageert op informatieverzoeken van regelgevende agentschappen, inspecteurs, examinatoren en/of auditors.

6. Verwante Princeton-beleidslijnen, -procedures, -normen en -sjablonen

Rechten, regels, Verantwoordelijkheden

Acceptable Use Policy for Princeton University Information Technology and Digital Resources

Credit Card Processing Policy for University Merchant Locations

Policy on Export Controls

Research Data Security Guidelines

Identity Theft Prevention Policy

Procedure for Responding to a Possible Exposure of Sensitive University Data

Princeton Information Protection Standards and Procedures

Confidentiality Information Agreement Template

7. Policy Review

Het Informatiebeveiligingsbeleid wordt ten minste elke 12 maanden herzien.

8. Update Log

Mei, 21, 2004 – Beleid uitgegeven.

November 5, 2015 – Goedgekeurd door ECC.

August 31, 2017 – Bijgewerkt.

Januari 6, 2020 – CUI taal toegevoegd.

Februari 7, 2020 – Sectie B.4 toegevoegd. over Controlled Unclassified Information.