# Beleid mobile device management

Word nodig? Kies dit stuk in de [generator](beleidsset-generator.html) en download het daar, zonder of met je eigen antwoorden.

| | |
|---|---|
| Documenttype | Beleid informatiebeveiliging onder het strategisch informatiebeveiligingsbeleid; BIO 2.0-domein *Mobile Device Management* |
| Status | Concept, vast te stellen door de organisatie |
| Eigenaar | **[eigenaar van dit beleid]** |
| Vaststeller | **[vaststeller]** |
| Evaluatie | Jaarlijks, in de plan-do-check-act-cyclus van het managementsysteem voor informatiebeveiliging |

**In het kort.** Regelt de inrichting, het beheer en het gebruik van laptops, smartphones en tablets met toegang tot bedrijfsinformatie. Gaat over zero footprint en bescherming op het apparaat, beheer via MDM en MAM, en de gebruikersovereenkomst mobiel werken.

**Onderwerpen.** 3. Zero footprint en bescherming op het apparaat; 4. Beheer van apparaten; 5. Gebruikersovereenkomst en gedrag.

Zonder profiel: tekst die van een contextvraag afhangt, staat in een kader met de vraag erboven.

## 1. Doel en reikwijdte

Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor mobiele apparatuur waarmee
bedrijfsinformatie wordt verwerkt: laptops, smartphones en tablets van de organisatie en, waar dat is
toegestaan, eigen apparaten van medewerkers. Het regelt hoe die apparaten zijn ingericht, beheerd en gebruikt,
zodat bedrijfsinformatie beschermd blijft bij verlies, diefstal en werken buiten de locaties van de
organisatie. Het gaat over ISO-beheersmaatregel 8.1.

**Voor wie.** Het beleid is primair bedoeld voor de afdeling die het apparaatbeheer inricht en voor de
servicedesk die uitgifte, verlies en wissen afhandelt. De gedragsregels gelden voor iedereen die mobiel werkt
met bedrijfsinformatie: medewerkers, inhuur, stagiairs en vrijwilligers.

**Waarop.** Alle laptops, smartphones en tablets met toegang tot bedrijfsinformatie, de apps en diensten die
daarop draaien, en de voorzieningen voor apparaatbeheer (MDM) en appbeheer (MAM). Is het apparaatbeheer of
de werkplekdienst uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor die leverancier. De
organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een
ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid
informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.

Buiten dit beleid vallen de inventaris en uitgifte van apparatuur (beleid bedrijfsmiddelenbeheer), de
versleutelingseisen (beleid cryptografie), de netwerktoegang en het wifinetwerk (beleid netwerkbeveiliging),
de accounts en de meerfactorauthenticatie (beleid logische toegangsbeveiliging) en het wissen van
apparatuur bij afvoer (beleid afvoer en hergebruik van gegevensdragers).

## 2. Uitgangspunten

1. Bedrijfsinformatie blijft zo veel mogelijk in de centrale systemen. Op het apparaat staat niets, of zo min
   mogelijk en dan versleuteld.
2. Alleen beheerde apparaten of beheerde apps krijgen toegang tot bedrijfsinformatie.
3. De gebruiker weet wat de risico's van mobiel werken zijn en heeft getekend dat hij veilig werkt.
4. Een apparaat dat niet meer aan de eisen voldoet, verliest zijn toegang automatisch; de techniek dwingt
   het beleid af, de gebruiker hoeft er niet aan te denken.
5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.
   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.

## 3. Zero footprint en bescherming op het apparaat

1. De beheerder MDM richt apps en diensten voor mobiele apparaten zo in dat bedrijfsinformatie niet standaard
   op het apparaat wordt opgeslagen: werken gebeurt via de browser, een virtuele werkplek of een beheerde app
   die geen lokale kopie bewaart. [8.01.01]
2. Waar dat nog niet kan, staat bedrijfsinformatie alleen in een beheerde, versleutelde container of op een
   volledig versleuteld apparaat. Het apparaat is beveiligd met een pincode van ten minste zes cijfers, een
   wachtwoord of biometrie, met automatische vergrendeling na ten hoogste vijf minuten; de beheerder MDM
   dwingt die instellingen af. [8.01.01]
3. Van elk apparaat met toegang tot bedrijfsinformatie kan de organisatie de bedrijfsinformatie op afstand
   wissen. Bij verlies of diefstal meldt de gebruiker dat direct bij de servicedesk; de servicedesk wist
   binnen **[wistermijn]**, blokkeert de toegang van het apparaat en registreert de melding als
   beveiligingsincident volgens het beleid beveiligingsincidenten. [8.01.01]
4. Informatie met het label strikt vertrouwelijk of geheim uit het beleid informatieclassificatie staat nooit lokaal
   op een mobiel apparaat; de beheerder MDM blokkeert downloaden en offline beschikbaar maken voor die labels
   waar de systemen dat ondersteunen. [8.01.01]
5. Bij reizen naar landen waar de organisatie een verhoogd risico ziet, geeft de servicedesk op verzoek een
   schoon reisapparaat uit, dat na terugkomst wordt gewist; welke landen dat zijn, staat in
   **[reisrichtlijn apparatuur]**.
   [8.01.01]

## 4. Beheer van apparaten

1. Elk mobiel apparaat met toegang tot bedrijfsinformatie valt onder een MDM-oplossing (beheer van het hele
   apparaat) of, voor eigen apparaten, een MAM-oplossing (beheer van de bedrijfsapps). De beheerder MDM
   schrijft het apparaat in vóór uitgifte; inschrijving is een voorwaarde voor toegang. [8.01.02]
2. Via MDM of MAM dwingt de beheerder MDM ten minste af: versleuteling, schermvergrendeling, een ondersteunde
   versie van het besturingssysteem, geen root of jailbreak, geen onbekende appbronnen en wissen op afstand.
   Een apparaat dat niet voldoet, verliest automatisch de toegang tot bedrijfsinformatie en de gebruiker
   krijgt een melding met wat hij moet doen. [8.01.02]
3. Mobiele apparaten vallen onder patchmanagement en hardening volgens het beleid vulnerability- en
   patchmanagement. De beheerder MDM installeert beveiligingsupdates van het besturingssysteem en de
   bedrijfsapps binnen de termijnen uit dat beleid, of dwingt de installatie af bij de gebruiker; apparaten
   waarvoor de fabrikant geen updates meer levert, worden binnen drie maanden uitgefaseerd. [8.01.02]
4. Apps op beheerde apparaten komen uit de officiële winkel of uit de beheerde bedrijfscatalogus. De
   beheerder MDM beoordeelt elk kwartaal de lijst van geïnstalleerde apps op apps die bedrijfsinformatie
   kunnen lezen of doorsturen, en blokkeert apps die niet zijn toegestaan. [8.01.02]
5. De beheerder MDM houdt een nalevingsrapportage bij met per apparaat de inschrijving, de versie van het
   besturingssysteem, de laatste contactdatum en de nalevingsstatus, en rapporteert die elk kwartaal aan
   **[lijneigenaar mobiele apparatuur]** en de
   CISO. Apparaten zonder contact in de afgelopen drie maanden worden geblokkeerd en bij de gebruiker
   nagevraagd. [8.01.02]
6. De beheerder MDM legt de inrichting van MDM en MAM (nalevingsregels, app-beleid, voorwaardelijke toegang)
   vast als configuratiestandaard en beheert wijzigingen daarin via het beleid wijzigingsbeheer. [8.01.02]

> **Alleen als: Mogen medewerkers eigen apparaten gebruiken (BYOD)? «Ja, onder voorwaarden»**
>
> 7. Eigen apparaten zijn toegestaan onder de voorwaarden in
>    **[regeling eigen apparaten]**.
>    Op een eigen apparaat staat bedrijfsinformatie alleen in beheerde apps (MAM); de organisatie wist bij vertrek
>    of verlies alleen die apps en hun gegevens, niet het hele apparaat. De medewerker stemt daar vooraf
>    schriftelijk mee in; HR bewaart de instemming bij de gebruikersovereenkomst. [8.01.01]
> 8. Een eigen apparaat krijgt pas toegang als het een ondersteunde versie van het besturingssysteem heeft, een
>    schermvergrendeling en versleuteling van de opslag. De toegangsvoorziening controleert dat bij elke
>    aanmelding; de beheerder MDM ziet eigen apparaten in dezelfde nalevingsrapportage als apparaten van de
>    organisatie. [8.01.02]

> **Alleen als: Mogen medewerkers eigen apparaten gebruiken (BYOD)? «Nee»**
>
> 9. Eigen apparaten krijgen geen toegang tot bedrijfsinformatie, ook niet via webmail of de browser. De
>    toegangsvoorziening laat alleen apparaten toe die de organisatie beheert; de beheerder MDM test dat
>    jaarlijks met een niet-beheerd apparaat. [8.01.01]

> **Alleen als: Hoe ziet je werkplek eruit? «Cloudwerkplek (bijvoorbeeld Microsoft 365)»**
>
> 10. Toegang tot de cloudwerkplek vanaf een mobiel apparaat loopt via voorwaardelijke toegang: meerfactor plus
>    een apparaat of app die volgens het MDM of MAM aan de eisen voldoet. Opslaan, kopiëren naar niet-beheerde
>    apps en lokaal synchroniseren van bestanden zijn op niet-beheerde apparaten uitgeschakeld. De beheerder MDM
>    test de regels voor voorwaardelijke toegang bij elke wijziging en ten minste jaarlijks. [8.01.01, 8.01.02]

> **Alleen als: Hoe ziet je werkplek eruit? «Hybride: cloud naast een virtuele of lokale werkplek»**
>
> 11. Mobiele apparaten krijgen toegang tot clouddiensten via voorwaardelijke toegang op basis van de MDM- of
>    MAM-status, en tot de lokale of virtuele werkplek alleen via een beveiligde verbinding (bijvoorbeeld een
>    VPN of een gateway voor de virtuele werkplek) vanaf een beheerd apparaat. De beheerder MDM stemt de
>    beheerinstellingen voor beide routes op elkaar af, zodat een apparaat dat voor de ene route is
>    geblokkeerd, ook de andere verliest, en test dat ten minste jaarlijks. [8.01.02]

> **Alleen als: Hoe ziet je werkplek eruit? «On-premises»**
>
> 12. Mobiele apparaten krijgen toegang tot de interne omgeving alleen via een beveiligde verbinding
>    (bijvoorbeeld een VPN of een gateway voor een virtuele werkplek) vanaf een apparaat dat onder MDM valt.
>    Mail en agenda op smartphones lopen via een beheerde app. Werken via een virtuele werkplek is de standaard,
>    zodat er geen bedrijfsinformatie op het apparaat komt; de beheerder MDM controleert jaarlijks dat er geen
>    andere routes naar de interne omgeving openstaan. [8.01.01, 8.01.02]

## 5. Gebruikersovereenkomst en gedrag

1. Voordat een medewerker mobiel werkt, tekent hij een gebruikersovereenkomst mobiel werken. Daarin verklaart
   hij de risico's te kennen en veilig te werken. De overeenkomst geldt voor alle mobiele apparatuur die hij
   zakelijk gebruikt, ook een eigen apparaat. HR bewaart de getekende overeenkomst in het personeelsdossier of
   het uitgiftesysteem; de servicedesk geeft geen apparaat uit zonder getekende overeenkomst. [8.01.02]
2. De overeenkomst gaat ten minste over: direct melden van verlies of diefstal, geen bedrijfsinformatie in
   privéapps of privécloudopslag, geen gedeeld gebruik van het apparaat met anderen, updates installeren, het
   apparaat niet onbeheerd achterlaten, voorzichtig zijn met openbare wifi en het accepteren van wissen op
   afstand. **[lijneigenaar mobiele apparatuur]** beoordeelt de overeenkomst jaarlijks en laat haar opnieuw
   tekenen na een inhoudelijke wijziging. [8.01.02]
3. De gebruiker werkt in openbare ruimten en in het openbaar vervoer zo dat anderen niet kunnen meekijken
   (privacyfilter op het scherm, geen gevoelige gesprekken), en voert geen handelingen met informatie met het
   label strikt vertrouwelijk of hoger uit buiten een beveiligde verbinding. [8.01.01]
4. Op de locaties van de organisatie gebruiken beheerde apparaten het beveiligde bedrijfsnetwerk; niet-beheerde
   apparaten en gasten gebruiken een gastnetwerk dat logisch gescheiden is van het bedrijfsnetwerk, volgens
   het beleid netwerkbeveiliging. Er is geen open, onbeveiligd wifinetwerk. [8.01.02]
5. Bij vertrek of functiewijziging levert de gebruiker het apparaat in volgens het beleid
   bedrijfsmiddelenbeheer; de servicedesk wist het apparaat of de beheerde apps op de laatste werkdag en
   verwijdert het uit het apparaatbeheer. [8.01.01]

## 6. Rollen en verantwoordelijkheden

| Rol | Verantwoordelijk voor |
|---|---|
| **[lijneigenaar mobiele apparatuur]** | Eigenaar van dit beleid, de inrichting van MDM en MAM, de gebruikersovereenkomst en de reisrichtlijn; ontvangst van de kwartaalrapportage |
| Beheerder MDM | Inschrijving, nalevingsregels, voorwaardelijke toegang, app-beleid, updates, nalevingsrapportage en wissen op afstand |
| Servicedesk | Uitgifte na getekende overeenkomst, melding van verlies of diefstal, wissen binnen de wistermijn, registratie als incident, reisapparatuur, inname bij vertrek |
| HR | Gebruikersovereenkomst mobiel werken en instemming met wissen bij indiensttreding en bij uitgifte |
| CISO | Advies, jaarlijkse toetsing van opzet en werking van dit beleid, beoordeling van de nalevingsrapportages en van afwijkingen |
| Inkoop en contractbeheer | Eisen uit dit beleid in het contract met een uitbestede werkplek- of beheerdienst, toetsen van de verklaring |
| Medewerkers en inhuur | Overeenkomst naleven, updates installeren, apparaat niet delen, verlies of diefstal direct melden |

## 7. Naleving en controle

**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en
het bewijs worden vastgelegd in **[registratie van controles]**;
afwijkingen gaan als bevinding naar het risicoregister.

| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |
|---|---|---|---|---|---|
| MDM-01 | Elk apparaat met toegang tot bedrijfsinformatie is ingeschreven in MDM of MAM, voldoet aan de nalevingsregels en heeft een ondersteund en bijgewerkt besturingssysteem | Beheerder MDM | Per kwartaal | Nalevingsrapportage: aantal apparaten met toegang tegenover aantal ingeschreven, aantal apparaten met verouderd systeem of ontbrekende updates, afhandeling | 8.01.02 |
| MDM-02 | Elke mobiele gebruiker heeft een getekende gebruikersovereenkomst en, bij een eigen apparaat, een instemming met wissen op afstand | HR | Per kwartaal | Vergelijking van de lijst mobiele gebruikers uit MDM en MAM met de getekende overeenkomsten | 8.01.02 |
| MDM-03 | Wissen op afstand werkt en gemelde verliezen zijn binnen de wistermijn gewist en als incident geregistreerd | Beheerder MDM | Jaarlijks | Testverslag van wissen op een testapparaat, incidentregistratie met meldtijd en wistijd per verlies | 8.01.01 |
| MDM-04 | Niet-beheerde apparaten krijgen geen toegang tot bedrijfsinformatie en de regels voor voorwaardelijke toegang en de blokkering van lokaal opslaan werken zoals ingericht | CISO | Jaarlijks | Testverslag met een niet-beheerd apparaat en een beheerd apparaat per route, configuratiestandaard | 8.01.01, 8.01.02 |
| MDM-05 | De geïnstalleerde apps op beheerde apparaten zijn toegestaan en apparaten zonder contact in drie maanden zijn geblokkeerd | Beheerder MDM | Per kwartaal | Applijst met de beoordeling, lijst van geblokkeerde apparaten en de opvolging | 8.01.02 |
| MDM-06 | Een uitbestede werkplek- of beheerdienst levert een geldige onafhankelijke verklaring over het apparaatbeheer | Contractbeheer | Jaarlijks | Verklaring van de leverancier, beoordeling van de uitzonderingen | 8.01.01, 8.01.02 |

**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging.
**[lijneigenaar mobiele apparatuur]** dient het verzoek in bij de CISO, met de reden, de compenserende
maatregelen en de looptijd. De afwijking geldt pas na acceptatie van het risico door
**[risico-eigenaar]** en staat in het risicoregister; afwijkingen
worden ten minste jaarlijks opnieuw beoordeeld.

**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot
het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.

## 8. Samenhang

Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid
bedrijfsmiddelenbeheer (uitgifte, inventaris, inname en gedragsregels), het beleid informatieclassificatie
(labels die niet lokaal mogen staan), het beleid cryptografie (versleuteling op het apparaat), het beleid
vulnerability- en patchmanagement (updates en hardening), het beleid logische toegangsbeveiliging (meerfactor
en voorwaardelijke toegang), het beleid netwerkbeveiliging (wifi en externe toegang), het beleid
wijzigingsbeheer (configuratiestandaard), het beleid beveiligingsincidenten (verlies en diefstal), het beleid
afvoer en hergebruik van gegevensdragers (wissen bij afvoer) en het beleid informatiebeveiliging bij inkoop en
contractbeheer (uitbestede werkplekdienst).

## Bijlage A: BIO 2.0-maatregelen

De maatregelen van dit domein (2, waarvan 2 overheidsmaatregelen), waar dit stuk ze invult en welke controle ze aantoont. Nummers volgens BIO2 v1.3 definitief - 9 januari 2026; de tekst van de maatregel staat bij het CIP. Waar de BIO 2.0 geen overheidsmaatregel kent, geldt de ISO 27002-beheersmaatregel.

| Maatregel | Titel | Soort | In dit stuk | Controle |
|---|---|---|---|---|
| 8.01.01 | User endpoint devices | overheidsmaatregel | 3. Zero footprint en bescherming op het apparaat | MDM-03, MDM-04, MDM-06 |
| 8.01.02 | User endpoint devices | overheidsmaatregel | 4. Beheer van apparaten | MDM-01, MDM-02, MDM-04, MDM-05, MDM-06 |

## Bijlage B: Afkortingen

| Afkorting | Betekenis |
|---|---|
| BIO | Baseline Informatiebeveiliging Overheid |
| BYOD | Bring your own device: eigen apparaten van medewerkers voor het werk |
| CISO | Chief Information Security Officer |
| HR | Human resources, personeelszaken |
| ISAE | International Standard on Assurance Engagements |
| ISO | International Organization for Standardization |
| MAM | Mobile application management, het beheer van bedrijfsapps op een apparaat |
| MDM | Mobile device management |
| VPN | Virtual private network |

## Nog in te vullen

- **wistermijn**: standaard vier uur na de melding
- **reisrichtlijn apparatuur**: het document met de landen en de voorwaarden voor reisapparatuur
- **lijneigenaar mobiele apparatuur**: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd IT
- **regeling eigen apparaten**: welke apparaten, besturingssystemen en diensten zijn toegestaan
- **registratie van controles**: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem
- **risico-eigenaar**: de manager die restrisico's accepteert
- **eigenaar van dit beleid**: de manager die dit beleid uitvoert en laat naleven
- **vaststeller**: wie het beleid vaststelt, bijvoorbeeld de directie of het bestuur