De volgende algemene beleidsuitgangspunten zijn ontleend aan de ISO27001:2022 en de business-strategie van Cipher

1. Informatie en informatiesystemen zijn van kritiek en van vitaal belang voor Cipher. De primaire verantwoordelijkheid voor informatiebeveiliging ligt bij de directie van Cipher.
2. Door periodieke controle, organisatie brede planning én coördinatie wordt de kwaliteit van de informatievoorziening verankerd binnen de organisatie. Het informatiebeveiligingsbeleid vormt samen met het informatiebeveiligingsplan het fundament onder een betrouwbare informatievoorziening.
3. In het informatiebeveiligingsplan wordt de betrouwbaarheid van de informatievoorziening organisatiebreed benaderd. Het plan wordt jaarlijks bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en bestaande risicoanalyses.
   Informatiebeveiliging is een continu verbeterproces. ‘Plan, do, check en act’ (PDCA) vormen samen het managementsysteem van informatiebeveiliging.
4. De Security Officer (SO) ondersteunt vanuit een onafhankelijke (staf)functie, de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover aan Directie.
   Cipher stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen volgens de wijze gesteld in dit beleid.
5. Regels en verantwoordelijkheden voor het beveiligingsbeleid dienen te worden vastgelegd én vastgesteld.
   Bij alle projecten waar dat van toepassing is, zoals interne IT- infrastructurele wijzigingen, de aanschaf van nieuwe (informatie)systemen, maar ook ontwerp, levering én implementatie van veiligheidssystemen voor klanten van Cipher, wordt vanaf de start rekening gehouden met informatiebeveiliging.
6. Wanneer (onderdelen van) Cipher samenwerkingsverbanden aangaan met externe partijen, hetzij inhoudelijk, hetzij voor de ontwikkeling of het beheer van de informatievoorziening, wordt nadrukkelijk aandacht besteed aan informatiebeveiliging. Afspraken hierover worden schriftelijk vastgelegd en op de naleving hiervan wordt toegezien door interne en/of externe instanties [SO, auditteam en/of externe toezichthouders en auditors].
7. Alle organisatie-onderdelen van Cipher beschikken over middelen voor het melden en afhandelen van beveiligingsincidenten, waaronder datalekken i.h.k. van de AVG. De evaluatie van de afhandeling van beveiligingsincidenten en datalekken wordt benut voor de verbetering van informatiebeveiliging.
8. Alle onderdelen van Cipher hebben maatregelen getroffen voor de beveiliging en het beheer van de operationele informatie- en communicatievoorzieningen. Maatregelen tegen allerlei vormen van kwaadaardige programmatuur (computervirussen, spam, spyware, phishing, ransomware, etc.) vormen hiervan een belangrijk onderdeel.
9. Alle onderdelen van Cipher hebben maatregelen getroffen voor Identity & Accessmanagement waardoor is gewaarborgd dat alleen geautoriseerde medewerkers gebruik kunnen maken van de informatie- en communicatie-voorzieningen.
   Cipher streeft ernaar om bij ontwerp, levering en implementatie van haar diensten en producten te voldoen aan informatiebeveiligingseisen die gesteld worden door klantorganisaties en vigerende wet- en regelgeving.
10. Alle informatie is voor alle medewerkers toegankelijk, tenzij dit door de aard van de informatie en/of functie niet gewenst is. Derden, toeleveranciers, partners en klanten hebben uitsluitend toegang tot informatie die voor het uitvoeren van hun taak noodzakelijk is
    Iedere medewerker behoort de waarde van informatie (informatieclassificatie) te kennen en daarnaar te handelen. Deze waarde wordt bepaald door de mogelijke schade als gevolg van verlies van beschikbaarheid, integriteit of vertrouwelijkheid.
    Iedere medewerker, zowel vast als tijdelijk, intern of extern is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken bij de SO.
11. Cipher beschikt over gedragsregels voor het gebruik van (algemene) informatievoorzieningen. Op de naleving van deze gedragsregels wordt, binnen de daarvoor toegestane kaders, toegezien.
    Bij de aanname, tijdens het dienstverband en in geval van ontslag van medewerkers besteedt de leidinggevende nadrukkelijk aandacht aan de betrouwbaarheid van medewerkers en aan de waarborging van de vertrouwelijkheid van informatie.
12. Cipher voert een actief beleid om het beveiligingsbewustzijn van management en medewerkers te stimuleren. Hiertoe voert de SO, in samenwerking met de afdeling Marketing & Communicatie, periodiek bewustwordings-campagnes uit en biedt hij de onderdelen van Cipher hiervoor communicatiemiddelen aan.
13. Ernstig misbruik van bevoegdheden of rechten door medewerkers in het kader van gedragsregels voor het gebruik van informatievoorzieningen, hetzij opzettelijk, hetzij door nalatigheid, heeft proportionele disciplinaire consequenties tot gevolg, zoals bijvoorbeeld schorsing, functieverandering of ontslag.
14. Niet naleving van dit informatiebeveiligingsbeleid en de daaruit volgende consequenties voor derden, toeleveranciers, partners en klanten kan ontbinding van contractuele verplichtingen tot gevolg hebben.
    Cipher blijft verantwoordelijk voor de beveiliging van haar gegevens, óók indien de verwerking daarvan buiten de organisatie plaatsvindt.