Firewalls, back-ups, multi-factor authenticatie, endpoint security en monitoring. Veel organisaties hebben inmiddels verschillende technische maatregelen getroffen om hun ICT-omgeving te beveiligen. En terecht. Technische beveiliging is essentieel. Maar informatiebeveiliging gaat verder dan techniek. Want weet je ook welke informatiebeveiligingsrisico's voor jouw organisatie het belangrijkst zijn? Wie daarvoor verantwoordelijk is? Of maatregelen daadwerkelijk worden uitgevoerd en gecontroleerd? En kun je dat ook aantonen richting klanten, auditors of toezichthouders?
Dat is waar de stap van technische beveiliging naar regie op informatiebeveiliging begint.
Informatiebeveiliging gaat verder dan techniek
Een goed beveiligde ICT-omgeving is een belangrijk onderdeel van informatiebeveiliging, maar niet het hele verhaal. Normenkaders zoals ISO 27001 en NEN 7510 kijken naar beheersmaatregelen binnen vier domeinen:
- Organisatorisch
- Menselijk
- Fysiek
- Technologisch
Dat betekent dat niet alleen technische oplossingen aandacht vragen. Ook beleid, verantwoordelijkheden, medewerkers, processen en fysieke beveiliging spelen een rol. Juist de samenhang tussen deze onderdelen bepaalt in hoeverre een organisatie daadwerkelijk grip heeft op haar informatiebeveiligingsrisico's.
Van maatregelen treffen naar aantoonbaar beheersen
De noodzaak om die samenhang goed te organiseren wordt steeds groter. Klanten stellen securityvragen, informatiebeveiliging speelt een rol bij aanbestedingen en organisaties krijgen te maken met normenkaders en wet- en regelgeving zoals ISO 27001, NEN 7510 en NIS2/Cyberbeveiligingswet.
Daarbij gaat het niet alleen om de vraag óf maatregelen zijn getroffen. Een organisatie moet steeds vaker kunnen laten zien dat zij:
- haar belangrijkste informatiebeveiligingsrisico's kent;
- verantwoordelijkheden heeft belegd;
- passende maatregelen heeft getroffen;
- controleert of deze maatregelen daadwerkelijk worden uitgevoerd;
- en waar nodig bijstuurt en verbetert.
Dat noemen we aantoonbaar in control zijn.
Governance, risicomanagement en compliance bij elkaar brengen
Om dat structureel te organiseren, moeten verschillende onderdelen bij elkaar komen.
- Governance gaat over de manier waarop informatiebeveiliging wordt bestuurd en verantwoordelijkheden zijn georganiseerd.
- Risicomanagement helpt bepalen welke risico's er zijn, welke prioriteit ze hebben en welke maatregelen nodig zijn.
- Compliance zorgt ervoor dat rekening wordt gehouden met relevante normen, wetgeving en andere eisen waaraan de organisatie moet voldoen.
Door deze drie onderdelen met elkaar te verbinden, ontstaat een continu proces van beoordelen, uitvoeren, controleren en verbeteren.
Hoe krijg je daar in de praktijk grip op?
Een structurele aanpak begint met inzicht.
1. Breng de huidige situatie in kaart
Met een gap-analyse wordt bekeken waar de organisatie nu staat en hoe dat zich verhoudt tot het gewenste niveau of normenkader. De analyse wordt uitgevoerd op één of meerdere van de vier domeinen uit ISO 27001. Zo wordt duidelijk waar de belangrijkste verschillen en verbeterpunten zitten en welke aanpak nodig is om het gewenste niveau te bereiken.
2. Richt informatiebeveiliging structureel in
Vervolgens moet worden vastgelegd hoe informatiebeveiliging binnen de organisatie wordt georganiseerd, beheerst en verbeterd. Dat gebeurt in een Information Security Management System (ISMS). Daarin komen onder andere beleid, verantwoordelijkheden, processen, risico's, maatregelen, uitzonderingen en besluitvorming samen. Of kort gezegd: zeggen wat je doet.
3. Zorg dat beleid ook praktijk wordt
Een goed beleidsdocument alleen maakt een organisatie nog niet veiliger. Afspraken moeten worden uitgevoerd, verantwoordelijkheden moeten duidelijk zijn, acties moeten worden opgevolgd en maatregelen moeten worden gemonitord.
Oftewel: doen wat je zegt. Binnen Brisk CyberRegie gebruiken we SharePoint voor het vastleggen en beheren van beleid en procedures. Trustbound GRC ondersteunt vervolgens onder andere risicomanagement, compliance-sturing, monitoring en opvolging van acties.
4. Blijf controleren en verbeteren
Informatiebeveiliging is nooit 'af'. Nieuwe cloudoplossingen, wijzigingen in de organisatie, nieuwe medewerkers, veranderende cyberdreigingen en nieuwe wet- en regelgeving kunnen allemaal invloed hebben op het risicoprofiel. Daarom moeten risico's, maatregelen en beleid periodiek opnieuw worden beoordeeld en waar nodig worden aangepast. Dat gebeurt volgens de PDCA-cyclus: Plan – Do – Check – Act.
Wanneer wordt die regie relevant?
De behoefte aan structurele regie ontstaat bijvoorbeeld wanneer een organisatie te maken krijgt met NIS2/Cyberbeveiligingswet of ketenzorgplicht, wil voldoen aan ISO 27001 of NEN 7510, securityvragen van klanten ontvangt of bij aanbestedingen moet aantonen hoe informatiebeveiliging is georganiseerd. Maar een norm of wettelijke verplichting hoeft niet de aanleiding te zijn. Ook organisaties die simpelweg meer overzicht willen over risico's, maatregelen en verantwoordelijkheden kunnen behoefte hebben aan een structurele aanpak.
Van technische beveiliging naar Brisk CyberRegie
Dat is het uitgangspunt van Brisk CyberRegie.
Brisk CyberRegie helpt organisaties informatiebeveiliging structureel te organiseren, bestuurlijk te borgen en aantoonbaar te beheersen. Daarbij verbinden we governance, risicomanagement en compliance en werken we vanuit erkende normenkaders en relevante wet- en regelgeving.
De dienstverlening stopt niet na een adviesrapport of de inrichting van een ISMS. Een CyberRegie consultant blijft periodiek betrokken bij het beoordelen van risico's, actualiseren van beleid en procedures, opvolgen van maatregelen en rapporteren aan management en directie. Zo ontstaat geen verzameling losse beveiligingsmaatregelen, maar blijvende regie op informatiebeveiliging.
Meer weten over Brisk CyberRegie?
Lees meer over Brisk CyberRegie en ontdek hoe we organisaties helpen om informatiebeveiligingsrisico's praktisch en aantoonbaar te beheersen. [...]
