Verantwoording · Basisuitleg
Wat is onafhankelijke informatiebeveiligingsregie?
Onafhankelijke informatiebeveiligingsregie betekent dat een organisatie risico’s, kaders, eigenaarschap, uitvoering, bewijs en voortgang in samenhang bestuurt. De regisseur neemt niet het technische beheer over, maar zorgt dat duidelijk is wat moet gebeuren, wie daarvoor verantwoordelijk is, hoe voortgang wordt gevolgd en hoe werking en bewijs worden getoetst.
Informatiebeveiliging bestaat niet alleen uit technische maatregelen. Een organisatie kan firewalls, endpointbeveiliging, back-ups en andere beveiligingsoplossingen hebben en toch onvoldoende zicht hebben op de risico’s, verantwoordelijkheden en voortgang. De vraag is dan niet alleen welke maatregel aanwezig is, maar ook of de organisatie weet wat zij moet beschermen, tegen welke risico’s en hoe zij vaststelt dat afspraken blijven werken.
Onafhankelijke informatiebeveiligingsregie brengt die bestuurlijke en organisatorische samenhang aan. De regie verbindt risico’s en te beschermen belangen met beleid, eigenaarschap, uitvoering, toetsing, bewijs en rapportage. Daardoor kan directie of bestuur gerichter prioriteren en besluiten nemen over maatregelen, verbeteringen en restrisico’s.
Een onafhankelijke regisseur bepaalt binnen de afgesproken scope wat moet gebeuren en volgens welke kaders. De regisseur helpt ook bepalen hoe werkzaamheden het beste kunnen worden aangepakt en belegd, organiseert eigenaarschap, bewaakt de voortgang en toetst of maatregelen werken en aantoonbaar zijn.
De technische en operationele uitvoering blijft bij de organisatie zelf, de eerste lijn en gespecialiseerde uitvoeringspartners. Een onafhankelijke informatiebeveiligingsregisseur beheert dus niet automatisch de IT-omgeving, implementeert geen technische maatregelen en levert geen SOC-, MDR- of 24/7-monitoringdienst.
Voor Atura is deze scheiding belangrijk. Wie technische maatregelen verkoopt of beheert, heeft mogelijk ook een uitvoeringsbelang bij de beoordeling daarvan. Atura werkt vanuit het belang van de klant en beoordeelt risico en bewijs onafhankelijk van uitvoerende leveranciers en technische producten.
De regiecyclus bestaat in de praktijk uit vijf samenhangende onderdelen:
- risico’s en te beschermen belangen begrijpen;
- kaders en maatregelen bepalen;
- eigenaarschap en uitvoering organiseren;
- werking en bewijs toetsen;
- rapporteren en bijsturen.
Atura werkt deze cyclus uit in de bouwblokken Risicobeeld, Beleidsbeheer, Incident- en verbeterbeheer, Leveranciersbeheer en Routekaart & Verantwoording. Welke onderdelen en deliverables worden uitgevoerd, hangt af van de afgesproken scope en het gekozen pakket.
Onafhankelijke informatiebeveiligingsregie is vooral relevant voor organisaties die wel losse maatregelen, adviseurs of IT-leveranciers hebben, maar onvoldoende samenhangende regie, kennis, capaciteit of continuïteit. Het past ook bij organisaties die al een CISO of ISO hebben, maar aanvullende capaciteit, specialistische regie of onafhankelijke toetsing nodig hebben.
Atura’s rol in één zin
> Atura voert binnen de afgesproken scope securitymanagement uit: van risico en kaderstelling tot eigenaarschap, toetsing, rapportage en bijsturing, onafhankelijk van uitvoerende leveranciers.
Gerelateerde diensten
Bekijk Security Management as-a-Service
Verder lezen
Verantwoording · Verdieping · 3 min lezen
De vijf bouwblokken van Security Management as-a-Service
Atura organiseert Security Management as-a-Service met vijf samenhangende bouwblokken. Samen brengen zij risico, beleid, incidenten, leveranciers, routekaart, bewijs en rapportage in één doorlopende regiecyclus. De pakketkeuze bepaalt welke bouwblokken en deliverables binnen de afgesproken scope vallen.
Verantwoording · Inzicht · 7 min lezen
Vijf terugkerende tekortkomingen in informatiebeveiliging
Informatiebeveiliging schiet vaak niet tekort omdat een organisatie niets doet. Het probleem zit meestal in terugkerende patronen: beleid dat niet meebeweegt, een onvolledige verbetercyclus, onvoldoende aandacht voor menselijk gedrag, beperkte bestuurlijke informatie en te weinig regie op leveranciers.