Vijf terugkerende tekortkomingen in informatiebeveiliging

Informatiebeveiliging schiet vaak niet tekort omdat een organisatie helemaal niets doet. Het probleem zit meestal in terugkerende patronen: beleid dat niet meebeweegt, een onvolledige verbetercyclus, onvoldoende aandacht voor menselijk gedrag, beperkte bestuurlijke informatie en te weinig regie op leveranciers. Deze vijf patronen helpen om informatiebeveiliging organisatiebreed te beoordelen.

Niet één maatregel, maar een terugkerend patroon

Organisaties hebben vaak al beleid, maatregelen, leveranciers en verantwoordelijken. Toch betekent dat niet automatisch dat informatiebeveiliging bestuurbaar is. De belangrijkste vraag is of risico’s, kaders, eigenaarschap, uitvoering, toetsing en rapportage met elkaar verbonden zijn.

De vijf tekortkomingen hieronder zijn een praktische analysekader. Ze zijn geen uitspraak dat iedere organisatie alle vijf problemen heeft. De ernst en oorzaak verschillen per organisatie, sector, risicoprofiel en mate van uitbesteding.

1. Beleid is verouderd of niet verbonden met de praktijk

Beleid kan formeel aanwezig zijn, maar toch weinig houvast geven. Dat gebeurt bijvoorbeeld wanneer beleid niet meer aansluit op de actuele organisatie, gebruikte systemen, leveranciers, wet- en regelgeving of de werkelijke werkwijze.

Een beleidsdocument is daarom niet op zichzelf het bewijs dat informatiebeveiliging wordt beheerst. De relevante vragen zijn:

• Is duidelijk welk risico of doel het beleid adresseert?
• Zijn rollen, verantwoordelijkheden en uitzonderingen vastgelegd?
• Sluit het beleid aan op de maatregelen die werkelijk zijn ingericht?
• Is bekend wanneer het beleid wordt herzien?
• Is er bewijs dat de afspraken worden toegepast?

Beleidsbeheer gaat daarmee verder dan documenten schrijven. Het gaat om kaders die begrijpelijk, toepasbaar en toetsbaar zijn.

2. De verbetercyclus stopt na het plan

Veel organisaties maken een risicoanalyse, verbeterplan of roadmap. De kwetsbaarheid ontstaat wanneer daarna geen vast ritme bestaat om uitvoering, werking en opvolging te controleren.

Een eenmalig plan geeft inzicht op één moment. Bestuurbare informatiebeveiliging vraagt daarna om een cyclus:

1. risico’s en doelen begrijpen;
2. maatregelen en kaders bepalen;
3. uitvoering en eigenaarschap organiseren;
4. werking en bewijs controleren;
5. bijsturen en opnieuw prioriteren.

Wanneer vooral de planfase zichtbaar is, blijven acties liggen, verschuiven deadlines en worden restrisico’s niet expliciet besproken. De check- en act-fase maken het verschil tussen een rapport en een levende besturingscyclus.

3. Bewustwording is niet structureel georganiseerd

Menselijk handelen is een belangrijk onderdeel van digitale weerbaarheid. Toch wordt bewustwording soms beperkt tot een jaarlijkse training of een algemene waarschuwing. Daarmee ontstaat niet automatisch veilig gedrag in de situaties waarin medewerkers daadwerkelijk beslissingen nemen.

Een structurele aanpak begint met de vraag welk gedrag en welke kennis nodig zijn voor de risico’s van deze organisatie. Daarna moeten verwachtingen, verantwoordelijkheden, instructies en opvolging worden georganiseerd.

Dat kan betekenen:

• duidelijke spelregels voor medewerkers;
• passende instructies voor verschillende rollen;
• aandacht voor risicovolle processen en informatie;
• een meldroute voor incidenten en twijfel;
• evaluatie van incidenten en bijna-incidenten;
• opvolging wanneer afspraken niet worden nageleefd.

Atura voert binnen deze propositie geen individuele awareness-trainingen uit. Wel kan awareness onderdeel zijn van beleid, verantwoordelijkheden, controle en verbeterbeheer.

4. Het bestuur krijgt informatie, maar nog geen stuurinformatie

Directie en bestuur ontvangen soms veel informatie over techniek, systemen en maatregelen, maar kunnen daaruit niet direct afleiden welke besluiten nodig zijn. Een lijst met technische bevindingen is nog geen bestuurlijk risicobeeld.

Bestuurlijke informatie maakt ten minste duidelijk:

• welke bedrijfsbelangen en processen het meest kwetsbaar zijn;
• welke risico’s prioriteit hebben;
• welke maatregelen en verbeteringen lopen;
• wie eigenaar is van een actie;
• welk bewijs beschikbaar is;
• welke afwijkingen of restrisico’s blijven bestaan;
• welke besluiten of risicoacceptaties nodig zijn.

De rol van bestuur en directie is niet om iedere technische maatregel zelf te beheren. Hun rol is om richting, prioriteit, mandaat en risicoacceptatie vast te stellen. Daarvoor is informatie nodig die op besluitvorming is ingericht.

5. Regie op leveranciers en ketenpartners is beperkt

Veel organisaties zijn afhankelijk van IT-, cloud-, security- en andere leveranciers. Daardoor ligt een deel van de uitvoering buiten de eigen organisatie. Dat maakt leveranciersbeheer en ketenrisico onderdeel van de eigen informatiebeveiliging.

Een leverancier beoordelen betekent niet alleen vragen of de beveiliging “op orde” is. De organisatie moet ook weten:

• welke diensten en informatie van de leverancier afhankelijk zijn;
• welke beveiligingseisen gelden;
• welke afspraken en verantwoordelijkheden zijn vastgelegd;
• welk bewijs beschikbaar is;
• hoe afwijkingen worden opgevolgd;
• wanneer een leverancier opnieuw wordt beoordeeld.

De klant blijft verantwoordelijk voor de eigen besluiten en risicoacceptatie. Uitvoering door een leverancier neemt de noodzaak van eigen regie niet weg.

De relatie met de vijf Atura-bouwblokken

Deze vijf patronen sluiten aan op de manier waarop Atura Security Management organiseert:

• Risicobeeld: begrijpen wat de organisatie beschermt en welke risico’s prioriteit hebben;
• Beleidsbeheer: kaders, doelen, verantwoordelijkheden en controleafspraken werkbaar maken;
• Incident- en verbeterbeheer: afwijkingen, incidenten, lessons learned en acties opvolgen;
• Leveranciersbeheer: afhankelijkheden, eisen, bewijs en ketenrisico’s beheersen;
• Routekaart & Verantwoording: voortgang, besluiten, bewijs en restrisico terugbrengen naar directie en bestuur.

De bouwblokken zijn geen vervanging voor de verantwoordelijkheid van bestuur, interne teams of uitvoerende leveranciers. Ze geven structuur aan de regie die nodig is om die verantwoordelijkheden samenhangend te organiseren.

Gebruik deze vijf patronen als gesprekspunt

Een organisatie hoeft niet te wachten op een incident of audit om deze vragen te stellen. Een eerste gesprek kan beginnen met vijf eenvoudige vragen:

1. Sluit ons beleid nog aan op onze risico’s en praktijk?
2. Wie bewaakt dat verbeteringen werkelijk worden uitgevoerd en getoetst?
3. Welk gedrag en welke verantwoordelijkheden verwachten we van medewerkers?
4. Welke informatie heeft het bestuur nodig om besluiten over risico’s te nemen?
5. Hoe houden we zicht op de beveiliging van kritieke leveranciers en ketenpartners?

De antwoorden geven nog geen volledige beoordeling. Ze maken wel zichtbaar waar de bestuurlijke aandacht en verdere onderbouwing nodig kunnen zijn.

Atura’s rol in één zin

Atura helpt organisaties risico’s, kaders, eigenaarschap, toetsing, bewijs en voortgang in één doorlopende informatiebeveiligingsregie te verbinden, onafhankelijk van uitvoerende leveranciers.