Informatiebeveiliging klinkt al snel als iets dat vooral op de agenda van de IT-afdeling staat. In de praktijk raakt het echter vrijwel ieder onderdeel van een organisatie. Medewerkers werken met klantgegevens, leveranciers krijgen toegang tot systemen en belangrijke documenten worden dagelijks opgeslagen, aangepast en gedeeld. Wie informatiebeveiliging structureel wil organiseren, moet daarom verder kijken dan technische maatregelen alleen.
Steeds meer organisaties gebruiken ISO 27001 als uitgangspunt om informatiebeveiliging structureel vorm te geven. De norm biedt een internationaal erkend kader waarmee risico’s, processen, verantwoordelijkheden en beveiligingsmaatregelen in samenhang worden bekeken. Maar wat merkt een organisatie daar in de dagelijkse praktijk eigenlijk van? Van duidelijkere verantwoordelijkheden tot bewustere medewerkers: de veranderingen zijn vaak op veel meer plekken zichtbaar dan alleen binnen IT.
Informatiebeveiliging krijgt een vaste plek
Een van de belangrijkste veranderingen is dat informatiebeveiliging minder afhankelijk wordt van losse acties. Misschien worden er al sterke wachtwoorden gebruikt, zijn computers beveiligd en worden regelmatig back-ups gemaakt. Dat betekent echter nog niet automatisch dat informatiebeveiliging organisatie breed goed geregeld is.
ISO 27001 draait om het opzetten, onderhouden en continu verbeteren van een Information Security Management System, meestal afgekort tot ISMS. Daarmee wordt informatiebeveiliging onderdeel van een samenhangend managementsysteem. Risico’s, verantwoordelijkheden, procedures en maatregelen worden niet afzonderlijk bekeken, maar met elkaar verbonden. Dat kan in eerste instantie extra werk opleveren, maar zorgt uiteindelijk vooral voor meer overzicht. De organisatie weet beter welke afspraken gelden, wie waarvoor verantwoordelijk is en waarom bepaalde maatregelen noodzakelijk zijn.
Verantwoordelijkheden worden duidelijker
In een organisatie waarin informatiebeveiliging vooral informeel geregeld is, kan onduidelijkheid ontstaan over verantwoordelijkheden. Wie bepaalt bijvoorbeeld welke medewerkers toegang krijgen tot vertrouwelijke informatie? Wie controleert of toegangsrechten worden ingetrokken wanneer iemand uit dienst gaat? En wie onderneemt actie wanneer er een beveiligingsincident plaatsvindt?
ISO 27001 vraagt om duidelijke rollen en verantwoordelijkheden. Dat betekent niet dat iedere organisatie een groot beveiligingsteam nodig heeft. Het gaat er vooral om dat bekend is wie waarvoor verantwoordelijk is. Die duidelijkheid kan ook buiten informatiebeveiliging voordelen opleveren. Medewerkers hoeven minder vaak uit te zoeken bij wie ze met een vraag terechtkunnen en processen worden minder afhankelijk van individuele collega’s. Zeker wanneer een organisatie groeit, kan dat veel verschil maken.
Risico’s worden bewuster afgewogen
Een andere belangrijke verandering is de manier waarop naar risico’s wordt gekeken. ISO 27001 schrijft niet simpelweg voor dat iedere organisatie exact dezelfde beveiligingsmaatregelen moet invoeren. De norm gaat uit van de risico’s die passen bij de specifieke organisatie, activiteiten en gekozen scope.Dat vraagt om een andere manier van denken. Een organisatie moet eerst weten welke informatie belangrijk is, welke bedreigingen er bestaan en wat de gevolgen kunnen zijn wanneer er iets misgaat.
Vervolgens kan worden bepaald welke risico’s prioriteit hebben en welke maatregelen passend zijn. Zo kan verlies van toegang tot een bedrijfskritisch systeem voor de ene organisatie een groter risico vormen dan voor de andere. Hetzelfde geldt voor bijvoorbeeld het uitlekken van persoonsgegevens of het tijdelijk uitvallen van een leverancier. Hierdoor worden beveiligingsbeslissingen beter onderbouwd. Investeringen worden niet alleen gedaan omdat een bepaalde oplossing populair is, maar omdat duidelijk is welk risico ermee wordt verkleind.
Medewerkers worden onderdeel van informatiebeveiliging
Techniek blijft belangrijk, maar ISO 27001 kijkt breder. Een effectieve aanpak van informatiebeveiliging bestaat uit een combinatie van mensen, processen en technische maatregelen. Dat betekent dat medewerkers een belangrijke rol krijgen. Zij werken immers dagelijks met informatie en kunnen daardoor zowel bijdragen aan de beveiliging als onbedoeld risico’s veroorzaken.
In de praktijk kan dit betekenen dat er meer aandacht komt voor bewustwording. Medewerkers leren bijvoorbeeld hoe zij verdachte berichten herkennen, waarom toegangsgegevens persoonlijk moeten blijven en hoe vertrouwelijke documenten veilig worden gedeeld.
Belangrijk is dat informatiebeveiliging daarmee niet uitsluitend een verantwoordelijkheid van IT blijft. Ook iemand op de financiële administratie, de verkoopafdeling of personeelszaken heeft ermee te maken. Door medewerkers uit te leggen waarom afspraken bestaan, wordt veilig werken steeds meer onderdeel van het normale werkproces.
Processen worden beter vastgelegd
ISO 27001 brengt vaak ook veranderingen mee in de manier waarop organisaties hun processen documenteren. Informele afspraken die jarenlang prima leken te werken, blijken niet altijd voldoende wanneer een organisatie wil aantonen dat risico’s structureel worden beheerst. Denk bijvoorbeeld aan het toevoegen van nieuwe gebruikers aan systemen, het melden van beveiligingsincidenten of het beoordelen van leveranciers. Het is belangrijk dat duidelijk is hoe dergelijke processen verlopen en wie daarbij welke verantwoordelijkheid heeft.
Dat betekent niet dat iedere handeling moet veranderen in een ingewikkeld protocol. Goede documentatie moet juist bruikbaar zijn. Een eenvoudige maar duidelijke procedure die medewerkers daadwerkelijk volgen, heeft meer waarde dan een uitgebreid document dat niemand gebruikt. Het voordeel is bovendien dat kennis minder snel verloren gaat. Wanneer een ervaren medewerker vertrekt, blijven belangrijke werkwijzen beschikbaar voor collega’s.
Ook leveranciers komen nadrukkelijker in beeld
Organisaties werken steeds vaker samen met externe partijen. Denk aan softwareleveranciers, cloudproviders en andere dienstverleners die toegang hebben tot systemen of informatie verwerken. Daarmee kunnen ook risico’s buiten de eigen organisatie ontstaan. Een bedrijf kan zijn interne beveiliging uitstekend op orde hebben, terwijl een belangrijke leverancier een zwakke schakel vormt.
Binnen een gestructureerde aanpak van informatiebeveiliging worden dergelijke afhankelijkheden daarom nadrukkelijk meegenomen. In de praktijk betekent dit dat organisaties bewuster kijken naar welke informatie zij met externe partijen delen en welke beveiligingsafspraken daarbij nodig zijn. Dat kan ook gevolgen hebben voor het selecteren van nieuwe leveranciers. Informatiebeveiliging wordt dan een criterium dat al tijdens het inkoop- of selectieproces wordt meegenomen, in plaats van een onderwerp dat pas achteraf ter sprake komt.
Het management wordt actiever betrokken
Informatiebeveiliging kan alleen structureel functioneren wanneer ook het management betrokken is. Binnen ISO 27001 is daarom aandacht voor onder andere verantwoordelijkheden, doelstellingen en periodieke beoordeling. Daardoor verschuift informatiebeveiliging van een puur operationeel onderwerp naar een onderwerp dat ook op managementniveau aandacht krijgt.
Dat is belangrijk omdat keuzes over beveiliging vaak samenhangen met bredere bedrijfsbeslissingen. Hoeveel risico wil een organisatie accepteren? Welke processen zijn bedrijfskritisch? Waar moeten middelen beschikbaar worden gesteld? Zulke vragen kunnen niet uitsluitend door een IT-medewerker worden beantwoord. Door het management structureel te betrekken, ontstaat een betere verbinding tussen informatiebeveiliging en de doelstellingen van de organisatie.
Audits maken de praktijk zichtbaar
Wie voor certificering kiest, krijgt daarnaast te maken met audits. Daarbij draait het niet alleen om de vraag of de juiste documenten aanwezig zijn. Er wordt ook beoordeeld of het managementsysteem daadwerkelijk is geïmplementeerd en in de praktijk functioneert. Tijdens het certificeringstraject wordt onder andere gekeken naar de scope, documentatie, risicoanalyse en de werking van verschillende processen. Na certificering volgen bovendien periodieke controles om te beoordelen of het systeem blijft functioneren.
Dat heeft een belangrijk praktisch effect: organisaties moeten kunnen laten zien dat wat op papier staat ook echt gebeurt. Een procedure voor het melden van incidenten heeft bijvoorbeeld weinig waarde wanneer medewerkers niet weten dat deze bestaat of hoe zij moeten handelen. Audits kunnen daardoor ook verbeterpunten zichtbaar maken die intern minder snel worden opgemerkt.
Verbeteren wordt onderdeel van het proces
Misschien wel de belangrijkste verandering is dat informatiebeveiliging geen project met een definitieve einddatum wordt. ISO 27001 is juist gericht op het onderhouden en continu verbeteren van het managementsysteem. Dat is logisch, want organisaties staan niet stil. Er komen medewerkers bij, nieuwe software wordt ingevoerd, leveranciers veranderen en bedrijfsprocessen ontwikkelen zich. Tegelijkertijd veranderen de risico’s rondom informatiebeveiliging.
Een maatregel die vandaag voldoende is, hoeft over enkele jaren niet meer bij de organisatie te passen. Daarom worden risico’s opnieuw beoordeeld, vinden interne audits en managementbeoordelingen plaats en worden verbeteringen doorgevoerd wanneer dat nodig is. Zo ontstaat een cyclus waarin informatiebeveiliging meebeweegt met de organisatie.
Van certificaat naar dagelijkse werkwijze
De zichtbare uitkomst van een certificeringstraject is natuurlijk het certificaat, maar de grootste verandering zit uiteindelijk in de organisatie zelf. ISO 27001 kan ervoor zorgen dat verantwoordelijkheden duidelijker worden, risico’s bewuster worden afgewogen en medewerkers beter begrijpen welke rol zij spelen bij het beschermen van informatie. Ook processen, leveranciersrelaties en beslissingen van het management worden vanuit een breder beveiligingsperspectief bekeken. Daardoor wordt informatiebeveiliging minder een verzameling technische oplossingen en steeds meer een onderdeel van de normale bedrijfsvoering.
Juist daarin zit de praktische waarde van ISO 27001. Het doel is niet om informatiebeveiliging alleen op papier goed te organiseren, maar om een systeem te creëren dat daadwerkelijk werkt en zich blijft ontwikkelen. Wanneer dat lukt, verandert ISO 27001 van een norm waaraan een organisatie wil voldoen in een manier van werken die helpt om informatie iedere dag bewuster en structureler te beschermen.