ROTTERDAM – Bedrijven in Rotterdam-Rijnmond bestellen dit jaar eerder en vaker een origineel kerstpakket in plaats van het vaste standaardpakket. Dat zeggen meerdere leveranciers uit de branche. Terwijl het einde van het jaar nog ver weg lijkt, zijn HR-afdelingen en officemanagers in de regio nu al bezig met de keuze. De grootste reden is dat originele pakketten met lokale producten of een eigen thema beperkt beschikbaar zijn en raken eerder uitverkocht dan de vaste assortimenten die elk jaar terugkomen.

Van standaardpakket naar iets met een verhaal

Waar veel organisaties voorheen pas in november een keuze maakten, neemt de vraag naar originele kerstpakketten nu al toe, aldus leveranciers. Personeel verrassen met iets anders dan het bekende pakket met chocolade en een fles wijn, daar zoeken steeds meer werkgevers naar. Het verschil tussen een traditioneel en een origineel kerstpakket zit vooral in de samenstelling. Een traditioneel pakket bevat vaste onderdelen die jaar in jaar uit terugkomen. Een origineel kerstpakket is opgebouwd rond een thema, een lokaal product of iets dat aansluit bij het bedrijf zelf.

“We zien dat bedrijven steeds vaker vragen om iets dat past bij hun eigen identiteit, in plaats van een standaarddoos die bij iedereen op de mat valt,” zegt een woordvoerder van Kerstpakket Online. Volgens het bedrijf kiezen klanten dit jaar vaker voor kerstpakketten met een duidelijk verhaal erachter, zoals producten van regionale makers. Dat de belangstelling voor originele kerstpakketten toeneemt, hangt volgens leveranciers ook samen met de arbeidsmarkt. Werkgevers in de regio, van havenbedrijven tot kleinere dienstverleners, willen personeel laten zien dat het gewaardeerd wordt op een manier die opvalt. Een kerstpakket is voor veel bedrijven niet zomaar een cadeau aan het einde van het jaar, maar ook een moment om zich als werkgever te onderscheiden.

Maatwerk ook bij een beperkt budget

Ook Kerstpakket Webshop merkt die verschuiving. “Klanten willen niet meer alleen weten wat er in het pakket zit, maar ook waar het vandaan komt en of het bij hun bedrijf past,” aldus een woordvoerder van het bedrijf. Zakelijke klanten kiezen steeds vaker voor maatwerk, ook bij een beperkt budget. Originele kerstpakketten hoeven volgens Kerstpakket Webshop niet duurder te zijn dan een traditionele pakketten. Het gaat vooral om de keuzes die erin worden gemaakt.

Qua budget houden bedrijven doorgaans tussen de 30 en 75 euro per medewerker aan, afhankelijk van de grootte van de organisatie en de sector. Kleinere bedrijven blijven vaak aan de onderkant van die bandbreedte, grotere organisaties begroten gemiddeld iets ruimer. Voor bedrijven die dit jaar nog moeten bestellen, geldt: hoe later in het jaar, hoe kleiner de keuze in originele en beperkt beschikbare pakketten. Leveranciers raden aan uiterlijk in oktober of november een keuze te maken.

Niet alleen rond kerst waardering tonen

Niet iedereen is het overigens eens met de gedachte dat waardering voor personeel zich rond kerst moet concentreren. Dag Van De wijst erop dat het jaar meerdere momenten kent waarop werkgevers hun team kunnen bedanken, van Secretaressedag tot de Dag van de Vrachtwagenchauffeur. “Een kerstpakket is één moment in het jaar. Er zijn genoeg andere dagen waarop een klein gebaar minstens zo veel indruk maakt,” aldus het platform. Sommige bedrijven kiezen er inmiddels voor waardering te spreiden over het jaar, in plaats van alles te concentreren rond december.

Voor de meeste organisaties in de regio blijft het kerstpakket wel het belangrijkste moment van het jaar om personeel te bedanken. Dat het dit jaar vaker gaat om een origineel kerstpakket in plaats van een standaardpakket, daarover zijn de leveranciers het wel eens.

Informatiebeveiliging klinkt al snel als iets dat vooral op de agenda van de IT-afdeling staat. In de praktijk raakt het echter vrijwel ieder onderdeel van een organisatie. Medewerkers werken met klantgegevens, leveranciers krijgen toegang tot systemen en belangrijke documenten worden dagelijks opgeslagen, aangepast en gedeeld. Wie informatiebeveiliging structureel wil organiseren, moet daarom verder kijken dan technische maatregelen alleen.

Steeds meer organisaties gebruiken ISO 27001 als uitgangspunt om informatiebeveiliging structureel vorm te geven. De norm biedt een internationaal erkend kader waarmee risico’s, processen, verantwoordelijkheden en beveiligingsmaatregelen in samenhang worden bekeken. Maar wat merkt een organisatie daar in de dagelijkse praktijk eigenlijk van? Van duidelijkere verantwoordelijkheden tot bewustere medewerkers: de veranderingen zijn vaak op veel meer plekken zichtbaar dan alleen binnen IT.

Informatiebeveiliging krijgt een vaste plek

Een van de belangrijkste veranderingen is dat informatiebeveiliging minder afhankelijk wordt van losse acties. Misschien worden er al sterke wachtwoorden gebruikt, zijn computers beveiligd en worden regelmatig back-ups gemaakt. Dat betekent echter nog niet automatisch dat informatiebeveiliging organisatie breed goed geregeld is.

ISO 27001 draait om het opzetten, onderhouden en continu verbeteren van een Information Security Management System, meestal afgekort tot ISMS. Daarmee wordt informatiebeveiliging onderdeel van een samenhangend managementsysteem. Risico’s, verantwoordelijkheden, procedures en maatregelen worden niet afzonderlijk bekeken, maar met elkaar verbonden. Dat kan in eerste instantie extra werk opleveren, maar zorgt uiteindelijk vooral voor meer overzicht. De organisatie weet beter welke afspraken gelden, wie waarvoor verantwoordelijk is en waarom bepaalde maatregelen noodzakelijk zijn.

Verantwoordelijkheden worden duidelijker

In een organisatie waarin informatiebeveiliging vooral informeel geregeld is, kan onduidelijkheid ontstaan over verantwoordelijkheden. Wie bepaalt bijvoorbeeld welke medewerkers toegang krijgen tot vertrouwelijke informatie? Wie controleert of toegangsrechten worden ingetrokken wanneer iemand uit dienst gaat? En wie onderneemt actie wanneer er een beveiligingsincident plaatsvindt?

ISO 27001 vraagt om duidelijke rollen en verantwoordelijkheden. Dat betekent niet dat iedere organisatie een groot beveiligingsteam nodig heeft. Het gaat er vooral om dat bekend is wie waarvoor verantwoordelijk is. Die duidelijkheid kan ook buiten informatiebeveiliging voordelen opleveren. Medewerkers hoeven minder vaak uit te zoeken bij wie ze met een vraag terechtkunnen en processen worden minder afhankelijk van individuele collega’s. Zeker wanneer een organisatie groeit, kan dat veel verschil maken.

Risico’s worden bewuster afgewogen

Een andere belangrijke verandering is de manier waarop naar risico’s wordt gekeken. ISO 27001 schrijft niet simpelweg voor dat iedere organisatie exact dezelfde beveiligingsmaatregelen moet invoeren. De norm gaat uit van de risico’s die passen bij de specifieke organisatie, activiteiten en gekozen scope.Dat vraagt om een andere manier van denken. Een organisatie moet eerst weten welke informatie belangrijk is, welke bedreigingen er bestaan en wat de gevolgen kunnen zijn wanneer er iets misgaat.

Vervolgens kan worden bepaald welke risico’s prioriteit hebben en welke maatregelen passend zijn. Zo kan verlies van toegang tot een bedrijfskritisch systeem voor de ene organisatie een groter risico vormen dan voor de andere. Hetzelfde geldt voor bijvoorbeeld het uitlekken van persoonsgegevens of het tijdelijk uitvallen van een leverancier. Hierdoor worden beveiligingsbeslissingen beter onderbouwd. Investeringen worden niet alleen gedaan omdat een bepaalde oplossing populair is, maar omdat duidelijk is welk risico ermee wordt verkleind.

Medewerkers worden onderdeel van informatiebeveiliging

Techniek blijft belangrijk, maar ISO 27001 kijkt breder. Een effectieve aanpak van informatiebeveiliging bestaat uit een combinatie van mensen, processen en technische maatregelen. Dat betekent dat medewerkers een belangrijke rol krijgen. Zij werken immers dagelijks met informatie en kunnen daardoor zowel bijdragen aan de beveiliging als onbedoeld risico’s veroorzaken.

In de praktijk kan dit betekenen dat er meer aandacht komt voor bewustwording. Medewerkers leren bijvoorbeeld hoe zij verdachte berichten herkennen, waarom toegangsgegevens persoonlijk moeten blijven en hoe vertrouwelijke documenten veilig worden gedeeld.

Belangrijk is dat informatiebeveiliging daarmee niet uitsluitend een verantwoordelijkheid van IT blijft. Ook iemand op de financiële administratie, de verkoopafdeling of personeelszaken heeft ermee te maken. Door medewerkers uit te leggen waarom afspraken bestaan, wordt veilig werken steeds meer onderdeel van het normale werkproces.

Processen worden beter vastgelegd

ISO 27001 brengt vaak ook veranderingen mee in de manier waarop organisaties hun processen documenteren. Informele afspraken die jarenlang prima leken te werken, blijken niet altijd voldoende wanneer een organisatie wil aantonen dat risico’s structureel worden beheerst. Denk bijvoorbeeld aan het toevoegen van nieuwe gebruikers aan systemen, het melden van beveiligingsincidenten of het beoordelen van leveranciers. Het is belangrijk dat duidelijk is hoe dergelijke processen verlopen en wie daarbij welke verantwoordelijkheid heeft.

Dat betekent niet dat iedere handeling moet veranderen in een ingewikkeld protocol. Goede documentatie moet juist bruikbaar zijn. Een eenvoudige maar duidelijke procedure die medewerkers daadwerkelijk volgen, heeft meer waarde dan een uitgebreid document dat niemand gebruikt. Het voordeel is bovendien dat kennis minder snel verloren gaat. Wanneer een ervaren medewerker vertrekt, blijven belangrijke werkwijzen beschikbaar voor collega’s.

Ook leveranciers komen nadrukkelijker in beeld

Organisaties werken steeds vaker samen met externe partijen. Denk aan softwareleveranciers, cloudproviders en andere dienstverleners die toegang hebben tot systemen of informatie verwerken. Daarmee kunnen ook risico’s buiten de eigen organisatie ontstaan. Een bedrijf kan zijn interne beveiliging uitstekend op orde hebben, terwijl een belangrijke leverancier een zwakke schakel vormt.

Binnen een gestructureerde aanpak van informatiebeveiliging worden dergelijke afhankelijkheden daarom nadrukkelijk meegenomen. In de praktijk betekent dit dat organisaties bewuster kijken naar welke informatie zij met externe partijen delen en welke beveiligingsafspraken daarbij nodig zijn. Dat kan ook gevolgen hebben voor het selecteren van nieuwe leveranciers. Informatiebeveiliging wordt dan een criterium dat al tijdens het inkoop- of selectieproces wordt meegenomen, in plaats van een onderwerp dat pas achteraf ter sprake komt.

Het management wordt actiever betrokken

Informatiebeveiliging kan alleen structureel functioneren wanneer ook het management betrokken is. Binnen ISO 27001 is daarom aandacht voor onder andere verantwoordelijkheden, doelstellingen en periodieke beoordeling. Daardoor verschuift informatiebeveiliging van een puur operationeel onderwerp naar een onderwerp dat ook op managementniveau aandacht krijgt.

Dat is belangrijk omdat keuzes over beveiliging vaak samenhangen met bredere bedrijfsbeslissingen. Hoeveel risico wil een organisatie accepteren? Welke processen zijn bedrijfskritisch? Waar moeten middelen beschikbaar worden gesteld? Zulke vragen kunnen niet uitsluitend door een IT-medewerker worden beantwoord. Door het management structureel te betrekken, ontstaat een betere verbinding tussen informatiebeveiliging en de doelstellingen van de organisatie.

Audits maken de praktijk zichtbaar

Wie voor certificering kiest, krijgt daarnaast te maken met audits. Daarbij draait het niet alleen om de vraag of de juiste documenten aanwezig zijn. Er wordt ook beoordeeld of het managementsysteem daadwerkelijk is geïmplementeerd en in de praktijk functioneert. Tijdens het certificeringstraject wordt onder andere gekeken naar de scope, documentatie, risicoanalyse en de werking van verschillende processen. Na certificering volgen bovendien periodieke controles om te beoordelen of het systeem blijft functioneren.

Dat heeft een belangrijk praktisch effect: organisaties moeten kunnen laten zien dat wat op papier staat ook echt gebeurt. Een procedure voor het melden van incidenten heeft bijvoorbeeld weinig waarde wanneer medewerkers niet weten dat deze bestaat of hoe zij moeten handelen. Audits kunnen daardoor ook verbeterpunten zichtbaar maken die intern minder snel worden opgemerkt.

Verbeteren wordt onderdeel van het proces

Misschien wel de belangrijkste verandering is dat informatiebeveiliging geen project met een definitieve einddatum wordt. ISO 27001 is juist gericht op het onderhouden en continu verbeteren van het managementsysteem. Dat is logisch, want organisaties staan niet stil. Er komen medewerkers bij, nieuwe software wordt ingevoerd, leveranciers veranderen en bedrijfsprocessen ontwikkelen zich. Tegelijkertijd veranderen de risico’s rondom informatiebeveiliging.

Een maatregel die vandaag voldoende is, hoeft over enkele jaren niet meer bij de organisatie te passen. Daarom worden risico’s opnieuw beoordeeld, vinden interne audits en managementbeoordelingen plaats en worden verbeteringen doorgevoerd wanneer dat nodig is. Zo ontstaat een cyclus waarin informatiebeveiliging meebeweegt met de organisatie.

Van certificaat naar dagelijkse werkwijze

De zichtbare uitkomst van een certificeringstraject is natuurlijk het certificaat, maar de grootste verandering zit uiteindelijk in de organisatie zelf. ISO 27001 kan ervoor zorgen dat verantwoordelijkheden duidelijker worden, risico’s bewuster worden afgewogen en medewerkers beter begrijpen welke rol zij spelen bij het beschermen van informatie. Ook processen, leveranciersrelaties en beslissingen van het management worden vanuit een breder beveiligingsperspectief bekeken. Daardoor wordt informatiebeveiliging minder een verzameling technische oplossingen en steeds meer een onderdeel van de normale bedrijfsvoering.

Juist daarin zit de praktische waarde van ISO 27001. Het doel is niet om informatiebeveiliging alleen op papier goed te organiseren, maar om een systeem te creëren dat daadwerkelijk werkt en zich blijft ontwikkelen. Wanneer dat lukt, verandert ISO 27001 van een norm waaraan een organisatie wil voldoen in een manier van werken die helpt om informatie iedere dag bewuster en structureler te beschermen.