Pragmatische aanpak informatiebeveiliging

Informatiebeveiliging is niet moeilijk

Informatiebeveiliging heeft de reputatie complex te zijn en veel tijd en geld te kosten. Bovendien blijf je bezig je medewerkers bij de les te houden. Kader heeft een andere visie op informatiebeveiliging en is van mening dat bangmakerij de oorzaak is van die slechte reputatie. Informatiebeveiliging is namelijk helemaal niet complex en de kans is groot dat je zaken al goed voor elkaar hebt. Waar het om gaat is, dat anderen geen misbruik maken van jouw kostbare spullen. Dat risico wilt je dus beheersen. Het gaat daarbij zeker niet om al jouw spullen. Daarom moet je zich altijd eerst afvragen: ‘Is dit erg?’. Meer gaan doen aan beveiliging zonder uzelf eerst deze vraag te stellen, is verspilling en gaat ook nog eens ten koste gaat van jouw efficiency en flexibiliteit. (Zie ook ‘Hoe zorgen we voor een managementsysteem dat passend is voor onze organisatie’.) Dat wilt je niet. Door de grotere aandacht voor privacy echter wordt jouw verzameling kroonjuwelen wel steeds groter.

Doe toch maar een certificaat

Misschien wilt je desondanks een ISO 27001 of een NEN 7510 certificaat hebben. Belangrijkste reden is, dat klanten en/of ketenpartners dit eisen. Als zij dat eisen en je hebt niet zo’n certificaat, dan kunt je succesvolle aanbestedingen wel vergeten en worden offertes snel terzijde gelegd of stapt een aantal grote klanten waarschijnlijk op. Want een boete op overtredingen is tegenwoordig zo hoog, dat men het risico op een boete niet wil lopen.
In de zorg spelen ook nog de aansluitvoorwaarden van de Vecozo. Zorginstellingen en hun ICT-dienstverleners moeten in Q3 2017 NEN 7510 gecertificeerd zijn om toegang te krijgen tot het Vecozo-netwerk. Geen toegang betekent dat zij niet kunnen declareren bij zorgverzekeraars.
Klanten en ketenpartners willen dus niet, dat de persoonsgegevens waarvoor zij verantwoordelijk zijn, op straat komen te liggen. En terecht. Gebeurt dit toch, dan willen ze de bewerker die een stommiteit heeft uitgehaald, aansprakelijk kunnen stellen. De wet zegt dat dit kan als er een bewerkersovereenkomst is, waarvan de naleving gecontroleerd wordt. Maar natuurlijk zit je niet te wachten op allemaal verschillende bewerkersovereenkomsten en controles door klanten. Met een ISO 27001 of een NEN 7510 certificaat kunt je dit soepel oplossen. De bewerkersovereenkomst is dan gebaseerd op dat certificaat, dat jaarlijks wordt gecontroleerd door een externe auditor. je bent daarmee af van al die verschillende bewerkersovereenkomsten en die certificaten. Klanten mogen je dan best aansprakelijk stellen. Een boete krijg je toch niet, want met jouw certificaat toont je aan, dat je in control bent. En dat is genoeg om de boete te ontlopen.
Omdat je de zaken toch al redelijk op orde hebt en je altijd al zorgvuldig bent omgegaan met de data van jouw klanten is certificering niet zo’n probleem. Het grootste probleem is waarschijnlijk dit aan te tonen. En dat is wel de eis die ISO 27001 en NEN 7510 stellen.

ISO 27001 is risk based

Tegenwoordig is het niet meer nodig, dat je dikke handboeken met procedures en werkinstructies hebt. (Zie ook ‘Hoe zorgen we voor een managementsysteem dat passend is voor onze organisatie’.) In hoofdstuk 0 van de ISO 27001 norm vinden we de volgende twee uitgangspunten: 

• Het vaststellen en implementeren van een managementsysteem voor informatiebeveiliging wordt beïnvloed door de behoeften en doelstellingen van de organisatie, de beveiligingseisen, de procedures die de organisatie toepast en de omvang en structuur van de organisatie. (Zie ook ‘Het verschil tussen een oplossing en een managementsysteem’.) 
• Het managementsysteem voor informatiebeveiliging beschermt de vertrouwelijkheid, de integriteit en de beschikbaarheid van informatie door een risicobeheerproces toe te passen, en geeft belanghebbenden het vertrouwen dat risico’s adequaat worden beheerd.

Kortom, er moet dus niets van ISO, behalve dat je jouw risico’s adequaat beheerst. En natuurlijk geldt: ‘Zeg wat je doet, doe wat je zegt en laat zien dat je het gedaan hebt’.
Vanaf eind 2017 gaat dit ook gelden voor de NEN 7510. (Zie ook ‘Verwarring over revisie en certificering NEN 7510’.)

IB risico’s zijn niet altijd bedrijfsrisico’s

Veel consultants en informatiebeveiligers hebben een checklist met informatiebeveiligingsrisico’s (IB-risico’s). Als je uitgaat van deze checklists, komt je uit op een diarree aan maatregelen die je zoJe moeten implementeren. Een kind begrijpt, dat er dan een papieren tijger wordt gecreëerd. En ernaar streven dat al die maatregelen worden nageleefd is een luchtkasteel bouwen. Als je geen ministerie, bank, verzekeraar, ziekenhuis of politiedienst bent, dan hebt je een dergelijke overkill aan maatregelen helemaal niet nodig.

Echte bedrijfsrisico’s zijn er niet veel

Natuurlijk is er voor jouw organisatie best wel een groot aantal vervelende risico’s. Dat betekent echter nog niet dat al die risico’s jouw continuïteit bedreigen. In feite doen maar twee risico’s dat en dat zijn de echte bedrijfsrisico’s:

• Belangrijke stakeholders zijn ontevreden en lopen weg. 
• Je geeft structureel meer uit dan er binnenkomt.

De oorzaken daarvoor kunnen verschillen. Daarom breiden we dit lijstje op de sheet iets uit. (Zie ook ‘Checklist risicoanalyse informatiebeveiliging ISO 27001 en NEN 7510’.) Er geldt dat een IB-risico acceptabel is, als het niet ook een bedrijfsrisico vormt. En dat betekent dus, dat je moet voorkomen dat data van jouw klant op straat komen te liggen en dat je jouw certificaat moet behouden.

Globale aanpak ISO 27001 en NEN 7510

Je begint dus met het in kaart brengen van jouw echte bedrijfsrisico’s. Op grond daarvan bepaalt je de scope. Voor dienstverleners gaat het hierbij om de dienstverlening aan klanten, waarbij klantgegevens worden verwerkt. Al het andere is niet van belang voor het certificaat. Klanten willen voorkomen dat hun gegevens op straat komen te liggen. Vervolgens leidt je de IB-risico’s af van de bedrijfsrisico’s en je definieert hierop beleidsuitgangspunten om de risico’s te verminderen.
Als je dat gedaan hebt, dan pakt je de maatregelen uit de norm en bepaalt op grond van de scope en de beleidsuitgangspunten in hoeverre maatregelen van toepassing zijn. Die werkt je vervolgens uit in een interne norm en een verbeterplan. (Zie ook ‘Toepassing drie cycli van risicobeheersing in de praktijk’.)

Beleid baseren op principes en niet op regels

In de afgelopen decennia zijn we erachter gekomen, dat het werken op basis van regels niet werkt. Als je Je houdt aan de regels, bent je niet per definitie een goede medewerker of een goed bedrijf. Daarnaast is de controle op de naleving van regels een zeer kostbare zaak. Bovendien is het zo, dat als blijkt, dat de pakkans laag is, men de regels aan zijn laars lapt. En natuurlijk houden regels net zo min iets tegen als een bordje ‘verboden toegang’. (Zie ook ‘Awareness privacy en informatiebeveiliging niet trainen maar kweken‘).
Daarom is het beter om principes te hanteren. Principes zijn ongeschreven regels. Ze hoeven dus niet omschreven te worden, maar je spreekt elkaar aan op niet-naleving. Niet-naleven brengt tenslotte jouw gemeenschappelijke doelstellingen in gevaar. Medewerkers moeten uitgedaagd worden om deze principes toe te passen in hun eigen praktijk en je dient ervoor te zorgen dat successen met deze toepassing gevierd en beloond worden.
Daarom de vier principes die we in onze begeleiding hanteren als beleidsuitgangspunt. De eerste drie worden toegelicht in het artikel ‘Informatiebeveiliging is helemaal niet zo moeilijk’.

Architectuur aanpak ISO 27001 en NEN 7510

Een plaatje zegt meer dan 1000 woorden. Daarom hebben we onze aanpak gevangen in één plaatje, dat tijdens de begeleiding steeds weer terugkomt en dat ook als leidraad geldt voor de audit. In het artikel ‘Architectuur en aanpak ISO 27001’ wordt dit plaatje stap voor stap uitgelegd.

De pragmatische Kader aanpak

Uitgangspunt voor een traject met Kader is natuurlijk, dat ieder bedrijf uniek is. Dat geldt echter voor hooguit 5%. Voor ruim 95% is een bedrijf een bedrijf als andere bedrijven.
We werken dan ook met allemaal vooringevulde sjablonen en voorbeelddocumenten, die gelden voor een standaardbedrijf. Tijdens de sessies hoeven we dan alleen te bepalen waarin je afwijkt en hoe we dat gedeelte moeten invullen. Dat geldt vooral voor de risico’s. Daarom is de betrokkenheid van een directielid om snel keuzes te kunnen maken van groot belang. Daarnaast is het vanzelfsprekend dat ook de security officer deelneemt. Meer teamleden werkt doorgaans alleen vertragend.
We kunnen dan de complete PLAN-fase doorlopen in 5 sessies van een dagdeel, waarbij beide partijen (Je en Kader) doorgaans per sessie een dagdeel huiswerk krijgen. In ruim een maand kan deze fase doorlopen worden. De DO-fase vergt meestal ook ongeveer een maand. Meestal moeten dan 3 procedures beter geïmplementeerd worden om aantoonbare resultaten op te leveren. De CHECK-fase bestaat grotendeels uit de interne audit, die in hooguit een week kan worden uitgevoerd. De ACT-fase vergt meestal hooguit enkele dagen, want tijdens de opzet en implementatie is het continJe verbeteren al ingebakken. Dus na drie maanden kan de certificeringsaudit beginnen. Een verdere beschrijving is gegeven in het artikel ‘Binnen drie maanden een ISO 27001 certificaat halen’.
De out-of-pocket kosten van de PLAN-fase zijn meestal ongeveer € 5000. De begeleiding van de volgende fasen zijn optioneel, maar de praktijk heeft uitgewezen dat begeleiding in deze fasen kan voorkomen dat na de externe audit veel extra werk gedaan moet worden. Begeleiding van de interne audit kost doorgaans ca. € 1000 en begeleiding van stage 1 van de externe audit is afhankelijk van de bedrijfsgrootte. Kosten zijn tot 45 medewerkers meestal zo’n € 1000 en daarboven oplopend. Doorgaans is begeleiding van stage 2 van de externe audit niet nodig.