Eerst de onderdelen, dan de assemblage

Waar informatiebeveiliging tot voor enkele jaren veelal nog gezien werd als een noodzakelijke – om niet te zeggen business remmende – ‘hygiënefactor’ voor met name IT-gerelateerde organisaties, is inmiddels wel duidelijk dat het verworden is tot een ‘business enabler’ voor iedere organisatie. Vergelijk informatie­beveiliging(smanagement) wat dat betreft met het remsysteem in je auto: dat remt je niet constant af, maar faciliteert je juist om op een veilige manier (hard) te kunnen rijden. 

Hoe maak je als organisatie een start met informatiebeveiligingsmanagement en hoe bepaal je die praktische basismaatregelen om mee te starten? De ISO 27001* -norm is in de markt algemeen geaccepteerd als dé referentie om informatiebeveiliging in een organisatie aantoonbaar te borgen. De norm biedt een werkbaar, praktisch kader om beschikbaarheid, integriteit en vertrouwelijkheid van informatie in een organisatie te implementeren en een organisatie cyberweerbaar(der) te maken. Toch hoor je in organisaties die een certificeringstraject (hebben) doorlopen nog weleens minder enthousiaste geluiden als je betrokkenen spreekt over hun ervaring met het traject. Vaak gaat het om de grote (en kostbare) berg aan nieuw beleid, procedures en controles, die als ballast worden ervaren en waarbij het in eerste instantie nog niet lukt om er de vruchten van te plukken. Terwijl het belang van informatiebeveiliging wel onderschreven wordt.

De organisaties waar het hier om gaat, zijn bijna zonder uitzondering organisaties waar het ISO 27001-implementatietraject in een korte tijd is doorlopen, onder hoge druk van externe stakeholders (lees: klanten die het eisen), met vooral het ‘papiertje’ als heilig doel voor ogen. Ze slagen er met hangen en wurgen in om het certificaat te behalen en hebben dan het idee dat ze klaar zijn en weer ‘over kunnen gaan tot de orde van de dag’. Het tegenovergestelde is echter waar: het echte werk begint dan pas.

Het behalen en behouden van de certificering kost tijd en is géén eenmalige exercitie. Om de auto-parallel uit de eerste alinea door te trekken, waarbij de auto staat voor het gedocumenteerde informatiebeveiligingsmanagementsysteem (ISMS): het initieel behalen van een certificaat is het bewijs dat de auto in de basis technisch rijklaar is en dat de gebruikers het theorie-examen hebben gehaald en gestart zijn met de praktijklessen. In de certificatiecycli die daarop volgen wordt pas echt het bewijs geleverd dat de auto technisch betrouwbaar is én dat de gebruikers hun rijbewijs hebben.

Geen assemblage zonder ­onderdelen

Maar om de auto te kunnen bouwen en tot die status ‘technisch rijklaar’ te komen, heb je wel kwalitatief goede onderdelen nodig. Die moeten eerst gefabriceerd worden om vervolgens tot een functionerende auto geassembleerd te kunnen worden. Waarbij onderscheid kan worden gemaakt tussen de essentiële onderdelen om te kunnen rijden en de opties/accessoires die de auto nog iets functioneler, comfortabeler of veiliger maken.

In de praktijk van een organisatie die onder druk van buitenaf de implementatie en certificering in korte tijd er doorheen drukt, worden templates voor beleidsstukken bij elkaar gezocht, ingevuld en het ISMS wordt vervolgens in één klap gelanceerd binnen de organisatie. Medewerkers worden hiermee overvallen en overvoerd. In plaats van bewustzijn en informatieveilig handelen, ontstaat er eerder weerstand en tegenwerking. Niet bepaald een recept voor een managementsysteem met meerwaarde voor je organisatie. In de autometafoor: de assemblage van de auto wordt al gestart, zonder dat er kwalitatief goede onderdelen op de plank liggen. Met als gevolg dat er een auto wordt afgeleverd die essentiële onderdelen mist, (daardoor) niet goed rijdt en waarvan niemand weet waar de sleutels liggen. Grote kans dat de auto (voor zover het die naam al mag dragen) een stille, roestige dood sterft, ergens op een weilandje achteraf. 

Implementatie in stappen

Wil je informatiebeveiliging op een duurzame en effectieve manier in je organisatie implementeren, dan doe je dat bij voorkeur gefaseerd en in behapbare stappen. De stappen die in het ‘assemblagetraject’ van het ISMS uiteindelijk doorlopen moeten worden, zijn de volgende: 

1. bepalen scope;
2. analyseren stakeholdereisen;
3. bepalen organisatiebeleid;
4. uitvoeren risicoanalyse;
5. bepalen/selecteren/prioriteren beheersmaatregelen (Verklaring van Toepasselijkheid);
6. implementeren beheersmaatregelen;
7. implementeren monitoring/verbetercyclus (PDCA);
8. interne audit en directiebeoordeling;
9. externe audit.

Maar zoals gezegd: dit zijn vooral de stappen van het assemblagetraject van het ISMS; de ‘stap nul’ die daarvoor zit, is het fabriceren van de onderdelen. De essentiële onderdelen welteverstaan; de opties en accessoires komen later wel. Als het gaat om de onderdelen van een ISMS, dan zit het zwaartepunt in de punten 5 en 6 hierboven: de beheersmaatregelen. 

Stap nul: essentiële onderdelen van het ISMS

Vooropgesteld: zoals bij autofabrikanten de snelheid van het productieproces en het eind­resultaat verschilt per merk/organisatie (een Tesla model S is in alle opzichten anders dan een Opel Corsa), zo geldt dat ook voor het implementeren van informatiebeveiliging in organisaties. Feit is echter dat bepaalde basisonderdelen zowel in een Tesla als in een Opel terugkomen; onderdelen die zo fundamenteel zijn dat ze feitelijk altijd nodig zijn om je van A naar B te kunnen brengen. En zo is het bij een ISMS ook: sommige aspecten zijn zo basaal dat ze in iedere organisatie nodig zijn om de beschikbaarheid, integriteit en vertrouwelijkheid van informatie in voldoende mate te kunnen borgen.  

Ons advies (zo zal inmiddels uit het voorgaande duidelijk zijn): zorg éérst dat deze onderdelen met de juiste kwaliteit ‘op de plank liggen’ en ga dán aan de slag met het verdere implementatie- en certificeringstraject voor ISO 27001 (de eerder genoemde stappen 1 tot en met 9). Op basis van input van verschillende experts uit het werkveld van IT en security, waaronder de aanbevolen basismaatregelen van het NCSC (National Cyber Security Center van het Ministerie van Justitie en Veiligheid, zie www.ncsc.nl/onderwerpen/basismaatregelen), komen wij tot de volgende onderdelen die bij stap nul in ieder geval op de fabricageplanning zouden moeten staan:’: