Voor bedrijven zit hier natuurlijk ook een keerzijde aan vast. Als bedrijft bent je verantwoordelijk voor het beveiligen van jouw eigen informatie en ook voor de informatie die je van anderen mag gebruiken. Door jouw medewerkers wordt deze informatie echter niet alleen op jouw bedrijfsterrein gebruikt. Zij vinden het bijvoorbeeld vaak handig om een kopie van informatie op hun laptop of hun tablet hebben, of op papier. Ook delen ze geregeld informatie via de mail of in de cloud. Kortom, het komt er op neer dat je zich in ruil voor een goedkopere communicatie en informatievoorziening over deze beveiligingsproblematiek zult moeten buigen. Niet omdat je de strijd aan moet gaan met cybercriminelen. Cybercriminelen zijn niet jouw probleem. (Zie ook ‘Laat je niet gek maken door cybercrime’.) Ook niet omdat je 100% veiligheid moet kunnen garanderen. 100% veiligheid bestaat per definitie niet. Maar je wilt natuurlijk wel jouw schade beperken als een incident plaatsvindt. En je wilt daarnaast ook jouw bestuurdersaansprakelijkheid afdekken en voorkomen dat je strafbaar bent. Verder eisen grote klanten steeds vaker garanties, als je diensten digitaal levert. Het lijkt misschien ingewikkeld. In de praktijk valt dat echter erg mee. Tenminste als je jouw kop niet in het zand steekt, maar jouw verantwoordelijkheid neemt.
Als het om informatiebeveiliging gaat , is er allereerst de tweedeling tussen wat je wettelijk moet regelen en wat je zelf mag bepalen. Wat dit laatste betreft, bepaalt je zelf hoe hoog je de lat legt. Ook in de zorg geldt dit als het gaat over NEN 7510. Het College Bescherming Persoonsgegeven wekt bijvoorbeeld wel de indruk, dat je moet voldoen aan zijn richtsnoeren. Maar dit is onzin. Het beste kunt je zich conformeren aan de ISO 27001 norm voor informatiebeveiliging. In feite is ISO 27001 een uitbouw van ISO 9001, dat gebaseerd is op een aantal basisprincipes:
Naast deze basisprincipes zijn er voor ISO 27001 nog een tweetal voor informatiebeveiliging specifieke eisen:
De directieverantwoordelijkheid is hierbij cruciaal. De directie is verantwoordelijk en de directie heeft daarom ook de bevoegdheid om de lat op de goede hoogte te leggen, afgestemd op het risicoprofiel van de organisatie. Het is dan ook niet een kwestie van wat je kunt beveiligen, het gaat erom wat je wilt beveiligen. En omdat je een verbetercyclus heeft, is het niet nodig om nu onmiddellijk alle maatregelen in te voeren. Dit kan volgens een meerjarenplan. je bepaalt dus als directie hoe hoog je de lat legt. Behalve best practices bevat ISO 27002 ook een groot aantal controls. Als je echter de beleidsuitgangspunten definieert vanuit business perspectief, dan is het niet nodig om op maatregelniveau aan te geven waarom een maatregel niet van toepassing is. Meer over deze aanpak kunt je lezen in het artikel ‘ISO 27001 of 27002 lean en mean implementeren als security management systeem’.
Voor ISO 27001 is heel weinig verplicht, tenzij je uzelf veel oplegt als norm. Maar dat bepaalt je zelf. Hieronder volgt een korte opsomming van documenten die er dienen te zijn:
Als je zelf de lat hoger legt dan strikt noodzakelijk is, bijvoorbeeld door allerlei procedures te definiëren, dan zijn er meer documenten verplicht. Natuurlijk is dit af te raden. Een papieren procedure houdt immers, net al een gedragscode, niets tegen.
Rode draad in jouw aanpak om de informatiebeveiliging in control ter krijgen is met betrekking tot wat zou kunnen gebeuren de vraag: “Is dat erg?”
Wat voor de ene organisatie wel erg is, is voor de andere organisatie geen probleem. Denkt je bijvoorbeeld aan het begrip vertrouwelijkheid voor overheden. Gebaseerd op de Wet Openbaarheid van Bestuur is in principe alle informatie van de overheid toegankelijk. Vertrouwelijkheid is dus voor de overheid van ondergeschikt belang. Uzelf de vraag stellen ‘Is dat erg?’ voorkomt dat je maatregelen gaat definiëren, die misschien in zijn algemeenheid goed zijn, maar die voor je toch niet relevant zijn.
De ervaring leert, dat bedrijven die zelf hun verantwoordelijkheid nemen doorgaans een factor goedkoper uit zijn dan bedrijven die specialisten inhuren. Aan de andere kant is het natuurlijk niet slim zelf het wiel opnieuw uit te gaan vinden. Begeleiding van een ervaren adviseur, coach of docent voorkomt vaak weken of maanden onderzoeksinspanning. Bovendien zien we vaak gebeuren, dat mensen die zich gaan verdiepen in informatiebeveiliging snel het uitgangspunt loslaten, ‘dat er alleen maatregelen worden genomen daar waar men wil beveiligen’. In hun enthousiasme beveiligen ze vaak alles wat ze kunnen beveiligen. En dat is natuurlijk een dure hobby.
Om jouw zelfredzaamheid te verhogen biedt Kader verschillende diensten.
Voor het maken van de eerder genoemde producten heeft Kader diverse sjablonen ontworpen. Onderdeel van alle bovenstaande diensten is dat je de beschikking krijgt over die sjablonen inclusief een instructie hoe deze te gebruiken. Daarnaast heeft Kader van veel documenten en procedures voorbeelden beschikbaar, die eenvoudig omgezet kunnen worden naar jouw situatie. Zo is het opstellen van een informatiebeveiligingsbeleid geen kwestie van maanden of weken, maar is dit een traject, dat in enkele dagen uitgevoerd kan worden. En dat geldt in feite voor het gehele traject. Voor het hele verhaal verwijzen we je graag naar ‘Pragmatische aanpak informatiebeveiliging‘. Dit is een presentatie met een toelichting, die je kunt gebruiken voor jezelf of voor interne presentaties.