SMART doelstellingen vaak bedreiging voor informatiebeveiliging

Dat doelstellingen SMART geformuleerd moeten zijn, het is  zo’n typisch uit zijn verband gerukte uitspraak. Toen Martin Luther King in 1963 zijn beroemde toespraak hield: “I have a dream”, was dat allerminst SMART geformuleerd. Toch was die droom decennia lang het doel waarvoor gevochten werd.
Het SMART formuleren van doelstellingen kan best nuttig zijn, maar of het zinvol is, is afhankelijk van de context.

De context van SMART doelstellingen

Een doelstelling is SMART wanneer deze:

• Specifiek is- de doelstelling is eenduidig;
• Meetbaar is– de doelstelling is bereikt wanneer voldaan is aan (meetbare/observeerbare) voorwaarden of vorm;
• Acceptabel is- de doelstelling is acceptabel voor de doelgroep en/of het management;
• Realistisch is- het doel is haalbaar;
• Tijdsgebonden is – er is aangegeven wanneer (in de tijd) het doel bereikt moet zijn.

Het begrip SMART kwam in de jaren 90 op onder technici en constructeurs, onder andere bij Philips, om hun managers te bewegen gerichte opdrachten te geven. Daarna werd SMART ook veel gebruikt binnen projecten, om projectactiviteiten doelgerichter te maken. In de context van de uitvoering van werkzaamheden zijn SMART doelstellingen zeker heel zinvol.
Buiten deze context kan echter het SMART formuleren van doelstellingen contraproductief werken. Want in feite geldt:

• dat doelen niet altijd realiseerbaar of acceptabel hoeven te zijn; het werken aan doelen die nooit behaald zullen worden, is niet per definitie zinloos of anders gezegd, het normatieve karakter van SMART is tevens de grootste valkuil van SMART.
• dat veel concepten (bijvoorbeeld veiligheid, geluk, leefbaarheid) moeilijk of niet meetbaar zijn; de eis om doelen SMART te formuleren, kan in die gevallen leiden tot fixatie op wél meetbare gegevens waarbij het eigenlijke doel uit het oog wordt verloren.

SMART doelstellingen en informatiebeveiliging

Informatiebeveiliging is ook zo’n terrein waar niet alle doelstellingen SMART gemeten kunnen worden. Op operationeel niveau kan dit uiteraard wel. Het meten en monitoren van allerlei zaken zoals toegang, capaciteit, periodieke beoordelingen enzovoort zijn uitstekend SMART te formuleren. Dit soort activiteiten wordt vaak ondergebracht in een operationele planning.
Als we echter proberen de doelstellingen van informatiebeveiliging zelf SMART te formuleren, dan ziet dit er al snel gekunsteld uit. Doel van informatiebeveiliging is ervoor te zorgen dat informatie beschikbaar en integer is en dat het niet in verkeerde handen valt (vertrouwelijkheid).  Als we dit omzetten in SMART doelstellingen, dan krijgen we bijvoorbeeld voor applicatie X:

• beschikbaarheid: 99,8 %;
• vertrouwelijkheid: maximaal 1 onbevoegde toegang tot de productie omgeving;
• integriteit: maximaal 1 melding per maand van een foutieve verwerking.

Deze doelstellingen zijn weliswaar SMART. Maar als je informatiebeveiliging terugbrengt tot deze drie meetbare doelstellingen, dan zal de directie onmiddellijk afhaken. Zij speelt geen enkele rol in het bereiken van deze doelstellingen, behalve dat ze een zak geld beschikbaar moet stellen als de doelstellingen niet gehaald worden. Kortom, de directieverantwoordelijkheid ofwel het leiderschap dat van de directie verwacht wordt, wordt hiermee in één klap om zeep geholpen.
En dat geldt eveneens voor de awareness van medewerkers. Ook voor hen is dit een ‘ver van mijn bed’-show, waaraan ze part noch deel hebben. Natuurlijk kunnen we als SMART-doelstelling toevoegen, dat iedere medewerker minimaal één keer per jaar een awareness training gevolgd moet hebben. Alleen zegt ook die doelstelling niets over de awareness van medewerkers. Het is echter het enige wat SMART gemaakt kan worden als het gaat om awareness.

Management Systeem (ISMS)

Laten we daarom beginnen met een korte uitleg van hoe een managementsysteem behoort te werken.

Grootste probleem is meestal, dat de blokjes wel bestaan, maar dat de pijlen ontbreken. Hierdoor is er geen sprake van een systeem. Omdat de controlfunctie meestal niet goed werkt, wordt dit vaak niet opgemerkt.

Beleid

Op strategisch niveau moeten vooral de keuzes gemaakt worden. Niet zozeer over informatiebeveiliging, maar vooral over de organisatie en hoe om te gaan met de belangrijkste risico’s. Op dit niveau moet zeker niet afgedaald worden tot het niveau van maatregelen.
De keuzes die moeten worden gemaakt zijn:

• keuzes over de inrichting van het managementsysteem;
• keuzes over het ISO-systeem, waarvan de richtlijnen en best practices  als uitgangspunt dienen. Voor informatiebeveiliging worden hiervoor doorgaans ISO 27001 en ISO 27002 gebruikt. Voorkom echter dat op strategisch niveau deze black box wordt opengemaakt.
• keuzes hoe met de belangrijkste risico’s wordt omgegaan (met van boven naar beneden afname van ermee gepaard gaande kosten):
  • Preventie (voorkomen of uitbesteden);
  • Repressie (verzekeren en het business continuity plan);
  • Acceptatie (nu even geen maatregelen).

Deze keuzes worden vastgelegd in beleidsuitgangspunten, waardoor sturing gegeven wordt aan het planningsproces op tactisch niveau. Hierdoor wordt voorkomen dat straks op het niveau van maatregelen bepaald moet worden, waarom bepaalde best practices niet ingevuld worden als maatregel. Ontbreken deze beleidsuitgangspunten, dan kan aan het beleidsniveau ook niet gerapporteerd worden in hoeverre de beleidsuitgangspunten effectief zijn en nageleefd worden. Per definitie is er dan geen sprake van een systeem (ISMS).

Planning

De planningsfunctie heeft twee belangrijke taken:

• het vaststellen van de interne norm;
• het plannen van de verbetercyclus.

Aan de interne norm, die je zelf moet invullen, ligt een drietal zaken ten grondslag:

• de externe norm, zijnde een stelsel van ‘best practices’;
  Bij informatiebeveiliging valt dan te denken aan ISO 27002, de richtsnoeren van het Bescherming Persoonsgegeven en de richtlijnen van het Agentschap Telecom voor de Telecomwet. Hoewel de Autoriteit Persoonsgegevens je graag wil laten geloven, dat zijn wil ook de wet is, is dit niet juist. Per definitie zijn deze ‘best practices’ breder van opzet dan voor jouw bedrijf relevant is. Ze moeten immers voor iedere organisatie bruikbaar zijn.
• en dientengevolge het tegen het lichthouden van de ‘best practices’ en het bepalen van de relevantie ervan voor jouw organisatie;
  Indien de relevantie ontbreekt of klein is, dan zijn ook de genoemde beheersmaatregelen voor jouw organisatie niet relevant. Vaak is het verstandig om de huidige situatie aan te houden als norm, aangevuld met een aantal maatregelen die ervoor zorgen dat informatiebeveiliging als proces een systeem is, dat garandeert dat het proces in control is en dat de verbetercyclus geborgd is. Dan heb je een gezond uitgangspunt om ieder jaar de lat een stukje hoger te leggen. Nu de lat in één keer op de gewenste hoogte te leggen, betekent meestal dat enerzijds het managementsysteem niet gaat werken en anderzijds dat veel maatregelen niet nageleefd zullen worden. Een aanpak hiervoor lees je in het artikel ‘Voorbeeld vaststellen norm en basisbeveiligingsniveau op grond van ISO 27002’.
• de beleidsuitgangspunten, die een harde norm zijn voor de planningsfunctie, en die beschrijven wat de directie wel en vooral ook niet wil en waarover zij zeggenschap wil hebben. Belangrijk hierin is natuurlijk de bedrijfseconomische afweging. Dat impliceert dat de planningsfunctie steeds een (half-)jaarplan opstelt, dit begroot en voorlegt aan de directie.

Het plannen van de verbetercyclus is een tweede belangrijke taak van de planningsfunctie. Bij het invullen van de huidige situatie afgezet tegen de best practices kom je ongetwijfeld diverse maatregelen tegen, die wel wenselijk zijn voor jouw organisatie, maar die in de huidige situatie nog niet bestaan. Deze maatregelen worden in een meerjarenplanning gegoten, waarmee je tegelijk de verbetercyclus hebt geborgd. Hiervoor kun je het stoplichtmodel gebruiken zoals dat gepresenteerd is in ‘Managementrapportage risicoprofiel informatiebeveiliging ISO 27001 of 27002’.

Uitvoering

Omdat de huidige situatie als interne norm gehanteerd wordt, zijn de veranderingen op de werkvloer minimaal. Het enige wat doorgaans verandert, is de volledigheid van de rapportage  aan de control functie. Deze bevat niet alleen de incidenten, maar ook een rapportage over de naleving van de interne norm en suggesties om deze te verbeteren. Problem management speelt hierin vaak een belangrijke rol.

Control

De control functie moet in feite over drie dingen rapporteren:

• rapporteren over de naleving van de interne norm aan de planningsfunctie:
  De gesignaleerde tekortkomingen kunnen leiden tot een aanpassing van de interne norm of tot een bijstelling van de planning in de vorm van extra activiteiten.
• beoordelen van de risico’s die de grondslag vormden voor de interne norm;
  Het is verstandig om niet te snel de waardering van risico’s bij te stellen. Het feit dat een incident heeft plaatsgevonden betekent tenslotte niet, dat het risico per definitie is toegenomen. Voorkomen moet worden dat de organisatie in de ban komt van de risico-regelreflex.
• een rapportage opstellen aan het beleidsniveau in de vorm van het eerder genoemde stoplichtmodel;
  Hieraan wordt een kolom toegevoegd, zodat direct zichtbaar is welke verbeteringen gepland waren en in hoeverre deze daadwerkelijk zijn gerealiseerd. Daarnaast doet de control functie aanbevelingen voor bijstelling van de beleidsuitgangspunten en de verbetercyclus.

Funest voor de control functie is, dat deze ingevuld wordt door diverse interne en externe toezichthouders en versnipperd raakt. De directie krijgt dan een mêlee van aanbevelingen, die om budgettaire redenen natuurlijk niet allemaal gehonoreerd kunnen worden. Dat betekent dat de directie waarschijnlijk politieke keuzes gaat maken, wat weer de doodsteek is voor het systeem.

Geen doelstellingen maar principes of uitgangspunten

Zeker als het gaat om een onderwerp als informatiebeveiliging, is het beter om te denken in principes of uitgangspunten. Die weerspiegelen de normen en waarden van de organisatie. En van managers en medewerkers wordt gevraagd deze te respecteren en zelfs hieraan bij te dragen. Voorbeelden zijn:

• de logische principes voor privacy en informatiebeveiliging in ‘Informatiebeveiliging is helemaal niet zo moeilijk’;
• hart voor informatiebeveiliging in ‘Awareness privacy en informatiebeveiliging niet trainen maar kweken’.
• vertrouwen in medewerkers, klanten, leveranciers en ketenpartners (op basis van wederkerigheid).

Dergelijke principes en uitgangspunten zorgen ervoor, dat directie en medewerkers snappen op welke wijze ook zij kunnen bijdragen aan de verbetering van de informatiebeveiliging en wat er van hen wordt verwacht.
Kortom, SMART doelstellingen zijn nuttig als het gaat om de uitvoering van activiteiten. Maar als je informatiebeveiliging wilt terugbrengen naar alleen een aantal operationele activiteiten, dan zal informatiebeveiliging nooit gaan werken.