Hoe zet u het traject op de rails?

← Cyberveiligheid, gewoon uitgelegd

Begin met één ervaren persoon die het geheel overziet

Bij het begin weet u meestal niet precies wat u nodig hebt. Dat is normaal. Daarom hebt u eerst iemand nodig die het geheel overziet.

Die persoon zet het traject op gang en legt u de beslissingen voor die bij u horen. Samen bepaalt u hoe u verdergaat en wie u daarna eventueel nog nodig hebt. Dat mag gerust ook de persoon zijn die daarna het systeem met u opbouwt. Die heeft dan al samen met u over het geheel nagedacht, en kan dus sneller resultaat opleveren.

Perfectie is daarbij minder belangrijk dan richting. Een traject met een duidelijk doel en een paar onvolmaakte stappen komt verder dan een perfecte maatregel tegen het verkeerde risico.

De persoon die samen met u het geheel overziet, heeft best voldoende vakkennis en ervaring. Wie zo'n traject zelf nog moet leren kennen, leert dat op uw tijd en met uw budget. Met iemand die het al eerder deed, gaat dat budget naar uw beveiliging in plaats van naar de leerweg.

1Uw redenWaarom u begint

2Eén ervaren persoonOverziet het geheel en bereidt voor

3U beslistZes beslissingen

Daarna: wie u nog nodig hebt

Zes beslissingen liggen bij u

Die eerste persoon bereidt voor. Beslissen doet u.

1. Waarom begint u eraan? Omdat u onder NIS2 valt. Omdat een klant het u als leverancier oplegt. Of omdat u gezien hebt wat incidenten bij anderen, misschien in uw eigen sector, kunnen aanrichten, en u zich beter wilt beschermen zonder te weten hoe u begint. Het antwoord bepaalt de rest van het traject.
2. Voor welk deel van uw bedrijf geldt het? Valt u onder NIS2, dan hoort altijd uw hele organisatie erbij. Voor ISO 27001 kiest u zelf, maar ook daar is het hele bedrijf vaak de beste keuze, zeker voor een kleinere kmo: zo maakt u het bedrijf als geheel veiliger. Zolang er ergens een achterdeur openstaat, is de beveiliging van het geheel niet gegarandeerd.
3. Wilt u het systeem, of ook het certificaat? Het systeem is altijd het belangrijkste. Een certificaat wordt nodig wanneer een klant erom vraagt, of wanneer u anders steeds opnieuw vragenlijsten van klanten moet invullen. Die vragenlijsten kosten veel werk, ze stellen telkens net iets andere vragen, en wat u invult blijft uw eigen inschatting. Hebt u geen certificaat, dan eist een klant soms ook dat een externe audit bevestigt wat u invult. Die auditor wil de klant dan vaak zelf aanduiden. Met een eigen certificaat vermijdt u die omwegen. Met een certificaat is uw beveiliging onafhankelijk bevestigd, en hoeft u die tijd niet telkens opnieuw te investeren. Wat u ook kiest: houd het systeem daarna draaiende. Een systeem opzetten en het dan laten verkommeren, is weggegooid geld.
4. Wie wordt eigenaar in huis? Iemand binnen uw bedrijf moet het systeem dragen. Ook als u voor langere tijd een externe beveiligingsverantwoordelijke contracteert, een zogenaamde vCISO, blijft het heel belangrijk dat minstens één persoon in huis alles rond uw beveiliging volledig mee kent. Hoeveel tijd die eigenaar nodig heeft, hangt af van uw bedrijf.
5. Welke risico's aanvaardt u? Bij elk belangrijk risico kiest u of u het aanpakt of aanvaardt. Een risico aanvaardt u niet zomaar: u aanvaardt het in de wetenschap dat het gevolgen kan hebben als het misgaat en net dat risico zich voordoet. Uw begeleider kan die afweging voorbereiden, maar erover nadenken moet u zelf. Het zijn uw risico's.
6. Wat mag of moet het kosten? Dat hangt af van de grootte en de complexiteit van uw bedrijf. Daarom staat hier geen bedrag: elk cijfer dat iemand noemt zonder uw bedrijf te kennen, zet u op het verkeerde been.

Zo herkent u die eerste persoon

Een certificaat bewijst dat iemand de leerstof kent. Het bewijst niet dat die persoon het al eens heeft moeten doen en de materie daadwerkelijk in de praktijk onder de knie heeft. Veel mensen noemen zich cybersecurity-expert terwijl ze nog veel moeten leren. Kijk daarom naar wat iemand gedaan heeft, niet alleen naar het certificaat dat iemand behaald heeft.

• Een aantoonbare staat van dienst. Vraag naar vergelijkbare trajecten die die persoon zelf geleid heeft.
• Dezelfde persoon doet het werk. Wie het gesprek met u voert, moet ook de opdracht uitvoeren.
• Audits meegemaakt, bij verschillende auditors. Wie vaak zelf geauditeerd werd, en door verschillende auditors, weet wat auditors belangrijk vinden. En dus ook waar de zwakke plekken meestal zitten.
• Een technisch verleden. Daarmee kan die persoon inschatten of een maatregel uw beveiliging echt verbetert, of alleen op papier goed staat.
• Een afgebakende opdracht. "Wij beveiligen uw bedrijf" is geen opdracht. Een goed voorstel zegt wat er na afloop zichtbaar anders is.
• Uw documenten blijven bij u. Een deel van het werk doet u zelf, want het is uw systeem. Spreek ook af dat alle documenten van uw systeem op elk moment voor u beschikbaar zijn, ook terwijl u er samen aan werkt. Zijn ze zo opgebouwd dat een ander erop kan verderwerken, dan staat uw traject niet stil als uw begeleider een tijdje niet beschikbaar is voor u.

Daarna weet u wie u nog nodig hebt

Zijn de beslissingen genomen, dan wordt duidelijk wie u verder nog nodig hebt.

Iemand moet ook het organisatorische deel van uw beveiliging in orde brengen. Dat kan de persoon zijn die het traject op gang zette, of iemand anders. Die schrijft samen met u de afspraken uit: wat in uw bedrijf mag en moet, welke regels gelden en welke maatregelen u neemt. Die helpt u ook de werkwijzen op te zetten die daarbij horen, bijvoorbeeld hoe nieuwe medewerkers toegang krijgen of wat u doet als er iets misloopt, en helpt u ze op papier te zetten. En die zorgt dat al die documenten kloppen en dat u kunt aantonen dat u ook echt doet wat erin staat. Dat deel is even belangrijk als de technische maatregelen. Wilt u dat iemand die rol voor langere tijd opneemt, dan kan diezelfde persoon later ook uw externe beveiligingsverantwoordelijke worden, de vCISO uit de vierde beslissing.

Daarnaast hebt u soms een technische specialist nodig die maatregelen uitvoert. Dat kan ook uw huidige IT-leverancier zijn. Toets die op wat die zelf heeft meegemaakt. Weet die uit eigen ervaring wat te doen wanneer iemand de controle over een beheerdersaccount overneemt, wanneer gijzelsoftware op vrijdagavond uw systemen versleutelt, of wanneer een nieuwe toegangsregel plots al uw medewerkers buitensluit?

Certificeert u, dan hebt u daarnaast een interne auditor nodig. Certificeert u niet, dan is een interne audit optioneel, maar een goede interne auditor is in beide gevallen een toegevoegde waarde. Die gaat na of het hele systeem correct draait en u echt beschermt, zodat u daar zeker van bent en het niet alleen aanneemt. Dat kan alleen iemand die niet mee aan het systeem bouwde. Vanuit die eigen invalshoek reikt een goede auditor vaak ook tips aan om uw systeem met weinig moeite te verbeteren.

Waarom dat iemand anders moet zijn: Wie bouwt, controleert niet

Begin met één zin

Wilt u vandaag al iets doen? Schrijf in één zin op waarom u eraan begint. Vraag daarna aan elke kandidaat die u spreekt wat u na drie maanden zichtbaar in handen hebt. Een concreet antwoord op die vraag zegt meer dan een lijst certificaten.

Vorige: Het traject naar ISO 27001 in acht stappen