Doe een analyse naar de gevolgen van securityrisico’s
20 juli 2020 -
Traditionele informatiebeveiliging biedt een organisatie niet langer garantie dat cruciale bedrijfsdata veilig is. Vroeger, voor de digitale revolutie, leek het inrichten van IT-security op het bewaken van een fort. Indringers kregen geen kans om binnen te komen met behulp van prikkeldraad, hoge muren en een sloot.
Ook de IT-infrastructuur was zo opgezet dat met diverse punt-oplossingen de cybersecurity werd gewaarborgd binnen ‘het fort’. Inmiddels bevinden medewerkers zich niet meer in het fort omdat vrijwel alle apparaten met het internet verbonden zijn en daarmee wereldwijd bereikbaar, ook voor cybercriminelen. Bedrijfsgevoelige informatie wordt dus vanuit allerlei hoeken verwerkt en enkel het fort verdedigen is zinloos. Om de controle over cybersecurity in de digitale wereld te behouden is een roadmap, met inzicht in de kwetsbaarheden van uw organisatie, noodzakelijk om grip te houden en het helpt het C-level bij het maken van de juiste afwegingen.
Breng alle securityrisico’s in kaart
Jeroen Hentschke, Cyber Security expert bij Telindus, vertelt waar u moet beginnen: "Breng allereest de risico’s die specifiek voor uw organisatie gelden op het gebied van security in kaart. Daarna is het van belang om na te denken over de gevolgen van die risico’s. Een logische vervolgstap, die helaas in de praktijk vaak wordt overgeslagen omdat de vereiste kennis en inzichten ontbreken. Deze stap is echter cruciaal om te bepalen wat de impact van de risico’s op de business zijn. Iedere organisatie is uniek en heeft een eigen aanpak op het gebied van cybersecurity nodig."
Het is belangrijk om prioriteiten te stellen als het gaat om cybersecurity. Welke stappen moeten als eerst worden uitgevoerd? "Door dit in kaart te brengen start u met de cybersecurity roadmap. Laat de CIO, CISO of CEO van de organisatie het voortouw nemen, zij hebben immers het beste zicht op de ontwikkelingen binnen de organisatie. Laat daarnaast hun betrokkenheid aan de rest van de organisatie zien, waaruit blijkt dat cybersecurity prioriteit heeft. Door prioriteiten te stellen voorkomt u dat u zich vastbijt in één oplossing die niet het antwoord is op de grootste securityproblemen. Realiseer u daarbij dat het niet mogelijk is om alles tegelijk aan te pakken. Stap voor stap kunt u de cybersecurity op orde brengen."
Doe een analyse naar de gevolgen van securityrisico’s
Vindt u het lastig om te bepalen welk risico de hoogste prioriteit krijgt? Met een Confidentiality, Integrity and Availability-analyse kunt u in kaart brengen wat de gevolgen zijn van een bepaald risico. Hentschke vertelt hierover: "In deze analyse worden enkele belangrijke vragen gesteld als: Hoeveel kost het uw organisatie als bedrijfsgegevens op straat komen te liggen? Wat is de schade als de IT-systemen een dag ontoegankelijk zijn? En hoe vertrouwelijk is de data die u verwerkt? Hiermee wordt helder wat de impact en kosten van een bepaald securityrisico zijn. Dit is de eerste stap van de security roadmap."
Wanneer is vastgesteld welke risico’s de hoogte prioriteit hebben, is het tijd om naar een geschikte oplossing te kijken. Vervolgens moet u checken of de kosten voor deze oplossingen opwegen tegen de kosten van het risico. "De cybersecurity roadmap stelt u op door de impact van een securityprobleem te vermenigvuldigen met het ingeschatte risico dat de situatie zich daadwerkelijk voordoet", stelt Hentschke. "Zo structureert u de roadmap. Een hoge impact maal een hoog risico komt uiteraard bovenaan te staan. Zo houdt u grip op cybersecurity en verhoogt u het volwassenheidsniveau van de organisatie."
Het volwassenheidsniveau van uw bedrijf
Maar waaruit bestaat zo’n volwassenheidsniveau dan? Hentschke stelt dat er een aantal factoren zijn: "Heeft uw organisatie een cybersecuritystrategie en beleid? Is dit beleid vervolgens vertaald naar maatregelen? En kunt u hierover rapporteren? Kortom, het is belangrijk dat een organisatie aan kan tonen dat ze in control zijn. Doorgaans zien we dat hoe hoger de volwassenheid is, hoe sneller cybersecurity goed ingeregeld kan worden. Daarnaast biedt het volwassenheidsniveau ook houvast om doelen te stellen. Maak bijvoorbeeld gebruik van de COBIT normering. Het doel daarbij kan zijn om in een jaar van volwassenheidsniveau twee naar drie te groeien. "
Een security roadmap geeft een duidelijk overzicht van waar een organisatie naar toe wil bewegen op het gebied van cybersecurity. Er is hierin een duidelijke prioriteitenlijst en planning opgenomen. Door het afwegen van de risico’s is er ook meteen een duidelijke businesscase gemaakt en worden daarmee de benodigde investeringen goed onderbouwd. Dankzij een security roadmap kunnen organisaties weer controle over de cybersecurity krijgen.
