Scope van de opdracht
Beschikbaarheid, integriteit en vertrouwelijkheid vormen de fundamenten van informatiebeveiliging en spelen een centrale rol binnen ISO 27001. Binnen deze opdracht is een meetmethodiek ontwikkeld waarmee objectief kan worden vastgesteld hoe systemen, processen en gegevens gedurende een bepaalde periode hebben gepresteerd op deze drie onderdelen. Het doel was om een laagdrempelige manier te creëren waarop verstoringen, afwijkingen en beveiligingsincidenten kunnen worden geregistreerd en omgerekend kunnen worden naar een concrete BIV-score. Hierdoor ontstaat inzicht in de feitelijke staat van informatiebeveiliging en kunnen trends en verbeterpunten zichtbaar worden gemaakt voor management, directie en leveranciers.
Uitvoering van de opdracht
Voor deze opdracht is een meetmodel ontwikkeld waarbij beschikbaarheid, integriteit en vertrouwelijkheid afzonderlijk worden beoordeeld aan de hand van geregistreerde gebeurtenissen. Als uitgangspunt wordt gewerkt met een maximale score, waarbij incidenten leiden tot een aftrek op de betreffende categorie. Op deze manier ontstaat gedurende de meetperiode een objectief beeld van de prestaties op het gebied van informatiebeveiliging.
Binnen het model kunnen uiteenlopende gebeurtenissen worden geregistreerd, variërend van een server die tijdelijk niet beschikbaar is tot mogelijke datalekken, onjuiste gegevensverwerking of ongeautoriseerde toegang tot informatie. Het systeem is bewust laagdrempelig ingericht zodat medewerkers snel een melding kunnen registreren zonder dat direct een volledig incident- of tickettraject hoeft te worden gestart. Hierdoor wordt het eenvoudiger om kleine afwijkingen en verstoringen vast te leggen die anders mogelijk onopgemerkt blijven.
De geregistreerde meldingen worden automatisch verwerkt binnen de BIV-berekening. Hierdoor ontstaat inzicht in de daadwerkelijke beschikbaarheid van systemen en gegevens gedurende een bepaalde periode. Daarnaast wordt zichtbaar in welke mate data betrouwbaar en onveranderd is gebleven en of zich situaties hebben voorgedaan waarbij vertrouwelijke informatie mogelijk onvoldoende beschermd is geweest.
De resultaten worden verwerkt in dashboards en managementrapportages waardoor trends door de tijd heen zichtbaar worden. Op basis van deze informatie kunnen verbetermaatregelen worden vastgesteld en kunnen prestaties van interne systemen, leveranciers en externe dienstverleners objectief worden beoordeeld. Hierdoor ontstaat een meetbare onderbouwing voor gesprekken over dienstverlening, beveiligingsmaatregelen en afspraken over beschikbaarheid en kwaliteit.
Lessons Learned
Tijdens de uitvoering van deze opdracht werd duidelijk dat veel organisaties beschikken over incidentregistraties, maar niet over een objectief systeem waarmee de daadwerkelijke prestaties op het gebied van beschikbaarheid, integriteit en vertrouwelijkheid kunnen worden gemeten. Hierdoor ontstaat vaak discussie over de kwaliteit van dienstverlening en ontbreekt inzicht in structurele trends.
Een belangrijk inzicht was dat het ontbreken van een meetmethodiek leidt tot onduidelijkheid over de werkelijke beschikbaarheid van systemen en gegevens. Wanneer verstoringen niet consequent worden geregistreerd, ontstaat een vertekend beeld van de prestaties van de organisatie en haar leveranciers. Door een uniforme BIV-score te introduceren ontstaat een objectieve basis voor rapportages en besluitvorming.
Daarnaast bleek deze informatie bijzonder waardevol in gesprekken met leveranciers. Wanneer beschikbaarheid en verstoringen meetbaar worden gemaakt, kan veel beter worden vastgesteld of contractuele afspraken daadwerkelijk worden nagekomen. Dit maakt het mogelijk om gerichter in gesprek te gaan over verbetermaatregelen, aanvullende investeringen of het aanpassen van bestaande dienstverleningsovereenkomsten.
Ook werd zichtbaar dat een eenvoudige registratievorm de kwaliteit van de gegevens aanzienlijk verbetert. Omdat niet voor iedere melding een uitgebreid incidentproces hoeft te worden opgestart, worden afwijkingen sneller geregistreerd en ontstaat een vollediger beeld van de werkelijke situatie. Hierdoor worden trends vroegtijdig zichtbaar en kunnen problemen worden aangepakt voordat zij uitgroeien tot grotere verstoringen.
Tot slot heeft deze aanpak geleid tot een waardevolle combinatie van informatiebeveiliging, kwaliteitsmanagement en managementrapportage. Door beschikbaarheid, integriteit en vertrouwelijkheid periodiek inzichtelijk te maken ontstaat een krachtig stuurinstrument waarmee zowel operationele teams als directie kunnen beoordelen of de organisatie haar beveiligingsdoelstellingen daadwerkelijk realiseert.
Of het nu gaat om informatiebeveiliging, teamontwikkeling, projectleiding of technologie: ik geloof dat de beste oplossingen ontstaan door samen het gesprek aan te gaan. Ik maak graag tijd vrij voor een kennismaking.