Een informatiebeveiligingsbeleid opstellen begint zelden bij nul. In vrijwel elke GAP-analyse die wij uitvoeren blijkt dat de maatregelen al bestaan, maar dat niemand ze heeft opgeschreven. Het werk zit dus niet in bedenken wat je moet doen, maar in vastleggen wat je al doet en zichtbaar maken wat ontbreekt.
In het kort
- De meeste organisaties doen al veel; het ontbreekt aan vastlegging, niet aan maatregelen.
- Het grootste gat is zelden een ontbrekend document maar een ontbrekende koppeling tussen documenten.
- Beleid dat nog in concept staat, telt bij een audit niet mee, hoe goed het ook geschreven is.
- Begin met inventariseren, niet met schrijven.
Waarom “we doen het wel” niet genoeg is
Er is één zin die in dit werk vaker valt dan welke andere ook: “We doen het wel, we hebben het alleen niet gedocumenteerd.” Soms letterlijk, vaker in een variant ervan. De procedure bestaat, iedereen in het team kent hem, hij werkt al jaren naar behoren, en er is nooit iemand geweest die hem opschreef.
Dat is geen slordigheid. Een organisatie die groeit, bouwt werkwijzen op die werken zolang de mensen die ze bedachten er nog zijn. Pas als er een norm, een klant of een wet langskomt die vraagt om bewijs, blijkt dat er niets is om te laten zien.
Voor een auditor bestaat een maatregel die niet is vastgelegd eenvoudigweg niet. Niet omdat hij je niet gelooft, maar omdat hij niet kan toetsen of de maatregel morgen nog zo wordt uitgevoerd als iemand anders het werk overneemt.
Wat er in de praktijk ontbreekt
Als wij een informatiebeveiligingsbeleid opstellen voor een organisatie die al jaren draait, komen steeds dezelfde gaten terug. Niet de gaten die je zou verwachten.
Het beleid is er, maar het is het enige document. Er ligt een informatiebeveiligingsbeleid van een paar pagina’s, en daaronder niets. Geen toegangsbeleid, geen procedure voor het classificeren van informatie, geen afspraken over bedrijfsmiddelen. Het beleid belooft iets wat nergens wordt uitgewerkt.
De koppeling tussen documenten ontbreekt. Dit is het meest onderschatte gat. Er is een disciplinaire procedure. Er is een sanctiebeleid. Er is een informatiebeveiligingsbeleid. Maar nergens staat dat het schenden van het ene leidt tot het andere. Elk document klopt op zichzelf, en samen vormen ze geen keten.
Het document staat nog in concept. Geschreven, inhoudelijk prima, nooit goedgekeurd door het management. Soms al maanden. Een beleid zonder vaststelling is een voornemen.
Er zijn geen doelen. Op de vraag of er meetbare doelstellingen zijn voor informatiebeveiliging is het antwoord vaak dat die er nog niet zijn. Zonder doelen is er ook niets om jaarlijks tegen af te zetten, en dan wordt de directiebeoordeling een formaliteit.
Helpt het als je al ISO 9001 hebt?
Ja, en minder dan je denkt.
Wat je hergebruikt: documentbeheer met versienummers en revisiedata, de directiebeoordeling, de interne auditcyclus, en het mechanisme om afwijkingen vast te leggen. Dat is echte winst, want juist die beheerprocessen kosten tijd om op te zetten.
Wat je onderschat: de documentatielast ligt hoger. Waar ISO 9001 vraagt dat je je proces beschrijft, vraagt ISO 27001 bovendien dat je per maatregel kunt aantonen dát hij werkt. Er horen meer bewijsstukken bij, je moet van meer dingen records bijhouden, en de audits gaan dieper.
Organisaties die vanuit 9001 beginnen, starten dus met een voorsprong op de vorm en een achterstand op het bewijs.
Hoe je het aanpakt
Wie bij informatiebeveiligingsbeleid opstellen vooral aan schrijfwerk denkt, begint aan de verkeerde kant. De volgorde die werkt:
- Inventariseer eerst. Loop langs wat je feitelijk doet en schrijf het op zoals het gaat, niet zoals het hoort. Dit levert vrijwel altijd meer op dan verwacht.
- Markeer de gaten. Wat je opschrijft en wat je niet kunt opschrijven, vormt samen je werklijst.
- Scheid beleid van uitwerking. Het beleid geeft richting en wijst verantwoordelijkheid aan. Procedures en werkinstructies komen eronder, in losse documenten die je kunt wijzigen zonder opnieuw naar de directie te hoeven.
- Leg de koppelingen expliciet. Verwijs vanuit het beleid naar de onderliggende documenten en terug. Dat is het verschil tussen een stapel papier en een systeem.
- Laat het vaststellen. Versienummer, datum, goedkeuring, en een afspraak over wanneer het wordt herzien.
- Maak het bekend. Een beleid dat alleen de directie en de IT-manager kennen, is niet ingevoerd.
Het informatiebeveiligingsbeleid opstellen is daarmee vooral een kwestie van zichtbaar maken. Wil je weten waar je nu staat voordat je begint met schrijven? In een GAP-analyse lopen we langs de eisen en leggen we vast wat er al is, wat er ontbreekt en wat alleen nog op papier moet.
Veelgestelde vragen
Waar begin je met een informatiebeveiligingsbeleid opstellen?
Niet bij een leeg document, maar bij een inventarisatie van wat je al doet. In vrijwel elke GAP-analyse blijkt dat de meeste maatregelen al bestaan en alleen nergens zijn vastgelegd. Begin dus met opschrijven wat er is, en vul daarna de gaten.
Hoe lang moet een informatiebeveiligingsbeleid zijn?
Kort genoeg om gelezen te worden. Het beleid geeft richting en wijst verantwoordelijkheden aan; het hoort geen handleiding te zijn. Werkinstructies en procedures horen in aparte documenten die je vaker kunt wijzigen zonder opnieuw directiegoedkeuring te vragen.
Wij hebben al ISO 9001. Scheelt dat?
Ja, maar minder dan je hoopt. Documentbeheer, directiebeoordeling en interne audit kun je hergebruiken. De documentatielast van ISO 27001 ligt wel hoger: er horen meer vastgelegde bewijsstukken bij en de audits gaan dieper.
Wanneer telt beleid als vastgesteld?
Als het is goedgekeurd door het hoogste verantwoordelijke niveau, een versienummer en revisiedatum draagt, en bekend is bij de mensen die het moeten naleven. Een document dat in concept op een gedeelde schijf staat, telt bij een audit niet mee.
