Het informatiebeveiligingsbeleid herzien doe je minimaal eens per jaar, en daarnaast bij elke aanleiding die iets verandert aan je risico’s of verantwoordelijkheden. Vaststellen doet de directie of het bestuur, niet de security officer. In GAP-analyses zien wij vooral beleid dat ooit is opgesteld en daarna nooit meer is aangeraakt, of dat al maanden in concept staat.
Kernpunten
- Het informatiebeveiligingsbeleid herzien doe je minimaal jaarlijks. Een incident, een nieuwe wet of een nieuw kernsysteem is een reden om eerder te kijken.
- De directie stelt het beleid vast. Dat mandaat ligt bij niemand anders, ook niet bij een externe adviseur.
- Beleid dat in concept staat of jaren oud is, telt bij een audit niet als onderdeel van een werkend systeem.
- Wie al ISO 9001 heeft, hangt het beleid aan de bestaande jaarcyclus. Wie dat niet heeft, bouwt een kleine jaarkalender.
Hoe vaak herzie je het informatiebeveiligingsbeleid?
Minimaal jaarlijks. Dat is de ondergrens die auditors hanteren en die wij ook adviseren, in dezelfde cyclus als de directiebeoordeling en de jaarlijkse risicobeoordeling. Die drie horen bij elkaar: de risicobeoordeling laat zien wat er is veranderd, de directiebeoordeling weegt of de doelen en de maatregelen nog kloppen, en het beleid legt vast wat daaruit volgt.
Daarnaast herzie je tussentijds bij een aanleiding. Een serieus incident. Een wet die van toepassing wordt, zoals de Cyberbeveiligingswet, die het bestuur expliciet verantwoordelijk maakt. Een overname of een nieuwe vestiging. Een nieuw kernsysteem of een wissel van IT-partner. Een wijziging in wie waarvoor verantwoordelijk is. In de eerste periode na het opstellen is het bovendien verstandig om vaker te kijken, elk kwartaal bijvoorbeeld, omdat dan blijkt wat op papier werkte en in de praktijk niet.
Herzien betekent niet herschrijven. Meestal is de uitkomst dat het beleid nog klopt, met een paar aanpassingen in verantwoordelijkheden of verwijzingen. De waarde zit in het aantoonbare moment: iemand heeft gekeken, het is besproken, en er staat een nieuwe datum en een nieuwe versie op.
Wie stelt het beleid vast?
De directie of het bestuur. Het informatiebeveiligingsbeleid is het enige document in een managementsysteem voor informatiebeveiliging waarvoor dat mandaat niet lager mag liggen. De reden is simpel: het beleid legt vast wie verantwoordelijk is, hoeveel risico de organisatie accepteert en wat er van medewerkers wordt verwacht. Dat kan een security officer niet namens de organisatie beslissen, en een externe adviseur al helemaal niet.
Voor de documenten onder het beleid ligt het anders. Procedures en werkinstructies, zoals het toegangsbeleid of de back-upprocedure, mogen worden vastgesteld door de eigenaar van het proces. Dat is ook praktisch: die documenten veranderen vaker, en je wilt niet voor elke aanpassing terug naar de directie. Hoe je die lagen uit elkaar houdt, staat in het artikel over het informatiebeveiligingsbeleid opstellen.
In organisaties waar de directie gewend is beleid vast te stellen, zien we een werkende routine: de directie leest het stuk, stelt vragen, het wordt aangepast en daarna gepubliceerd op het intranet. Dat is precies wat een auditor wil zien, mits het ook voor informatiebeveiliging gebeurt en niet alleen voor het personeelshandboek.
Wat we in de praktijk zien
Het informatiebeveiligingsbeleid herzien staat zelden op een kalender. Wat wij in GAP-analyses aantreffen, komt steeds op hetzelfde neer:
- Het beleid is opgesteld en daarna losgelaten. De datum op het document ligt twee jaar terug. Inhoudelijk is het vaak nog goed, maar niemand kan aantonen dat het sindsdien is beoordeeld.
- Het staat nog in concept. Geschreven, intern besproken, nooit formeel vastgesteld. Soms al maanden. Een beleid zonder vaststelling is een voornemen.
- Reviewen gebeurt wel, maar staat nergens. Een proceseigenaar beoordeelt zijn eigen documenten periodiek, maar er is geen afspraak dat het moet, en de directie weet het niet. Zonder vastlegging bestaat die review voor een auditor niet.
- De directiebeoordeling bestaat voor kwaliteit, niet voor informatiebeveiliging. Organisaties met ISO 9001 doen jaarlijks een directiebeoordeling, maar informatiebeveiliging komt er niet in voor, of alleen als IT-onderwerp.
- Er zijn geen doelen. Zonder meetbare doelstellingen is er bij de herziening niets om tegen af te zetten, en wordt het een formaliteit.
Het patroon is steeds hetzelfde: de organisatie doet meer dan ze kan aantonen. Het ontbreekt niet aan aandacht, maar aan een vast moment en een vastgelegde uitkomst.
Zo borg je de cyclus
Een werkende herzieningscyclus is klein en saai, en dat is de bedoeling. De stappen:
- Zet het op de jaarkalender. Eén document, of één tabblad in de planning die er al is, met daarin wanneer je het informatiebeveiligingsbeleid herzien gaat, wanneer de risicobeoordeling plaatsvindt, wanneer de directiebeoordeling is en wanneer de interne audit wordt gedaan.
- Benoem per document een eigenaar en een vaststeller. Voor het beleid is de vaststeller de directie. Voor procedures is dat de proceseigenaar.
- Gebruik wat je al hebt. Heb je ISO 9001, dan bestaan documentbeheer, directiebeoordeling en het verbeterregister al. Neem informatiebeveiliging daarin op in plaats van een tweede systeem ernaast te bouwen. Afwijkingen en verbeterpunten gaan in hetzelfde register.
- Leg de uitkomst vast. Een regel in het verslag van de directiebeoordeling is genoeg: beleid beoordeeld, deze wijzigingen, vastgesteld door, op deze datum. Zet versie en datum op het document zelf.
- Maak het bekend. Een herzien beleid dat alleen de directie en de IT-manager kennen, is niet ingevoerd. Een korte melding aan medewerkers, met de belangrijkste wijziging, is voldoende.
- Koppel het aan je doelen. Stel bij de vaststelling een paar meetbare doelen voor het komende jaar vast. Dan heeft de volgende herziening iets om tegen af te zetten.
Wat een auditor wil zien
Niet een dik beleid, en ook niet een verslag van hoe grondig je het informatiebeveiligingsbeleid herzien hebt, maar bewijs van een cyclus: een datum en versie op het document, een besluit van de directie, een verslag waaruit blijkt dat het beleid is besproken, en een kalender waaruit blijkt dat het volgend jaar weer gebeurt. Dat is wat aantoonbaarheid in de praktijk betekent.
Wil je weten of jouw beleid en de cyclus eromheen die toets doorstaan? In een GAP-analyse lopen we onder meer langs wie het beleid heeft vastgesteld, wanneer het voor het laatst is herzien en of de directiebeoordeling informatiebeveiliging dekt.
Veelgestelde vragen
Hoe vaak moet je het informatiebeveiligingsbeleid herzien?
Minimaal eens per jaar, en daarnaast bij een aanleiding: een incident, een nieuwe wet, een overname, een nieuw kernsysteem of een verandering in wie waarvoor verantwoordelijk is. De jaarlijkse herziening valt het best samen met de directiebeoordeling en de risicobeoordeling.
Wie stelt het informatiebeveiligingsbeleid vast?
De directie of het bestuur. Het is het enige document in een managementsysteem voor informatiebeveiliging dat niet aan een security officer of IT-manager mag worden gemandateerd, omdat het de verantwoordelijkheden en de risicobereidheid van de organisatie vastlegt. Onderliggende procedures mogen wel door een proceseigenaar worden vastgesteld.
Telt een beleid dat al twee jaar niet is herzien nog mee?
Bij een audit nauwelijks. Een auditor leest de datum en de versie, en vraagt wanneer het voor het laatst is beoordeeld en door wie. Is het antwoord “sinds het opstellen niet”, dan is het beleid voor hem een momentopname, geen onderdeel van een werkend systeem.
Wij hebben al ISO 9001. Kunnen we de bestaande cyclus gebruiken?
Ja, en dat is ook verstandig. Documentbeheer, de directiebeoordeling, de interne audit en het verbeterregister van het kwaliteitssysteem zijn herbruikbaar. Voorwaarde is dat informatiebeveiliging er expliciet in wordt opgenomen, met het beleid op de reviewkalender en de directie als vaststeller.
