Aantoonbaarheid is waar veel organisaties stranden, zelfs als hun maatregelen goed werken. In onze GAP-analyses zien we regelmatig een organisatie die zijn back-ups test, zijn rechten beheert en zijn systemen bijhoudt, en die toch niet voldoet. Niet omdat er iets misgaat, maar omdat niets ervan te laten zien is.
Kort samengevat
- Een maatregel die werkt maar niet is vastgelegd, telt voor een auditor niet.
- Voor de Cyberbeveiligingswet bestaat geen certificaat: je moet zelf aantonen dat je voldoet.
- Een audit kijkt naar drie lagen: beleid, procedure en bewijs uit de praktijk.
- Bewijs onderweg vastleggen kost minder dan het achteraf bij elkaar zoeken.
Werken is niet hetzelfde als aantonen
Een voorbeeld dat het verschil scherp maakt. In een van de gesprekken vertelde een IT-verantwoordelijke over de back-upinrichting. Elke nacht een back-up, en ’s ochtends een controle of die gelukt is. Er was zelfs al eens een herstel nodig geweest, en dat had gewerkt. Een goed ingerichte, geteste back-up dus.
De vervolgvraag was: staat het op papier? Het antwoord was nee.
Dat is aantoonbaarheid in één zin. De maatregel deugde. Het herstel was zelfs in de praktijk bewezen. Maar er was geen beleid dat zei wat er moest gebeuren, geen procedure die beschreef hoe, en geen verslag van de hersteltest. Voor een auditor is er dan niets te toetsen.
Bij de Cyberbeveiligingswet weegt het nog zwaarder
Bij ISO 27001 komt er een auditor langs, en als je voldoet, krijg je een certificaat. Bij de Cyberbeveiligingswet werkt het anders, en dat wordt vaak onderschat.
Zoals een van onze adviseurs het in een gesprek uitlegde: je kunt je niet laten certificeren tegen de Cyberbeveiligingswet. Er komt geen auditor langs die je een certificaat geeft. Je moet voldoen, en je moet dat zelf kunnen aantonen. Hoe het toezicht eruitziet, hangt af van wat voor soort organisatie je onder de wet bent.
Dat maakt aantoonbaarheid geen bijzaak maar de kern. Er is geen moment waarop iemand anders voor je vaststelt dat het goed zit. Als de toezichthouder vraagt hoe je aan je zorgplicht voldoet, is je eigen dossier het enige antwoord dat je hebt.
De drie lagen waar een audit naar kijkt
Een GAP-analyse, en een audit, toetst eigenlijk op drie lagen tegelijk. Per onderwerp de vraag of ze alle drie aanwezig zijn:
- Het beleid: is er vastgelegd wat de organisatie wil bereiken en wie waarvoor verantwoordelijk is?
- De procedure: is beschreven hoe het in de praktijk wordt uitgevoerd?
- Het bewijs: is te zien dat het ook werkelijk zo gaat?
Organisaties hebben vaak de middelste laag in hun hoofd, soms de eerste op papier, en zelden de derde. Terwijl juist die derde het verschil maakt. Een procedure beschrijft hoe iets hoort te gaan; bewijs laat zien dat het zo is gegaan.
Wat telt als bewijs
Bewijs hoeft niet ingewikkeld te zijn. Het gaat erom dat het achteraf te controleren is:
- Een verslag van een test: de hersteltest van je back-up, met wat je terugzette en of het werkte.
- Een logboek: wie wanneer welke rechten kreeg of verloor.
- Een getekend formulier: een geheimhoudingsverklaring, een bruikleenovereenkomst.
- Een bewijs van deelname: bij een directietraining bijvoorbeeld een certificaat, zodat je kunt laten zien wie van het bestuur de training heeft gevolgd.
- Notulen of een vastlegging van een besluit: dat het management het beleid heeft goedgekeurd.
Bewijs dat je niet kunt vinden
Een derde valkuil, minder bekend: het bewijs bestaat wel, maar niemand kan het vinden. De interne audit is uitgevoerd, maar “dat staat waarschijnlijk op SharePoint”. De logs zijn er, maar bij de leverancier, en of je erbij kunt is niet afgesproken.
In een risicobeoordeling werd het als apart risico benoemd: dat de organisatie bepaalde bewijsstukken of logs niet zou kunnen terugvinden als het nodig is. Bewijs dat je op het moment suprême niet boven water krijgt, is in de praktijk geen bewijs.
Hoe je aantoonbaarheid inbouwt
Het meeste bewijs ontstaat vanzelf, als je het vastleggen onderdeel maakt van het werk. Een paar uitgangspunten:
- Leg vast terwijl je het doet, niet achteraf. Een test die je toch uitvoert, documenteer je meteen.
- Eén vaste plek voor bewijs, die meer mensen dan één kennen.
- Neem bewijs op in je procedures: elke procedure eindigt met wat je bewaart als je hem hebt uitgevoerd.
- Maak afspraken met leveranciers over het bewijs dat zij voor je bewaren, zoals logs en testverslagen.
Waar sta je nu met je aantoonbaarheid? In een GAP-analyse toetsen we per onderwerp alle drie de lagen, en laten we zien waar de maatregel er wel is maar het bewijs ontbreekt.
Veelgestelde vragen
Wat betekent aantoonbaarheid in informatiebeveiliging?
Dat je niet alleen maatregelen neemt, maar ook kunt laten zien dát je ze neemt en dat ze werken. Een maatregel die werkt maar nergens is vastgelegd, bestaat voor een auditor of toezichthouder niet, omdat hij niet kan worden getoetst.
Kun je je laten certificeren voor de Cyberbeveiligingswet?
Nee. Anders dan bij ISO 27001 is er geen certificaat dat je kunt behalen. Je moet aan de eisen voldoen en dat zelf kunnen aantonen, en de vorm van het toezicht hangt af van wat voor soort organisatie je onder de wet bent. Daardoor weegt aantoonbaarheid juist zwaarder.
Wat is het verschil tussen een procedure en bewijs?
Een procedure beschrijft hoe iets hoort te gaan. Bewijs laat zien dat het ook zo is gegaan: een logboek, een getekend formulier, een verslag van een test. Een auditor kijkt naar beide, en het tweede ontbreekt veel vaker dan het eerste.
Hoe verzamel je bewijs zonder er veel extra werk van te maken?
Door het vastleggen onderdeel te maken van het werk zelf. Een hersteltest die je toch uitvoert, leg je meteen vast. Een toegangsreview die je toch doet, sla je op. Bewijs achteraf bij elkaar zoeken kost veel meer tijd dan het onderweg bewaren.
