- Een strategie bepaalt welke beveiligingsdoelstellingen de organisatie nastreeft, hoeveel risico het management bereid is te accepteren en waar de investeringen naartoe gaan. Een roadmap zet die beslissingen om in concrete initiatieven met verantwoordelijken, middelen en deadlines. U hebt beide nodig.
- De strategie is bedrijfsgestuurd en technisch onderbouwd. Het management blijft verantwoordelijk voor de risicobeslissingen daarin; de CISO of de beveiligingsverantwoordelijke coördineert en onderhoudt deze doorgaans.
- Risicobereidheid geeft de algemene richting aan. Risicotolerantie vertaalt dit naar meetbare grenzen, zoals de maximaal aanvaardbare uitvaltijd voor een specifieke dienst.
- Baseer de strategie op de risico's die het belangrijkst zijn, maar pak ernstige risico's waarvan u al op de hoogte bent direct aan, zonder te wachten op een volledige risicobeoordeling.
- Een praktische strategie omvat de bedrijfscontext, risicobereidheid en -tolerantie, de huidige en beoogde beveiligingsstatus, doelstellingen, leidende principes, governance en financiering, en metingen.
Strategie versus roadmap: wat elk van beide bepaalt
Veel organisaties die om een cyberbeveiligingsstrategie vragen, willen in feite een roadmap: een lijst met prioriteiten van zaken die moeten worden aangepakt. Een roadmap is nuttig, maar biedt een antwoord op een andere vraag.
Een strategie is een document waarin de zakelijke koers wordt vastgelegd, gebaseerd op de risico's en technologische behoeften van de organisatie. Hierin worden de beveiligingsdoelstellingen vastgelegd die de organisatie wil bereiken, het risiconiveau dat zij bereid is te accepteren en haar investeringsprioriteiten. Het kan technische inhoud bevatten, zoals architectuurprincipes of de capaciteiten die de organisatie moet opbouwen. Wat een strategie onderscheidt van een roadmap, is het niveau van de beslissingen die erin worden vastgelegd.
Een roadmap zet die beslissingen om in initiatieven, verantwoordelijken, middelen en deadlines, en houdt de voortgang bij. Het beveiligings- of IT-team zorgt doorgaans voor de dagelijkse uitvoering ervan.
Een roadmap zonder strategie is een verzameling goede ideeën die met elkaar strijden om budget, zonder dat er een basis is om een keuze te maken. Een strategie zonder roadmap beschrijft waar u wilt zijn, maar laat u daar achter.
Wie is verantwoordelijk voor de strategie en keurt deze goed?
De strategie dient te worden goedgekeurd door de raad van bestuur of door het bestuursorgaan dat daartoe bevoegd is, afhankelijk van de structuur van uw organisatie en de wettelijke verplichtingen. De CISO of de beveiligingsverantwoordelijke kan de voorbereiding en uitvoering ervan coördineren, maar beslissingen over risicobereidheid, prioriteiten en investeringen blijven bij het management. NIST CSF 2.0 omschrijft dit als de verantwoordelijkheid en aansprakelijkheid van het management voor cyberbeveiligingsrisico's (GV.RR-01).
Sommige gereguleerde organisaties hebben te maken met meer specifieke regels. DORA (Verordening (EU) 2022/2554, artikel 5) legt de algemene verantwoordelijkheid voor het vaststellen en goedkeuren van de strategie voor digitale operationele veerkracht bij het bestuursorgaan van een financiële instelling die onder het toepassingsgebied valt.
Baseer het op risico's, zonder te wachten tot alles perfect is
Een strategie die is opgesteld zonder inzicht in bedrijfsrisico's en technologische afhankelijkheden, zal waarschijnlijk niet werken. De risicobeoordeling geeft u inzicht in welke bedrijfsmiddelen u bezit, welke bedreigingen daarop van toepassing zijn, welke zwakke punten er in uw beveiliging bestaan en welke gevolgen een incident zou kunnen hebben.
Strategie en beoordeling versterken elkaar. Bedrijfsdoelstellingen en kritieke diensten geven vorm aan de beoordeling; de bevindingen daarvan bepalen de strategische prioriteiten; de risicobereidheid van het management bepaalt hoe met die risico's wordt omgegaan; en latere beoordelingen kunnen de strategie bijsturen. U kunt de beoordeling parallel aan de strategische planning ontwikkelen en verfijnen. Ernstige risico's waarvan u al op de hoogte bent, zoals een via het internet toegankelijke dienst voor externe toegang zonder MFA, moeten zo spoedig mogelijk worden aangepakt, zonder te wachten tot het gehele proces is afgerond.
Zodra u over een beoordeling beschikt, moet u de strategie hieraan koppelen: elke strategische doelstelling moet terug te voeren zijn op een risicocategorie die in de beoordeling is geïdentificeerd.
Risicobereidheid geeft het algemene standpunt van de organisatie weer ten aanzien van de risico's die zij bereid is te nemen. Risicotolerantie vertaalt dat standpunt naar meer specifieke limieten, zoals de maximaal aanvaardbare uitvaltijd, financiële blootstelling of niveaus van geprivilegieerde toegang. De verantwoordelijke leidinggevenden dienen deze limieten goed te keuren en deze te gebruiken om prioriteiten te stellen bij investeringen. NIST CSF 2.0 behandelt beide onder GV.RM-02.
| Concept | Illustratieve verklaring |
|---|---|
| Risicobereidheid | Wij hebben een lage risicobereidheid ten aanzien van verstoringen van kritieke diensten die rechtstreeks op de klant zijn gericht. |
| Risicotolerantie | De goedgekeurde hersteldoelstelling voor een specifieke kritieke dienst bedraagt maximaal vier uur, op basis van de beoordeling van de zakelijke impact. |
| Operationele maatregel | Hersteltests tonen aan of die doelstelling daadwerkelijk kan worden gehaald. |
Dit zijn illustratieve managementbeslissingen, geen door NIST vastgestelde drempels.
Wat een cyberbeveiligingsstrategie inhoudt
Vier componenten vormen de kern van een strategie: risicobereidheid, doelstellingen, leidende principes en meting. Drie andere componenten bieden de context die verklaart waarom die beslissingen zijn genomen. Een kleiner bedrijf kan alle zeven componenten behandelen in een kort, door het management goedgekeurd plan in plaats van in een lang, formeel document.
1. Bedrijfscontext en kritieke diensten
Breng de bedrijfsactiviteiten, klanten en afhankelijkheden in kaart die de strategie moet beschermen, evenals de van toepassing zijnde wettelijke en contractuele verplichtingen, zoals de AVG, NIS2 (voor zover van toepassing) en klantcontracten.
2. Risicobereidheid en risicotolerantie
Bepaal welke risico's de organisatie wel en welke zij niet zal aanvaarden, en waar de grenzen liggen. Deel dit in per risicocategorie: financieel verlies, blootstelling van gegevens, operationele verstoring, reputatieschade, gevolgen op het gebied van regelgeving. Vertaal vervolgens elke categorie naar tolerantieniveaus die specifiek genoeg zijn om als leidraad te dienen bij een daadwerkelijke besluitvorming.
Sommige sectoren hebben expliciete vereisten. Krachtens de DORA moet de strategie van een financiële instelling het ICT-risicotolerantieniveau vaststellen en de impacttoleranties voor ICT-verstoringen analyseren (artikel 6, lid 8), in overeenstemming met haar risicobereidheid. De waarden zijn afhankelijk van de instelling en de diensten die zij levert; de verordening schrijft geen uniform cijfer voor iedereen voor.
3. Huidige en beoogde beveiligingsstatus
Beschrijf waar de organisatie zich op dit moment bevindt en waar zij naartoe moet, zodat de verbetering duidelijk en meetbaar is. NIST CSF 2.0-organisatieprofielen bieden hiervoor een mogelijkheid: een huidig profiel, een streefprofiel en een plan met prioriteiten om de kloof tussen beide te dichten.
4. Strategische doelstellingen
Doelstellingen zijn de resultaten die met de strategie worden beoogd, geformuleerd in termen die het bedrijf kan evalueren. Enkele voorbeelden:
- In plaats van "patchbeheer verbeteren": kwetsbaarheden aanpakken binnen termijnen die zijn vastgesteld op basis van ernst, blootstelling en actieve uitbuiting. Bijvoorbeeld: 95% van de kritieke kwetsbaarheden wordt binnen de in het kwetsbaarheidsbeheerbeleid vastgestelde termijn aangepakt of gemitigeerd, waarbij actief uitgebuite kwetsbaarheden onmiddellijk worden geëscaleerd.
- In plaats van "personeel opleiden": het vermogen van medewerkers om phishing te herkennen en te melden verbeteren, gemeten aan de hand van het meldingspercentage voor verdachte berichten en de prestatieverbetering tijdens gecontroleerde oefeningen.
- In plaats van "alle leveranciers certificeren": de blootstelling aan incidenten die bij derden ontstaan verminderen, met minimale beveiligingseisen, risicobeoordeling en voortdurende monitoring voor kritieke leveranciers, in verhouding tot hun toegang, de gegevens die zij verwerken en het belang van hun diensten.
Het percentage van 95% is een illustratieve doelstelling die uw organisatie zou vaststellen, geen erkende benchmark. Een handvol doelstellingen is doorgaans gemakkelijker te financieren en te volgen dan een lange lijst; hoeveel u er nodig hebt, hangt af van de volwassenheid, omvang en complexiteit. Elke doelstelling moet gekoppeld zijn aan een risicocategorie uit de beoordeling, meetbaar zijn met een bestaande of te creëren maatstaf, haalbaar zijn binnen uw budget en personeelsbestand, en goedgekeurd zijn door het management, niet alleen door de beveiligingsafdeling.
5. Leidende beginselen
Beginselen zijn de regels die bepalend zijn voor beveiligingsbeslissingen in de leemtes tussen expliciete beleidsregels. Voorbeelden van nuttige uitgangspunten: 'least privilege' (gebruikers krijgen standaard de minimaal benodigde toegang); 'security by design' (nieuwe producten worden vóór de bouw aan een beveiligingsbeoordeling onderworpen, niet erna); 'third-party assurance' (leveranciers met toegang tot onze systemen voldoen vóór hun toelating aan minimale vereisten die in verhouding staan tot die toegang).
Beginselen moeten in de praktijk werken, ook wanneer de organisatie onder druk staat. Een beginsel dat bij de eerste deadline al zou worden losgelaten, hoort niet thuis in de strategie.
6. Bestuur, financiering en verantwoordelijkheid
Leg vast wie beslissingen neemt, wie betaalt en wie verslag uitbrengt over de voortgang. Controleer de aannames inzake middelen voordat de strategie ter goedkeuring wordt voorgelegd: een strategie die afhankelijk is van een budget of personeelsbezetting waarover nog geen overeenstemming is bereikt, zal niet worden uitgevoerd.
7. Metingen
Bepaal welke meetcijfers de voortgang ten opzichte van elke doelstelling weergeven, wie deze verzamelt en hoe vaak. Maak een onderscheid tussen bedrijfsresultaten en het aantal uitgevoerde activiteiten: "het percentage kritieke diensten waarvan het herstel is getest" zegt het management meer dan "het aantal uitgevoerde back-uptaken".
Kengetallen die het waard zijn om aan het management te rapporteren: de tijd die nodig is om incidenten op te sporen en erop te reageren; de dekking van kritieke controles (MFA, patching, logboekregistratie); het percentage kwetsbaarheden met een hoog risico dat binnen de afgesproken termijn is verholpen; veranderingen in het risicoregister in de loop van de tijd.
Hoe u uw strategie in zeven stappen opstelt
| Stap | Activiteit | Resultaat |
|---|---|---|
| 1 | Inzicht verkrijgen in bedrijfsdoelstellingen en kritieke diensten | Overzicht van kritieke diensten en hun onderlinge afhankelijkheden |
| 2 | Materiële risico's, bestaande beheersmaatregelen en verplichtingen beoordelen | Risicobeoordeling van de huidige situatie |
| 3 | Overeenstemming bereiken over risicobereidheid en meetbare toleranties | Goedgekeurde risicolimieten |
| 4 | Een beperkt aantal strategische doelstellingen vaststellen | Geprioriteerde strategische doelstellingen |
| 5 | Het bestuurskader, de principes en de verantwoordelijkheden vaststellen | Verantwoordelijkheid en besluitvormingskader |
| 6 | Indicatoren, financiering en beoogde capaciteiten vaststellen | Goedgekeurde strategie |
| 7 | De hiaten omzetten in een gefinancierde roadmap | Geprioriteerde acties met verantwoordelijken en deadlines |
In de praktijk overlappen de stappen elkaar: u zult de risicobeoordeling herzien naarmate de doelstellingen vorm krijgen. Zie voor stap 7 onze gids voor het opstellen van een cybersecurity-roadmap.
Praktijkvoorbeeld: het herstellen van kritieke diensten
| Element | Voorbeeld |
|---|---|
| Bedrijfsprobleem | De organisatie is afhankelijk van verschillende kritieke diensten, maar heeft niet aangetoond dat zij deze binnen een aanvaardbare uitvaltijd kan herstellen. |
| Strategisch resultaat | Aantoonbaar herstelvermogen voor alle bedrijfskritische diensten binnen 18 maanden. |
| Beheersindicator | Percentage kritieke diensten met goedgekeurde hersteldoelstellingen en succesvol geteste herstelmaatregelen. |
| Initiatieven in de roadmap | Beoordeling van de bedrijfsimpact, in kaart brengen van serviceafhankelijkheden, verbeteringen aan back-ups, hersteloefeningen en hersteltests bij leveranciers. |
Dit voorbeeld dient ter illustratie. Het koppelt de strategie aan een bedrijfsrisico in plaats van aan een lijst met beveiligingsaankopen.
Hoe strategie en roadmap op elkaar aansluiten
| Strategie | Roadmap |
|---|---|
| Waarom en wat | Hoe en wanneer |
| Middellange termijn, vaak twee tot drie jaar, periodiek geëvalueerd | Initiatieven op kortere termijn, die regelmatig worden gevolgd |
| Primaire doelgroep: raad van bestuur en het senior management | Beveiligings-, IT- en uitvoeringsteams |
| Een beperkt aantal strategische doelstellingen | Initiatieven geprioriteerd op basis van capaciteit en risico |
| Geleid door risicobereidheid en risicotolerantie | Geleid door de strategische doelstellingen |
| Wordt formeel geactualiseerd, vaak jaarlijks of na ingrijpende veranderingen | Aangepast naarmate de initiatieven vorderen |
Het aantal doelstellingen en initiatieven hangt af van de volwassenheid, omvang en complexiteit van de organisatie. Een klein bedrijf kan werken met drie doelstellingen en zes initiatieven; een grote groep kan meerdere programma's uitvoeren met tientallen werkstromen.
Veelvoorkomende strategische fouten
Een raamwerk verwarren met een strategie. Het invoeren van ISO 27001 of het NIST CSF is een implementatiebeslissing. "Wij zullen de ISO 27001-certificering behalen" is een mijlpaal in de roadmap. "Wij zullen onze blootstelling aan incidenten die bij kritieke leveranciers ontstaan, verminderen" is een strategische doelstelling.
Een strategie opstellen voor de auditor, niet voor het bedrijf. Een strategie die uitsluitend is opgesteld om aan een compliance-vereiste te voldoen, zal bij budgetbeslissingen niet de prioriteit krijgen die nodig is wanneer deze concurreert met activiteiten die inkomsten genereren.
Doelen stellen zonder het budget te controleren. Een strategie die een toename van 40% van het beveiligingspersoneel vereist en die door niemand is goedgekeurd, zal niet worden uitgevoerd. Controleer de aannames inzake middelen voordat de strategie ter goedkeuring wordt voorgelegd.
Geen verantwoordingsplicht. Elke strategische doelstelling heeft een duidelijk aangewezen verantwoordelijke nodig, met de bevoegdheid om op te treden en de steun van de betrokken teams.
Hoe lang een strategie geldig blijft en hoe vaak deze moet worden herzien
Veel organisaties werken met een middellange termijn, vaak twee tot drie jaar, maar er is geen vaste regel voor de duur. Het is nuttig om vier ritmes te onderscheiden:
- Toezicht door het management op wezenlijke risico's en prestaties, volgens een overeengekomen periodiek schema
- Rapportage over de roadmap en corrigerende maatregelen, maandelijks of vaker indien nodig
- Buitengewone escalatie na een ernstig incident, een wijziging in de regelgeving of een wezenlijke toename van het risico
- Formele strategische herziening, vaak jaarlijks of na een ingrijpende verandering, zoals een fusie of een overstap naar een nieuwe sector
Controleer bij elke herziening of de risicobereidheid en -toleranties nog steeds van toepassing zijn. Indien de organisatie is gegroeid, van sector is veranderd of nieuwe wettelijke verplichtingen op zich heeft genomen, moeten ze daarin meegaan.
Ryland levert al meer dan twintig jaar programma's op het gebied van cyberbeveiliging, compliance en IT-beheer voor gereguleerde organisaties in het Verenigd Koninkrijk en Nederland. Bekijk volledig profiel