Informatiebeveiliging en privacy zijn een bestuursvraagstuk

In veel organisaties is informatiebeveiliging de taak van de CISO en privacy de taak van de functionaris gegevensbescherming. Het bestuur krijgt eens per jaar een rapportage, stelt wat vragen en gaat over tot de orde van de dag. Tot er een datalek is, een ransomware-aanval of een kritisch rapport van de toezichthouder. Dan blijkt ineens dat het bestuur verantwoordelijk is, en dat het weinig zicht had op de risico’s.

In dit artikel beschrijf ik waarom informatiebeveiliging en privacy een bestuursvraagstuk zijn, wat onderzoek zegt over wat werkt, en welke vijf bouwstenen ik gebruik bij het inrichten van governance voor informatiebeveiliging en privacy.

Waarom dit een bestuursvraagstuk is

De Algemene verordening gegevensbescherming (AVG) legt de verantwoordelijkheid voor de bescherming van persoonsgegevens bij de verwerkingsverantwoordelijke: de organisatie zelf. Die moet niet alleen de regels naleven, maar ook kunnen aantonen dat zij dat doet. Dat heet de verantwoordingsplicht (artikel 5, lid 2). Daarnaast vraagt de AVG om gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25). Privacy moet dus al bij het ontwerp van processen en systemen worden meegenomen.

Voor de overheid geldt de Baseline Informatiebeveiliging Overheid (BIO). De BIO gaat uit van risicomanagement en legt de verantwoordelijkheid voor het beveiligingsniveau bij het management. De Europese NIS2-richtlijn gaat nog verder. Zij verplicht de bestuursorganen van essentiële en belangrijke entiteiten om de maatregelen voor cybersecurityrisico’s goed te keuren en toe te zien op de uitvoering. Bestuurders moeten bovendien zelf een opleiding volgen (artikel 20). In Nederland wordt deze richtlijn omgezet in de Cyberbeveiligingswet.

De lijn is duidelijk. Wetgever en normen zien informatiebeveiliging en privacy niet als technisch onderwerp, maar als onderdeel van goed bestuur.

Wat onderzoek zegt over wat werkt

Von Solms en Von Solms (2004) beschreven tien hoofdzonden van informatiebeveiligingsmanagement. De eerste: niet erkennen dat informatiebeveiliging een verantwoordelijkheid van het bestuur is. Andere zonden sluiten daarop aan, zoals beveiliging zien als een technische zaak, geen duidelijke organisatiestructuur inrichten en beleid opstellen zonder naleving te meten. Het artikel is ruim twintig jaar oud, maar de zonden zijn in veel organisaties nog herkenbaar.

Onderzoek naar gedrag van medewerkers laat zien dat beleid alleen niet genoeg is. Bulgurcu, Cavusoglu en Benbasat (2010) vonden dat de bereidheid om informatiebeveiligingsbeleid te volgen afhangt van de houding van medewerkers, van wat hun omgeving van hen verwacht en van het vertrouwen dat zij het kunnen. Bewustwording werkt vooral doordat zij verandert hoe medewerkers de voordelen en kosten van naleving inschatten.

Herath en Rao (2009) keken naar de rol van sancties en sociale druk. De kans dat een overtreding wordt opgemerkt, bleek belangrijker dan de zwaarte van de straf. Ook de norm in de omgeving en het gevoel dat eigen gedrag echt verschil maakt, droegen bij aan beter gedrag. Voor bestuurders betekent dit: het voorbeeldgedrag van de leiding en de zichtbaarheid van controle doen meer dan strenge regels op papier.

Vijf bouwstenen voor governance van informatiebeveiliging en privacy

1. Bestuurlijk eigenaarschap en risicobereidheid

Begin bij het bestuur. Wijs een bestuurder aan die portefeuillehouder is voor informatiebeveiliging en privacy. Laat het bestuur vaststellen hoeveel risico de organisatie wil en kan dragen. Welke systemen en gegevens zijn kritisch? Welke uitval is acceptabel, en voor hoe lang? Zo’n uitspraak over de risicobereidheid is het kompas voor alle keuzes daarna. Zonder dat kompas beslissen specialisten over risico’s die eigenlijk een bestuurlijke afweging vragen.

2. Heldere rollen in drie lijnen

Het drielijnenmodel van het Institute of Internal Auditors (IIA, 2020) helpt om rollen te ordenen. De eerste lijn is het lijnmanagement: proceseigenaren zijn verantwoordelijk voor de risico’s in hun eigen processen en systemen. De tweede lijn, met de CISO en de functionaris gegevensbescherming, adviseert, stelt kaders en houdt toezicht. De derde lijn, de interne of externe audit, toetst onafhankelijk of het geheel werkt.

Een veelvoorkomende fout is dat de tweede lijn het werk van de eerste lijn overneemt. De CISO gaat dan zelf maatregelen invoeren en wordt eigenaar van risico’s die bij de lijn horen. Dat voelt efficiënt, maar het haalt het eigenaarschap weg waar het hoort.

3. Inbedding in processen en projecten

Informatiebeveiliging en privacy zijn het goedkoopst als zij vanaf het begin worden meegenomen. Neem een risicoanalyse en, waar persoonsgegevens een rol spelen, een gegevensbeschermingseffectbeoordeling (DPIA, artikel 35 AVG) op in de standaardaanpak van projecten. Koppel die aan de architectuurtoets, zodat beveiligings- en privacy-eisen ontwerpeisen worden in plaats van een controle achteraf. Hoe u zo’n toets in de besluitvorming verankert, beschreef ik in Onder architectuur werken: zes succesfactoren.

4. Aandacht voor gedrag

Een jaarlijkse e-learning verandert weinig. Uit het onderzoek volgt dat gedrag verandert als medewerkers begrijpen waarom maatregelen nodig zijn, als zij zien dat collega’s en leidinggevenden zich eraan houden en als zij merken dat afwijkingen worden opgemerkt. Zorg dus voor uitleg die aansluit bij het eigen werk, voor zichtbaar voorbeeldgedrag van de leiding en voor controles die medewerkers kennen. Maak het daarnaast makkelijk om het goede te doen, bijvoorbeeld met veilige standaardinstellingen en een laagdrempelige manier om incidenten te melden.

5. Een vaste cyclus van meten en verantwoorden

ISO/IEC 27001 (2022) beschrijft informatiebeveiliging als een managementsysteem met een doorlopende cyclus van plannen, uitvoeren, controleren en verbeteren. Het bestuur speelt in die cyclus een vaste rol: het stelt doelen vast, beoordeelt de resultaten en neemt besluiten over verbeteringen.

Houd de rapportage aan het bestuur compact. Een handvol indicatoren zegt meer dan een dik rapport. Denk aan de belangrijkste risico’s en de voortgang op de maatregelen, het aantal en de aard van incidenten, de stand van DPIA’s bij nieuwe verwerkingen en de uitkomsten van audits. Gemeenten kunnen daarbij aansluiten op de verantwoordingscyclus die zij al kennen, zoals ENSIA.

Een praktische eerste stap

Wie niet weet waar te beginnen, kan starten met één bestuurlijk risicogesprek. Neem de vijf belangrijkste processen van de organisatie. Bespreek per proces welke informatie onmisbaar is, wat er gebeurt als die informatie een week niet beschikbaar is, en wat er gebeurt als zij op straat komt te liggen. Leg de uitkomsten vast als eerste versie van de risicobereidheid. Zo’n gesprek kost een ochtend en levert vaak meer inzicht op dan een jaar aan losse maatregelen.

Informatiebeveiliging en privacy staan niet los van verandering. Nieuwe maatregelen vragen ander gedrag, en dat vraagt draagvlak. Daarover schreef ik in Draagvlak creëren in projecten.

Checklist: is informatiebeveiliging bij u bestuurlijk verankerd?

Bouwsteen	Toetsvraag
Eigenaarschap	Is er een bestuurder die portefeuillehouder is voor informatiebeveiliging en privacy?
Risicobereidheid	Heeft het bestuur vastgesteld welke risico’s acceptabel zijn voor de kritische processen?
Rollen	Zijn proceseigenaren eigenaar van de risico’s in hun eigen processen?
Inbedding	Worden risicoanalyse en DPIA standaard uitgevoerd bij nieuwe projecten en verwerkingen?
Gedrag	Geeft de leiding zichtbaar het goede voorbeeld, en worden afwijkingen opgemerkt?
Cyclus	Bespreekt het bestuur minstens twee keer per jaar een compacte rapportage en neemt het daarover besluiten?

Veelgestelde vragen

Is de CISO verantwoordelijk voor informatiebeveiliging?

De CISO adviseert, stelt kaders op en houdt toezicht. De eindverantwoordelijkheid ligt bij het bestuur, en de verantwoordelijkheid voor risico’s in processen en systemen ligt bij de eigenaren van die processen. Wetgeving zoals de AVG en de NIS2-richtlijn wijst de leiding van de organisatie aan als verantwoordelijke.

Wat is het verschil tussen informatiebeveiliging en privacy?

Informatiebeveiliging gaat over de beschikbaarheid, integriteit en vertrouwelijkheid van alle informatie. Privacy gaat over de rechtmatige en zorgvuldige omgang met persoonsgegevens. Goede beveiliging is een voorwaarde voor privacy, maar privacy vraagt meer, zoals een grondslag voor de verwerking en respect voor de rechten van betrokkenen.

Wat betekent NIS2 voor bestuurders?

De NIS2-richtlijn verplicht bestuursorganen van essentiële en belangrijke entiteiten om maatregelen voor cybersecurityrisico’s goed te keuren, toe te zien op de uitvoering en zelf een opleiding te volgen. In Nederland wordt de richtlijn omgezet in de Cyberbeveiligingswet.

Bronnen

• Bulgurcu, B., Cavusoglu, H., & Benbasat, I. (2010). Information security policy compliance: An empirical study of rationality-based beliefs and information security awareness. MIS Quarterly, 34(3), 523–548.
• Herath, T., & Rao, H. R. (2009). Encouraging information security behaviors in organizations: Role of penalties, pressures and perceived effectiveness. Decision Support Systems, 47(2), 154–165.
• Institute of Internal Auditors. (2020). The IIA’s three lines model: An update of the three lines of defense. IIA.
• ISO/IEC. (2022). ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection: Information security management systems: Requirements. ISO.
• Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. (2019). Baseline Informatiebeveiliging Overheid (BIO).
• Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie (NIS2-richtlijn).
• Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 (Algemene verordening gegevensbescherming).
• Von Solms, B., & Von Solms, R. (2004). The 10 deadly sins of information security management. Computers & Security, 23(5), 371–376.