De situatie
Een ISO 27001-certificering is een doel dat zich makkelijk laat verwarren met het echte doel. Je kunt een certificaat halen met een goed projectteam, een set documenten en een strak georganiseerde auditweek. Een jaar later komt de surveillance-audit, en dan blijkt of de organisatie het heeft overgenomen of dat het projectteam het alleen heeft opgeschreven.
De opdracht was het informatiebeveiligingsprogramma bij een verzekeringsintermediair: vier parallelle werkstromen, met het managementteam, proceseigenaren en externe auditors. Daarnaast lag er DORA, dat voor financiële partijen eisen stelt aan digitale weerbaarheid en aan de afspraken met kritieke leveranciers.
Wat ik heb gedaan
De werkstromen zijn zo ingericht dat elke maatregel een proceseigenaar had binnen de lijn, niet binnen het programma. Dat is trager in de aanloop en het scheelt discussie in de auditweek, maar vooral: het is het verschil tussen beleid dat bestaat en beleid dat wordt uitgevoerd.
Beveiligings- en privacybeleid is geborgd op drie plekken waar het zichtbaar blijft: in de processen zelf, in de autorisaties, en in de afspraken met leveranciers. Een maatregel die alleen in een beleidsdocument staat, is bij de volgende audit een gesprek. Een maatregel die in een autorisatiematrix zit, is een feit.
Voor DORA is een complianceprogramma opgezet, met de contractuele kant richting kritieke leveranciers als vast onderdeel.
Uitkomst
Wat het opleverde
De ISO 27001-certificering is behaald en de surveillance-audit het jaar erna is succesvol doorlopen. Dat tweede moment zegt meer dan het eerste: het betekent dat het beheersysteem is blijven draaien nadat het programma was afgerond.
Wat ik meeneem
Vraag bij elke maatregel wie hem uitvoert als het programma er niet meer is. Kun je die vraag niet beantwoorden, dan heb je een document en geen maatregel. Ik ben geen gecertificeerd Lead Implementer; wat ik heb, is de praktijk van een programma dat twee audits heeft doorstaan.
