Een control is pas effectief als deze niet alleen op papier bestaat, maar ook echt werkt. Daarom wordt bij het beoordelen van controls gekeken naar drie onderdelen: opzet, bestaan en werking. Deze drie begrippen helpen om vast te stellen of een beveiligingsmaatregel voldoende is ingericht en in de praktijk ook doet wat ervan verwacht wordt.
1
Opzet
Is de beveiligingsmaatregel vastgelegd in beleid?
Bij opzet kijk je naar de inrichting van de control: is de maatregel logisch en volledig ontworpen?
Voorbeeld
Een organisatie heeft een toegangsbeleid opgesteld: gebruikersrechten worden elk kwartaal gecontroleerd. De control is opgezet — maar daarmee weet je nog niet of deze ook bestaat of werkt.
2
Bestaan
Is de maatregel geïmplementeerd?
Bij bestaan zoek je aantoonbaar bewijs dat de control er ook echt is:
- Vastgestelde documenten
- Ingerichte processen
- Toegewezen verantwoordelijken
Voorbeeld
Er is een proces ingericht voor kwartaalcontroles en er is een verantwoordelijke aangewezen. Dan bestaat de control.
3
Werking
Werkt de maatregel zoals bedoeld?
Bij werking kijk je of de control in de praktijk consequent wordt uitgevoerd:
- Wordt de control periodiek uitgevoerd?
- Is er aantoonbaar bewijs?
Voorbeeld
Uit logbestanden blijkt dat rechten elk kwartaal zijn beoordeeld en ongewenste rechten zijn ingetrokken. Dan werkt de control.
Bedenken
→
Inrichten
→
Bewijzen
Bij iedere control kun je jezelf deze drie vragen stellen:
- Hebben we dit bedacht? (opzet)
- Hebben we dit ingericht? (bestaan)
- Kunnen we aantonen dat het werkt? (werking)
Samenvatting
| Term | Betekenis | Voorbeeld (wachtwoordbeleid) |
|---|---|---|
| Opzet | De maatregel is logisch en compleet ontworpen: beleid, procedure en rollen zijn benoemd. | Er is een actueel wachtwoordbeleid opgesteld dat voldoet aan BIO2-eisen (lengte, complexiteit, vervaltermijn). |
| Bestaan | De maatregel is daadwerkelijk geïmplementeerd; er is bewijs dat deze bestaat. | Het beleid is formeel vastgesteld en gepubliceerd op het intranet. Medewerkers hebben het ondertekend bij onboarding. |
| Werking | De maatregel functioneert in de praktijk zoals bedoeld en is aantoonbaar effectief. | Uit logs blijkt dat accounts worden geblokkeerd na X mislukte pogingen. Interne audits tonen naleving aan. |