IT-auditors waarschuwen dat bestuurders van organisaties onvoldoende zicht en controle hebben over hun digitale omgeving. Problemen met verouderde IT-systemen, versnipperde verantwoordelijkheden en complexe leveranciersketens maken organisaties kwetsbaar. Dat wordt extra belangrijk nu organisaties te maken krijgen met de verplichtingen uit de Cyberbeveiligingswet (Cbw). Bestuurders moeten niet alleen weten welke digitale risico’s hun organisatie loopt, maar ook aantoonbaar sturen op maatregelen om die risico’s te beheersen.
Waarom is dit relevant voor BIO2?
De waarschuwing van de auditors sluit sterk aan op de uitgangspunten van de Baseline Informatiebeveiliging Overheid 2 (BIO2). Informatiebeveiliging is niet uitsluitend een verantwoordelijkheid van de IT- of securityafdeling. Het vraagt om bestuurlijke sturing, duidelijke verantwoordelijkheden en structureel risicomanagement.
Juist het gebrek aan overzicht dat de auditors signaleren is voor overheidsorganisaties een belangrijk aandachtspunt. Om risico’s goed te kunnen beheersen, moet een organisatie weten welke systemen, gegevens, leveranciers en digitale ketens essentieel zijn voor haar dienstverlening. Zonder dat inzicht is het moeilijk om passende beveiligingsmaatregelen te kiezen en om vast te stellen of die maatregelen daadwerkelijk werken.
Ook leveranciersmanagement speelt hierin een belangrijke rol. Overheidsorganisaties besteden veel digitale diensten uit en maken gebruik van cloudomgevingen en andere externe dienstverleners. De verantwoordelijkheid voor informatiebeveiliging verdwijnt echter niet wanneer een dienst wordt uitbesteed. Organisaties moeten daarom inzicht houden in afhankelijkheden en risico’s binnen de keten.
De relatie met NIS2 en de Cyberbeveiligingswet is eveneens duidelijk. Deze ontwikkeling onderstreept dat cybersecurity steeds nadrukkelijker een onderwerp voor bestuur en management is. BIO2 helpt overheidsorganisaties om deze verantwoordelijkheid te vertalen naar governance, risicomanagement en concrete beveiligingsmaatregelen.
De boodschap over ISO 27001 is daarbij eveneens relevant. Een norm of certificering kan structuur bieden, maar informatiebeveiliging vraagt om voortdurende aandacht voor de daadwerkelijke risico’s van de organisatie. Alleen kunnen aantonen dat bepaalde maatregelen zijn ingericht, is niet hetzelfde als aantoonbaar grip hebben op digitale weerbaarheid.
Bron: https://www.agconnect.nl/business/security/auditors-bestuurders-missen-grip-op-digitale-omgeving