Risicomanagement & de BIO

In deze blog van Youri Lammerts van Bueren gaat hij in op de BIO en het concept van risicomanagement als lijnverantwoordelijkheid binnen de BIO. Dit komt nadrukkelijker naar voren dan in de huidige baselines.

Maar als we het over risico’s hebben, dan is een risico dat we niet (voldoende) aan risicomanagement doen. Als we het Dreigingsbeeld 2018 en 2019/2020 van de Informatiebeveiligingsdienst (IBD) erbij pakken, dan zien we daarin ook welke risico’s daar aan ten grondslag liggen, namelijk: • De waan van de dag leeft • Te veel werk voor te weinig mensen

Dit betekent dat in de praktijk de CISO vooral druk is met operationele aangelegenheden, waaronder steeds het blussen van (andermans) brandjes. Kom hier maar eens uit als je als organisatie verder ook te maken hebt met risico’s die het Dreigingsbeeld verder schetst, zoals: • De complexiteit (van de IT-omgeving) neemt toe • Aanvallen zijn succesvol door ontbreken basismaatregelen

We weten wel wat we moeten doen, maar we kunnen de cyclus niet doorbreken om het ook zo te doen. De praktijk is namelijk veel weerbarstiger.

Waar beginnen we?

Waar moet je beginnen als je van informatieveiligheid een strategisch thema wil maken en op de agenda van bestuur en management wil krijgen/houden?

Doe wat je eigenlijk niet wil doen

Naar mijn mening is dit in de praktijk alleen mogelijk door eerst meer risico’s en incidenten te accepteren. Accepteer nu even dat bij de inkoop van producten en diensten informatiebeveiliging niet aan de voorkant goed is ingeregeld. Accepteer dat een aantal projecten die nu gaan starten niet gaat voldoen aan de informatiebeveiligingsvereisten. Laat gaan…laat gaan…’Micromanagement’ kun je er nu gewoon niet bij hebben als je een hoger niveau voor ogen hebt.

De CISO zal in eerste instantie komend jaar minder tijd aan de operationele zaken moeten besteden en de waan van de dag laten voor wat het is. Er is namelijk te veel werk te doen. Daarom moet de focus gaan liggen op het opzetten, implementeren en onderhouden van het information security management system op basis van risicomanagement en de pdca-cyclus.

Verder lezen bij de bron

Renco Schoemaker
Recente berichten van Renco Schoemaker (bekijk alles)

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Abonneren nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

Tijdig betrokken worden als FG
In het kader van de dag van de FG een blog speciaal voor de Functionaris Gegevensbescherming. Formeel is meestal wel vastgelegd dat je als FG ‘tijdig en behoorlijk’ betrokken moet worden, maar in de praktijk word je nog weleens vanuit de flanken verrast. Herkenbaar? Lees dan snel verder!
Update: CISO, Privacy Officer en FG; wie doet en mag wat?
Activiteiten op het gebied van informatiebeveiliging en gegevensbescherming binnen gemeenten behoren te worden gecoördineerd door de CISO, de Privacy Officer en de FG. Maar wie is waarvoor verantwoordelijk? En hoe verhouden deze functies zich tot elkaar?
Praktische (privacy)tips voor thuis én op het werk
Hoe zorg je ervoor dat je medewerkers zowel thuis als op locatie veilig werken én veilig zijn? Zonder afbreuk te doen aan het fundamentele recht op privacy? Dat zijn de vragen die ik in deze blog ga behandelen.

Meer recente berichten

Cyberaanval Lochem gaat de hele overheid aan
Verder lezen
Privacybeleid Aalsmeer
Verder lezen
iBestuur webinar ‘Safety by design & by default’
Verder lezen
Ledenbrief uitvoering Archiefwet
Verder lezen
Rekenkameronderzoek naar informatiebeveiliging
Verder lezen
Glad ijs
Verder lezen
Een open digitaal eID-stelsel?
Verder lezen
Wizard inkoopeisen helpt bij aanbesteding
Verder lezen
Verzamelwet gegevensbescherming
Verder lezen
Inspiratie voor digitale participatie
Verder lezen

Dat gaat je (n)iets aan

IB&P is een adviesbureau op het gebied van informatiebeveiliging en privacy. We richten ons primair op de (lokale) overheid. We adviseren en ondersteunen bij het implementeren én blijvend voldoen aan o.a. de Baseline Informatiebeveiliging Overheid (BIO) en de Algemene Verordening Gegevensbescherming (AVG).