Bedreigingen van de cyberveiligheid kunnen uit onverwachte hoek komen. Daarom is inzicht in hoe goed jouw beveiliging is cruciaal. Reden voor Xander van Bommel van Equipe Zorgbedrijven om samen met Bastiaan Pex van Conscia een CIS-assessment te doen dat inzicht geeft in de effectiviteit van de huidige beveiligingsmaatregelen.

Met ruim veertig locaties en labels als Xpert Clinics, Xpert Handtherapie, Velthuis kliniek en Cosmedic heeft Equipe Zorgbedrijven een complexe ICT-omgeving. Aandacht voor cyberbeveiliging is essentieel. Dit valt onder de verantwoordelijkheid van security officer Xander van Bommel. Hij werkt op dit punt samen met Bastiaan Pex, accountmanager cybersecurity services bij Conscia, een Europese speler in cyberbeveiliging, netwerken en managed cloud services. Er is alle reden om het onderwerp cyberveiligheid serieus te nemen, vindt Van Bommel. “De dreiging wordt niet minder, eerder groter.” Normen en wetgeving zoals de NEN7510-norm en de aankomende Cyberbeveiligingswet NIS2 helpen om daarmee aan de slag te gaan. Deze kunnen dienen als een kapstok om beleid aan op te hangen, vindt Van Bommel. “De beleidsregels en normen staan hierin uitgeschreven. Ook zijn er tools beschikbaar om deze te waarborgen. Maar, heel eerlijk, collega’s op de werkvloer zullen het vooral als een extra administratieve last ervaren. Dit komt omdat ze gewoon meer moeten doen.” Hij is er beducht voor om zijn collega’s te veel te belasten. Reden waarom hij vindt dat het aantal trainingen behapbaar moet blijven. “Anders gaat het tegen je werken.”

Pijnpunten

Cyberveiligheid begint bij inzicht in wat jouw organisatie aan bestaande oplossingen, beleid en processen heeft ingericht, denkt Van Bommel. “Als je dat hebt, kun je sneller schakelen.” Een van de tools die Equipe, in samenwerking met Conscia, daarvoor gebruikt, is het zogeheten CIS-assessment. Pex legt uit wat dit precies inhoudt. “CIS staat voor Centre for Internet Security. Dat is een non-profit organisatie die best practices voor beveiligingsmaatregelen ontwikkelt. Het assessment kent achttien CIS-controls. Met dat middel kun je nagaan hoe weerbaar of kwetsbaar jouw veiligheidsmaatregelen zijn. Per domein wordt duidelijk of jij je zaakjes op orde hebt of niet. Het CIS-assessment biedt ook de mogelijkheid om jouw prestaties te benchmarken met vergelijkbare organisaties. Je ziet dan of je het beter of minder goed doet dan anderen.”
Volgens Van Bommel heeft het assessment hem meer inzicht gegeven: “Wij misten nog de nodige informatie. Na het assessment zagen we per control en subcategorie of we het al goed hadden ingericht of niet. Op een aantal dingen scoorden we goed, maar het bracht ook pijnpunten naar boven.” Van Bommel verwacht dat het assessment gaat helpen bij het maken van keuzes in de organisatie. “Voldoen aan veiligheidsnormen kost geld. Mede dankzij het assessment kunnen we dat inzichtelijk maken bij collega’s.”

Ongewenste AI

Equipe heeft ook nog een AI-assessment gedaan, vertelt Van Bommel. “We moeten met kunstmatige intelligentie gaan werken, maar de vraag is: hoe doen we dat veilig?” Het beleid bij Equipe is dat standaard met Copilot wordt gewerkt en dat ChatGPT niet gebruikt mag worden.

Deze versturen we 3-4x per jaar.