Wat kun je praktisch doen?
1. Begin met wat je absoluut nodig hebt
Breng je belangrijkste processen, systemen en informatie in kaart. Welke werkzaamheden vallen stil als een systeem niet beschikbaar is? Welke gegevens mogen niet verloren gaan of bij de verkeerde persoon terechtkomen? Welke leveranciers zijn onmisbaar?
Dit hoeft niet meteen een uitgebreid onderzoek te zijn. Begin met een overzicht van je kroonjuwelen en de grootste afhankelijkheden. Daarmee kun je beveiligingskeuzes koppelen aan concrete bedrijfsrisico’s.
2. Controleer wat je al hebt
Veel organisaties gebruiken al beveiligingsfuncties in hun apparaten, netwerk of cloudomgeving. Controleer eerst wat beschikbaar, ingeschakeld en goed ingericht is. Kijk bijvoorbeeld naar:
- automatische updates en de controle op mislukte updates;
- beveiligingsinstellingen van laptops, telefoons en tablets;
- firewall, e-mailbeveiliging en malwarebescherming;
- MFA, beheerdersrollen en toegangsrechten;
- versleuteling en automatische schermvergrendeling;
- back-ups en de mogelijkheid om gegevens te herstellen;
- meldingen, rapportages en de opvolging daarvan.
Misschien blijkt dat een benodigde functie al in een bestaande dienst zit. Misschien blijkt juist dat de huidige oplossing niet goed is ingericht. In beide gevallen voorkomt deze controle dat je te vroeg iets nieuws aanschaft.
3. Leg per maatregel het doel vast
Schrijf bij iedere maatregel in één zin welk risico je ermee wilt verkleinen. Bijvoorbeeld: “MFA moet voorkomen dat alleen een gestolen wachtwoord genoeg is om in te loggen” of “patchbeheer moet bekende beveiligingslekken tijdig sluiten”.
Als het doel niet duidelijk is, wordt het ook lastig om later te bepalen of de maatregel werkt. Een productnaam is geen doel en een groen vinkje in een dashboard is nog geen bewijs dat het bedrijfsrisico voldoende wordt beheerst.
4. Regel eigenaarschap en opvolging
Maak voor iedere belangrijke maatregel duidelijk:
- wie verantwoordelijk is;
- wie de technische uitvoering doet;
- wie meldingen beoordeelt;
- welke afwijkingen direct actie vragen;
- wanneer je de werking controleert;
- hoe je openstaande acties volgt.
Dit geldt ook als beheer is uitbesteed. Leg met je ICT-leverancier vast welke onderdelen onder de dienstverlening vallen, welke rapportage je ontvangt en welke besluiten bij jouw organisatie blijven. Lees ook waarom digitale veiligheid begint bij duidelijke afspraken.
5. Pak eerst de grootste gaten aan
Niet alles hoeft tegelijk. Orden aandachtspunten op kans, mogelijke impact en praktische uitvoerbaarheid. Geef voorrang aan maatregelen die belangrijke systemen en gegevens beschermen en waarvan duidelijk is dat ze ontbreken of niet goed werken.
Soms is de eerste stap technisch, bijvoorbeeld automatische updates inschakelen. Soms is het een processtap, zoals oude accounts blokkeren of een hersteltest plannen. Het doel is niet om zoveel mogelijk maatregelen af te vinken, maar om de belangrijkste risico’s aantoonbaar kleiner te maken.
6. Kies aanvullende tools pas daarna
Als de basis duidelijk is, kun je veel beter bepalen of extra tooling nodig is. Stel bij een voorstel minimaal deze vragen:
- Welk concreet risico verkleint deze oplossing?
- Op welke systemen, accounts of gegevens heeft zij betrekking?
- Wat moet vooraf goed zijn ingericht?
- Wie beheert de oplossing en beoordeelt meldingen?
- Welke actie volgt op een waarschuwing?
- Hoe controleren we periodiek of de oplossing nog goed werkt?
- Welke kosten, licenties en beheerlast horen erbij?
Een goede tool past in je werkwijze. Zij vervangt die werkwijze niet.
7. Meet uitvoering, niet alleen aanwezigheid
Vraag niet alleen of een maatregel bestaat, maar ook of zij werkt. Kijk bijvoorbeeld naar apparaten die achterlopen met updates, accounts zonder MFA, oude beheerdersrechten, niet-opgevolgde meldingen en resultaten van hersteltesten.
Zo verschuift het gesprek van “hebben we het gekocht?” naar “doet het wat we nodig hebben?”.
