Cyberweerbaarheid is het vermogen om je voor te bereiden op cyberaanvallen, ze te weerstaan, ervan te herstellen en je eraan aan te passen, ervan uitgaande dat sommige aanvallen erdoorheen zullen komen. Het erkent dat perfecte preventie onmogelijk is, waardoor het doel verschuift van nooit gehackt worden naar operationeel en betrouwbaar blijven wanneer er een inbreuk plaatsvindt. Cyberweerbaarheid zorgt ervoor dat het bedrijf blijft draaien en je gegevens beschermd blijven, zelfs op een slechte dag.
- VoorbereidenKen uw activa, bedreigingen en beheersmaatregelen, en plan hoe u zult reageren voordat er een incident plaatsvindt.
- Weerstaan: aanvallen indammen zodat ze beperkte schade aanrichten en essentiële diensten blijven functioneren.
- Herstellen: Herstel systemen, gegevens en processen snel en in een bekende volgorde.
- AanpassenLeer van elk incident en verwerk de opgedane lessen in je beheersmaatregelen en plannen.
Cyberweerbaarheid versus cyberbeveiliging
Cyberbeveiliging en cyberweerbaarheid zijn verwant, maar ze beantwoorden verschillende vragen. Cyberbeveiliging probeert aanvallen te voorkomen: firewalls, toegangscontrole, patches en monitoring zijn er allemaal om aanvallers buiten te houden. Cyberweerbaarheid gaat ervan uit dat sommige aanvallen hoe dan ook zullen slagen en richt zich op het weerstaan van en herstellen van dergelijke aanvallen. Je hebt beide nodig. Sterke beveiliging vermindert de frequentie van inbreuken; weerbaarheid bepaalt hoe ernstig een inbreuk je treft wanneer preventie faalt.
Het praktische verschil zit hem in de denkwijze. Een puur beveiligingsgerichte benadering meet succes aan het aantal geblokkeerde bedreigingen. Een benadering gericht op veerkracht meet succes aan de hand van hoe snel je bedreigingen detecteert, indamt en herstelt, en hoe weinig je klanten daarvan merken. Het is een veelgemaakte fout om de twee als één geheel te beschouwen: organisaties investeren fors in preventie, om er vervolgens tijdens een echt incident achter te komen dat ze geen geoefende methode hebben om door te blijven functioneren of om aan toezichthouders te bewijzen wat er is gebeurd.
Cyberweerbaarheid en de EU-verordening inzake cyberweerbaarheid
De term 'cyberweerbaarheid' wordt op twee verschillende manieren gebruikt, en het is nuttig om ze van elkaar te onderscheiden. De eerste is de hierboven beschreven discipline: het algehele vermogen van een organisatie om aanvallen op te vangen en ervan te herstellen. De tweede is de EU-verordening inzake cyberweerbaarheid, een specifieke wet op productbeveiliging die eisen stelt aan de cyberbeveiliging van producten met digitale elementen die in de EU worden verkocht. Deze wetgeving omvat zaken als veilige ontwikkeling, het afhandelen van kwetsbaarheden en beveiligingsupdates gedurende de gehele levenscyclus van een product.
De twee overlappen elkaar, maar zijn niet hetzelfde. De wet gaat over de beveiliging van producten die u maakt of verkoopt; cyberweerbaarheid als discipline gaat over de weerbaarheid van uw hele organisatie. Het opbouwen van cyberweerbaarheid binnen uw organisatie helpt u te voldoen aan verplichtingen op productniveau, maar het gaat verder dan dat. Andere regelgeving wijst in dezelfde richting: de NIS 2-richtlijn van de EU verhoogt de verplichtingen op het gebied van cyberweerbaarheid voor essentiële en belangrijke entiteiten, met eisen voor risicobeheer, incidentafhandeling en rapportage die sterk lijken op de cyclus van voorbereiden, weerstaan, herstellen en aanpassen.
Er zit een groter geheel achter.
Deze pagina behandelt een onderdeel van bedrijfsveerkracht. Real Resilience – het raamwerk van IO voor het verbinden van beveiliging, privacy en AI-governance – is waar het volledige plaatje samenkomt.
Hoe cyberweerbaarheid past in bedrijfsweerbaarheid
Cyberweerbaarheid is essentieel, maar het is slechts één aspect van een groter geheel, niet het geheel. Operationele weerbaarheid is breder: het gaat erom of uw belangrijke bedrijfsdiensten blijven functioneren bij verstoringen, of die verstoringen nu een cyberaanval, een leveranciersstoring, een stroomuitval of een pandemie zijn. Cyberweerbaarheid is het onderdeel van dat geheel dat specifiek betrekking heeft op cyberdreigingen.
Boven beide staat de vraag naar de algehele bedrijfsveerkracht : het vermogen van uw organisatie om verstoringen te anticiperen, te blijven functioneren en er sterker uit te komen. De valkuil van fragmentatie is het behandelen van cyberveerkracht als een aparte afdeling binnen de IT-afdeling, losgekoppeld van continuïteit, privacy en risicobeheer. Wanneer deze functies op verschillende tools en met verschillende gegevensbronnen draaien, is er geen eenduidige bron van informatie, is de reactietijd traag en wordt dezelfde controle meerdere keren gedocumenteerd voor verschillende audits. Cyberveerkracht is pas waardevol wanneer deze is geïntegreerd in het bredere model voor bedrijfsveerkracht, in plaats van op zichzelf te staan.
Cyberweerbaarheid en de weerbaarheidscyclus
Echte cyberweerbaarheid vereist meer dan alleen beveiligingsmaatregelen. De aanvallen die de meeste schade aanrichten, stelen gegevens en misbruiken vertrouwen. Weerbaarheid hangt daarom ook af van hoe u persoonlijke informatie beschermt en hoe u de AI-systemen beheert waar u steeds meer op vertrouwt. De Resilience Loop van ISMS.online beschouwt dit als één samenhangend operationeel model in plaats van drie afzonderlijke programma's.
De Loop verbindt drie domeinen tot één systeem:
- Informatiebeveiliging: systemen en data beschermen tegen aanvallen, de kern van cyberweerbaarheid, verankerd door ISO 27001 .
- Data Privacy: het beheren van persoonsgegevens zodat een datalek niet uitmondt in een regelgevings- en vertrouwenscrisis, met als basis ISO 27701 .
- AI-beheer: beheers de risico's van de AI-systemen die nu in de bedrijfsvoering zijn verweven, verankerd door ISO 42001 .
Door deze systemen als één geheel te gebruiken, zorgt een beheersysteem dat is ontworpen voor beveiliging ook voor privacy en AI-governance. Bewijsmateriaal dat eenmaal is vastgelegd, wordt aan de hand van alle frameworks bekeken en een incident wordt vanuit alle drie perspectieven tegelijkertijd begrepen. Dat maakt cyberweerbaarheid verdedigbaar in plaats van gedeeltelijk.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Hoe bouw je cyberweerbaarheid op?
De grootste belemmering voor cyberweerbaarheid is niet een gebrek aan tools, maar fragmentatie. Wanneer beheersmaatregelen in het ene systeem staan, bewijsmateriaal in spreadsheets, incidentplannen in een document dat niemand in een jaar heeft geopend en auditvoorbereidingen op weer een andere plek, leidt dit tot dubbel werk, geen eenduidige bron van informatie en een trage, onzekere reactie wanneer er daadwerkelijk iets misgaat. Weerbaarheid ontstaat door deze systemen met elkaar te verbinden.
De manier om het op te bouwen is een enkele keten die loopt van controles naar bewijsmateriaal naar herstel:
- Gedeelde controles: definieer één gemeenschappelijke set besturingselementen, koppel elk besturingselement één keer en hergebruik deze in elk framework in plaats van deze volgens de standaard opnieuw op te bouwen.
- Gedeeld bewijsmateriaalLeg bewijsmateriaal één keer vast en toets dit aan ISO 27001, NIS 2, de EU-verordening inzake cyberveiligheid en andere criteria, zodat audits op dezelfde actuele gegevens kunnen voortbouwen.
- Snellere reactieDoordat alle controles en bewijsmateriaal op één plek beschikbaar zijn, kunt u incidenten snel en consistent opsporen, inperken en rapporteren.
- Een betrouwbare houding en oprechte veerkracht.Een levendig en verdedigbaar beeld van je positie is essentieel om te herstellen en je aan te passen, in plaats van in paniek te raken.
ISO 27001 vormt de certificeerbare kern hiervan. Het biedt u een erkend informatiebeveiligingsmanagementsysteem, een risicogebaseerde set beheersmaatregelen en een onafhankelijke certificering die bewijst dat uw beveiliging wordt beheerd en niet geïmproviseerd. Omdat het is gebouwd rond continue verbetering, ondersteunt het direct de aanpassingsfase van cyberweerbaarheid. Van daaruit strekt dezelfde aanpak zich uit tot bredere continuïteit en herstel: ontdek hoe u bedrijfsweerbaarheid kunt opbouwen om de keten verder te laten reiken dan alleen cyberbeveiliging en de hele organisatie te omvatten.
Daaronder liggen twee vragen ten grondslag. Het raamwerk voor cyberweerbaarheid beschrijft welke functies gedekt moeten worden en welke erkende standaarden daarvoor gelden. De strategie voor cyberweerbaarheid bepaalt waar je als eerste in investeert wanneer je niet alles tegelijk kunt doen.
Waarom kiezen voor ISMS.online voor cyberweerbaarheid?
De meeste tools helpen je om vakjes aan te vinken. ISMS.online helpt je om aantoonbare veerkracht op te bouwen.
- Cyberweerbaarheid die je kunt aantonen: koppel beheersmaatregelen, incidentrespons en herstel aan praktijkvoorbeelden, zodat veerkracht aantoonbaar is in plaats van verondersteld.
- Eén verbonden systeemBeheer informatiebeveiliging, gegevensprivacy en AI-governance samen in één platform, in plaats van drie losgekoppelde tools.
- Certificeerbaar door ontwerpElke actie is gekoppeld aan ISO 27001, ISO 27701, ISO 42001 en ISO 22301, waardoor uw weerbaarheid aantoonbaar is.
- Bewijs op aanvraagToon toezichthouders, auditors en klanten bewijs van veerkracht, geen beloftes.
- Gebaseerd op diepgaande expertise: Begeleide implementatie door echte specialisten, geen geautomatiseerde processen zonder handmatige tussenkomst die de risico's verbergen.
- Continu, niet periodiekEen realtime overzicht van uw risico's en beheersmaatregelen, in plaats van de jaarlijkse hectiek vlak voor een audit.
- Ontwikkeld voor gereguleerde markten.: ontworpen voor organisaties waar veiligheid, privacy en vertrouwen doorslaggevend zijn bij aankoopbeslissingen.
Ontdek hoe het ISMS.online-platform voor bedrijfscontinuïteit in de praktijk werkt.
Veelgestelde vragen
Wat is het verschil tussen cyberbeveiliging en cyberweerbaarheid?
Cyberbeveiliging probeert te voorkomen dat aanvallen slagen, terwijl cyberweerbaarheid ervan uitgaat dat sommige aanvallen erdoorheen zullen komen en zich richt op het weerstaan van en herstellen van dergelijke aanvallen. Beveiliging vermindert de frequentie van inbreuken; weerbaarheid beperkt de schade wanneer een inbreuk plaatsvindt. Beide moeten samenwerken.
Wat is de EU-wetgeving inzake cyberweerbaarheid?
De EU-verordening inzake cyberweerbaarheid is een wet op productbeveiliging die eisen stelt aan de cyberbeveiliging van producten met digitale elementen die in de EU worden verkocht. De wet omvat veilige ontwikkeling, het afhandelen van kwetsbaarheden en beveiligingsupdates gedurende de gehele productlevenscyclus. Dit is iets anders dan cyberweerbaarheid als discipline, dat zich richt op het algehele vermogen van een organisatie om aanvallen te weerstaan en ervan te herstellen.
Hoe meet je cyberweerbaarheid?
Meet cyberweerbaarheid aan de hand van hoe goed u zich voorbereidt, bestand bent tegen, herstelt van en zich aanpast, in plaats van alleen aan het aantal geblokkeerde dreigingen. Nuttige indicatoren zijn onder andere de tijd die nodig is om een incident te detecteren en in te dammen, de tijd die nodig is om kritieke diensten te herstellen, de dekking en actualiteit van de beveiligingsmaatregelen, de resultaten van geteste herstelplannen en de sterkte van het bewijsmateriaal dat u op verzoek kunt overleggen. Voor een versie met scores op basis van de vier volwassenheidsniveaus van NIST, zie ' Hoe meet je cyberweerbaarheid? '.
Is ISO 27001 een norm voor cyberweerbaarheid?
ISO 27001 is een norm voor informatiebeveiligingsbeheer en vormt de certificeerbare kern van cyberweerbaarheid. De norm biedt een risicogebaseerde beheersstructuur, onafhankelijke certificering en een continue verbeteringscyclus die de aanpassingsfase van weerbaarheid ondersteunt. Voor volledige cyberweerbaarheid is het aan te raden deze norm te combineren met continuïteits- en herstelprocedures zoals die beschreven staan in ISO 22301.
