Een cyberweerbaarheidsstrategie is het geheel van beslissingen over waar beperkte middelen en aandacht naartoe gaan: wat je het best wilt verdedigen, op welke scenario's je je voorbereidt, hoeveel verstoring je bereid bent te accepteren en hoe de inspanningen worden verdeeld tussen het stoppen van aanvallen en het overleven ervan. Een raamwerk beschrijft de componenten. Een strategie bepaalt welke componenten als eerste worden gefinancierd en waarom, in een taal die een raad van bestuur kan goedkeuren.
- Een korte lijst van dingen die echt niet verloren kunnen gaan, in plaats van de bewering dat alles cruciaal is.
- Benoemde scenario's waartegen u zich wilt voorbereiden, bewust gekozen.
- Een overeengekomen tolerantie voor verstoringen, goedgekeurd door degenen die verantwoordelijk zijn voor de gevolgen.
- Een expliciete scheiding tussen preventie en herstel, in plaats van een standaardscheiding.
- Een volgorde, want niet alles kan eerst komen.
- Maatregelen die vooruitgang aantonen zonder dat daarvoor een incident nodig is.
Wat is een cyberweerbaarheidsstrategie?
Een strategie is een reeks keuzes onder bepaalde beperkingen. Als budget en aandacht onbeperkt zouden zijn, zou er geen strategie bestaan, maar slechts een lijst met goede praktijken om te implementeren. De reden dat een strategie bestaat, is dat je niet alles tegelijk kunt doen. Iemand moet dus beslissen wat prioriteit heeft en wat voorlopig acceptabel is.
Dit is wat het onderscheidt van het raamwerk. Het raamwerk voor cyberweerbaarheid beschrijft de functies die moeten worden afgedekt en welk bewijs voor elke functie nodig is. Het is structureel en stelt geen prioriteiten. Een strategie neemt die structuur en beantwoordt de moeilijkere vragen: welke lacunes dichten we, gezien wat we ons dit jaar kunnen veroorloven, met welke lacunes leven we nog, en wat zou er moeten veranderen om dat antwoord te veranderen?
Strategieën falen op een herkenbare manier. Ze herformuleren goede praktijken als ambitie, beloven alles te verbeteren en bieden geen basis om ergens nee tegen te zeggen. Een document dat nog steeds correct zou lezen als het op briefpapier van een andere organisatie geplakt zou worden, is geen strategie.
Deze pagina gaat uit van het onderliggende concept. Voor meer informatie over wat cyberweerbaarheid inhoudt, hoe het verschilt van cyberbeveiliging en waar de EU-verordening inzake cyberweerbaarheid van toepassing is, kunt u daar terecht.
Welke beslissingen worden er genomen bij een strategie voor cyberweerbaarheid?
Zes stuks, en ze zijn in deze volgorde gemakkelijker te maken omdat elke stap de volgende beperkt.
- ActivaWat zou de organisatie daadwerkelijk schade berokkenen als het verloren, openbaar gemaakt of niet beschikbaar zou zijn? Als de lijst slechts een handvol zaken bevat, heeft de prioritering nog niet plaatsgevonden.
- BedreigingenWelke scenario's wilt u aanpakken? Ransomware, misbruik door medewerkers, inbreuken op de systemen van leveranciers en diefstal van inloggegevens gedragen zich verschillend en leiden niet allemaal tot dezelfde uitgaven.
- EetlustHoeveel verstoring acceptabel is en waar de grens ligt waarboven het niet meer acceptabel is. Vage uitspraken over de mate van verstoring zijn het meest voorkomende zwakke punt.
- BalanceHoe de inspanningen verdeeld worden tussen het voorkomen van incidenten en het overleven ervan. Als hier geen duidelijke keuze is, neigt dit sterk naar preventie, omdat preventie gemakkelijker te bekostigen is.
- VolgordeDe volgorde van de werkzaamheden is bepaald op basis van de vermindering van het risico per eenheid inspanning, in plaats van op basis van welk team het hardst om hulp vroeg.
- MaatregelWat geeft aan dat het werkt voordat er een incident plaatsvindt? Dekking per functie, detectietijd, hersteltijd, uitgevoerde oefeningen.
De beslissing die de uitkomsten het meest beïnvloedt, is de vierde. Organisaties die deze beslissing nooit expliciet nemen, ontdekken tijdens hun eerste ernstige incident dat ze weliswaar detectietools hebben aangeschaft, maar nooit een reactie hebben geoefend, of dat er back-ups bestonden maar niemand een herstelprocedure had getimed.
Hoe bepaal je de balans tussen preventie en herstel?
Niet vanuit principe, maar door te kijken naar waar je al bent. De meeste organisaties benaderen deze vraag met een sterke focus op preventie, omdat preventie wordt verkocht als producten met duidelijke kenmerken, terwijl herstelvermogen vooral neerkomt op oefening, verantwoordelijkheid en discipline, iets wat niemand promoot.
| Vraag | Zo klinkt een zwak antwoord. | Hoe het zou moeten klinken |
|---|---|---|
| Wat verdedigen we eigenlijk? | Alles is van cruciaal belang voor de bedrijfsvoering. | Deze vier diensten, in deze volgorde, om deze redenen. |
| Hoe lang kunnen we uitvallen? | Zo min mogelijk. | Vier uur voor betalingen, twee dagen voor rapportage. |
| Zouden we het opmerken? | We hebben monitoringssystemen geïnstalleerd. | We hebben de laatste simulatie 40 minuten geleden gedetecteerd. |
| Kunnen we herstellen? | We hebben back-ups. | We hebben dit systeem afgelopen kwartaal in een test hersteld en dat duurde negen uur. |
| Wie bepaalt de dag? | Het incidentteam zou bijeenkomen. | De genoemde persoon en de genoemde plaatsvervanger hebben beiden hun functie uitgeoefend. |
Door de rechterkolom af te werken, kom je sneller tot een verdedigbare strategie dan met welk volwassenheidsmodel dan ook. Elk specifiek antwoord is ofwel al waar, in welk geval het bewijs is, ofwel nog niet waar, in welk geval het een prioriteit is. Dat onderscheid vormt de kern van de strategie.
Er zit een groter geheel achter.
Deze pagina behandelt een onderdeel van bedrijfsveerkracht. Real Resilience – het raamwerk van IO voor het verbinden van beveiliging, privacy en AI-governance – is waar het volledige plaatje samenkomt.
Hoe onderbouw je de investeringsbereidheid?
Cyberweerbaarheid concurreert om geld met zaken die zichtbare resultaten opleveren, en verliest het wanneer het in technische termen wordt beargumenteerd. Wat telt, zijn de gevolgen, uitgedrukt in de taal die de rest van het bedrijf gebruikt.
- Leg de nadruk op de dienstverlening, niet op de dreiging.Het gaat erom wat klanten niet kunnen doen en hoe lang, in plaats van de naam van de aanvalstechniek.
- Kwantificeer het tijdsinterval, niet het incident.De kosten van een dag niet kunnen handelen zijn discutabel, in tegenstelling tot schattingen van de totale kosten van een datalek.
- Toon de geteste capaciteit aan ten opzichte van de veronderstelde capaciteit.Het verschil tussen de twee is het duidelijkste beschikbare argument en behoeft geen voorspelling.
- Breng de afweging ter sprake, niet alleen de vraag.Wat een kleiner budget zou betekenen in termen van aanvaardbaar risico, geeft de raad van bestuur iets om over te beslissen in plaats van iets om goed te keuren.
- Gebruik contract- en aanbestedingsdrukWanneer klanten certificering of bewijs eisen, wordt veerkracht een voorwaarde voor inkomsten in plaats van een kostenpost.
- Rapporteer steeds dezelfde meetwaarden.Een consistente, korte set is beter dan een uitgebreid dashboard dat niemand twee keer leest.
Certificering is hier bijzonder nuttig omdat het een interne bewering omzet in een extern geverifieerde bewering. Een raad van bestuur die een zelfevaluatie afwijst, zal doorgaans een gecontroleerd managementsysteem accepteren, en het bewijsmateriaal dat daarvoor nodig is, overlapt grotendeels met het bewijsmateriaal dat een strategie sowieso zou moeten opleveren.
Wat moet een cyberweerbaarheidsstrategie vermijden?
De faalpatronen zijn consistent genoeg om direct te controleren.
- Een lijst met hulpmiddelen vermomd als strategie.Inkoopplannen beschrijven wat u zult kopen, niet wat u hebt besloten.
- Geen uitgesproken eetlustZonder een duidelijke grens is elk risico discutabel en kan niets bewust worden geaccepteerd.
- Alles wat cruciaal isEen lijst met veertig kritieke activa biedt geen basis voor de volgorde waarin ze moeten worden uitgevoerd.
- Alleen preventie: een impliciete aanname dat herstel zal werken, die geldt totdat deze wordt getest.
- Dreiging zonder scenario's: dreigingsinformatie die beschrijft wat aanvallers doen, zonder dat er een beslissing is genomen over op welke aspecten je je moet voorbereiden.
- Maatregelen die niemand kan produceren: meetmethoden die gekozen zijn omdat ze rigoureus klinken, in plaats van omdat de gegevens daadwerkelijk beschikbaar zijn.
- Ooit geschrevenEen strategie van drie jaar die nooit meer is herzien, in een domein waar zowel het vermogen als de bedreigingen per kwartaal veranderen.
Ga eenvoudig aan de slag met een persoonlijke productdemo
Een van onze onboarding-specialisten legt u graag uit hoe ons platform werkt, zodat u vol vertrouwen aan de slag kunt.
Hoe sluit de strategie aan op de veerkrachtcyclus?
Een cyberweerbaarheidsstrategie die zich alleen richt op cyberdreigingen, zal binnen een jaar herzien moeten worden. De activa die beschermd worden, vallen immers ook onder privacyverplichtingen en, in toenemende mate, onder eisen op het gebied van AI-governance. Het bepalen van je beveiligingsprioriteiten los van deze aspecten leidt vaak tot drie verschillende routekaarten die om dezelfde mensen strijden.
De Resilience Loop combineert informatiebeveiliging volgens ISO 27001 , gegevensbescherming volgens ISO 27701 en AI-governance volgens ISO 42001 als één samenhangend systeem. Door alle drie tegelijkertijd aan te pakken, wordt een cyberstrategie een veerkrachtstrategie, en verandert de rekensom: een eenmaal geïmplementeerde controle telt driemaal, waardoor de goedkoopste volgende stap vaak aan meerdere verplichtingen voldoet. De bredere structuur is uiteengezet in het raamwerk voor bedrijfsveerkracht.
Hoe weet je of de strategie werkt?
Vóór een incident geven slechts twee dingen uitsluitsel: de dekking en de geteste functionaliteit. De dekking geeft aan of elke functie een eigenaar heeft en of er een actueel beeld van is. De geteste functionaliteit is het verschil tussen wat je veronderstelt dat werkt en wat je hebt aangetoond dat werkt, en het is de enige maatstaf die niet gemanipuleerd kan worden.
Een korte, herhaalde reeks metingen is effectiever dan een uitgebreide reeks. De tijd die nodig was om een probleem te detecteren tijdens de laatste oefening. De tijd die nodig was om de meest cruciale dienst te herstellen, gemeten in plaats van gericht. Het percentage cruciale diensten met een geoefende respons. Voltooide oefeningen versus geplande oefeningen. Elk van deze metingen kan worden uitgevoerd op basis van werk dat u sowieso al zou moeten doen, wat de toetssteen is voor een redelijke meting. De aanpak wordt beschreven in de handleiding voor het aantonen van veerkracht , en de Veerkrachtscore biedt een basislijn om vanuit te vertrekken.
Waarom kiezen voor ISMS.online voor uw cyberveiligheidsstrategie?
Een strategie is slechts zo goed als het bewijs dat ze ook daadwerkelijk wordt uitgevoerd. ISMS.online koppelt de beslissingen aan het werk.
- Prioriteiten gekoppeld aan beheersmaatregelen en risico'sWat u besluit te verdedigen, hangt samen met de controlemechanismen die het beschermen en de risico's die eraan verbonden zijn.
- Eén set besturingselementen, elk framework: rangschik de werkzaamheden op basis van het aantal verplichtingen waaraan elke controle voldoet binnen ISO 27001, ISO 27701, ISO 42001 en ISO 22301.
- Getest aan de hand van veronderstelde, zichtbareDe trainingsgegevens en -resultaten worden gekoppeld aan de controlegegevens, waardoor het verschil een getal is in plaats van een gevoel.
- Bestuursrapportage op basis van live data.: rapporteer dezelfde metingen in elke cyclus zonder ze handmatig samen te stellen.
- Risicobereidheid vastgelegd en toegepastDe limiet die u hebt afgesproken, wordt gehanteerd in het licht van de risico's die u accepteert, en niet opgeborgen en vergeten.
- Helpt u bij het behalen van een certificaat.: zet interne beweringen om in een onafhankelijk gecontroleerd standpunt dat door bestuursleden en klanten wordt geaccepteerd.
- Ontwikkeld voor de Britse en gereguleerde markten.: ontworpen voor organisaties die veerkracht moeten tonen om contracten te winnen en te behouden.
Bekijk hoe alles samenhangt op het platform voor bedrijfscontinuïteit , of vraag een demo aan.
Veelgestelde vragen
Wat is het verschil tussen een cyberweerbaarheidsstrategie en een raamwerk?
Een raamwerk is structureel. Het beschrijft de functies die moeten worden afgedekt en welk bewijs voor elke functie nodig is, en het is van toepassing op elke organisatie. Een strategie is een reeks keuzes die specifiek zijn voor jouw organisatie: welke lacunes je dit jaar dicht met een beperkt budget, welke je bewust accepteert en waar je het meest voor vecht. Het raamwerk vertelt je hoe een goede situatie eruitziet. De strategie bepaalt wat je eraan doet en in welke volgorde.
Hoe lang moet een cyberweerbaarheidsstrategie duren?
Het is kort genoeg zodat het managementteam het gelezen heeft. De belangrijke beslissingen – welke middelen, welke scenario's, welke bereidheid, welke balans, welke volgorde en welke maatregelen – passen prima in een paar pagina's. Een te korte tekst duidt er meestal op dat goede praktijken zijn herhaald in plaats van dat er keuzes zijn gemaakt, en dat een strategie waarvan niemand de prioriteiten meer weet, niet werkt.
Hoeveel van het budget moet er naar herstel gaan in plaats van naar preventie?
Er bestaat geen juiste verhouding en elk cijfer dat als universeel wordt gepresenteerd, moet met argwaan worden bekeken. De beste aanpak is om naar uw eigen situatie te kijken: als u uw preventieve maatregelen gedetailleerd kunt beschrijven, maar niet kunt aangeven hoe lang het duurt om uw meest kritieke systeem te herstellen, dan is er sprake van een onevenwichtigheid en hoort de volgende stap bij herstel. Maak de splitsing expliciet, want als deze niet wordt gemaakt, neigt deze automatisch naar preventie.
Wie is verantwoordelijk voor de cyberweerbaarheidsstrategie?
Het plan wordt opgesteld door degene die verantwoordelijk is voor de beveiliging en is eigendom van de raad van bestuur, omdat de beslissingen erin gaan over aanvaardbare risico's en dat kan niet worden gedelegeerd aan een technische afdeling. Dit onderscheid is in de praktijk belangrijk: een strategie die alleen eigendom is van het beveiligingsteam kan door elke budgetronde worden overruled, terwijl een strategie waarvan de raad van bestuur de risicoafwegingen heeft geaccepteerd, deze doorgaans wel overleeft.
Hoe vaak moet de strategie worden herzien?
Jaarlijks vindt een volledige evaluatie plaats, waarbij de volgorde opnieuw wordt bekeken wanneer er iets wezenlijks verandert: een significant incident ergens in uw sector, een grote systeem- of leverancierswijziging, een nieuwe verplichting of een oefening die een aanname ongeldig maakt. De beslissingen zelf zijn redelijk stabiel. Wat verandert, is de volgorde, omdat het risico dat met elk resterend onderdeel van de werkzaamheden wordt verminderd, verandert naarmate het portfolio verandert.
