Digitale risicobeheersing: 12 vragen voor RvT en RvC

1. Welke digitale risico's kunnen onze kerndoelen werkelijk raken?

Ik zou niet beginnen met een lijst van honderd cyberdreigingen.

Begin bij de organisatie.

Welke processen zijn zo belangrijk dat langdurige uitval direct gevolgen heeft voor cliënten, bewoners, medewerkers, productie, dienstverlening, financiën of reputatie?

Vraag vervolgens:

• welke systemen zijn daarvoor noodzakelijk;
• welke gegevens zijn kritisch;
• welke leveranciers zijn onmisbaar;
• welke digitale verstoringen hebben de grootste impact;
• welke risico's accepteert het bestuur bewust?

Daarmee wordt cybersecurity onderdeel van normale risicobeheersing.

Een goede toezichtsvraag

“Welke drie digitale risico's kunnen onze strategie of continuïteit het hardst raken, en waarom juist deze drie?”

Een bestuur dat daarop een helder antwoord heeft, laat zien dat er prioritering plaatsvindt.

2. Wie is bestuurlijk eigenaar van digitale risico's?

Cybersecurity wordt vaak besproken als onderwerp van IT.

Voor toezicht vind ik dat te beperkt.

De CIO of IT-manager kan verantwoordelijk zijn voor veel maatregelen, maar het risico zelf raakt de bedrijfsvoering. Continuïteit, financiën, medewerkers, dienstverlening en leveranciers horen daar allemaal bij.

Vraag daarom:

• wie bestuurlijk eigenaar is van de belangrijkste digitale risico's;
• welke rol IT heeft;
• welke rol privacy, risk, control en bedrijfsvoering hebben;
• wie besluiten neemt wanneer risico's niet volledig kunnen worden weggenomen;
• hoe escalatie plaatsvindt.

Een externe IT-partner kan werkzaamheden uitvoeren. Het bestuur blijft degene die moet kunnen uitleggen welke risico's de organisatie loopt en waarom die aanvaardbaar zijn.

3. Waar baseren we ons vertrouwen eigenlijk op?

Dit is een vraag die ik graag stel.

Organisaties zeggen geregeld:

“Onze IT-partner heeft dit op orde.”

Dat kan best waar zijn. Voor toezicht is vervolgens relevant waar dat vertrouwen op is gebaseerd.

Bijvoorbeeld:

• onafhankelijke auditrapportages;
• assurance;
• meetgegevens;
• hersteltests;
• penetratietesten;
• kwetsbaarheidsrapportages;
• interne controles;
• managementrapportages;
• contractuele afspraken;
• aantoonbare opvolging van bevindingen.

Een mondelinge bevestiging is iets anders dan aantoonbare beheersing.

Een goede toezichtsvraag

“Welk onafhankelijk of objectief bewijs hebben we dat onze belangrijkste beveiligingsmaatregelen ook werkelijk functioneren?”

4. Zien we alleen incidenten, of ook de kwaliteit van de beheersing?

Een RvT of RvC krijgt soms vooral informatie wanneer iets misgaat.

Dat is te laat om goed risicogericht toezicht te kunnen houden.

Ik zou periodiek ook zicht willen hebben op onderwerpen als:

• openstaande hoge risico's;
• kritieke kwetsbaarheden;
• achterstallige verbetermaatregelen;
• hersteltests;
• ernstige leveranciersafhankelijkheden;
• uitzonderingen op beveiligingsbeleid;
• status van incidentoefeningen;
• toegang met verhoogde rechten;
• belangrijke auditbevindingen;
• besluiten over risicoacceptatie.

Het doel is niet om een technisch dashboard in de raad te bespreken.

De vraag is of het dashboard laat zien waar bestuurlijke aandacht of besluitvorming nodig is.

5. Welke risico's blijven bewust bestaan?

Volledige veiligheid bestaat niet.

Er zullen altijd risico's overblijven. Sommige maatregelen zijn te duur, technisch nog niet haalbaar of vragen tijd om goed te implementeren.

Dat hoeft geen probleem te zijn, zolang de afweging bewust wordt gemaakt.

Vraag bijvoorbeeld:

• welke hoge risico's momenteel geaccepteerd zijn;
• wie die acceptatie heeft goedgekeurd;
• op basis van welke informatie;
• tot wanneer de acceptatie geldt;
• welke tijdelijke maatregelen aanwezig zijn;
• wanneer opnieuw wordt beoordeeld.

Ik vind een organisatie met een paar goed onderbouwde geaccepteerde risico's vaak geloofwaardiger dan een organisatie die beweert dat alles groen is.

6. Kunnen we herstellen wanneer preventie faalt?

Veel gesprekken over cybersecurity gaan over voorkomen.

Toezicht hoort wat mij betreft minstens zoveel aandacht te geven aan herstel.

Vraag daarom:

• welke processen als eerste moeten kunnen hervatten;
• hoeveel gegevensverlies acceptabel is;
• hoe lang uitval maximaal mag duren;
• wanneer voor het laatst een echte restore-test is uitgevoerd;
• of een volledige herstelketen is getest;
• welke leveranciers nodig zijn tijdens herstel;
• of bestuur en crisisorganisatie weten wat hun rol is.

Een succesvolle back-upmelding zegt nog weinig over de tijd die nodig is om de bedrijfsvoering terug te krijgen.

Een goede toezichtsvraag

“Wanneer hebben we voor het laatst aantoonbaar getest dat een kritisch proces na een grote cyberverstoring binnen onze eigen doelstelling kan worden hervat?”

7. Hoe afhankelijk zijn we van leveranciers?

Voor veel organisaties is dit een van de grootste blinde vlekken.

De eigen IT-afdeling kan uitstekend functioneren en toch kan een probleem bij een cloudprovider, softwareleverancier of beheerpartij grote gevolgen hebben.

Ik zou als toezichthouder willen weten:

• welke leveranciers kritiek zijn;
• welke diensten van hen afhankelijk zijn;
• welke toegang zij hebben;
• welke beveiligingsafspraken contractueel zijn vastgelegd;
• welke assurance beschikbaar is;
• hoe incidentmeldingen verlopen;
• wat er gebeurt wanneer de leverancier langdurig uitvalt;
• hoe overstappen of beëindigen mogelijk is.

Leveranciersrisico gaat daarmee verder dan inkoop.

Het is continuïteits- en governancevraagstuk.

8. Worden bevindingen daadwerkelijk opgelost?

Een audit, risicoanalyse of securityscan levert vaak een keurige lijst met maatregelen op.

De kwaliteit van risicobeheersing blijkt daarna.

Vraag:

• wie eigenaar is van iedere belangrijke bevinding;
• welke deadline eraan gekoppeld is;
• wat inmiddels aantoonbaar is afgerond;
• welke punten zijn uitgesteld;
• waarom dat is gebeurd;
• welke risico's daardoor langer blijven bestaan.

Ik zou liever vijf duidelijke prioriteiten zien die aantoonbaar worden opgelost dan vijftig aanbevelingen waarvan niemand nog weet wie ermee bezig is.

Een goede toezichtsvraag

“Welke drie belangrijke cyberbevindingen staan al het langst open en wat houdt afronding tegen?”

Dat is vaak een verrassend informatieve vraag.

9. Krijgen we informatie die past bij toezicht?

Een technisch rapport van veertig pagina's kan heel waardevol zijn voor de IT-manager en vrijwel onbruikbaar voor de RvT.

Goed toezicht vraagt om vertaling.

Ik zou bestuurlijke informatie minimaal laten beantwoorden:

• wat is het risico;
• welk kritisch proces kan geraakt worden;
• hoe groot kan de impact zijn;
• welke beheersing bestaat al;
• wat werkt aantoonbaar;
• welke onzekerheid blijft bestaan;
• wie is eigenaar;
• wat is de verbetertermijn;
• welk besluit is eventueel nodig.

De techniek blijft beschikbaar voor verdieping, maar de hoofdrapportage moet bestuurbaar zijn.

10. Hoe weten we of de interne beheersing werkelijk werkt?

Interne beheersing is meer dan beleid en procedures.

Bij beveiligingsmaatregelen kijk ik graag naar drie eenvoudige begrippen:

opzet, bestaan en werking.

Opzet

Is de maatregel passend ontworpen?

Bestaan

Is de maatregel daadwerkelijk ingevoerd?

Werking

Functioneert de maatregel gedurende de tijd zoals bedoeld?

Een voorbeeld.

Op papier kan staan dat toegangsrechten ieder kwartaal worden gecontroleerd.

Dan zijn de volgende toezichtsvragen relevant:

• gebeurt die controle daadwerkelijk;
• wie voert hem uit;
• welke afwijkingen worden gevonden;
• worden die afwijkingen opgelost;
• is daarvan bewijs beschikbaar?

Dat maakt interne beheersing concreet.

11. Oefenen bestuur en organisatie ook met verstoring?

Een incident response plan is nuttig. Een geoefend incident response plan geeft meer zekerheid.

Ik zou daarom willen weten:

• wanneer de laatste oefening plaatsvond;
• welk scenario is gebruikt;
• of bestuur/directie deelnamen;
• welke leveranciers betrokken waren;
• welke knelpunten zichtbaar werden;
• welke verbeteringen daarna zijn doorgevoerd.

Een oefening hoeft niet altijd technisch ingewikkeld te zijn.

Een goede boardroomscenario-oefening kan al zichtbaar maken dat onduidelijkheid bestaat over bevoegdheden, communicatie, besluitvorming, herstelprioriteiten of contact met leveranciers.

Dat soort onduidelijkheid wil je liever tijdens een oefening ontdekken dan tijdens een echte crisis.

12. Is onze risicobeheersing aantoonbaar beter dan een jaar geleden?

Deze laatste vraag voorkomt dat cybersecurity een terugkerend agendapunt wordt zonder zichtbare ontwikkeling.

Vraag bijvoorbeeld:

• welke grote risico's zijn verlaagd;
• welke maatregelen aantoonbaar beter werken;
• welke afhankelijkheden zijn verminderd;
• welke nieuwe risico's zijn ontstaan;
• welke lessen uit incidenten en audits zijn verwerkt;
• waar de organisatie volgend jaar aantoonbaar verder wil zijn.

Daarmee komt toezicht los van losse projecten en ontstaat een verbetercyclus.

Welke informatie zou ik periodiek aan de RvT of RvC geven?

Ik zou geen vast universeel dashboard voorschrijven. De informatie moet passen bij de organisatie.

Voor veel organisaties zou ik minimaal denken aan:

De kracht zit niet in het aantal indicatoren.

De informatie moet de raad helpen om door te vragen, patronen te herkennen en het gesprek met het bestuur op het juiste niveau te voeren.

Waar ligt de grens tussen toezicht en uitvoering?

Die grens verdient aandacht.

De RvT of RvC hoeft niet zelf het beveiligingsprogramma te ontwerpen. Ook zou ik terughoudend zijn met toezicht dat rechtstreeks operationele opdrachten aan de IT-manager gaat geven.

De rol is anders.

Toezicht stelt vast of het bestuur:

• risico's kent;
• passende keuzes maakt;
• verantwoordelijkheden organiseert;
• voldoende middelen beschikbaar stelt;
• betrouwbare informatie ontvangt;
• opvolging bewaakt;
• transparant is over onzekerheden.

Wanneer de raad zelf gaat bepalen welke firewall of securitytool moet worden aangeschaft, verschuift toezicht richting uitvoering.

Wanneer de raad genoegen neemt met “IT zegt dat het goed zit”, blijft toezicht juist te oppervlakkig.

De kunst zit ertussenin.

Wat doe je wanneer de raad onvoldoende zicht heeft?

Begin dan niet meteen met twintig nieuwe KPI's.

Mijn voorkeur is om eerst vast te stellen welke informatie ontbreekt om een verantwoord oordeel te kunnen vormen.

Dat kan aanleiding zijn voor:

• een gerichte risicoanalyse;
• een boardroom cybersessie;
• een beoordeling van interne beheersing;
• een onafhankelijke Cyber Security Audit;
• verdieping van leveranciersrisico;
• een incidentoefening.

De vorm volgt uit de vraag.

Voor een RvT of RvC is onafhankelijk onderzoek vooral waardevol wanneer het helpt om aannames te vervangen door aantoonbare informatie.

Vijf signalen waarop ik als toezichthouder zou doorvragen

Er zijn een paar antwoorden waarbij bij mij direct een vervolgvraag ontstaat.

“Daar is onze IT-leverancier verantwoordelijk voor.”

Dan wil ik weten hoe de organisatie controleert of die verantwoordelijkheid goed wordt uitgevoerd.

“We hebben nog nooit een groot incident gehad.”

Dan wil ik weten welk bewijs er is dat preventie en herstel werken.

“Alles staat op groen.”

Dan wil ik de definities van groen zien en weten welke uitzonderingen buiten het dashboard vallen.

“We zijn ISO-gecertificeerd.”

Dan wil ik weten welke scope het certificaat heeft en welke bestuurlijke risico's daar eventueel buiten vallen.

“We hebben vorig jaar een pentest gedaan.”

Dan wil ik weten welke omgeving is getest, welke bevindingen zijn opgelost en welke andere risico's daarmee niet zijn onderzocht.

Doorvragen is geen wantrouwen.

Het is precies waarvoor toezicht bedoeld is.

Risicogericht toezicht begint met een goed gesprek

Cybersecurity wordt voor een RvT of RvC hanteerbaar zodra het gesprek niet meer draait om losse techniek.

Praat over:

• continuïteit;
• afhankelijkheden;
• risicoacceptatie;
• bewijs;
• verantwoordelijkheid;
• herstel;
• voortgang.

Daarmee sluit digitale risicobeheersing aan op de manier waarop een raad ook naar andere strategische risico's kijkt.

Als ik één vraag zou kiezen om bij de volgende vergadering te stellen, zou het deze zijn:

“Waar zijn we op dit moment het meest afhankelijk van een aanname waarvan we de werking nog onvoldoende hebben aangetoond?”

Het antwoord daarop geeft vaak meer inzicht dan een dashboard vol groene vinkjes.

Verder verdiepen

Lees ook:

• Interne beheersing in de praktijk
• het Kynexis-artikel over cybersecurity governance
• de pagina over risicoanalyse informatiebeveiliging

[Interne links naar actuele canonieke routes]

Wanneer bestuur en toezicht samen het actuele risicobeeld willen aanscherpen, kan een Boardroom Cybersessie een praktische eerste stap zijn.