Er komt een vragenlijst binnen van een klant. Zestig vragen over informatiebeveiliging, in te vullen voor het einde van de maand. Iemand vult hem in. De antwoorden zijn overwegend bevestigend, want het klopt: er is beleid, er zijn maatregelen, er is een leverancier die dat regelt.

De vragenlijst gaat terug. Niemand heeft gecontroleerd of de antwoorden ook waar zijn.

Dat is geen kwade wil. Het is wat er gebeurt wanneer een organisatie moet verklaren wat zij niet kan nagaan. Op papier is er veel geregeld. Toch blijft vaak onduidelijk of de belangrijkste maatregelen doen wat u ervan verwacht op het moment dat het erop aankomt.

Dat is geen detail. Zolang werking niet aantoonbaar is, rust uw weerbaarheid op aannames. En aannames zijn lastig sturen, lastig bijstellen en lastig verdedigen wanneer een klant, een auditor of uw eigen commissaris doorvraagt.

Waarom dit bestuurlijk relevant is

Cyberrisico wordt bestuurlijk zodra het raakt aan continuïteit, klantvertrouwen, wettelijke verplichtingen of stilstand.

De kernvraag is dan niet of er maatregelen bestaan. De kernvraag is of u kunt onderbouwen dat de juiste maatregelen bestaan, worden uitgevoerd, en werken zoals bedoeld.

Dat vraagt meer dan een overzicht van maatregelen of een verklaring van een leverancier. Het vraagt samenhang tussen vier dingen: wat kritiek is, waarvan dat afhankelijk is, wie erop aanspreekbaar is, en welk bewijs er ligt.

Zonder die samenhang ontstaat een herkenbaar beeld. Er is veel geregeld. Niemand kan aanwijzen waarop de organisatie werkelijk vertrouwt.

Wat ik typisch zie

  • de verklaring aan een klant is ingevuld door iemand die de onderliggende situatie niet kon controleren
  • er is een continuïteitsplan, en het is nooit getest, ook niet op papier
  • de leverancier stuurt jaarlijks een rapportage die niemand in de directie kan lezen en die dus ook niemand tegenspreekt
  • het certificaat van de leverancier wordt gelezen als een garantie, terwijl niemand heeft gekeken waar het precies over gaat
  • na een incident is er een maatregel genomen, en niemand heeft daarna vastgesteld of die maatregel het probleem ook oplost
  • de vorige bestuurder wist waar de zwakke plekken zaten, en dat is bij zijn vertrek niet overgedragen
  • er is een verzekering, en niemand heeft uitgezocht welke eisen die stelt aan wat u zelf geregeld moet hebben
  • er wordt een bevinding gemeld, iemand antwoordt dat het is opgepakt, en daar eindigt het spoor
  • verantwoordelijkheden staan in een document dat is opgesteld voor een audit en sindsdien niet meer geopend
  • de vraag "kunnen we dit aantonen" komt pas op tafel wanneer iemand van buiten hem stelt, en dan onder tijdsdruk.

Ieder onderdeel is op zichzelf verdedigbaar. Bij elkaar levert het geen bestuurbaar beeld op.

Welke vragen dit oproept

U hoeft geen technisch detail te kennen. U moet wel weten welke zekerheden u nodig heeft en waarop uw besluiten rusten.

  • Welke processen, diensten of gegevens mogen niet stilvallen?
  • Waarvan zijn die afhankelijk, en wie levert dat?
  • Welke gebeurtenis zou daar zakelijk echt pijn doen?
  • Wie is aanspreekbaar op werking, opvolging en het aanvaarden van risico?
  • Waaruit blijkt dat de belangrijkste maatregelen bestaan en worden uitgevoerd?
  • Waaruit blijkt dat ze ook werken onder druk?
  • Welke aannames behandelt u nu als zekerheid?
  • Wat verklaart u aan klanten, en wie heeft gecontroleerd of dat klopt?
  • Welke besluiten zijn nodig zodra blijkt dat bewijs ontbreekt?

Deze vragen halen cyber weg bij de techniek en brengen het terug naar continuïteit, verantwoordelijkheid en bewijs.

Wat een Reality Check hier oplevert

Een Reality Check toetst niet of u voldoet aan een volledige norm. Hij begint bij een concrete bestuurlijke vraag en maakt zichtbaar wat onderbouwd is, wat op aannames rust, en waar u een besluit moet nemen.

Bij dit onderwerp levert dat bijvoorbeeld op:

  • scherp beeld van de kritieke processen waar de vraag over gaat
  • overzicht van waar die processen feitelijk van afhangen
  • onderscheid tussen bestaand beleid, uitgevoerde activiteit en werkelijk bewijs
  • overzicht van bewijs dat ontbreekt of versnipperd is
  • zicht op wat u aan klanten verklaart en of dat te onderbouwen is
  • besluitpunten voor directie of bestuur, scherp genoeg om de afweging zelf te kunnen maken
  • helder eigenaarschap voor opvolging en verantwoording.

Wat een Reality Check niet levert, is een verbeterprogramma of een kosteninschatting. Wat het kost om een gat te dichten, hangt af van keuzes die u daarna nog maakt. Die keuzes blijven van u.

De waarde zit niet in meer documentatie. De waarde zit in het verschil tussen aanwezigheid en werking.

Kern

Weerbaarheid is niet aantoonbaar omdat er maatregelen zijn. Zij is aantoonbaar wanneer duidelijk is welke maatregelen kritiek zijn, wie erop aanspreekbaar is, en welk bewijs laat zien dat ze werken.

Uitbesteden verplaatst uitvoering, niet verantwoordelijkheid. En een verklaring die niemand heeft gecontroleerd, is geen verklaring. Het is een verwachting met uw handtekening eronder.