Aanvulling om vergeten te worden

Obstakels om te vergeten

Op Europees niveau heeft ENISA haar steentje bijgedragen aan het 'recht om vergeten' te worden. Duidelijkere definities, betere juridische handvatten, wie mag vragen om het wissen, onder welke omstandigheden, ... Dit zijn enkele van de obstakels die ENISA naar voren brengt. 

Het recht om vergeten te worden is onderdeel van de nieuwe Europese richtlijn voor Data Protection Regulation zoals eurocommisaris Viviane Reding dit heeft voorgesteld. Deze richtlijn moet nog door het Europees Parlement worden goedgekeurd. 

ENISA richt het rapport dat u onder bovenstaande link kunt vinden op het terugbrengen van de hoeveelheid persoonlijke data die wordt opgeslagen. Dit zeggen zij naar aanleiding van hun onderzoek naar de impact op de privacy als gevolg van het monitoren en vastleggen van gebruikersgedrag. 

Een van de adviezen van ENISA is de toepassing van encryptie voor opslag en transport van persoonlijke gegevens. Ik juich zo'n advies toe als gebruikers patiëntgegevens in Dropbox op mogen slaan van hun directie!

In mijn vorige blogartikel heb ik al aangegeven dat ik positief sta tegen extra monitoring. Ik heb echter ook aangegeven dat de dialoog met de betrokkenen moet plaatsvinden om een acceptabele grens vast te stellen. Hier heiligt het doel niet alle middelen! 

Ik herhaal daarom: 'voer de dialoog met de gebruikers, stel een acceptabele grens vast en voeg professioneel security information management toe aan het security management binnen de organisatie!'

Veel leesplezier, maar wees kritisch. De malware draait al in stealth mode in je netwerk!

Security organiseren - de triade (2)

In een vorig artikel heb ik aangegeven dat na een certificeringstraject voor ISO 27001 al vlug sprake is van practical drift. De discipline van verantwoord omgaan met vertrouwelijke informatie verandert al vlug in nalatigheid (bewust of onbewust). 


Voor goede aandacht voor security binnen een organisatie ben ik er van overtuigd dat de CEO, de CIO en de CSO intensief moeten samenwerken. Todd Fitzgerald heeft daar een goed artikel over geschreven in 2007. Ondanks dat security zich in snel tempo aanpast aan de ontwikkelingen op het gebied van cybersecurity blijft datgene wat Todd Fitzgerald beschrijft van waarde. 


Het spreekt me erg aan juist omdat het uitgaat van een gedeelde verantwoordelijkheid waarbij de betrokkenen elkaar moeten vinden en begrijpen. En dat is vaak niet het geval in een (hiërarchische) organisatie. 


Het vorige artikel zoomde in op de vragen die de CEO aan de CSO kan stellen voor een betere samenwerking. Onderstaand zijn de vragen weergegeven die de CIO aan de CSO kan stellen.

• Welke inspanning is er minimaal nodig om veilige software te ontwikkelen?
• Wat moeten we doen om audit issues te voorkomen in de softwareontwikkeling, zonder significante kosten of vertragingen op te lopen bij onze IT-projecten?
• Hoe zie jij jouw rol, als reviewer van geïmplementeerde securitymaatregelen of als promoter vóór de implementatie?
• Welke technologieën zijn er beschikbaar om het arbeidsintensieve aspect van patch management, vulnerability management, configuration management en compliance monitoring te verminderen?
• Kun je nuttige informatie over reële risico’s in onze branche en alternatieve tegenmaatregelen die organisaties gebruiken opleveren?
• Hoe kunnen we verzekeren dat we aan minder risico’s blootstaan, zodanig dat we op een acceptabel risiconiveau zitten?
• Welk tastbaar voordeel bieden de investeringen in security om de business mogelijk te maken?
• Welke interne en/of externe audit issues worden verholpen door de investeringen in security?
• Welke IT-resources zijn nodig, in aanvulling op security medewerkers, om de security oplossing te kunnen implementeren? Welke ondersteuning van de business hebben we nodig?
• Hoe integreren we de security eisen in het software ontwikkelingsproces? Voeren we die taken al uit?
• Hebben we alle noodzakelijke kennis en ervaring in huis om deze security oplossing te implementeren? Moeten we wellicht overwegen om enkele van de functies uit te besteden?
• Wat zijn de kritieke succesfactoren voor succesvol beveiligen van de IT-infrastructuur? Hoeveel is genoeg?
• Hoe kun jij me helpen om mijn tijd en inspanning, met betrekking tot compliance activiteiten, te reduceren?

Er zijn natuurlijk veel vragen te bedenken. Het komt er op neer dat verantwoordelijke mensen binnen de organisatie zich er van bewust zijn dat ze die gedeelde verantwoordelijkheid hebben. Je kunt hier natuurlijk vanuit vele invalshoeken je licht op laten schijnen (leiderschap of onderhandelen). Maar dat gaat te ver voor dit artikel.  

Zie jij binnen jouw organisatie hoe de drie (CEO,CIO en CEO) samenwerken op het gebied van security? Of zie jij geheel andere positieve verbanden waardoor security juist goed georganiseerd is? Dat is interessant. Laat het me weten!

Blijf alert! Je hebt het laatste artikel over de triade nog van me te goed. Heb je opmerkingen, of wil je bepaalde onderwerpen terugzien? Laat het me dan weten. Reageer!

Security organiseren - de triade

ISO 27001 is dé richtlijn voor het inrichten van een Information Security Management Systeem.  Voordat een dergelijk ISMS gerealiseerd is moet er vanzelfsprekend een berg werk worden verzet. Gedurende het implementeren van alle documenten, processen en technologie neemt het bewustzijn voor security in de hele organisatie toe. Men wordt alert en er ontstaat een mindset voor risicomanagement.


Als eenmaal het ISMS werkt blijft het de vraag of de hele organisatie zo scherp blijft? De 'practical drift' maakt dat na verloop van tijd de aandacht verloren gaat en in feite het risicoprofiel van de organisatie geleidelijk toeneemt. 


Hoe voorkom je dit? 


Hierover is in 2007 een pakkend artikel geschreven door Todd Fitzgerald van de Taylor Francis Group. Het spreekt me aan omdat hij ingaat op de rollen van enkele sleutelfiguren in de organisatie:

• De CEO moet als bestuurder het belang inzien van security en datzelfde belang uitdragen naar alle medewerkers.
• De CIO is verantwoordelijk voor veilige IT, waarvan de business alleen maar nog meer afhankelijk wordt de komende jaren. 
• De CSO is veelal verantwoordelijk gemaakt voor de organisatiebrede security. Maar hij kan met gebrek aan budget en bevoegdheden niet zonder de andere twee. 

Het komt dan ook aan op een sterk verbond tussen de directie (CEO), de IT-Manager (CIO) en de Security Manager (CSO). Deze triade brengt, door het stellen van de juiste vragen, security op een hoger plan binnen de organisatie. Onderstaand zie je enkele voorbeelden van vragen die de CEO aan de CSO kan stellen. 

• Hoe reduceert deze investering in security de bedrijfsrisico’s die we als organisatie lopen?
• Hoe voorkomt de investering dat de naam negatief in de publiciteit komt?
• Hoe draagt de investering bij aan de kwaliteit van ons stelsel van controle- en beheersmaatregelen, zodat ik (de CEO) er zeker van ben dat we alle beschreven bedrijfsactiviteiten en –processen eenduidig uitvoeren?
• Voldoen onze securitymaatregelen aan alle relevante wet- & regelgeving?
• Hoeveel investeren onze concurrenten in security?
• Hoe ondersteunt deze investering in security onze belangrijkste dienstverlening en/of producten?
• Reduceren deze investeringen het aantal lopende audit issues?
• Bestaat er goedkeuring van andere directieleden voor deze investering in security?
• Kunnen we hetzelfde resultaat bereiken tegen lagere kosten, door bijvoorbeeld een externe security consultant in te huren of een deel van de security taken uit te besteden?
• Vraagt de investering instemming en support voor meerdere jaren?
• Is er op korte termijn al return-on-investment te realiseren door gefaseerde invoering van de securitymaatregelen?
• Welke resources zijn er allemaal voor nodig om de securitymaatregelen in te kunnen voeren?
• In welke mate zijn de betreffende security technologieën al geadopteerd door de markt? Zijn wij de early-adopter (hoog risico) of heeft de hele branche het al in gebruik?
• Hebben we zelf alle expertise en ervaring aan boord, of hebben we externe kennis nodig om tegen een acceptabel risico de securitymaatregelen in te voeren?

Als CSO zul je dus duidelijke antwoorden moeten kunnen geven op de bovenstaande vragen. Vooropgesteld dat de CEO de tijd neemt om deze vragen te stellen! 

Volgende keer zal ik ingaan op de vragen die de CIO aan de CSO kan stellen. 

Blijf dus alert! Volg de ontwikkelingen en geef je op om per email op de hoogte te blijven.