In een wereld waar informatie niet langer veilig is, verlichten wij uw pad.

Information Security Services

Met onze meerjarige ervaring op het gebied van Informatiebeveiliging en Privacy kunnen wij organisaties helpen met de volgende belangrijke onderdelen van Information Security: Governance, Risico management, Incident management, en het uitvoeren van beveiligingsprogramma’s en
-projecten.

Dit doen wij door inzet van een ISACA gecertificeerde (C)ISO/consultant waarbij de aanpak projectmatig is, (op basis van Prince2). Hieronder gaan we in op de verschillende benodigde deelgebieden van Informatiebeveiliging.

Governance

Het besturen en richting geven en de controle op uitvoering is ook voor informatiebeveiliging essentieel. De continuïteit van uw informatievoorziening is de basis is voor uw bedrijfscontinuïteit. Daarbij is compliance, het voldoen aan wet -en regelgeving natuurlijk ook een belangrijke randvoorwaarde.

Wat is hiervoor nodig?

• Bepalen en beschrijven van een informatiebeveiligingsstrategie;

• Opstellen en bijhouden van beleid en procedures;

• Bewaken van compliance aan wet- en regelgeving;

• Waar nodig aanbrengen van cultuurveranderingen in de organisatie;

• Het vaststellen van rollen en verantwoordelijkheden;

• Het vaststellen en laten certificeren van informatiebeveiliging conform standaarden zoals bijv ISO27001 of NEN7510.

Risk Management

Het vaststellen van risico’s voor uw bedrijfsvoering is geen eenvoudige taak. Nog minder het bepalen van de nodige maatregelen om de risico’s tot een acceptabel niveau beperken.

Goed risicomanagement voegt ook waarde toe, in die zin dat potentiële bedrijfsschade wordt beperkt. De relatie tussen mogelijk optredende beveiligingsincidenten en de impact daarvan op de bedrijfsvoering en -continuïteit wordt daartoe in beeld gebracht.

Het in kaart brengen van de beveiligingsrisico’s vraagt om inzicht in de threats en vulnerabilities, in de mogelijk mitigerende maatregelen en de effecten daarvan. Een balans tussen enerzijds de mogelijke potentiële schade x de kans optreden en anderzijds de te maken kosten voor mitigerende maatregelen moet worden bepaald.

Risico’s monitoren en maatregelen bijstellen is een steeds terugkerend, zo niet continu proces. Bedreigingen van buiten en ook van binnenuit wijzigen continue. Ook wijzigingen in de ICT infrastructuur, het applicatielandschap en personeels samenstelling zorgen voor wijzigingen inde risico’s.

Incident Management

Risicomanagement kan inzicht verschaffen in potentiële bedreigingen en maatregelen ter voorkoming en beperken van incidenten. Het continue meten en monitoren van de beveiligingssituatie zorgt voor alertheid bij optredende afwijkingen of het terugzakken van het beveiligingsniveau.

Wanneer echter een beveiligingsincident optreedt, dan is het zaak te weten hoe men de situatie kan beheersen en de schade kan beperken.

Het inrichten van een Incidentmanagementproces zorgt o.a. voor adequate incidentresponse. Dit betekent dat de nodige plannen up-to-date zijn voor zo’n situatie, dat een response- of crisisteam direct aan het werk kan, en dat de nodige acties in de juiste volgorde worden opgepakt.

Dit alles met het doel de bedrijfsschade te beperken, zo snel mogelijk de normale situatie te herstellen en herhaling te voorkomen.

Het nemen van de juiste stappen zodra een incident zich voordoet is gebaseerd op een aantal analyses en plannen die al vooraf gedefinieerd kunnen worden zoals bijvoorbeeld:

• BIA: of Business Impact Analysis
  Wat zijn de mogelijke gevolgen voor de bedrijfsvoering bij verschillende soorten incidenten?
• BCP: of Business Continuity Plan
  Hoe kan de organisatie zijn kritieke diensten blijven leveren op een vooraf bepaald aanvaardbaar niveau binnen een bepaalde tijd?
• DRP: Data Recovery Plan
  Hoe kan de organisatie de informatie die nodig is voor kritische bedrijfsprocessen identificeren, beveiligen en zorgen dat die binnen een zo kort mogelijke tijd weer beschikbaar komt na een incident?

Verder zijn preventief beschikbaar te maken (niet uitputtend):

• een incident procedure protocol wat beschrijft hoe te handelen bij een incident.
• de samenstelling van een Incident Response Team met verantwoordelijkheden en rollen.
• incident classificatiesysteem;
• één of meerdere geselecteerde vendoren die men kan inschakelen voor incident response;
• trainingen;
• tools voor forensische analyse en herstel;
• een communicatieplan.

Na afloop en analyse van het incident is een evaluatie nodig met aanbevelingen ter voorkoming en verbetering van het incidentmanagementproces en van de ICT inrichting en beheerprocessen waarin het incident heeft plaatsgevonden. Ook zal dit veelal aanleiding zijn tot het herzien of verbeteren van de informatiebeveiliging.

Het incident management proces dient natuurlijk ook periodiek aangepast te worden aan de bedrijfssituatie, bijvoorbeeld in de PDCA cyclus.

Wij, als Roadmap-ICT hebben de nodige ervaring met het onrichten van een incidentmanagementproces, en met het voeren van regie bij een optredend incident.