Stop met compliance als een karwei te behandelen—bouw een veerkrachtige beveiligingscultuur
Noem "naleving van cyberbeveiligingsvoorschriften" tegen de meeste mensen in je organisatie, en hun ogen zullen waarschijnlijk glazig worden. Toch is de negatieve reputatie ervan deels te wijten aan de manier waarop veel bedrijven naleving behandelen. Het wordt vaak gezien als een vervelende controle op innovatie en groei, dus doen bedrijven het minimaal noodzakelijke om te slagen en vergeten ze het vervolgens volledig totdat het weer tijd is voor een audit.
In werkelijkheid kan naleving het tegenovergestelde bereiken: een fundament leggen voor een grotere veerkracht en meer succes van het bedrijf.
Als je denkt dat naleving een noodzakelijk kwaad is, heb je het juiste raamwerk nog niet gevonden. Daarom zou dit het jaar moeten zijn waarin je organisatie een nieuwe aanpak omarmt.
Want more from The CTO Club?
Create a free account to finish this piece and join a community of CTOs and engineering leaders sharing real-world frameworks, tools, and insights for designing, deploying, and scaling AI-driven technology.
Have an account? Log In
Bedreigingen zijn overal
Regels en voorschriften bestaan met een reden. In de wereld van cyberrisico's is dat om ervoor te zorgen dat organisaties die eraan voldoen een basisset van beleidsregels en processen hebben die hen in theorie beschermen tegen ernstige datalekken. Dat is vooral belangrijk omdat cyberbeveiliging nog steeds niet als onderdeel van de bedrijfscultuur wordt omarmd zoals veiligheid op de werkplek dat wel is.
Een blik op het bedreigingslandschap maakt meteen duidelijk waarom zulke regels bestaan. Een enorme cybercriminele economie met een waarde van biljoenen dollars biedt een kant-en-klare markt voor de handel in hacktools, kennis en gestolen gegevens. Veel van deze kennis wordt verpakt in eenvoudig te gebruiken diensten, waardoor de drempel voor beginnende dreigingsactoren nog lager wordt.
SaaS-bedrijven moeten bijzonder voorzichtig zijn. Je bedrijf kan een aantrekkelijk doelwit zijn als het grote hoeveelheden gevoelige klantgegevens beheert en weinig tolerantie heeft voor de soort service-uitval die ransomware kan veroorzaken — oftewel de meeste bedrijven. Door staten gesponsorde aanvallen komen minder vaak voor, maar nemen volgens Microsoft toe in aantal en agressiviteit.
Wat zijn de meest voorkomende cyberdreigingen?
Volgens onderzoek van ISMS.online, dat de VS, het VK en Australië omvat, waren de vijf belangrijkste bedreigingen die respondenten in 2024 ondervonden:
- Malware-infecties (35%) komen steeds vaker voor dankzij vooraf samengestelde toolkits.
- Social engineering (32%) kan phishing omvatten via e-mail, sms, sociale media en spraak.
- Deepfakes (30%) kunnen slachtoffers ertoe verleiden geld over te maken namens het bedrijf of fraudeurs helpen controles voor klantidentificatie te omzeilen.
- Ransomware (29%) neemt explosief toe dankzij het model "als dienst", dus ransomwarebescherming is noodzakelijk.
- Interne betrokkenen (28%) kunnen nalatig of kwaadwillig zijn.
Een eervolle vermelding in negatieve zin moet ook naar bedreigingen in de toeleveringsketen gaan. De meeste SaaS-bedrijven bevinden zich in het epicentrum van een complex netwerk van digitale leveranciers. Ze werken ook samen met advocatenkantoren, salarisverwerkers en andere professionele dienstverleners. Elk van deze relaties kan door dreigingsactoren worden onderzocht op zwakke plekken.
Vorig jaar was de grootste uitdaging op het gebied van informatiebeveiliging voor onze respondenten "het beheren van risico's van leveranciers en derden".
Wat dit betekent voor je bedrijf
Ernstige beveiligingsinbreuken kunnen natuurlijk leiden tot aanzienlijke financiële schade en reputatieschade. Daarom moeten de meeste SaaS-bedrijven voldoen aan een lappendeken van overlappende cyberbeveiligingsvoorschriften.
In de VS kunnen deze bestaan uit federale wetten zoals de Cyberwet inzake incidentrapportage voor kritieke infrastructuur (CIRCIA), beveiligings- en privacywetten op staatsniveau en sectorspecifieke wetten zoals de Wet inzake overdraagbaarheid en verantwoordingsplicht van ziektekostenverzekeringen (HIPAA).
In de EU omvatten nieuwe voorschriften de Wet inzake digitale operationele veerkracht (DORA), NIS 2 en de Cyberveerkrachtwet (CRA).
Met zoveel regels en vaak hoge boetes voor niet-naleving kan het geheel overweldigend lijken, vooral voor kleinere SaaS-aanbieders. Respondenten aan het onderzoek noemden naleving van uiteenlopende voorschriften als de op één na grootste uitdaging op het gebied van informatiebeveiliging.
Waarom de oude manieren niet de beste zijn
Tegen deze achtergrond zou het begrijpelijk zijn als je kiest voor een afvinkbenadering van naleving. Op papier is dat logisch. Richt je op de regels en besteed alleen voldoende tijd, geld en middelen aan naleving: niet meer.
Op de lange termijn leidt dit echter tot een hoop problemen. Het is een oppervlakkige vorm van naleving die een vals gevoel van veiligheid creëert en de focus zo beperkt dat onderliggende risicobronnen niet worden aangepakt. En omdat toezichthouders voortdurend reageren op veranderingen in het bedreigings- en technologielandschap, betekent afvinknaleving dat jij dat ook zult moeten doen. Daardoor kan je bedrijf blootgesteld blijven aan zich snel ontwikkelende bedreigingen.
Weg met de afvinkmentaliteit, ruimte voor zakelijke slagkracht
Nu we een nieuw jaar ingaan, is het tijd voor een nieuwe aanpak: een proactieve mentaliteit gericht op voortdurende beveiliging en risicobeheer, waarbij compliance wordt beschouwd als een stimulans voor groei. Laten we twee benaderingen volgens de beste praktijken bekijken die kunnen helpen.
ISO 27001 is een internationaal gerenommeerde norm die organisaties helpt hun informatiebeveiligingsbeheer te structureren en te vereenvoudigen. De norm bestaat uit drie elementen:
- Een kader voor een managementsysteem voor informatiebeveiliging (ISMS) helpt bij het opstellen van een uitgebreide reeks beleidsregels en procedures voor het beheren van informatiebeveiliging. Dit is het fundamentele element en de sleutel tot het bevorderen van een proactieve compliancecultuur.
- Een risicobeoordelingsproces dat organisaties verplicht potentiële bedreigingen te identificeren.
- Een reeks ‘Annex A’-beheersmaatregelen helpt ervoor te zorgen dat het ISMS van de organisatie risico’s effectief beperkt.
De ISO 27001-certificering, die in meer dan 150 landen wordt erkend, laat zien dat uw bedrijf serieus werk maakt van proactief risicobeheer. Dit kan helpen datalekken te voorkomen (en de tijd en het geld die ze kosten te besparen), het vertrouwen van klanten op te bouwen en verkoopcycli te versnellen.
De cultuur van voortdurende verbetering, veerkracht en beveiligingsbewustzijn die de norm bevordert, staat mijlenver af van compliance als afvinklijst.
SOC 2 is geen norm, maar een kader dat specifiek is ontwikkeld voor organisaties die klantgegevens in de cloud opslaan. Dat maakt het ideaal voor SaaS-aanbieders, vooral in Noord-Amerika, waar het een grotere bekendheid geniet dan ISO 27001.
SOC 2 omvat vijf categorieën van ‘vertrouwen’: beveiliging, beschikbaarheid, integriteit van de verwerking, vertrouwelijkheid en privacy. Maar dit is het belangrijke verschil: elke organisatie kiest alleen de categorieën die van toepassing zijn op haar bedrijf en brengt vervolgens in kaart hoe zij aan de ongeveer 60 vereisten binnen elke categorie kan voldoen. In plaats van een voorgeschreven lijst met beheersmaatregelen te volgen, kunt u zelf de aangepaste beleidsregels en processen ontwerpen die relevant zijn voor uw bedrijf.
Beter vandaag dan morgen
Uiteindelijk zijn de voordelen van SOC 2 vergelijkbaar met die van ISO 27001. Zodra u de technische audit hebt doorstaan, zorgt SOC 2-compliance ervoor dat uw organisatie beter beschermd is tegen ernstige incidenten, waardoor financiële schade en reputatieschade worden voorkomen. De certificering helpt u bestaande en potentiële klanten solide garanties op het gebied van beveiliging te bieden en vereenvoudigt bovendien de naleving van veel cyberbeveiligingsvoorschriften die op dezelfde beste praktijken zijn gebaseerd.
Niemand weet wat het komende jaar zal brengen. Maar in een wereld vol chaos en onzekerheid helpt een compliancecultuur van voortdurende verbetering uw bedrijf vandaag tegen risico’s te beschermen. En zorgt deze ervoor dat uw bedrijf morgen succesvol kan zijn.
Abonneer u op de nieuwsbrief van The CTO Club voor meer tips, hulpmiddelen en beste praktijken op het gebied van compliance.
