Maatregelen nemen is het halve werk; de wet vraagt ook te controleren dat ze werken. Het verschil klinkt subtiel en is het niet: een back-up bestaat, of een back-up is dit jaar teruggezet en bleek te werken. Alleen dat tweede telt bij een audit.
Wat is het verschil tussen een maatregel hebben en toetsen?
Een voorbeeld per onderwerp: MFA staat aan, of er is gecontroleerd dat er geen accounts meer zonder MFA bestaan. Toegang wordt ingetrokken bij uitdiensttreding, of de accountlijst is dit jaar naast de personeelslijst gelegd. De toets is steeds de vraag: hoe weet ik dat dit vandaag nog klopt?
Een jaarlijkse ronde langs uw maatregelen, met per maatregel wat u controleerde en wat eruit kwam, is voor de meeste toeleveranciers een passende invulling. Leg het vast in een kort verslag; dat verslag ís het bewijs.
Heb ik een externe audit of certificering nodig?
Niet per se. Een ISO 27001-certificaat beantwoordt veel klantvragen in één keer, maar het is een fors traject en de wet eist het niet. Een gedegen interne review, of een externe toets zonder certificeringstraject, telt ook, zolang er een rapport ligt dat u kunt laten zien.
De afweging is commercieel: leveren aan partijen die om certificering vragen in aanbestedingen, dan verdient ISO 27001 zich terug. Voor de meeste MKB-toeleveranciers is aantoonbaar toetsen zonder certificaat voorlopig genoeg.
Waarom moet de directie erbij betrokken zijn?
Omdat de wet dat uitdrukkelijk zo regelt: bestuurders van organisaties onder de wet zijn persoonlijk aansprakelijk voor de zorgplicht, en die houding sijpelt door in wat klanten van hun leveranciers verwachten. Cybersecurity minstens twee keer per jaar op de directieagenda, met genotuleerde besluiten, is de eenvoudigste manier om betrokkenheid aantoonbaar te maken.
Het notuleren is daarbij niet het bureaucratische deel maar het bewijs: een auditor die vraagt "bespreekt de directie dit?" wil geen ja horen maar iets zien.
Welk bewijs bewaar ik, en hoe lang?
Bewaar per maatregel het kortste stuk dat de vraag beantwoordt. Voor back-ups is dat het verslag van de herstelproef, voor toegangsbeheer de uitkomst van de jaarlijkse review, voor training de deelnemerslijst, voor patchbeleid het overzicht van uitgevoerde updates, en voor MFA een export met het aantal accounts met en zonder. Vijf documenten, allemaal een pagina, en u dekt het merendeel van elke vragenlijst.
Twee jaar bewaren is voor de meeste toeleveranciers genoeg: dan kunt u niet alleen de huidige stand laten zien maar ook dat het vorig jaar ook gebeurde, en dat verschil is precies wat "structureel" betekent. Zet er de datum en de naam van de uitvoerder bij, want een bewijsstuk zonder datum bewijst niets.
Wat als uit een toets blijkt dat iets niet werkt?
Dan heeft de toets gewerkt. Dit is het punt waarop bedrijven geneigd zijn de uitkomst weg te laten, en dat is precies de verkeerde reflex: een auditor die alleen geslaagde tests ziet, gaat twijfelen aan de tests.
Noteer wat er niet werkte, wat u eraan gedaan heeft, en wanneer u het opnieuw getoetst heeft. Die drie regels samen zijn het sterkste bewijsstuk dat u kunt hebben, want ze laten een proces zien dat zichzelf corrigeert. Hetzelfde geldt voor de incidenten die u registreert bij de incidentprocedure.
Wie voert die toets uit als ik geen ICT'er in dienst heb?
Meestal uw beheerpartij, en dat mag. De wet vraagt niet om onafhankelijkheid bij elke controle; die eis geldt pas bij een echte audit. Wat wel telt, is dat het resultaat bij u ligt en niet alleen bij hen: vraag om het verslag, lees het, en zet erbij wat u met de bevindingen doet.
Op één punt is het slim om er iemand anders naar te laten kijken, en dat is het werk van diezelfde beheerpartij. Wie zijn eigen patchbeleid toetst, komt zelden tot de conclusie dat het niet op orde is. Een kwetsbaarheidsscan door een derde, één keer per jaar op alles wat vanaf internet bereikbaar is, dekt dat af voor een bedrag dat naast de beheerfactuur niet opvalt; zie ook patchbeleid.
Wat er verder nog getoetst wordt, staat in de tien zorgplichtmaatregelen.