Informatiebeveiliging en governance

Contract-txt_HR

Organisaties zijn steeds sterker afhankelijk van hun informatievoorziening. De bescherming daarvan vraagt om meer dan technische beveiligingsmaatregelen. Ook de verantwoordelijkheden binnen de organisatie, het beheer van risico’s, de samenwerking met leveranciers en de verantwoording aan het bestuur moeten goed zijn geregeld. Voor overheidsorganisaties vormt de Baseline Informatiebeveiliging Overheid 2 (BIO2) het gezamenlijke normenkader. 

Voldoet uw organisatie aan het gezamenlijke normenkader om informatievoorziening te beschermen? Laat u door Emtio adviseren.

Op deze pagina:

BIO2: Risicogerichte benadering van informatiebeveiliging

BIO2 sluit aan op ISO 27001 en ISO 27002 en kent een risicogerichte benadering van informatiebeveiliging. De Nederlandse Cyberbeveiligingswet, waarmee de Europese NIS2-richtlijn wordt geïmplementeerd, versterkt bovendien het belang van bestuurlijke verantwoordelijkheid, risicobeheersing en aantoonbare beveiligingsmaatregelen.

De invoering van een nieuw normenkader vraagt vaak om specialistische ondersteuning. Organisaties beschikken soms al over een nulmeting of GAP-analyse, maar moeten vervolgens nog bepalen welke verbeteringen prioriteit hebben, wie daarvoor verantwoordelijk is en hoe de maatregelen daadwerkelijk kunnen worden ingevoerd. Voor BIO2 zijn landelijke hulpmiddelen beschikbaar, waaronder instrumenten van de Informatiebeveiligingsdienst voor gemeenten (IBD) en het Centrum Informatiebeveiliging en Privacybescherming (CIP). Deze bieden organisaties een vertrekpunt om de verschillen tussen de bestaande situatie en de vereiste maatregelen in kaart te brengen.

Hoe worden de nieuwe maatregelen van BIO2 geïmplementeerd?

Emtio kan opdrachtgevers begeleiden bij het selecteren en contracteren van gespecialiseerde dienstverleners die deze verbeteringen helpen realiseren. Daarbij richten we de uitvraag op: 

  • de resultaten die de opdrachtgever wil bereiken
  • de deskundigheid van de in te zetten medewerkers
  • de aanpak waarmee de maatregelen worden uitgevoerd en geborgd

Bij een dergelijke opdracht kan het verstandig zijn eerst de bestaande GAP-analyse door de geselecteerde dienstverlener te laten valideren. Daarna kan een uitvoeringsplanning worden vastgesteld, met aandacht voor prioriteiten, afhankelijkheden, verantwoordelijkheden en de wijze waarop de resultaten worden beoordeeld en geaccepteerd. Ook de overdracht aan de eigen organisatie verdient aandacht. De invoering van beveiligingsmaatregelen is niet afgerond met het opleveren van nieuwe documentatie of procedures. Er moeten duidelijke afspraken bestaan over het beheer, de periodieke toetsing en de verdere verbetering van de informatiebeveiliging.

Hoe ondersteunt Emtio uw organisatie met informatiebeveiliging en governance?

Bij de aanbesteding en contractering van dergelijke dienstverlening brengt Emtio kennis van inkoop, ICT en juridische voorwaarden samen. Zo kunnen afspraken worden gemaakt over de te leveren resultaten, de inzet van de aangeboden deskundigen en de verantwoordelijkheid voor een zorgvuldige overdracht aan de opdrachtgever.

Wanneer AI onderdeel is van een applicatie of clouddienst, moet informatiebeveiliging worden beoordeeld in samenhang met gegevensstromen, toegangsbeheer, leveranciersketens en wijzigingen in modellen of providers. Emtio kan deze onderwerpen betrekken bij de uitvraag, beoordeling en contractering van de gespecialiseerde dienstverlener. De technische implementatie van beveiligingsmaatregelen blijft de verantwoordelijkheid van de geselecteerde specialist en de opdrachtgever. 

Advies nodig? Plan een gesprek in met een van onze adviseurs.