In dit artikel gaan we dieper in op het technische hart van je processen: de systemen die ervoor zorgen dat alles soepel verloopt. Door deze te inventariseren, creëer je inzicht om prioriteiten te stellen en doeltreffend te beschermen. Zo bouw je een veerkrachtige basis.
Doelgroep:
Dit artikel is gericht op securityadviseurs, CISO’s en risicomanagers die worstelen met onduidelijkheid over de kroonjuwelen van hun organisatie. Vaak ontbreken scherpe prioriteiten, terwijl incidenten, ketenafhankelijkheden en wetgeving zoals de CBW juist om heldere keuzes vragen. Dit artikel helpt professionals om de dialoog tussen bestuur, proceseigenaren en IT te faciliteren: wat is essentieel om te beschermen? En: wat verdient prioriteit? Zo breng je focus in complexe uitdagingen.
Organisaties zijn steeds afhankelijker van complexe digitale systemen om hun kernprocessen uit te voeren. In het artikel "Hoe breng ik mijn 'te beschermen belangen' in kaart?" bieden we praktisch handvatten om de belangrijkst processen in kaart te brengen. Die processen steunen op specifieke technische middelen: apparatuur, systemen, data en netwerkcomponenten. Het goed functioneren van deze technische middelen is essentieel voor continuïteit, veiligheid en vertrouwelijkheid van jouw kritiek processen. Deze elementen worden ook wel technische te beschermen belangen genoemd.
Wanneer organisaties geen duidelijk overzicht hebben van hun technische te beschermen belangen, lopen ze het risico dat onmisbare systemen onvoldoende zijn beveiligd. Incidenten of verstoringen kunnen dan onverwacht grote impact hebben: denk aan het uitvallen van een primaire applicatie, het verlies van essentiële data, of de verstoring van productie‑ of dienstverlening. Ook wordt incidentrespons inefficiënt wanneer niet helder is welke assets prioritair zijn. Dit kan leiden tot langere hersteltijden, hogere kosten en mogelijk maatschappelijke of wettelijke gevolgen wanneer kritieke systemen niet beschikbaar zijn of aangetast raken.
Het systematisch inventariseren en classificeren van technische middelen biedt grip op risico’s en vormt een basis voor proportionele beveiligingsmaatregelen. Een goede aanpak begint bij het vaststellen van de primaire processen van de organisatie en het identificeren van welke systemen, data en infrastructuur daarvoor noodzakelijk zijn. Vervolgens worden deze elementen gewaardeerd op basis van bijvoorbeeld beschikbaarheid, integriteit of vertrouwelijkheid (BIV). Dit overzicht maakt het mogelijk om risico’s gericht te beoordelen, beveiligingsmaatregelen doelgericht in te zetten en prioriteiten te stellen bij beheer en incidentrespons.
Het in kaart brengen van de technische te beschermen belangen is geen administratieve exercitie, maar een cruciale basis voor effectieve cybersecurity. Dit artikel biedt handvatten om deze inventarisatie gestructureerd en herhaalbaar uit te voeren. Door inzicht te geven in methoden en praktische stappen helpt het organisaties bij het creëren van inzicht en overzicht van haar technische te beschermen belangen. Daardoor is het duidelijk is welke technische middelen prioriteit verdienen en hoe deze optimaal beschermd kunnen worden.
In deze stap kies je op basis van de waardering in de referentietabel één proces uit om verder te onderzoeken.
Wanneer je jouw TBB’s op het abstractieniveau van netwerk- en informatiesystemen in kaart wil gaan brengen is het belangrijk om het overzicht te behouden. Begin niet met alle processen tegelijk, maar start met de focus op één proces.
Je bent in het bezit van een (ruwe) lijst met TBB’s van jouw organisatie op procesniveau. Wanneer je de stappen in het eerste artikel hebt gevolgd heb je deze geprioriteerd op een 5-puntsschaal.
Een voorbeeld van een 5-puntsschaal is:
Aan de hand van deze 5-puntsschaal kies je één van de processen die je het hoogst geprioriteerd hebt. Dit proces is immers aangemerkt als het meest belangrijke proces binnen de organisatie.
Waterbedrijf Aquadis (fictief bedrijf) heeft de stappen in de eerste publicatie doorlopen en heeft een geprioriteerde referentietabel met de TBB’s van de organisatie op procesniveau. Het proces “uitbetalen personeel” is op de 5-puntsschaal aangewezen als “Zeer groot belang”. De organisatie kiest er voor om met dit proces aan de slag te gaan.
| Financieel | Reputatie | Juridisch | Veiligheid | |
| Zeer groot belang |
|
|
| |
| Groot belang |
|
|
| |
| Matig belang |
|
|
|
|
| Beperkt belang |
|
| ||
| Geen belang |
|
In deze stap onderzoek je uit welke substappen het proces bestaat. Zie dit als een ‘quickscan’ van het proces. Vervolgens breng je het proces visueel in kaart door middel van een flowchart.
Een goede eerste stap is om te onderzoeken of er al zicht is op het proces binnen de organisatie zelf. De ervaring leert dat er vaak al meer is vastgelegd dan je denkt. Denk bijvoorbeeld aan het betrekken van de financiële afdeling voor het proces inkoop.
Betrek de belangrijkste stakeholders bij jouw onderzoek. Deze stakeholders kunnen je helpen bij het in kaart brengen van het gekozen proces. Voorbeelden van stakeholders zijn:
Met de verschillende stakeholder(s) knip/deel je het proces op in verschillende sub/deelstappen, ook wel processtappen genoemd. Aan het einde van stap 2 vind je een concreet voorbeeld van een procesdecompositie.
De processtappen schrijf je uit in een zogenoemde ‘flowchart’ of stroomdiagram. Een flowchart is een schematische voorstelling van een proces. Door het proces visueel in kaart te brengen maak je het makkelijker om in een later stadium de stap te maken naar het technische abstractieniveau.
In de bijlage is een template van een flowchart opgenomen. Je kunt deze zelf aanpassen of uitbreiden aan de hand van jouw gekozen proces
Bedenk van tevoren welke kerninformatie je van deze processtappen zou willen weten.
Documentatie:
Informatie en gegevens:
Input
Verwerking:
Uitvoer:
Incidenten:
Betrokken rollen:
Controlepunten:
Waterbedrijf Aquadis onderzoekt het proces “uitbetalen personeel”.
Verschillende stakeholders zoals de financiële afdeling, personeelszaken/HR, en de IT-afdeling worden betrokken.
In een workshop doorlopen/werken zij gezamenlijk de procesdecompositie uit. Zij komen tot de volgende processtappen:
Vervolgens gaat men aan de slag met het achterhalen van kerninformatie.
Voor de processtap “Berekenen van salarissen” concludeert men onder andere dat deze stap afhankelijk is van een integer overzicht van gewerkte uren die in de voorgaande stap “verzamelen van gegevens” wordt opgemaakt. Verder komt men tot de conclusie dat er in het verleden wel eens fouten zijn ontstaan in deze berekening die pas na uitbetaling aan het licht komen.
De bovenstaande inzichten vormen de basis voor de volgende stap: “operationaliseren en waarderen”.
‘Perfect is the enemy of good enough.’
Voor organisaties die nog geen of beperkt zicht hebben op hun te beschermen belangen adviseert het NCSC om de doelen niet te hoog te stellen. Een eerste ruwe lijst met processtappen en beperkte kerninformatie is in deze eerste stap een prima resultaat en een goede basis voor verdere iteraties.
In de vorige stap heb je het proces onderzocht, opgeknipt in processtappen en gevisualiseerd in een flowchart. Nu ga je samen met een informatiemanager, (domein)architect of IT-beheerder per processtap de technische procesafhankelijkheden in kaart brengen
Samen met de informatiemanager, (netwerk)architect of IT-beheerder ga je het gekozen proces ontleden. Per processtap ga je na welk netwerk- en/of informatiesysteem dit proces mogelijk maakt of ondersteunt.
Samen met de informatiemanager, (netwerk)architect of IT-beheerder ga je het gekozen proces ontleden. Per processtap ga je na welk netwerk- en/of informatiesysteem dit proces mogelijk maakt of ondersteunt.
Vragen die je kunt stellen zijn:
Systemen: Wat is er op technologisch vlak nodig om het proces in stand te houden?
Databronnen: Waar komen de gegevens vandaan?
Dataopslag:
Datatransport:
Benoem de belangrijkste systemen, objecten, locaties etc. per proces. Focus je dus niet alleen op de netwerk- en informatiesystemen zelf, maar ook op de locatie en de mensen die met deze systemen werken. Je kan hier denken aan fysieke toegangsbeveiliging, of het personeel dat administrator-rechten heeft op de geïdentificeerde systemen.
Je hebt nu een beeld van de netwerk- en informatiesystemen die de gekozen TBB op procesniveau ondersteunen. Aan de hand van de zogenoemde BIV-classificatie ga je deze onderdelen/objecten waarderen.
BIV-piramide
BIV staat voor beschikbaarheid, integriteit en vertrouwelijkheid:
Om de geïdentificeerde onderdelen te waarderen adviseert het NCSC om een 5-punts score toe te kennen aan de geïdentificeerde objecten. Een voorbeeld van een 5-punts score is:
Eerst bepaal je hoe cruciaal de beschikbaarheid van de informatie is, bijvoorbeeld: moet deze 24/7 toegankelijk zijn? Vervolgens kijk je naar de integriteit: hoe ernstig is het als deze informatie onbedoeld wijzigt? Als laatste beoordeel je deze op vertrouwelijkheid: wat zijn de gevolgen als deze informatie openbaar gemaakt wordt of door ongeautoriseerde wordt ingezien? De informatie in de eerder opgestelde referentietabel.
Gebruik ook het artikel Hoe breng ik mijn te beschermen belangen in kaart voor deze scores.
Dit proces herhaal je bij elk geïdentificeerd systeem. Vervolgens verwerk je dit in een nieuwe tabel voor de BIV-scores. Een template voor een dergelijke tabel is te vinden in de bijlage van dit product.
Elk object of systeem heeft nu een BIV-score toegekend gekregen. Je hebt nu de objecten en/of systemen in de processtap geoperationaliseerd en gewaardeerd.
Waterbedrijf Aquadisonderzoekt de processtap berekenen van salarissen.
Bij de voorgaande stap Onderzoek het proces kwam men tot de conclusie dat de organisatie afhankelijk is van een integer overzicht van gewerkte uren. De organisatie gaat vervolgens onderzoeken welke middelen er worden gebruikt om tot dit overzicht te komen.
Operationaliseren:
Men komt tot de conclusie dat het overzicht van gewerkte uren in een Excelbestand op de file server wordt geplaatst. De financiële afdeling uploadt dit bestand in de salarisadministratie software die als cloudoplossing wordt gebruikt.
Waarderen:
Bij het waarderen komt men tot de conclusie dat:
De integriteit is zeer hoog voor zowel het Excelbestand als de gegevens in de salarisadministratie software. Eén van de redenen hiervoor is dat geld dat overgemaakt wordt naar onjuiste rekeningnummers moeilijk te corrigeren is en dat daardoor de medewerkers niet tijdig hun salaris ontvangen.
| Beschikbaarheid | Integriteit | Vertrouwelijkheid | |
| Niveau 4: zeer hoog |
|
| |
| Niveau 3: hoog |
| ||
| Niveau 2: midden | |||
| Niveau 1: laag |
| ||
| Niveau 0: geen |
In deze stap herhaal je stap 3 om uiteindelijk het gehele proces in kaart te brengen. Vervolgens kun je, wanneer gewenst, meerdere processen in kaart brengen en op zoek gaan naar trends of patronen.
Je hebt voor één processtap jouw TBB’s op technisch abstractieniveau (niveau 3) in kaart gebracht. Herhaal dit tot je het gekozen proces geheel in kaart hebt gebracht.
Om de opgehaalde informatie te verwerken en te structureren kan je gebruik maken van bijvoorbeeld een visuele procesanalyse (ook wel Brown paper sessie genoemd). Hierbij wordt een groot vel papier of whiteboard in combinatie met post-its gebruikt om processen in kaart te brengen en te analyseren. Het verwerken van de verzamelde informatie in een Exceldocument of processoftware is een prima alternatief.
Hoeveel processen je in kaart wil brengen en het detailniveau daarvan hangt af van de volwassenheid en het ambitieniveau van jouw organisatie. Wanneer jouw organisatie nog aan de start staat met het in kaart brengen van haar TBB’s is een ruw resultaat een goede basis voor verdere iteraties op een later moment.
Hoe meer processen je in kaart brengt, hoe makkelijker het wordt om de resultaten te vergelijken. Je kunt dan bijvoorbeeld trends ontdekken. Wanneer je méérdere processen in kaart hebt gebracht kun je de resultaten vergelijken en jezelf de volgende vragen stellen:
Organisatie X concludeert dat verschillende kritische organisatieprocessen volledig afhankelijk zijn van de beschikbaarheid, integriteit en vertrouwelijkheid van de file server die binnen de organisatie wordt gebruikt. Een van de voorbeelden is het proces “uitbetalen personeel”, omdat het Excel-bestand waarin de gewerkte uren worden bijgehouden is opgeslagen op de file server bij de processtap “berekenen van salarissen”.
Wanneer je de bovenstaande stappen hebt gevolgd ben je in het bezit van een lijst met TBB’s van jouw organisatie op technisch abstractieniveau.
Uiteindelijk wil je dat jouw organisatie alle risico’s in kaart brengt en een passend niveau van weerbaarheid ontwikkelt. Door het uitvoeren van een risicoanalyse en/of BIA kun je vaststellen wat er nodig is om dit te realiseren.
Bij het doen van een risicoanalyse of BIA is het voor een organisatie essentieel om te weten wat haar TBB’s zijn (op de verschillende abstractieniveaus).
De in dit artikel in kaart gebrachte TBB’s van jouw organisatie kunnen dienen als input voor een risicoanalyse of BIA.
Ga aan de hand van dit artikel zelf aan de slag met het in kaart brengen van jouw technische TBB’s. Op deze manier krijg je zicht en grip op datgeen wat je wil beschermen.
In samenwerking met:
Directie CIO Rijk, Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, Bluebird & Hawk B.V., Ciso-Office, Ministerie van Infrastructuur en Waterstaat, Ministerie van Defensie, PBLQ.
Resultaten laden...
