Mens, proces, techniek:
waarom losse maatregelen niet genoeg zijn
Veel organisaties reageren op incidenten met losse maatregelen. Na een phishinggolf wordt er extra aandacht besteed aan awareness. Na een auditbevinding komt er een nieuw tooltje of een aangescherpte policy. Op zichzelf zijn dat begrijpelijke reacties, maar zolang mens, proces en techniek niet samen optrekken, blijft het versnipperd en tijdelijk.
De menselijke factor speelt daarbij een grote rol. Medewerkers zijn een belangrijke verdedigingslijn. Ze moeten phishing durven melden, twijfel durven uitspreken en weten dat melden beter is dan verzwijgen. Dat vraagt om een cultuur waarin fouten bespreekbaar zijn en waarin directie en management het goede voorbeeld geven. Security is dan geen kwestie van afvinken, maar onderdeel van dagelijks gedrag.
Daarnaast zijn processen essentieel. Hoe verloopt het melden van een incident in de praktijk? Wat gebeurt er nadat iemand een verdachte mail doorstuurt? Is er een helder incidentproces, met stappen, verantwoordelijkheden en evaluatiemomenten? Zonder dit soort afspraken blijven maatregelen afhankelijk van de drukte van de dag en de betrokkenheid van een paar sleutelfiguren.
Tot slot heb je de technische basis nodig. Zonder moderne werkplek, goed identity- en devicebeheer, e-mailbescherming en dataclassificatie vraag je in feite te veel van mens en proces. Oplossingen zoals een cloud security suite, waarin endpoints, identiteiten, e-mail en data samenkomen, zijn geen luxe meer maar randvoorwaarde. Ze zorgen ervoor dat je signalen tijdig opvangt en dat je maatregelen centraal kunt aansturen.
In dat geheel passen cyberverzekeringen alleen als aanvullend instrument. Een cyberverzekering kan helpen bij het opvangen van bepaalde financiële risico’s, maar zonder basismaatregelen en aantoonbare beheersing kom je vaak niet eens goed in aanmerking voor een polis of uitkering. Bovendien keert een verzekering geen verloren klantvertrouwen of beschadigde reputatie uit. Zie een cyberverzekering daarom als vangnet, niet als vervanging van volwassen security.
