Het rapport is binnen. Een handvol verbeterpunten, de meeste snel op te lossen: twee laptops die achterlopen met updates, een account van een oud-medewerker dat nog actief is, een beheerdersrecht dat ooit tijdelijk was. Binnen twee weken staat alles op groen en verdwijnt het rapport in de map met documentatie.
Een half jaar later ligt er een vervangende laptop in de kast bij de receptie. Hij is al weken niet aangezet en mist dus elke beveiligingsupdate sinds de installatie. Niemand weet het. Er is ook niemand die het zou moeten weten.
Dat is het probleem met een jaarlijkse ICT-controle. Niet de controle zelf, maar alles wat er daarna gebeurt.
Wat een jaarlijkse ICT-controle wel en niet laat zien
Vergelijk het met de APK. Je auto komt door de keuring, dus op die dag zijn de remmen in orde. Dat zegt niets over je bandenspanning in augustus. En niemand rijdt een jaar rond zonder ooit het oliepeil te checken, alleen omdat er een APK-sticker op de kentekenkaart staat.
Een ICT-controle werkt hetzelfde. De controleur kijkt naar de instellingen, accounts en systemen zoals ze op dat moment zijn. Wat er in de maanden daarvoor is gebeurd, ziet de controleur alleen als er logboeken of rapportages liggen. Wat er de maanden daarna gebeurt, blijft buiten beeld.
Wat er verandert tussen twee controles
Een ICT-omgeving staat geen week stil. Microsoft brengt elke tweede dinsdag van de maand beveiligingsupdates uit (de zogeheten Patch Tuesday), dus tussen twee jaarlijkse controles zitten al twaalf updaterondes voor Windows en Office. Daar komen updates voor browsers, firewalls, printers en bedrijfssoftware nog bij. Een kwetsbaarheid die vandaag niemand kent, kan volgende week actief worden misbruikt.
Situaties die we in de praktijk tegenkomen
- Een medewerker vertrekt, maar het account blijft actief. Inclusief toegang tot de gedeelde mailbox en de klantmappen.
- Een computer staat een tijd uit en mist daardoor een paar maanden aan Windows-updates.
- De back-up draait elke nacht en meldt "geslaagd". Niemand heeft ooit geprobeerd om er een bestand uit terug te zetten.
- Een beveiligingsmelding komt binnen in een mailbox die niemand leest.
Geen van deze situaties is uitzonderlijk. Ze ontstaan bijna altijd op dezelfde manier: ICT-beheer gebeurt tussendoor, of hangt aan één persoon die het ook maar bijhoudt naast het eigen werk.
Is een ISO 27001-audit genoeg?
Nee. Een ISO 27001-audit toetst of je afspraken over informatiebeveiliging hebt én of je die het hele jaar uitvoert. Na de certificering volgt elk jaar een controle-audit en om de drie jaar een hercertificering. Bij elke audit wil de auditor bewijs zien over de afgelopen periode, niet alleen de stand van vandaag.
De norm bevat concrete maatregelen voor precies de punten waar het in de praktijk misgaat. In de versie van 2022 gaat het onder meer over toegangsrechten (5.18), het beheer van technische kwetsbaarheden (8.8), back-ups (8.13) en het monitoren van systemen (8.16). Die staan in je beleid. Mooi.
Maar afspraken op papier voeren zichzelf niet uit.
Staat in je beleid dat laptops binnen een bepaalde termijn de laatste beveiligingsupdates hebben? Dan vraagt de auditor wie dat controleert en hoe je dat kunt laten zien. "We hebben het vorige week nagelopen" is een zwak antwoord als de audit over het hele afgelopen jaar gaat. Een overzicht waaruit blijkt dat updates elke maand zijn uitgerold, en wat er gebeurde met de apparaten die achterbleven, is een sterk antwoord.
Hetzelfde geldt voor het intrekken van rechten bij vertrek en het opvolgen van beveiligingsmeldingen. De auditor vraagt niet of je het geregeld hebt. De auditor wil het bewijs zien.
Hoe vaak moet je je ICT laten controleren?
Het korte antwoord: sommige dingen dagelijks, de meeste maandelijks en één keer per jaar alles samen. Een ritme dat voor de meeste MKB-bedrijven goed werkt:
Een realistisch controleritme
- Dagelijks: beveiligingsmeldingen opvolgen en nagaan of de back-ups van afgelopen nacht gelukt zijn.
- Maandelijks: updates uitrollen na Patch Tuesday en controleren welke apparaten achterblijven.
- Per kwartaal: toegangsrechten en accounts nalopen, en een testrestore doen vanuit de back-up.
- Jaarlijks: een bredere controle of audit, en je beleid aanpassen aan wat er dat jaar is veranderd.
Zie je het? De jaarlijkse controle staat onderaan. Hij is nuttig om te zien of de rest werkt, maar hij vervangt die rest niet.
Wil je zelf alvast een eerste indruk van een deel van je beveiliging? Met onze gratis beveiligingscheck zie je in een paar minuten hoe je domein, website en e-mail ervoor staan.
Wie houdt dit bij binnen jouw bedrijf?
Bij veel MKB-bedrijven ligt ICT bij iemand die het naast het eigen werk doet. De officemanager. Iemand van financiën. De collega die toevallig handig is met computers en daarom "ook even" de nieuwe laptops installeert.
Dat gaat vaak jarenlang goed. Tot die persoon op vakantie is als er een melding binnenkomt, of tot een update blijft liggen omdat de maandafsluiting voorging. Of tot iemand toegang heeft tot salarisgegevens waar die collega nooit bij had mogen kunnen, omdat de rechten bij een functiewissel niet zijn aangepast.
Meestal ontbreekt het dan niet aan beleid. Het ontbreekt aan iemand die er elke dag verantwoordelijk voor is dat het beleid ook gebeurt.
Doorlopend ICT-beheer: zo pakken wij dat aan
Bij ICT Makers zien we ICT-beheer als doorlopend werk, niet als een klus die je één keer per jaar afvinkt. We monitoren werkplekken en servers, houden updates bij en zorgen dat beveiligingsmaatregelen blijven werken. Waarom dat bij updates zo belangrijk is, lees je in ons artikel over patchmanagement.
Daarnaast helpen we je medewerkers als ze ergens tegenaan lopen. Jij hoeft dus niet zelf achter updates, storingen of beveiligingsmeldingen aan. Meer over de praktische kant lees je bij werkplekbeheer en serverbeheer.
Werk je met ISO 27001? Dan betekent dit ook dat de technische maatregelen uit je beleid structureel worden onderhouden en dat we het werk inzichtelijk kunnen maken als je auditor erom vraagt.
Laat die jaarlijkse controle dus gerust doorgaan. Zorg alleen dat er de rest van het jaar iemand is die ervoor zorgt dat het volgende rapport korter is dan het vorige.