'Ieder datalek hoort thuis bij de directie'

“Wel of geen meldplicht van datalekken, ieder datalek hoort thuis bij de directie”, dat stelt de Cyber Security Raad naar aanleiding van berichtgeving over een verplichting om digitale inbraken te melden. “Het bedrijfsleven leunt te veel op technische maatregelen bij het voorkomen van cyberaanvallen en datalekken. Het gaat om veel meer dan techniek alleen. Het wordt tijd dat boardrooms en directies van grote én kleine bedrijven dat onderkennen en hun verantwoordelijkheid nemen. Het is vijf voor twaalf.”

“Recente cyberaanvallen tonen aan dat frequentie, schaal en impact toenemen. Daarom is actie nodig”, stelt de Cyber Security Raad. “Beveiligde apparatuur en technische maatregelen, zoals firewalls en antivirussoftware, zijn allang niet meer genoeg om digitale veiligheid te garanderen. Dat is net zo iets als sluizen hypermodern maken, terwijl er gaten in de dijk zitten.” De Cyber Security Raad is van mening dat de top van Nederlandse bedrijven, overheden en organisaties aanzet is. Zij moet meer strategisch sturen op cyber security in haar organisatie, zodat bijvoorbeeld datalekken worden voorkomen in plaats van gemeld. “Digitale veiligheid wordt namelijk alleen bereikt als de gehele bedrijfsvoering gericht is op het voorkomen van cyberincidenten. Het is niet alleen een IT-probleem.”

Digitaal veilige organisatie

De Cyber Security Raad is van mening dat het bereiken van een digitaal veilige organisatie heeft onder andere te maken met leiderschap, cultuur, gedrag van mensen, fysieke veiligheid, onderzoek, detectie, respons en snel herstel na een cyberincident. Samenwerking binnen de keten speelt echter ook een belangrijke rol. Het gaat niet alleen om de eigen veiligheid, maar ook om die van toeleveranciers. De Cyber Security Raad dringt er daarom bij het bedrijfsleven op aan om strategische kwaliteitsnormen in te zetten om het algehele niveau van cyber security te verhogen.

Een kwaliteitsnorm die hiervoor gebruikt zou kunnen worden is de recent verschenen Europese PAS 555. Deze norm beslaat volgens de Cyber Security Raad al deze facetten en is een goede norm voor een brede aanpak van cyber security. Het is een van de strategische kwaliteitsstandaarden die boardrooms en directies helpen om van digitale veiligheid hun speerpunt te maken. De in Engeland ontwikkelde PAS 555 is toegespitst op de Europese situatie en geschikt voor alle bedrijven en organisaties; klein of groot. “Iedereen die de digitale veiligheid van zichzelf en van zijn klanten serieus neemt, gaat aan de slag met deze strategische kwaliteitsnorm”, aldus de Raad.