A
Een afbakening die standhoudt
Welke wetten en normenkaders van toepassing zijn, op welke onderdelen, met de samenloop expliciet benoemd en inclusief wat er níet geldt. Vastgelegd in uw eigen sjabloon en klaar voor besluitvorming.
Aanpak
Onze aanpak begint niet bij het normenkader, maar bij de teams die het moeten dragen. Dat scheelt weerstand nu, en het is de reden dat een herziening later neerkomt op bijwerken in plaats van opnieuw beginnen.
Vijf stappen
Afbakenen wat werkelijk geldt
Welke wetten en normenkaders raken uw organisatie, op welke onderdelen, en waar zit de samenloop? Wij scheiden bindende regelgeving van normenkaders en leggen de scope vast voordat er één control wordt uitgewerkt.
Vertalen naar beheersmaatregelen
Juridische verplichtingen en risico's worden ontleed tot concrete beheersmaatregelen, per beheersmaatregel belegd bij een team en op een implementatiestack. Dit is het deel dat meestal ontbreekt en waar het later op vastloopt.
Beleggen en bewijsbaar maken
Per maatregel: een eigenaar, realistisch bewijs, een toetsfrequentie. Centraal belegde maatregelen worden één keer aangetoond en overgeërfd; teams leveren alleen wat echt bij hen hoort.
Implementeren en inrichten
Onze consultants en engineers richten de processen en technische maatregelen daadwerkelijk in, van beleidskader tot detectieregel, naast de beheerteams en binnen hun Agile-werkwijze. Wij leveren niet alleen een rapport.
Borgen en aantoonbaar houden
Effectiviteit periodiek toetsen, bestuurlijk rapporteren en het stelsel actueel houden bij wijzigingen in wet, techniek of organisatie. Desgewenst nemen wij dit deel doorlopend over.
Het model
Profielen, overlays, overerving
Wij richten GRC in volgens de best practices die Gartner hanteert. Drie mechanismen doen het werk:
Profielen
Per team of platformtype één set maatregelen die daar daadwerkelijk van toepassing is, in plaats van het volledige normenkader bij iedereen neerleggen.
Overlays
Contextspecifieke eisen bovenop het profiel: bijzondere persoonsgegevens, OT-omgevingen, staatsgeheimen, zorgketens. Additief, niet als apart kader.
Evidence-overerving
Centraal belegde maatregelen worden één keer aangetoond en door de onderliggende objecten overgeërfd. Teams leveren alleen het bewijs dat echt bij hen hoort.
Wat wij niet doen
De routes die vastlopen
Wij hebben in dit vak gepionierd en juist daardoor geleerd welke aanpakken niet werken. Deze drie komen wij het vaakst tegen:
Een norm één-op-één over teams heen leggen
Elk team krijgt het volledige kader, herkent zich in een fractie ervan, en haakt af. Wat overblijft is een lijst met open punten zonder eigenaar.
Hetzelfde bewijs bij elk team opnieuw uitvragen
Centraal geregelde maatregelen worden decentraal opnieuw bevraagd. De kwaliteit van het bewijs daalt, de bereidheid om te leveren ook.
Registraties per domein die nooit één geheel worden
Privacy, security, continuïteit en leveranciers elk in een eigen lijst. Bij de eerste toezichtvraag blijkt dat niemand het totaalbeeld heeft.
Samenwerking
Wij gaan naast de beheerteams staan, niet erboven.
Beheerteams lopen tegen voorspelbare dingen aan: verschillende rollen binnen dezelfde control, onduidelijkheid over wie wat oplevert, bewijs dat telkens opnieuw wordt uitgevraagd. Dat los je niet op met een bevindingenrapport.
Wij nemen met het team door wat een control in hún context betekent, reiken best practices aan in plaats van bevindingen, en sluiten aan op de Agile-werkwijze waarin zij al werken. Het resultaat is een implementeerbaar geheel, van beleid tot en met het aantonen van bewijs, waarbij het team wordt ontzorgd in plaats van belast.
Wat u krijgt
B
Controls belegd tot op teamniveau
Per beheersmaatregel: eigenaar, bewijs, toetsfrequentie en de implementatiestack waarop hij landt.
C
Een ingerichte GRC-omgeving
Tooling gevuld vanuit de analyse, leverancieronafhankelijk, met rapportage richting CISO, bestuur en toezichthouder.
D
Detectie die aan uw meldproces hangt
Monitoring op uw kritieke applicaties, met use-cases voor security en de werking van uw controls, doorgetrokken tot aan de wettelijke melding.
E
Bewijs dat de toets doorstaat
Evidence die aansluit op wat de organisatie werkelijk doet, met overerving waar dat kan, waar mogelijk rechtstreeks uit de bronsystemen, en herbruikbaar bij de volgende herziening.
F
Overdracht, geen afhankelijkheid
Alles wat wij inrichten, leggen wij zo vast dat uw eigen organisatie het kan overnemen. Wilt u het bij ons laten, dan nemen wij het doorlopende beheer over zolang u dat wenst.