GRC

Inhoud Bedrijven hebben steeds vaker te maken met cyberdreiging, bedrijfsspionage en -sabotage. Security-teams zijn zich hiervan bewust en richten zich op het beperken van de impact door er bijvoorbeeld voor te zorgen dat de aanvallers het beoogde doel niet bereiken. Maar hoe kan een security-team nog succesvol zijn in een tijdperk waarin cyberaanvallen aan de orde van de dag zijn? Is het mogelijk om daar een plan voor te ontwikkelen of blijven we achter de feiten aanlopen? Welke tools en technologie zijn beschikbaar die nodig zijn om succes te boeken? En hoe kan de beveiliging verbeteren en daadwerkelijk waarde leveren voor het bedrijf? RSA, de security-divisie van EMC, heeft een rapport gepubliceerd dat inzicht geeft in de grote verschuiving in de wereld van informatiebeveiliging. De Security for Business Innovation Council (SBIC) pleit enerzijds voor drie belangrijke focusgebieden waarop bedrijven moeten focussen. Daarnaast bevat het rapport een reeks aanbevelingen voor sterkere bescherming tegen dreiging wat tevens ten goede komt aan de productiviteit van de organisatie. Security-specialisten De SBIC bestaat uit een groep security-specialisten van de duizend grootste bedrijven ter wereld. Deze bespreken belangrijke security-vraagstukken en onderzoeken hoe het gebruik van informatiebeveiliging ingezet kan worden om bedreigingen aan te pakken en innovatie te stimuleren. Om de beveiliging te versterken, benoemt het SBIC drie strategische gebieden waarin bedrijven moeten investeren: weerstand tegen cyberdreigingen, optimalisatie gebruikerservaring en cloud-security. Het SBIC concludeert dat nieuwe technologieën niet snel genoeg worden ontwikkeld en geïmplementeerd. Security-teams zijn nog te veel gericht op het beperken van de impact in plaats van te focussen op nieuwe technologie om makkelijker aanvallen te detecteren en te reageren. Gebaseerd op dit advies geeft het council drie concrete aanbevelingen om bedrijven te helpen nieuwe technologieën succesvol toe te passen en de investeringen in security te maximaliseren:1. Kijk ten minste drie jaar vooruit Door het gebruik van SWOT-analyses, afgestemd met IT en de business, en accountants erbij te betrekken, creëert u een Big Data-strategie voor de hele organisatie. Hierdoor kunnen organisaties plannen maken en bepalen welke security-maatregelen genomen moeten worden om bescherming te bieden tegen een dynamisch cyberlandschap.2. Het bereiken van een groter geheel door integratie De investering in security-technologie betaalt zich vaak pas echt uit bij het aansluiten en consolideren van informatie uit verschillende toepassingen. Technologieën die nu beschikbaar zijn, maken het makkelijker om systemen te integreren zoals data analyse, security intelligence en GRC-platformen.3. Meer waarde realiseren door vastgelegde ontwikkelingen Security-teams die bekend zijn met de valkuilen van veranderingen in technologie, financiële tekortkomingen en het falen van nieuwe producten, adviseren duidelijk afgesproken benaderingen bij de implementatie van nieuwe technologie om proactief de risico’s te kunnen beheren.Bron: DatacenteredHoe succesvol is uw security-team in dit tijdperk waarin cyberaanvallen aan de orde van de dag zijn en welke concrete aanbevelingen heeft u?

Inhoud De impact van cybercrime is groter geworden, niet alleen doordat digitalisering de economie afhankelijker heeft gemaakt van technologie. Wat Nederlandse organisaties minstens evenveel kopzorgen baart is de nieuwe meldplicht datalekken. Privacy-toezichthouder CBP, die een reputatie gevestigd heeft met een strenger dan streng cookiebeleid, mag in 2016 forse boetes uitdelen aan Nederlandse bedrijven bij een hack van persoonsgegevens. Daar wordt het nodige van verwacht zo bleek op de bijeenkomst Innovating NL die gewijd was aan het onderwerp cybersecurity. Wat gaat het winnen: de angst voor een discutabel imago, wat een speelgoedfabrikant als Vtech kan bevestigen, of een overijverige toezichthouder? Deze vraag speelde een centrale rol tijdens de bijeenkomst Innovating NL die op donderdag 3 december gehouden werd in het kantoor van The Hague Security Delta (HSD) in Den Haag. Gastvrouw Ida Haisma, directeur van HSD, kreeg de eer de middag te openen en wees op de driehoek van overheidsorganisaties, marktpartijen en onderwijs en onderzoeksinstellingen die gezamenlijk cybercrime op de internationale kaart hebben gezet. Het heeft nieuwe succesvolle starters voortgebracht zoals Autasas, maar minstens even belangrijk zijn nieuwe opleidingen. Het Haagse ROC Mondriaan heeft een aparte cybercrime-opleiding en recent zijn de Universiteit Leiden, de Technische Universiteit Delft en De Haagse Hogeschool de Stichting Cyber Security Academy (CSA) gestart om meer professionals met een cyber security-specialisme op te leiden.   Het nieuwe goud Digitalisering en een versnellende innovatie belooft geweldige mogelijkheden. Maar om die te kunnen benutten is een nieuwe aanpak van (cyber) security noodzakelijk. Dat stelde generaal (b.d.) Dick Berlijn, aan Deloitte verbonden als specialist binnen de Enterprise Risk Services praktijk. Systemen moeten “secure by design” zijn opgezet en er moet vanuit worden gegaan dat het breken van digitale beveiliging een reële mogelijkheid is. Incrementele verbetering wordt de nieuwe norm, maar ook internationale samenwerking en het opstellen van normen verdient de aandacht. Al deze zaken zijn volgens Berlijn een uitvoeringskwestie. Belangrijk aandachtspunt is dat Nederlandse organisaties zich er onvoldoende bewust van zijn dat data het nieuwe goud is. Je kunt er de mooiste dingen mee doen maar het kan ook van je gestolen worden als je niet goed oplet.   Wat gaat het winnen: de angst voor een discutabel imago of een overijverige toezichthouder? En wat kan er dan gebeuren? Gerrit-Jan Zwenne, hoogleraar Recht en de Informatiemaatschappij aan de Universiteit Leiden en partner van internationaal advocatenkantoor Bird & Bird, wijst op de nieuwe meldplicht datalekken die vanaf begin 2016 Nederlandse organisaties verplicht om inbreuken op persoonsgegevens door een hack te melden bij toezichthouder College Bescherming Persoonsgegevens en bij de betrokkenen. “Het gaat pijn doen en het hacken van databestanden met persoonsgegevens komt in de krant te staan”, aldus Zwenne. “Het CPB kan sancties opleggen als zaken niet goed beveiligd zijn. Dat gaat om forse bedragen: 10 procent van de jaaromzet of 810 duizend euro. Een lek is heel ruim gedefinieerd. Zo valt het verliezen van een usb-stick met persoonsgegevens in de trein er ook onder. Dat is best ruim voor een wet die doordringt tot in de haarvaten van de bedrijfsvoering.”   Openhartig Zwenne stelt dat het CBP openhartigheid verwacht van bedrijven en uitgaat van 60 duizend meldingen per jaar. Hun beleid is om bij twijfel meteen al aan de bel te trekken. Maar die melding kan een onaangenaam staartje krijgen, als een organisatie geen passende technische en organisatorische maatregelen heeft genomen om de persoonsgegevens goed te beschermen. Is dat het geval dan kan het CBP met een boete dreigen. Om zo'n boete daadwerkelijk uit te kunnen delen moet het CBP eerst een bindende aanwijzing geven. Zijn er dan nog geen afdoende maatregelen genomen dan kan die boete ook daadwerkelijk opgelegd worden. Op de vraag wat passende maatregelen zijn, valt moeilijk een antwoord te geven. Versleuteld opslaan van persoonsgegevens wordt als een belangrijke maatregel gezien. In dialoog met de zaal wordt ook de richtlijn ISO 27001 genoemd die organisaties handvatten biedt om beveiliging procesmatig te verankeren. Op het moment dat organisaties dit certificaat op de deur mogen plakken, is te veronderstellen dat informatiebeveiliging serieus genomen is. Maar een garantie is het niet en voor kleinere organisaties is zo'n certificering een onhaalbare kaart. Doorslaggevend is de beveiligingsmaatstaf in een bepaalde branche. De medische sector krijgt hogere verwachtingen opgelegd. Hetzelfde geldt voor organisaties die kritieke infrastructuren in beheer hebben.   Aansprakelijk Ben je als organisatie juridisch aansprakelijk te stellen als je de informatiebeveiliging niet op orde hebt? Evelyn Tjon-En-Fa, advocaat en partner bij Bird & Bird, betoogt van wel. Ze haalt het voorbeeld aan van Diginotar, de leverancier van beveiligingscertificaten voor grote delen van de Nederlandse overheid die in 2011 failliet is gegaan na een desastreuze hack. Door het gebruik van verouderde software, het niet versleutelen van wachtwoorden en het niet toepassen van verschillende netwerksegmenten elk met hun adequate beveiligingsmaatregelen konden hackers ongestraft toegang krijgen tot de beveiligingssleutels.  “Als je weet dat je zo kwetsbaar bent, dan kun je daarvoor aansprakelijk gesteld worden, zeker als de gevoeligheid van de data tot grote schade kan leiden bij een lek”, aldus Tjon-En-Fa. “De benodigde maatregelen gaan verder dan het installeren van de meest dringende patches. Als gegevens kwetsbaar zijn dan kunnen zwaardere eisen worden gesteld aan beveiligingsmaatregelen. Anders kun je met succes aansprakelijk gesteld worden, zoals blijkt uit het voorbeeld van Diginotar. Daarbij moest de verkoper van de aandelen in Diginotar schadevergoeding betalen aan de koper voor de waardeloos geworden aandelen, wegens schending van contractuele garanties rondom de IT-beveiliging. De Amsterdamse rechtbank is daarbij diep in de technische aspecten van de beveiliging gedoken.”   Driekwart van de mkb'ers weet niks van cybersecurity en vindt het de verantwoordelijkheid van de IT-leverancier Is de schade die voortkomt uit cybercrime te verzekeren inclusief een boete die het CBP uitdeelt? Dat blijkt het geval. Er zijn op dit moment al cybersecurity polissen in de markt waarmee risico's breed af te dekken zijn. Dat kan gaan om kosten voor het vinden en repareren van het datalek, schade die voortvloeit door het platleggen van processen, maar ook het in waarde verminderen van bedrijfsgeheimen door het uitlekken van deze vertrouwelijke informatie en eventueel geleden imagoschade. Ook een eventuele boete van het CBP valt onder de verzekering, mits geen sprake is van opzet. Dit soort schade is niet of maar zeer ten dele gedekt onder traditionele verzekeringen. De geleden schade kan fors oplopen doordat incidenten als een olievlek ook andere organisaties in een waardeketen raakt. Naast dit soort gespecialiseerde cyber-polissen valt hoofdelijke aansprakelijkheid van bestuurders voor cyber-incidenten onder gangbare bestuurdersaansprakelijkheidsverzekeringen.   Kleine lettertjes Sla de kleine lettertjes in de verzekeringspolissen zeker niet over, raadt Tjon-En-Fa aan. Ze noemt het een zachte, nieuwe markt waarbij verzekeraars graag nieuwe polissen willen verkopen. Kijk wel goed naar wat er van de dekking is uitgesloten en vergelijk verschillende aanbieders. Naast dergelijke nieuwe verzekeringsproducten is het ook raadzaam om de leveringsvoorwaarden van bestaande leveranciers te screenen op hun aansprakelijkheid wat betreft de schade die voortvloeit uit cyber-incidenten. Het is raadzaam om meer en expliciete garanties te vragen rondom de informatiebeveiliging op het moment dat een organisatie voor het eigen functioneren afhankelijk is van de infrastructuurdiensten van deze partij.   Bewustwording En dan komt de dialoog in de zaal op een voor de IT-sector interessant punt. Bij de vraag van dagvoorzitter Ferry Mingelen of de IT-leverancier verantwoordelijk is voor de informatiebeveiliging steekt een overgrote meerderheid van de deelnemers in de zaal een groene kaart op. De leverancier wordt er blijkbaar op aangesproken als de beveiliging niet op orde is, terwijl dit in eerste instantie een verantwoordelijkheid van de gebruiker is. Bij grotere organisaties die met uitbestedingsopdrachten werken wordt die verantwoordelijkheid meestal goed afgekaart. Bij kleinere organisaties die IT-diensten afnemen is dat minder goed geregeld en afgesproken. Afnemers willen over het algemeen voor een dubbeltje op de eerste rang zitten en gaan er stilzwijgend van uit dat de leverancier de beveiliging op orde heeft. De leverancier brengt het onderwerp niet ter sprake omdat er aanvullende maatregelen nodig zijn en hiervoor een extra factuur gestuurd moet kunnen worden. Hier zit een spanningsveld. Dat bevestigt Frans van de Wetering die vanuit zijn bedrijf Threadstone betrokken is geweest bij een bewustwordingscampagne van MKB Nederland rondom cybersecurity. “Het animo om mee te doen aan deze scan onder mkb'ers naar kwetsbaarheden was laag”, aldus Van de Wetering. “Driekwart van de ondernemers weet niks van cybersecurity af en vindt dat de verantwoordelijkheid hiervoor in zijn geheel ligt bij de IT-leverancier. Die zou net als een autofabrikant verborgen gebreken als een slechte beveiliging kosteloos moeten repareren als deze zich voordoen. Gevolg is dat tal van kleinere bedrijven niet goed beveiligd zijn tegen verlies, diefstal of misbruik van persoonsgegevens. Naast de schade kan hen dat straks ook nog op een bestuurlijke boete komen te staan. Meer ruchtbaarheid aan deze meldplicht is geen overbodige luxe.”   Hogere eisen In de discussie gaan fabrikanten en leveranciers zeker niet vrijuit. Succesvolle hacks bestaan bij de gratie van kwetsbaarheden in veel gebruikte software. Afnemers kunnen hun opdrachtgevers eisen opleggen rond het uitbrengen en uitrollen van patches om deze kwetsbaarheden tijdig en adequaat te repareren. Bij het ontwikkelen van nieuwe software is het verstandig om expliciet te vereisen dat het eindproduct tal van maatregelen en hulpmiddelen bevat om informatie goed te kunnen beveiligen. Hetzelfde gebeurt voor de huidige en toekomstige consumentenproducten die op de markt gebracht zullen worden. Steeds meer apparaten krijgen een ip-adres, waardoor ze aan internet gekoppeld zijn met bijkomende gevolgen voor de bescherming van deze informatie. Aan dit soort nieuwe producten mogen hoge eisen gesteld worden rond de beveiliging.   Meldplicht Met ingang van 1 januari 2016 treedt een wijziging van de Wet bescherming persoonsgegevens (Wbp) in werking die een meldplicht regelt voor datalekken. Deze meldplicht houdt in dat bedrijven, overheden en andere organisaties die persoonsgegevens verwerken datalekken moeten melden aan het College bescherming persoonsgegevens (CBP). Een organisatie mag de melding aan de betrokkenen achterwege laten als aantoonbaar passende technische beschermingsmaatregelen genomen zijn. Belangrijkste maatregelen is het versleutelen van de informatie zodat de gelekte persoonsgegevens onbegrijpelijk of ontoegankelijk zijn voor onbevoegden.   Legacy besmettelijk Het Nationaal Cyber Security Center (NCSC) waarschuwt bedrijven voor de risico's van legacysystemen. Deze zijn groter omdat legacysystemen kwetsbaarder zijn. De gebruikte technologie wordt niet of nauwelijks meer ondersteund door externe leveranciers of de eigen organisatie. Als er zich wel een incident of probleem voordoet, is er vaak binnen de eigen organisatie niet meer voldoende kennis aanwezig om het op te lossen. Daarnaast zijn veel legacysystemen inmiddels gekoppeld aan andere systemen of aan het internet, koppelingen waar de systemen oorspronkelijk niet voor zijn ontworpen. Het kenniscentrum voor cybersecurity heeft een self-assessment ontwikkeld om deze risico's inzichtelijk te maken.Auteur: Sytse van der Schaaf

Inhoud Privacy staat volop in de belangstelling. Niet gek, gezien de mogelijkheden die digitale dienstverlening biedt. Organisaties vragen zich steeds vaker af of ze privacy binnen hun organisatie wel goed hebben georganiseerd en waar mogelijkheden en grenzen aan het gebruik van informatie liggen. Martijn van der Veen, eigenaar van privacy-adviesbureau Procis, juicht deze ontwikkeling toe. Volgens hem ligt in een goede omgang met privacy de sleutel naar nieuwe kansen en innovatie.In control Sinds Martijn zich in 2008 volledig toelegde op privacy heeft hij de aandacht voor privacy zien veranderen. “Privacy was lange tijd iets dat er een beetje bij hing. Nu willen organisaties en bedrijven ‘in control’ zijn als het om privacy gaat. Ze moeten ook wel. Bedrijven beloven aan hun klanten dat ze zorgvuldig met hun gegevens omgaan, maar het wordt steeds moeilijker om die belofte te houden. Niet alleen blijft de rol van ICT toenemen, ook wetgeving stelt hogere eisen. Klanten worden steeds kritischer op bedrijven die hun zaken niet op orde hebben.” Martijn vervolgt: “Wil je in control zijn, dan moet je drie zaken op orde hebben. Als eerste privacy compliance. Je moet aantoonbaar voldoen aan privacywet- en regelgeving zoals de Wet Bescherming Persoonsgegevens en de Telecommunicatiewet. De basis daarvoor is weten welke persoonsgegevens je organisatie verwerkt, door wie en hoe je processen en beheersmaatregelen zijn ingericht. Als tweede moet je kunnen acteren op veranderingen van je processen, je ICT en nieuwe wetgeving. Kortgezegd, je wilt je privacy-governance op orde hebben. Als derde moeten je medewerkers integer omgaan met de gegevens. Je wilt dat je mensen de juiste keuzes maken en het belang van klanten niet schaden”, legt Martijn uit. “We moeten niet vergeten waar privacy om gaat. Het gaat uiteindelijk om de mensen over wie de gegevens gaan. Soms gaat het om mensen in een kwetsbare of afhankelijke positie, dan zal je extra zorgvuldig moeten werken.”Wat houdt organisaties tegen om deze drie zaken op orde te krijgen? “Bedrijven lopen vaak aan tegen het probleem dat privacy gefragmenteerd is over verschillende onderdelen van een organisatie. Bij een eenvoudig proces zijn al snel minimaal meerdere business units, de afdeling ICT en juridische zaken betrokken. Al die losse elementen en aantallen betrokkenen maakt afstemming en een integraal beleid rond privacy lastig, terwijl je daar wel naar moet streven. Ook missen veel bedrijven het inzicht in hoe ze omgaan met privacy. Als je niet weet waar risico's zitten zal je niet goed weten wat je moet verbeteren.” Om organisaties te ondersteunen bij hun privacyvraagstukken ontwikkelde Procis een Privacy Framework. Met dit Framework kan een organisatie volledig zicht krijgen op privacy en een integraal beeld van maatregelen in beheer brengen. Daarmee wordt het eenvoudig om aan te tonen dat de organisatie handelt volgens de geldende normen. Door meteen governance-processen in te richten worden resultaten geborgd wat de kosten voor het beheer van privacy verlaagt.Privacy Framework Voor de inrichting van het Privacy Framework gebruikt Procis de informatiemanagementsoftware van Mavim, Rules. “Het Privacy Framework is een template waarin alle elementen zijn opgenomen die van belang zijn bij het ‘in control’ raken en blijven. Denk aan privacywetgeving, normeringen zoals de ISO27000 en de gemeentelijke BIG norm, aangevuld met rapportages en analyses”, vertelt Martijn. “ Voor de verbinding tussen processen en wetgeving gebruiken we Rules. Wil je kunnen toetsen of de dagelijkse gang van zaken voldoet aan wet- en regelgeving zal je de relevante processen in kaart moeten hebben”, licht Martijn toe. Op de vraag waarom hij heeft gekozen voor Rules als technische ondersteuning voor het Framework, antwoordt Martijn: “Rules kwam als beste uit de bus in mijn onderzoek. Ik heb bewust gezocht naar tooling om het inrichten en beheer van privacy te ondersteunen. De tooling moest voldoen aan een aantal requirements. Ik vind het essentieel dat ondersteunende techniek ‘licht’ in gebruik is”, vervolgt Martijn. “Rules is gebaseerd op de Microsoft Office Suite wat het heel herkenbaar en intuïtief in gebruik maakt. Bovendien kan je direct met bestaande documenten van een klant aan de slag. Verder was een van mijn eisen dat de software flexibel in te richten moest zijn, dus zonder dwingend karakter. Voor iedere klant wil ik een passende oplossing kunnen bieden. Iedere klant is uniek, die wil niet vastzitten aan strakke richtlijnen of beperkingen van de ICT. Daarnaast speelde schaalbaarheid een belangrijke rol. Het Privacy Framework kan ik updaten. Het beheer van privacy is een continu proces en klanten willen niet bij iedere verandering een compleet project moeten opstarten. De software van Mavim maakt privacy compliance makkelijker en goedkoper voor klanten. Dat is winst voor mijn klanten en winst voor privacy.”Toegevoegde waarde Best handig zo’n Privacy Framework! Zou iedere organisatie zelf haar privacy beleid en –beheer met wat technische ondersteuning in kunnen richten? “Ja, in principe kan dat”, onderkent Martijn, “maar goede tooling is maar het halve verhaal. De benodigde expertise die bij de inrichting van privacy komt kijken, moet niet worden onderschat. Privacy is een vakgebied op zich. En dat vakgebied verandert snel, dus up-to-date kennis is lang niet bij iedere organisatie aanwezig.” “Wanneer ik het Privacy Framework inzet, profiteren organisaties van een ‘best practice’ model, gebaseerd op ervaringen in de markt, met voorgedefinieerde content. Daarmee is de basis meteen gelegd en maken klanten een vliegende start. Doordat het Framework up-to-date is, kan ik die korte doorlooptijd van twee tot drie maanden toezeggen.” Privacy is een breed begrip. Hoe positioneert Procis zich? “De basisdienstverlening is gericht op de implementatie van het Privacy Framework. Het gaat dan om het modelleren van de processen met privacygevoelige gegevens, inventariseren van risico's en toewerken naar het management en beheer. Wanneer een klant zijn processen al in kaart heeft gebracht bouwen we daar natuurlijk op voort. Voor de technische installatie van Rules werken we samen met consultants van Mavim, of van andere Mavim Partners. Zo blijven wij doen waar we goed in zijn.” Nadat Procis de privacy in kaart heeft gebracht en de eerste analyses heeft gemaakt, vindt overdracht van expertise plaats. “Wat ons betreft zijn organisaties zo snel mogelijk in staat om zelf analyses te maken en risico’s te monitoren. Voor het onderhoud en beheer kan een klant kan ervoor kiezen het beheer van privacy in eigen beheer te nemen, te profiteren van updates van het Framework of het beheer volledig uit te besteden aan Procis. We bieden daarmee volledige ondersteuning.” De dienstverlening van Procis is met name gericht op business-to-consumer bedrijven en (semi) overheidsinstellingen. Binnen deze branches is het belang van de bescherming van persoonsgegevens het grootst.Toekomstvisie Martijn ziet het belang en vooral ook de complexiteit van informatie steeds verder toe nemen. “Wetgeving rond informatiebeveiliging en beveiliging van persoonsgegevens wordt steeds strenger. De Meldplicht Datalekken en het uitbreiden van de boetebevoegdheid van het College Bescherming Persoonsgegevens, de privacy waakhond, zijn hier concrete uitingen van. En laten we niet de komende Europese wetgeving vergeten. Naar verwachting wordt in 2015 de nieuwe Algemene Verordening Gegevensbescherming aangenomen. Deze legt de lat van informatiebeveiliging en privacy een stuk hoger dan nu het geval is.” Wat is de belangrijkste verandering van de Europese Wetgeving? “Op dit moment is veel privacywetgeving te negeren, de controle is beperkt. Het CBP wordt wel een waakhond zonder tanden genoemd. Onder het nieuwe regime liggen de eisen hoger. Voor een bedrijf is de boodschap straks helder: zorg dat je aantoonbaar compliant bent. Het staat er letterlijk. Boetes kunnen sneller worden uitgedeeld bij een datalek of niet voldoen aan de wetgeving.” Martijn benadrukt de importantie van kennis van zaken rond privacy beheer. “Heb je de juiste mensen binnen je organisatie? Privacy doe je er niet even bij, de juiste expertise en ervaring is onontbeerlijk. Een voorbeeld. De nieuwe Europese privacywetgeving stelt een DPO, een data protection officer, verplicht voor organisatie met meer dan 250 medewerkers. Nu is dat nog optioneel. Op dit moment zijn er in Nederland nog maar enkele honderden van terwijl je duizenden DPO's zou verwachten. Ik verwacht dan ook dat de behoefte aan dergelijke functionarissen toeneemt. Soms als voltijds functionaris, maar vaker zullen organisaties ondersteuning inhuren of dienstverlening op het gebied van privacy uitbesteden.” Martijn ziet de diensten van Procis stevig groeien. Het is daarbij zijn doelstelling om een vast netwerk te creëren van bedrijven en business analisten uit verschillende sectoren die de relaties tussen de bedrijfsprocessen en de privacy voorwaarden van een organisatie in kaart brengen. Met een team van privacy officers, ondersteund door het Privacy Framework, komen nieuwe privacy diensten in zicht."

Inhoud Begin jaren tachtig was Rubiks kubus een ware rage. Overal waar je keek, zag je mensen in de weer met de puzzel. De gekleurde breinkraker was mateloos populair. Op het eerste gezicht lijkt Rubiks kubus een haast onoplosbare puzzel. Veel puzzelaars wagen zich er niet eens aan. Ook informatiebeveiliging is voor velen zo’n complexe puzzel die bovendien heel mooi in de vorm van een kubus is weer te geven. In deze blogpost ontdek je hoe je, aan de hand van Rubiks kubus, die complexe puzzel een stuk behapbaarder maakt. Daarvoor plaats je op elk van de kubusassen één aspect van informatiebeveiliging.De vorm van informatie Op de zijden van de eerste as projecteren we de diverse vormen van de informatie: digitaal, analoog en kennis.  Steeds meer informatie is tegenwoordig digitaal. In it-systemen, op het netwerk, maar ook op informatiedragers als disks, usb-sticks en back-uptapes. Toch wordt veel informatie ook nog op andere wijze vastgelegd. Denk aan papieren documenten en informatie op bijvoorbeeld whiteboards. Voor het gemak noem ik die informatie analoog. En tenslotte is informatie vaak opgeslagen in de hoofden van de medewerkers, in de vorm vankennis. Informatie over werkwijzen, collega’s en de organisatie. Maar ook fragmenten van de gegevens die in de eerder genoemde vormen vastgelegd is.De kernaspecten van informatiebeveiliging Op de zijden van de tweede as zetten we de kernaspecten van informatiebeveiliging: vertrouwelijkheid, integriteit en beschikbaarheid. De vertrouwelijkheid geeft de mate aan waarin alleen geautoriseerde personen of processen de informatie mogen kennen en gebruiken. De integriteit van informatie wordt bepaald door de juistheid, de volledigheid en de correctheid in tijd van (de verwerking van) informatie. In hoeverre is de informatie (nog) gelijk aan hoe die zou moeten zijn en bedoeld is? En de beschikbaarheid tenslotte, wordt bepaald door de mate waarin de informatie op de juiste momenten toegankelijk is voor de juiste personen en processen. De vertrouwelijkheids-, integriteits- en beschikbaarheidseisen (vib) van jouw informatiestromen bepalen mede welke beheersmaatregelen je moet treffen.Beheersmaatregelen Op de zijden van de derde as zetten we de beheersmaatregelen. Deze vallen typisch binnen drie categorieën: mens, techniek en organisatie. Je kunt bijvoorbeeld techniek inzetten om it-kwetsbaarheden aan te pakken, maar ook om ruimtes automatisch af te sluiten of ongeregeldheden snel te signaleren. Een ander belangrijk beheerselement is de mens zelf: het stimuleren van bewustzijn en training van medewerkers zijn menselijke maatregelen, maar bijvoorbeeld ook de fysieke surveillance. Tenslotte is ook organisatieeen beheerselement. Daarmee doel ik op taken, verantwoordelijkheden, afspraken, processen en procedures.De beveiligingskubus Met het invullen van deze drie dimensies van informatiebeveiliging is een complete beveiligingskubus gevormd. Deze beslaat in feite het hele speelveld van informatiebeveiliging voor elke afzonderlijke informatiestroom - een speelveld met 27 unieke aandachtsgebieden. Elk blokje vertegenwoordigt een combinatie van vorm, aspect en maatregel. Zo is er een blokje dat het raakvlak vertegenwoordigt van digitale informatie en de technische maatregelen die integriteit ervan moeten waarborgen, maar ook een blokje dat staat voor de organisatorische maatregelen die de beschikbaarheid van je analoge kennis moeten waarborgen. Ieder blokje van de kubus speelt zijn eigen rol in het informatiebeveiligingslandschap. Toch wordt het speelveld in de praktijk helaas vaak gereduceerd tot één enkel blokje. Onder invloed van de media, technologische actualiteiten en onterechte aannames, wordt er vooral gekeken naar de bescherming van de vertrouwelijkheid van digitale informatie en worden maatregelen uitsluitend in de techniek gezocht. Effectieve informatiebeveiliging geeft echter elk afzonderlijk blokje van de kubus de aandacht die het verdient. Toegegeven, in de praktijk zijn de afmetingen van de afzonderlijke blokken zelden gelijk. Zo kan bepaalde informatie binnen jouw organisatie bijvoorbeeld vooral in papieren vorm aanwezig zijn, terwijl andere informatie vooral digitaal is. Ook kan de beschikbaarheid van bepaalde informatie zwaarder wegen dan de integriteit ervan. Maar hoe je de puzzel ook wendt of keert: deze puzzel telt 27 blokjes en om de puzzel op te lossen moeten ze allemaal op de juiste plek zitten. Succesvolle informatiebeveiliging benadert de puzzel dus in zijn geheel. Door van tevoren al je informatiestromen te bestuderen en te classificeren, leg je de basis voor een succesvol informatiebeveiligingsbeleid. Een beleid dat rekening houdt met de verschillende behoeften van alle vormen van informatie en daaraan de juiste maatregelen koppelt. Alleen als je alle puzzelstukjes de aandacht geeft die zij verdienen, kun je de puzzel als geheel oplossen.Tot slot Wat veel mensen niet weten, is dat Rubiks kubus vanuit iedere willekeurige positie binnen slechts 20 draaiingen op te lossen is. De kunst, zo kan iedere fanatieke kubusdraaier je uitleggen, is om de complete kubus eerst goed te bestuderen. Als je van tevoren weet welke stappen je moet zetten om de puzzel op te lossen, kun je ze zo snel en effectief mogelijk zetten. Het wereldrecord kubusdraaien (5,55 seconden) kwam dan ook niet zomaar uit de lucht vallen. Omdat hij zich goed had voorbereid, wist Mats Valk precies wat hem te doen stond.Auteur: Gerard StroeveWeet u wat u te doen staat waar het om informatiebeveiliging gaat? En vindt u het belangrijker om alleen naar de bescherming van de vertrouwelijkheid van digitale informatie te kijken of spelen integriteit en beschikbaarheid een even belangrijke rol?

Inhoud De Europese Privacywetgeving, in Nederland officieel bekend als de Algemene Verordening Gegevensbescherming (AVG), is op 14 april goedgekeurd door het Europees Parlement. Maar wat betekent het precies voor Nederlandse woningcorporaties? CorporatieGids.nl ging in gesprek met Rani Honcoop, Juriste en Business Consultant bij Audittrail, over wat corporaties moeten doen om te voldoen aan deze wet. “Wanneer corporaties tot dusver weinig aandacht hebben geschonken aan de bescherming van persoonsgegevens, staat hen een flinke klus te wachten.” “Tot 13 april was de Europese richtlijn uit 1995 nog van kracht,” begint Rani. “Die is in 2001 omgezet naar de Wet bescherming persoonsgegevens (Wbp). Maar deze richtlijn was toe aan vervanging, vanwege bijvoorbeeld snelle technologische veranderingen, het bevorderen van uniforme gegevensbeschermingsregels binnen de EU en het versterken van rechten van individuen. Dat moet gebeuren met de Algemene Verordening Gegevensbescherming, ook wel de General Data Protection Regulation (GDPR) in het Engels.”    Twee jaar Rani geeft aan dat de wet in de lente van 2016 in werking zal treden, twintig dagen na publicatie in het Staatsblad (datum publicatie nog onbekend). Corporaties hebben vervolgens twee jaar om de regels te implementeren. “Dat klinkt lang, maar wanneer corporaties nog niet veel tijd aan de bescherming van persoonsgegevens hebben besteed, kan dat erg veel werk zijn. De Algemene Verordening Gegevensbescherming komt op veel punten overeen met de aangepaste Wet bescherming persoonsgegevens die op 1 januari 2016 in werking trad. Maar dat betekent niet dat een corporatie stil kan zitten. Nieuwe regels gaan bijvoorbeeld over hoe bedrijfsprocessen worden ingericht, hoe deze processen omgaan met persoonsgegevens en wat de rechten van betrokkenen zijn.” “In de praktijk betekent dat onder andere de documentatie over de verwerking van persoonsgegevens verplicht is. Ook moeten corporaties privacyaspecten meenemen bij de ontwikkeling van nieuwe diensten, processen of systemen, krijgen betrokkenen de mogelijkheid een digitale kopie van hun persoonsgegevens aan te vragen en wordt de onafhankelijkheid van nationale toezichthouders vergroot. De aanstelling van een Data Protection Officer (de Engelse benaming voor de Functionaris voor de Gegevensbescherming) is voor corporaties geen verplichting. Desalniettemin raad ik corporaties wel sterk aan om een Privacy Officer aan te stellen vanwege de maatschappelijke en wettelijke veranderingen van dit onderwerp: privacy wordt nu eenmaal belangrijker gevonden dan voorheen.”   Meer inzicht en controle Door de nieuwe wetgeving moeten corporaties meer inzicht en controle krijgen over de persoonsgegevens binnen hun organisatie. “Het aanstellen van een Privacy Officer levert een bijdrage aan het overkoepelende toezicht van de privacyaspecten en het privacybeleid. Hiermee zal privacy een onderdeel worden van de organisatiecultuur.”   Hoge boetes Wanneer corporaties de eerdergenoemde regels niet op de juiste manier naleven, kan hen grote boetes worden opgelegd. De boetes van de Algemene Verordening Gegevensbescherming kunnen oplopen tot twintig miljoen euro, of vier procent van de wereldwijde jaaromzet. Hoger dan de 8,2 miljoen euro boete bij het niet naleven van de Wet bescherming persoonsgegevens. “Toch zal in geval van overtreding vaak eerst een bindende aanwijzing worden gegeven, voordat er wordt overgegaan tot het opleggen van een boete. De overtreder krijgt dan de mogelijkheid om binnen een gestelde termijn hieraan te voldoen.”   Grote inhaalslag Het niet naleven van de nieuwe Europese Privacywet is volgens Rani vooral iets dat onbewust gebeurt. “Bewerkersovereenkomsten en recht op inzage zijn voorbeelden van regels die al sinds 2001 geïmplementeerd hadden moeten worden. We krijgen vaak de vraag van klanten of dit iets nieuws is. Het is niet een kwestie van niet willen, maar een kwestie van niet weten. Omdat er nu veel aandacht is voor privacy gaan er bij corporaties belletjes rinkelen. Maar omdat dit al in 2001 had gemoeten, hebben corporaties een grote inhaalslag in een korte periode voor de boeg. Daarnaast zijn financiële middelen beperkt, en met de eerdergenoemde boetes in het achterhoofd is dit voor corporaties het omslagpunt om te investeren in privacy.” Autoriteit Persoonsgegevens (AP), toezichthouder van zowel de Wbp als de AVG, heeft daarnaast met haar agenda voor 2016 bekendgemaakt extra te letten op de beveiliging van persoonsgegevens. Volgens Rani betekent dit dat ernstige datalekken aanleiding kunnen zijn voor een extra controle. “Hierdoor kan een corporatie in een negatief daglicht komen te staan. Aan de andere kant; een incident betekent niet altijd dat een corporatie fout heeft gehandeld of nalatig is geweest. Er moet sprake zijn van een adequate beveiliging, en vanwege die open definitie is de inrichting een lastige opgave. Wat heeft mijn organisatie op dit moment nodig, en welke maatregelen dienen wij te implementeren?”   Ondersteuning Rani vertelt dat Audittrail corporaties helpt om zich voor te bereiden op de nieuwe wet. “Bijvoorbeeld met een nulmeting op de organisatie. Deze toont de stand van zaken met betrekking tot privacy, en laat zien hoe een corporatie zichzelf kan verbeteren. Indien de eerste stappen al zijn gezet, kunnen wij door middel van ons Privacy Update Pakket bepaalde privacyonderwerpen adviseren. Denk hierbij aan het opstellen van een doelbestemmingenlijst en het trainen of ondersteunen van de Privacy Officer. Zo kan een corporatie zich optimaal voorbereiden op de nabije komst van de AVG.”In samenwerking met Mavim heeft Audittrail het ISMS framework ontwikkeld. Lees hier meer over de voordelen van het ISMS framework of download de factsheet.

Inhoud Het management van veel Nederlandse bedrijven denkt te lichtvoetig over de eisen die de GDPR aan organisaties stelt. Slechts een kwart van hen is betrokken bij de compliance van deze regelgeving en een aanzienlijk deel weet niet welke persoonsgegevens zij precies moeten beschermen. Daarop duidt onderzoek van Trend Micro. Paradoxaal genoeg is er aardig wat kennis aanwezig over GDPR in het algemeen. Zo weet zeker 93 procent van de onderzochte professionals in Nederland dat ze aan de regelgeving moet voldoen en 72 procent heeft zelf kennis genomen van enkele exacte regels. Zes op de tien Nederlandse bedrijven zegt dat hun data niet veiliger opgeslagen kan worden.   Persoonsgegevens? Er heerst nogal wat onduidelijkheid over welke ‘persoonsgegevens’ goed beschermd moeten. Dat begint al bij de inventarisatie. Bijna een kwart van de Nederlandse respondenten kan niet aangeven welke persoonsgegevens ze hebben opgeslagen en waar. Van alle Nederlandse respondenten weet vervolgens 22 procent niet dat een geboortedatum geclassificeerd moet worden als een ‘persoonsgegeven’ en meer dan de helft van de Nederlandse IT-beslissers ziet informatie in hun e-mail marketingdatabases onterecht niet als persoonsgegeven. Voor wat postadressen aangaat, stijgt dat percentage tot 71 procent en voor e-mailadressen zelfs tot een alarmerende 78 procent. Organisaties die dergelijke gegevens – die hackers vaak genoeg munitie geven voor identiteitsdiefstal – niet goed beveiligen, riskeren hoge boetes. Meer dan 60 procent weet niet dat het hierbij om bedragen gaat die tussen de 2 en 4 procent van hun jaarlijkse omzet kunnen liggen. Een opvallende kwart van de ondervraagde organisaties in Nederland maakt zich echter niet druk over een mogelijke sanctie. “Het ontbreken van kennis over GDPR, dat duidelijk naar voren komt in dit onderzoek, is schokkend. Geboortedata, e-mailadressen, marketingdatabases en postadressen zijn allemaal belangrijke klantgegevens en het is zorgelijk dat zo veel Nederlandse organisaties dat, ondanks het zelfvertrouwen, gewoon niet weten”, zegt Rik Ferguson, VP Security Research van Trend Micro. “Als organisaties deze gegevens niet beschermen, nemen ze niet alleen hun klanten niet serieus, ze zijn zeker niet klaar voor GDPR.”   Verantwoordelijkheden Op de vraag wie verantwoordelijk is voor het verlies van grote hoeveelheden EU-data bij of door Amerikaanse aanbieders wist slechts 10 procent het correcte antwoord: beide partijen dragen evenveel verantwoordelijkheid, iets minder dan het wereldwijde gemiddelde van 14 procent. Bijna de helft van de Nederlandse organisaties denkt dat de boete betaald moet worden door de data-eigenaar, een kwart denkt dat de verantwoordelijkheid overzee ligt. Ook hebben Nederlandse beslissers niet helder voor ogen wie intern verantwoordelijk is voor compliance aan deze regelgeving. Een kwart denkt dat de CEO verantwoordelijk is, een iets groter percentage vindt dat het in handen is van de CISO en/of het security team. Slechts 10 procent van de Nederlandse hogere managers houdt zich echter actief met dit onderwerp bezig. “Het is zaak dat de C-suite GDPR gaat zien als een business-uitdaging in plaats van een security-probleem voordat het te laat is”, zegt Ferguson. “Het voorbereiden op GDPR is een enorme klus. Van investeren in state of the art technologie tot en met het implementeren van regels rondom dataprotectie en notificaties. Die voorbereiding is echter nutteloos als bedrijven niet weten om welke data het precies gaat en wie daarvoor verantwoordelijk is.” De GDPR verplicht bedrijven om de benodigde, moderne technologie te implementeren om goed om te kunnen gaan met risico’s. Toch heeft slechts 20 procent van de Nederlandse bedrijven geavanceerde technologie in huis om indringers op hun netwerk op te kunnen sporen. 26 procent heeft encryptietechnologie geïnstalleerd en 16 procent van de Nederlandse ondernemingen heeft geïnvesteerd in technologie die datalekken moet voorkomen.Bron: Felix Speulman, IT ExecutiveMeer weten over GDPR/AVG en hoe Mavim uw organisatie daarbij kan helpen? Lees meer op onze website of download de whitepaper "In 5 stappen voldoen aan de GDPR/AVG"

Inhoud   Sinds wanneer hebben we het eigenlijk over privacy? Hoe lang speelt dit vraagstuk al? We kunnen natuurlijk teruggaan tot de Romeinse tijd. De Romeinen bouwden bijvoorbeeld hun toiletten met een heel open karakter. De latrines waren open ruimtes met banken aan de zijkant met daarin gaten. Men kon zijn of haar behoefte doen terwijl het gesprek gewoon verder ging. Hoe zo privacy? Maar goed, dat is een ander soort privacy natuurlijk. Hoewel, we zeggen vandaag de dag in onze gedragscode wel iets over wat je wel of niet zou mogen bespreken in een publieke ruimte.   Het wissen van informatie is onmogelijk Het is niet gemakkelijk om de ontwikkelingen binnen het privacydomein te volgen en dat vervolgens uit te leggen aan de gemiddelde leek. Wat wel langzamerhand begint door te dringen is dat we in een onomkeerbaar proces terecht zijn gekomen. Het uitzetten of wissen van informatie op internet lijkt onmogelijk te zijn. Ik verwacht niet dat de nieuwe privacy wet in Europa(Algemene Verordening voor bescherming van persoonsgegevens (AVG) of General Data Protection Regulation (GDPR)) die in mei 2018 in werking zal gaan daar iets aan verandert. Ondanks dat er een soort van ‘right to be erased’ in is opgenomen. In juli 2000 werden we al ruw wakker geschud toen bleek dat er een Europees spionage systeem Echelon zou bestaan. Tegenwoordig weten we niet beter dat spionage en afluisteren standaardpraktijken zijn van praktisch alle overheden ter wereld. Door de onthullingen van Snowden is het bestaan van dit Echelon spionagenetwerk in 2015 bevestigd aan de hand van enkele documenten van de NSA.   Niet meer anoniem Als je anoniem wilt zijn in de huidige maatschappij kun je niet meer naar de grote stad verhuizen en je onderdompelen in de mensenmassa. Alles wordt daar geregistreerd. Je zult nu juist naar het platteland moeten gaan en je te voet of per fiets verplaatsen. En natuurlijk alle elektronische gadgets voorgoed achterlaten, en dat is voor veel mensen een uitdaging. Dat werd mooi geïllustreerd in het tv-programma ‘Hunted’ waarbij deelnemers moesten proberen om uit de handen van ‘rechercheurs’ te blijven. Binnenkort komt er een nieuwe serie van afleveringen van ‘Hunted’.   Wel of geen sleepnet? In Amerika werd begin 2017 door het Amerikaanse Senaat een wet aangenomen die het mogelijk maakt voor Internet Service Providers om al het internetverkeer van haar gebruikers individueel te analyseren en door te verkopen aan commerciële partijen. Maar ook in Nederland lijkt informatie steeds vaker openbaar te worden. Denk maar aan de introductie van de zogenaamde ‘sleepwet’ en het referendum wat daarover zal gaan plaatsvinden. Het gaat hierbij om wijzigingen in de Wet op de inlichtingen- en veiligheidsdiensten (Wiv). Deze wet uit 2002 volstaat volgens de rijksoverheid niet meer. Het is natuurlijk logisch dat met de enorm snelle technologische ontwikkelingen ook wetten regelmatig aangepast moeten worden.  Ik denk dat veel Nederlanders wel kunnen instemmen met het grootste deel van deze wet. Het lijkt immers logisch dat er een bevoegdheid moet komen om chatberichten van bijvoorbeeld een terrorist te onderscheppen, als er serieuze verdenkingen zijn uiteraard. Het probleem van deze wet zit onder andere in het feit dat veel informatie als ‘bijvangst’ ook beschikbaar komt en langere tijd bewaard kan worden. De AIVD zelf nuanceert dit door te stellen dat er juist meer controle en toezicht is ingebouwd en dat veel van de bijvangst direct weer wordt verwijderd. Ik denk niet dat het verstandig is om een referendum te houden over de gehele sleepwet. Feit is wel dat dit referendum er komt. Maar hoe kun je over zo een complexe wet de bevolking om een Ja/Nee gaan vragen? Ik verwacht dat de wet met aanpassingen op het toezicht er uiteindelijk toch wel zal komen, ongeacht de uitkomst van het referendum.Door: Jeroen Veraart Meer weten over de AVG? Lees hier meer over hoe u met het AVG framework aantoonbaar in control komt! Of meld u aan voor het webinar 'In 5 stappen voldoen aan de AVG'  

Inhoud Vrijdag 25 mei 2018 zal bij de meeste woningcorporaties rood omcirkeld staan in de agenda. Op die datum wordt de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Welke stappen moeten corporaties nemen om aan de privacywet te voldoen, en hoe borg je de aanpassingen binnen de organisatie? Een gesprek met Mitchel Kooyman, Business Consultant Informatiebeveiliging en Privacy bij Audittrail: “Wees je bewust dat de tijd begint te dringen.” In de praktijk ziet Mitchel dat corporaties vaak nog verschillende stappen moeten zetten om aan de nieuwe wetgeving te voldoen. “Corporaties zijn zich bewust van de naderende startdatum en weten dat maatregelen nu getroffen moeten worden. Er is alleen nog vraag naar ‘hoe’ deze stappen genomen moeten worden. En daarbij is de AVG geen simpele of gemakkelijke wetgeving. Het is complexe materie waarbij specialistische kennis nodig is om het juist te implementeren in organisaties. Het kan dan ook niet in een aantal weken gebeuren: het implementeren heeft een tijdslijn van enkele maanden.”   Motivatie Volgens Mitchel wil je als corporatie naar je huurders toe aan de regels voldoen. “Je wil hen beschermen tegen identiteitsfraude, en in het nieuws komen dat gegevens gelekt zijn kan grote imagoschade betekenen. Daarnaast wil je niet tegen een boete aanlopen: deze kunnen zo 20.000.000 euro of vier procent van de wereldwijze jaaromzet bedragen. Ook zien wij dat corporaties die nog gebruikmaken van papieren archieven de naderende wet aangrijpen om dit te digitaliseren. Op die manier heeft het een positieve invloed op de datakwaliteit.”   Nulmeting is de basis Op de vraag wat het voldoen aan de AVG lastig maakt, zegt Mitchel: “De nieuwe wetgeving is een moderne vervanging van de Wbp, maar een stuk strakker ingeregeld. Zo wordt een privacybeleid verplicht, moet er een verwerkingenregister zijn en moeten procedures voor rechten van betrokkenen ingericht en bekend zijn.” Een nulmeting is de basis om te voldoen aan de AVG. “Op die manier weet de corporatie waar het momenteel staat,” legt Mitchel uit. “Op basis daarvan kunnen vervolgstappen worden bepaald en in welke volgorde deze moeten worden uitgevoerd. Verder is het wenselijk voor elke organisatie een privacy officer aan te stellen en heeft men baat bij een ‘werkgroep privacy’. Zo’n werkgroep zorgt ervoor dat je met medewerkers van verschillende afdelingen kan sparren en dat verschillende onderdelen tegelijkertijd kunnen worden aangepakt, waardoor je sneller kunt voldoen aan de AVG.”    Borgen van privacy “De meeste corporaties geven aan dat het traject naar AVG-gereedheid zo’n zes tot acht maanden in beslag neemt. De tijd dringt, zeker als je nagaat dat er nog veel moet gebeuren bij de meeste corporaties. En zelfs wanneer je als corporatie voldoet aan de wetgeving, ben je nog niet klaar met het traject. Om de privacywetgeving binnen de organisatie te borgen, is het belangrijk dat je het continu blijft verbeteren. Via een PDCA-traject (Plan, Do, Check en Act) kijk je steeds waar processen geoptimaliseerd kunnen worden.”    AVG-framework Om corporaties te helpen AVG-compliant te zijn en te blijven, heeft Audittrail samen met Mavim een AVG-framework ontwikkeld. “Compliant zijn betekent niet alleen dat er zaken uit de AVG ingeregeld zijn, maar ook dat deze geborgd worden. Dit kan met het framework door het in de organisatie te verankeren en mee te nemen in de eerdergenoemde PDCA-cyclus. Een voorbeeld hiervan is het verwerkingenregister. Dit kan per proces of processtap ingevuld worden en er kan een rapportage over worden uitgedraaid. Wanneer stappen in het proces veranderen, kan dit worden doorgevoerd in het framework en in het register voor dat proces. Ook het privacybeleid kan worden opgenomen met een opsteldatum, een revisiedatum en een verantwoordelijke. Dit kan gepubliceerd worden in het Mavim-portaal, waarbij elke medewerker het beleid kan zien en zijn of haar opmerkingen hierover kan geven. Ook dit kan gebruikt worden om het beleid continu te verbeteren en privacy écht te borgen in de organisatie. Al met al een tooling waarmee inzichtelijk wordt wat het niveau is van de organisatie ten opzichte van de AVG en wat er nog gedaan moet worden.” “Daarbij helpen wij corporaties ook met het uitvoeren van de privacy-nulmeting. Dit valt onder de Quickstart Implementatie AVG. Het plan dat uit de nulmeting voortkomt bevat onze bevindingen en geeft een lijst met stappen om aan de wetgeving te voldoen. Dit geeft een corporatie een ‘to do-lijst’, waarmee het in de hoofdlijnen het traject naar compliancy kan aflopen.”   Onderdeel maken Mitchel sluit af door te herhalen dat de tijd voor corporaties om te voldoen aan de AVG begint te dringen. “De klok tikt en de AVG is geen simpele wetgeving. Het is complex en kost tijd om in zijn geheel te implementeren. Afhankelijk van de inzet van medewerkers, de bereidheid voor verandering en de vrijgemaakte tijd kan de implementatie van de AVG enkele maanden duren. Begin met een nulmeting en krijg een goed overzicht van welke stappen je nog moet nemen. Neem daarna de tijd om de veranderingen te borgen, zodat je niet alleen voldoet aan de regelgeving maar privacy onderdeel maakt van je organisatie.” Bron: Audittrail.nl | Auteur: Johan van den Beld, CorporatieMedia Benieuwd welke stappen u nog moet nemen om te kunnen voldoen aan de AVG/GDPR? Wat de impact van deze vernieuwde wetgeving op uw organisatie is? Meld u dan aan voor het Webinar 'In 5 stappen voldoen aan de AVG/GDPR'.

Inhoud Voor de leesbaarheid zal ik eerst samenvatten wat AVG en New Public Management inhoudt. Daarna zal ik duidelijk maken waarom ik denk dat deze managementbenadering invloed kan hebben op de voorbereiding van publieke organisaties op de AVG. Alle organisaties binnen de EU moeten per 25 mei 2018 voldoen aan de AVG (GDPR) wetgeving. Dit houdt in dat er strengere normen worden gehanteerd als het gaat om het gebruik, de verwerking en het beheer van persoonsgegevens. Het doel van deze wetgeving is om consumenten te beschermen en duidelijke richtlijnen te scheppen voor organisaties over het waarborgen van deze bescherming van persoonsgegevens. Veel organisaties zijn nog aan het zoeken hoe ze hun processen en procedures zodanig kunnen inrichten dat er wordt voldaan aan deze wet. Organisaties moeten immers aan kunnen tonen dat ze verantwoord met persoonsgegevens omgaan. Bovendien hebben burgers het recht om te vragen ‘vergeten’ te worden of om persoonsgegevens over te dragen en hier zullen organisaties ook in moeten voorzien.   De betekenis van New Public Management New Public Management (NPM) is een term die opkwam in de jaren ‘80. Deze term beschrijft de trend om managementtechnieken uit de private sector toe te passen op publieke organisaties. Want in die tijd ervoeren de burgers een grote kloof tussen publieke en private sector ten aanzien van doelmatigheid en efficiëntie. Te veel bureaucratie belemmerde een doeltreffende overheid, waardoor tevredenheid van burgers over de dienstverlening van hun overheid afnam. Volgens NPM zou de publieke sector een stuk beter gaan presteren wanneer managementtechnieken uit de private sector gebruikt zouden worden. Gemeenten zouden bijvoorbeeld meer in termen van ‘klanten’ en ‘producten’ moeten gaan denken waar het burgers en gemeentelijke dienstverlening betreft. Dit zou moeten leiden tot meer doelmatig, doeltreffend en zuinig werken binnen gemeenten, provincies en ministeries.   De keerzijde van New Public Management Na zoveel jaren NPM worden er ook kritische geluiden waargenomen over de toepassing van bedrijfsmatig werken binnen de publieke sector. Zowel de kenmerken van de publieke sector als het te ver doorschieten in zakelijk denken leiden tot herbezinning over de toepassing van private managementprincipes. Zo is de relatie tussen gemeenten en burgers niet vergelijkbaar met de klantgestuurde markt voor een bedrijf. Ook zorgt de blijvende aanwezigheid van verhoudingsgewijs veel hiërarchische lagen binnen diezelfde gemeenten voor veel meer interne stroperigheid. Daardoor ontstaat inefficiëntie en is er gewoon minder aandacht voor de uitvoering. Een voorbeeld van een zaak waarbij men is doorgeschoten in zakelijk denken is de Ceteco-affaire, waarbij de provincie Zuid-Holland in het geheim voor ongeveer twee miljard gulden bankierde met als doel het maken van winst. Hoewel de provincie in het begin geld verdiende, leed zij vervolgens enorme verliezen door 47,5 miljoen gulden uit te lenen aan het noodlijdende handelshuis Ceteco, dat uiteindelijk failliet ging.   NPM en BPM Ondanks bovengenoemde kanttekeningen is NPM ingekapseld in het managementdenken binnen de overheid. Met de beginselen achter NPM zijn wel degelijk verbeteringen bereikt in de werking van publieke organisaties. En er zijn nog steeds verbeteringen mee te behalen, zolang de toepassing ervan maar plaatsvindt met inachtneming van publieke waarden. Dus geen fixatie op kostenbeheersing en efficiency, maar wel aandacht voor deze factoren met behoud van legitimiteit en democratische aansprakelijkheid. Mogelijke verbetergebieden zijn proces- en risicomanagement. Een onderdeel van bedrijfsmatig werken is namelijk het grondig belichten en inrichten van de processen, het kritisch doorlichten van de effectiviteit ervan en het doelgericht toepassen van mensen, technieken en middelen. En het inschatten en beheersbaar maken van de bijhorende risico's plus continue monitoring hiervan.   Voldoen aan de AVG met NPM Terug naar het voldoen aan de AVG: ik durf te stellen dat een juiste toepassing van NPM het voldoen aan deze wetgeving helpt te vereenvoudigen. Bijvoorbeeld door met de toepassing van procesmanagement en risicomanagement. Met procesmanagement kan worden bereikt dat de impact van deze wetgeving zichtbaar wordt. Processen in kaart hebben, levert inzicht en overzicht op in een operationeel procesmodel. Met dit overzicht is precies te zien op welke plekken in de organisatie de wetgeving op persoonsgegevens van toepassing is, op welke momenten welke persoonsgegevens gebruikt worden en op welke plek deze gegevens worden beheerd. Door inzicht in het proces is overzichtelijk op welke manier persoonsgegevens worden verzameld, hoe en door wie deze verwerkt worden en waar en tot wanneer deze worden opgeslagen. Hierdoor is het ook mogelijk risicomanagement toe te passen. Met de informatie die wordt gecreerd vanuit procesmanagement kunnen de risico’s worden geïdentificeerd. Daarmee kunnen vervolgens stappen worden ondernomen voor de beheersing en monitoring daarvan. Kortom, het in kaart brengen van de processen en risico’s levert inzicht en overzicht op. Daarmee kunnen processen en wet en regelgeving aan elkaar worden gekoppeld. Het maakt overzichtelijk waar privacygevoelige gegevens gebruikt en bewaard worden. Met dit inzicht en overzicht kan er een fit-gap analyse worden uitgevoerd ten aanzien van de wijze waarop de omgang met persoonsgegevens op dit moment is ingeregeld en hoe dit ingeregeld zou moeten zijn om te voldoen aan de AVG. De te nemen stappen worden snel inzichtelijk en er kan doelmatig en doeltreffend worden opgetreden om het operationele model aan te passen. Auteur: Rick van DongenWilt u meer weten over hoe procesmanagement kan helpen bij het voldoen aan de AVG? Volg dan het webinar ‘In 5 stappen voldoen aan de AVG/GDPR’. Meld u aan voor het webinar ‘Mavim AVG/GDPR framework: aantoonbaar in control’.  

Inhoud AVG compliant worden, maar vooral ook blijven, is een uitdagende en veelomvattende opdracht. Het gaat immers niet alleen om privacygevoelige gegevens die op allerlei plekken zijn opgeslagen, maar vooral ook om het menselijk handelen en de verwerking van deze persoonlijke gegevens door uw medewerkers. Vandaar de vraag: “Hoe staat u ervoor?” Bent u klaar voor 25 mei 2018? Als specialist op het gebied van security en IT draagt u de verantwoordelijkheid voor een project waarbij u de hele organisatie moet meekrijgen en waarvoor u nog een relatief korte periode de tijd heeft. Voldoen aan de AVG regelgeving is dus al geen gemakkelijke klus, maar daarnaast wilt u zowel aan interne als externe stakeholders kunnen aantonen waar uw organisatie staat en in hoeverre u compliant bent. Gelukkig is het bewustzijn van de AVG op managementlevel groot:   “Recent onderzoek van Microsoft onder 600 bedrijven laat zien dat 84% van de IT managers en 72% van de directeuren weet dat deze wet van toepassing is op zijn organisatie.”   De echte uitdaging: AVG bewustwording bij iedereen Traditioneel zijn de onderwerpen security en privacy sterk verbonden met IT. Dat laat het recente onderzoek van Microsoft ook zien. Dit is echter kort door de bocht – juist de medewerkers zijn vaak nog onvoldoende geïnformeerd:   “22% van de medewerkers is zich niet bewust van het risico op boete bij overtreding. Het niet bewustzijn is de grootste valkuil, omdat elke medewerker een risico vormt als er niet goed met privacygevoelige gegevens van klanten wordt omgegaan”   Hulp bij AVG: van diagnose tot oplossing door het bundelen van krachten Wij geloven dat de besproken problematiek rondom AVG goed aangepakt kan worden door het bundelen van krachten. Niet alleen binnen uw organisatie, maar ook in onze aanpak. Die aanpak verenigt drie partijen met elk hun eigen expertise:    Audittrail Audittrail is gespecialiseerd in privacy en informatiebeveiliging en kan uw organisatie met juridische vakkennis het juiste inzicht geven over de mate waarin u momenteel voldoet aan de AVG regelgeving. Ook biedt Audittrail inzicht en handvatten om concreet aan de slag te gaan richting AVG compliance. Ze kijken daarbij naar het volledige beeld van uw organisatie, de processen en mensen. Motion10 Naast de impact van AVG op uw organisatie, processen en mensen, heeft de regelgeving ook impact op uw systemen. Een voorbeeld hiervan is uw digitale werkplek en de inrichting daarvan: het specialisme van Microsoft partner Motion10. Ook het begeleiden van de verandertrajecten en adoptie van wijzigingen in deze digitale werkplek valt onder hun expertise. Mavim Mavim helpt u om alle inzichten rondom uw organisatie, processen, mensen en systemen in relatie tot de AVG vast te leggen, te visualiseren en er over te communiceren. Dit biedt u een dynamisch platform waarop u de weg naar continue AVG compliance kunt borgen – nu en in de toekomst. Met Mavim maakt u de impact van elke verandering inzichtelijk.   Bewustzijn creëren vanuit een positieve boodschap Uiteindelijk draait de AVG om een betere bescherming van privacy, van ons als individuen. Een belangrijke doelstelling, waar u met uw organisatie uw bijdrage aan kunt leveren. Het is belangrijk dat u kunt uitleggen waarvoor en waarom u specifieke gegevens gebruikt. U kunt hier naar kijken als administratieve last, maar het biedt u óók meer kansen: het vaker vragen om toestemming van een klant of prospect betekent meer contactmomenten en dus de mogelijkheid om uw klantrelatie verder uit te bouwen. Daarnaast hebben uw contacten aangegeven akkoord te zijn met uw communicatie en tonen zij daarmee interesse in uw product of dienst. Uw communicatie- en marketingactiviteiten kunnen zo doelgerichter worden.   Aan de slag Kortom, de AVG stelt u voor een complexe uitdaging die tegelijkertijd kansen biedt. AVG compliance vraagt om kennis en inzicht in de wetgeving, informatiestromen, processen, inrichting en gebruik van uw digitale werkplek. Een kwart van de Nederlandse bedrijven geeft dan ook aan hulp te willen bij hun reis naar AVG compliance. Wij – Audittrail, Mavim en Motion10 – houden van doen en bundelen onze krachten om te zorgen dat u deze uitdaging aankunt, uw kansen grijpt en continu en aantoonbaar voldoet aan de regelgeving.   Meer weten of direct aan de slag met AVG compliance? Vanaf 25 mei 2018 moeten alle organisaties die persoonsgegevens van Europese burgers verwerken of bewaren, voldoen aan de AVG (Algemene Verordening Persoonsgegevens, ook wel bekend als GDPR). Niet voldoen aan de nieuwe Europese wetgeving kan naast reputatieschade substantiële boetes opleveren. Aantoonbaar AVG/GDPR compliant worden en blijven vereist kennis van en inzicht in de wet, informatiestromen, processen, inrichting en gebruik van een digitale werkplek. Microsoft-partners Audittrail, Mavim en Motion10 bundelen hun expertises om u hierbij te helpen.Wilt u meer weten of direct aan de slag? Neem contact met ons op! Of download de whitepaper Aan de slag met AVG!