Als de oorlog in Ukraine iets goed heeft verwezenlijkt, is het wel dat de Europese politici niet langer debatteren over het niveau van cyberbeveiliging. Dat niveau is rampzalig. Dagelijks komen er bedrijven in het nieuws die miljoenen spenderen aan IT beveiliging en toch gehackt worden.
Het aapje wordt al jaren van de ene schouder naar de andere overgezet en zo gauw het geld begint te minderen en lijken uit de kast vallen wordt weer een andere schouder gezocht.
Als auditor besef ik maar al te goed dat het geen 1…10 oefening is. De conclusie van Europa is dat echter wel:
- Bepaal welk bedrijf kritisch is voor de werking van het land, maar ook voor economische stabiliteit zorgt. Zorg dat deze gewapend zijn tegen hacking.
- Herbeschouw de definitie van de Essentiele bedrijven door een goed onderbouwde impact analyse. Train ze met incident scenario’s die georkestreerd zijn en hou ze zo scherp.
- Breng lijn in cybersecurity frameworks en audit deze. Leg een zwaardere verantwoordelijkheid en boetesysteem op voor het management van zulke bedrijven.
- Maak één Europees INCIDENT meldingspunt en breng de nationale incident meldingspunten in synergie. De oefening voor incident handling staat zeer duidelijk in ISO 27001:2022 er moet geen studie van miljoenen gebeuren. Zorg nationaal voor een goede doorlichting van de risico analyses van deze bedrijven. Hebben deze het DNA – ‘ZERO TRUS’ oftewel NEVER TRUST ALWAYS VERIFY.
- Maak een strenge bewaker met eigen jurisdictie en boete systeem. Voorkom het GDPR lachertje waarbij de Belgische politiek de directive ondergroef met de woorden, ‘We zullen toch niet beboeten’, zo laks beheer een vrijbrief gevend.
- Verplicht bedrijven tot het geaudit aantonen van BCM. Business continuity management voor de boot kantelt.
- Breng alles in lijn met elkaar en zorg voor een 6X9 cybersecurity beleid dat alle divisies en alle operationele handelingen bewaakt. Zet een systeem op als de radar en team van een verkeerstoren. Het kan.
Dan is er wel een WAKE-Up call naar de industrie , de academische wereld, de ICT vendoren om voor een keer niet alles van de pot van 80 miljard omzet te willen binnenhalen maar een deel naar inspanning.
Ook een oproep naar de vele ISMS auditoren. We gaan één aanpak doorvoeren. Het aftellen is begonnen.
bron: https://www.enisa.europa.eu/events/enisa-2nd-maritime-cybersecurity-conference/1-1-nis2_cra.pdf
