De toekomst van ISO 27001 ligt niet in naleving, maar in cyberoperationele intelligentie.

Jarenlang werd ISO 27001 vooral toegepast als kader voor de naleving van informatiebeveiligingsvoorschriften.

Organisaties hebben informatieveiligheidsbeheersystemen opgezet om controlemaatregelen te formaliseren, beleid te structureren en aan te tonen dat cyberrisico’s systematisch werden beheerd. De certificering stelde klanten, auditors en toezichthouders gerust dat er sprake was van informatieveiligheidsbeheer en dat de operationele controlemaatregelen formeel waren gedocumenteerd.

Die benadering was logisch in een zakelijke omgeving waarin cyberbeveiliging grotendeels werd gezien als een gespecialiseerde IT-verantwoordelijkheid, met een relatief duidelijke scheiding tussen de systemen en gegevens die het moest beschermen en de operationele processen die daar omheen draaiden.

Die grens is verdwenen.

Tegenwoordig heeft cyberrisico een directe invloed op de bedrijfscontinuïteit, de veerkracht van de onderneming, het vertrouwen van klanten en het voortbestaan van het bedrijf, op manieren die niet kunnen worden beheerd door een bestuursmodel dat losstaat van de operationele uitvoering. Informatiebeveiliging is niet langer een technische discipline die digitale activa aan de rand van het bedrijf beschermt. Het is nauw verweven met toeleveringsketens, operationele technologie, cloud-ecosystemen, externe leveranciers en dagelijkse operationele beslissingen in alle functies van de organisatie.

Wat de ontwikkeling van ISO 27001 onderscheidt van andere bestuursnormen, is het tempo waarin het dreigingslandschap verandert. De blootstelling aan omgevingsrisico’s verandert naarmate de bedrijfsvoering verandert. De blootstelling aan kwaliteitsrisico’s neemt toe naarmate organisaties groeien. Cyberrisico's evolueren voortdurend, ongeacht wat de organisatie zelf doet, omdat het dreigingslandschap wordt bepaald door actoren buiten de operationele grenzen van de organisatie die er actief op uit zijn om tekortkomingen in het beheer uit te buiten voordat deze worden verholpen.

De organisaties die tegenwoordig de meeste strategische waarde uit ISO 27001 halen, beschouwen deze norm niet langer in de eerste plaats als een kader voor naleving van beveiligingsvoorschriften.

Ze bouwen dit uit tot een gecoördineerd systeem voor cyberoperatieve inlichtingen.

ISO 27001 was oorspronkelijk opgezet rond beveiligingsmaatregelen

Toen ISO 27001 op grote schaal werd ingevoerd, hadden organisaties vooral behoefte aan structuur en traceerbaarheid op het gebied van informatiebeveiligingsbeheer in omgevingen waar de beveiligingsperimeter relatief goed was afgebakend en de bedreigingen zich langzamer ontwikkelden dan tegenwoordig het geval is.

Het beleid moest formeel worden vastgelegd, zodat de verantwoordelijkheden op het gebied van beveiliging duidelijk waren en aan auditors en klanten konden worden aangetoond. Toegangsbeheer vereiste controle, zodat informatiebronnen via vastgestelde procedures en technische maatregelen werden beschermd tegen ongeoorloofde toegang. Voor beveiligingsincidenten waren escalatieprocedures nodig, zodat gebeurtenissen een gestructureerde reactie teweegbrachten in plaats van een geïmproviseerde lokale afhandeling. De controleerbaarheid zelf werd een centrale doelstelling van het beheer, omdat het aantonen van de volwassenheid van de controle aan externe partijen bewijs vereiste dat het beveiligingsbeheer systematisch en consistent was.

Het ISMS was daarom sterk gericht op beheersmaatregelen, documentatie, periodieke risicobeoordelingen en bewijs van naleving. Dit weerspiegelde nauwkeurig de operationele realiteit van die tijd. Cyberbeveiliging draaide voornamelijk om het beschermen van welomschreven digitale activa en het aantonen van de volwassenheid van de beheersmaatregelen ten opzichte van een reeks bekende dreigingscategorieën binnen een relatief afgebakende beveiligingsomgeving.

Moderne organisaties stellen steeds vaker fundamenteel andere eisen aan hun beheer van de informatiebeveiliging.

Ze vereisen voortdurend operationeel cyberinzicht in een omgeving waarin het dreigingslandschap sneller verandert dan dat de bestuurscycli zich kunnen aanpassen, waarin het aanvalsoppervlak voortdurend toeneemt naarmate de organisatie nieuwe technologieën en relaties met derde partijen invoert, en waarin de gevolgen van een ernstige beveiligingsfout zich niet alleen tot de IT-omgeving beperken, maar tegelijkertijd ook reiken tot de bedrijfscontinuïteit, de blootstelling aan regelgeving en de reputatie van de onderneming.

Waarom cybergovernance in het bijzonder wordt uitgedaagd door het tempo waarin bedreigingen zich ontwikkelen

De specifieke uitdaging op het gebied van governance die de verdere ontwikkeling van ISO 27001 urgenter maakt dan bij andere normen, is dat de cyberrisico’s niet simpelweg toenemen naarmate organisaties complexer worden. Ze veranderen voortdurend naarmate het dreigingslandschap rondom de organisatie verandert, ongeacht wat de organisatie zelf doet.

Een organisatie kan van de ene maand op de andere haar bedrijfsvoering ongewijzigd voortzetten en toch merken dat ze aanzienlijk kwetsbaarder is geworden voor een specifieke categorie cyberrisico’s, omdat er een nieuwe aanvalstechniek is opgedoken, omdat is gebleken dat een veelgebruikte softwarecomponent een kritieke kwetsbaarheid bevat, of omdat cybercriminelen hun aandacht hebben verlegd naar de sector waarin de organisatie actief is of naar haar relaties in de toeleveringsketen. Geen enkele andere categorie van operationeel risico ontwikkelt zich in dit tempo of met een dergelijke mate van door externe factoren veroorzaakte onvoorspelbaarheid.

Dit leidt tot een fundamentele discrepantie in het beheer. Periodieke beveiligingsbeheercycli – of het nu gaat om driemaandelijkse updates van het risicoregister, jaarlijkse penetratietests of geplande managementbeoordelingen – zijn ontworpen voor een omgeving waarin de beveiligingsrisico’s mee veranderden met de operationele ontwikkeling van de organisatie zelf. In een omgeving waarin het dreigingslandschap tussen de beheercycli door aanzienlijk kan verschuiven, leidt periodiek beheer tot een systematische vertraging tussen de huidige risico’s en de manier waarop het beheermodel deze interpreteert.

De inzet van de cloud neemt voortdurend toe naarmate organisaties nieuwe diensten gaan gebruiken en bestaande workloads migreren, waardoor nieuwe aanvalsvlakken en nieuwe toegangsafhankelijkheden ontstaan die het ISMS in realtime moet beheren in plaats van pas bij de volgende geplande evaluatie. Integraties met derde partijen vermenigvuldigen de operationele afhankelijkheden en introduceren cyberrisico’s in de toeleveringsketen die de organisatie draagt, ook al heeft zij geen directe controle over de beveiligingsstatus van de derde partij. Operationele technologie verbindt voorheen geïsoleerde omgevingen, waardoor aanvalsroutes ontstaan tussen digitale en fysieke systemen die nog niet bestonden toen het ISMS werd ontworpen. Kunstmatige intelligentie zorgt voor nieuwe complexiteit op het gebied van governance, aangezien organisaties tools gaan gebruiken waarvan de gevolgen voor de beveiliging in de hele sector nog steeds worden onderzocht.

In deze context kan cyberbeveiliging niet langer effectief functioneren als een statische nalevingslaag. Cybergovernance evolueert naar operationeel bestuur.

Waarom traditionele ISMS-structuren hun grenzen bereiken

Veel organisaties maken nog steeds gebruik van informatiebeveiligingsbeheersystemen die zijn opgezet rond bestuurscycli die geschikt waren voor de beveiligingsomgevingen van tien jaar geleden, maar die steeds minder aansluiten bij de huidige omstandigheden.

Beveiligingsaudits vinden plaats volgens schema’s die ervan uitgaan dat de beveiligingsstatus tussen de audits stabiel genoeg is, zodat periodieke evaluatie volstaat. In een omgeving waarin dagelijks nieuwe kwetsbaarheden worden ontdekt en cybercriminelen voortdurend op zoek zijn naar misbruikbare hiaten, is de aanname van stabiliteit tussen auditcycli niet langer geldig. De audit geeft een nauwkeurig beeld van de beveiligingsstatus op de dag dat deze wordt uitgevoerd. Tegen de tijd dat de volgende audit plaatsvindt, zijn het dreigingslandschap, de technologische omgeving en de eigen operationele voetafdruk van de organisatie allemaal veranderd op manieren die het bestuursmodel niet heeft vastgelegd.

In de meeste organisaties worden risicoregisters elk kwartaal of minder vaak bijgewerkt, waardoor er risicobeoordelingen ontstaan die een beeld geven van de blootstelling van de organisatie op een specifiek moment in de tijd, in plaats van hoe de organisatie op dit moment blootgesteld is. Een risicoregister dat drie maanden geleden nog accuraat was, kan de huidige blootstelling aanzienlijk onderschatten als er een grote kwetsbaarheid is ontdekt in veelgebruikte infrastructuur, als een belangrijke externe leverancier te maken heeft gehad met een beveiligingsincident of als de organisatie nieuwe clouddiensten in gebruik heeft genomen die een nieuw aanvalsoppervlak introduceren.

Correctieve maatregelen worden los van de risicobeoordelingsprocessen bijgehouden, terwijl die processen juist voortdurend op basis van de resultaten daarvan zouden moeten worden bijgestuurd. Dit betekent dat het bestuursmodel niet in realtime leert van zijn eigen correctieve maatregelen. Bij de managementbeoordeling wordt vooral de historische rapportage samengevat, in plaats van actuele informatie over bedreigingen te verwerken in strategische beveiligingsbeslissingen.

Ondertussen verandert de cyberblootstelling voortdurend onder die bestuurslagen. De kloof tussen gedocumenteerde beveiligingsmaatregelen en de daadwerkelijke operationele cyberzichtbaarheid wordt elke dag groter, naarmate het dreigingslandschap zich ontwikkelt zonder dat het bestuursmodel wordt aangepast om hiermee rekening te houden.

De organisatie houdt documentatie bij op het gebied van informatiebeveiliging. Ze verliest geleidelijk aan haar cybercoördinatie.

De echte strategische verschuiving binnen ISO 27001

De toekomstige strategische waarde van ISO 27001 ligt niet langer in de eerste plaats in het aantonen van naleving van informatiebeveiligingsnormen. Naleving blijft een vereiste en wordt in veel sectoren steeds meer een contractuele en wettelijke basisnorm in plaats van een concurrentievoordeel.

De echte waarde ligt steeds meer in het continu en tijdig coördineren van cyberoperationele inlichtingen binnen de hele organisatie, zodat opkomende risico’s kunnen worden opgespoord voordat deze leiden tot beveiligingsincidenten, operationele verstoringen of gevolgen op het gebied van regelgeving.

Dit verandert de rol van informatiebeveiligingsbeheer op een manier die specifiek is voor de aard van cyberrisico’s. In tegenstelling tot milieu- of kwaliteitsrisico's die voornamelijk binnen de operationele grenzen van de organisatie ontstaan, wordt cyberblootstelling bepaald door externe actoren die actief op zoek zijn naar manieren om hiaten in het beheer te misbruiken. Om die blootstelling effectief te beheersen, is een inlichtingencapaciteit nodig die in realtime reageert op de dreigingsomgeving, in plaats van een nalevingsprogramma dat met regelmatige tussenpozen het bestaan van controles documenteert.

Wanneer beveiligingsbevindingen zich ontwikkelen van geïsoleerde incidenten tot operationele indicatoren die de prioritering van risico’s voortdurend bijsturen, krijgt de organisatie het vermogen om opkomende blootstellingspatronen te detecteren voordat deze gevolgen hebben. Een cluster van afwijkingen in de toegang tot meerdere systemen wordt een detecteerbaar signaal van misbruik van inloggegevens, in plaats van een reeks losstaande gebeurtenissen. Een patroon van beveiligingsincidenten bij leveranciers wordt zichtbaar als een risicotrend in de toeleveringsketen, in plaats van een verzameling onafhankelijke problemen bij derden.

Wanneer corrigerende maatregelen eerder mechanismen voor organisatorisch leren worden dan administratieve werkprocessen, bouwt de organisatie met elk opgelost probleem veerkracht op het gebied van beveiligingsbeheer op. Het ISMS wordt steeds beter in het anticiperen op de soorten risico’s waarmee het waarschijnlijk te maken zal krijgen, in plaats van te reageren op de soorten risico’s die het recentelijk heeft ondervonden.

Wanneer risicobeheer voorspellend wordt in plaats van beschrijvend, beheert de organisatie de cyberrisico’s waarmee zij op dit moment te maken heeft, in plaats van de risico’s die zij tijdens de vorige beoordelingscyclus had. Dat onderscheid wordt steeds belangrijker naarmate de ontwikkeling van bedreigingen in een steeds sneller tempo verloopt.

Cyberoperational intelligence vereist gecoördineerd beheer

Deze transformatie wordt pas mogelijk wanneer de processen voor informatiebeveiligingsbeheer structureel worden geïntegreerd in plaats van slechts periodiek te worden gecoördineerd.

Wanneer auditbevindingen op dynamische wijze van invloed zijn op de risiconiveaus binnen [Risicobeheer], gaan organisaties veel eerder dan in traditionele auditcycli mogelijk is, systemische cyberpatronen herkennen. Het ISMS genereert niet langer periodieke nalevingsbewijzen, maar levert voortdurend beveiligingsinformatie die als basis dient voor operationele beslissingen in de hele onderneming, in plaats van alleen maar de bestuursactiviteiten binnen de beveiligingsfunctie te bevestigen.

Wanneer corrigerende workflows die via CAPA Management worden beheerd, de effectiviteit voortdurend valideren in plaats van alleen de administratieve afsluiting te bevestigen, wordt het cyberleerproces binnen de hele onderneming versterkt op manieren die in de loop van de tijd een cumulatief effect hebben. De organisatie bouwt met elk opgelost probleem haar capaciteit op het gebied van beveiligingsgovernance op, in plaats van steeds weer terug te keren naar terugkerende kwetsbaarheidscategorieën onder verschillende technische benamingen.

Wanneer procedures die onder documentbeheer vallen voortdurend mee-evolueren met de veranderende operationele risico’s, in plaats van te worden bijgewerkt via geplande documentbeheercycli, zorgen organisaties ervoor dat de documentatie inzake beveiligingsbeheer in lijn blijft met de operationele realiteit die deze documentatie moet regelen. Het ISMS beschrijft de huidige beveiligingsvereisten in plaats van historische vereisten.

Op dat moment fungeert het ISMS niet langer als een statisch documentatiekader dat naleving in het verleden bevestigt. Het wordt een gecoördineerd operationeel beheersysteem dat de uitvoering, het toezicht en de cyberweerbaarheid binnen de hele onderneming voortdurend op elkaar afstemt, als reactie op een dreigingslandschap dat sneller verandert dan welke periodieke bestuurscyclus dan ook kan bijhouden.

De volgende stap in cybergovernance is voorspellend

In het verleden werkten de meeste beveiligingsbeheersystemen van nature reactief, omdat de dreigingsomgeving zich langzaam genoeg ontwikkelde, waardoor het opsporen van en reageren op beveiligingsincidenten nadat deze zich hadden voorgedaan, voldoende was om een adequaat beveiligingsniveau te handhaven.

De volgende versie van ISO 27001 wijkt qua opbouw af van de vorige, omdat deze inspeelt op een fundamenteel andere dreigingssituatie.

De organisaties die een echte volwassenheid op het gebied van beveiligingsbeheer zullen behouden, zijn de organisaties die het vermogen ontwikkelen om zwakke operationele signalen te herkennen voordat deze uitgroeien tot misbruikbare kwetsbaarheden of actieve beveiligingsincidenten. Een subtiele verandering in toegangspatronen die wijst op misbruik van inloggegevens. Een verslechtering van de beveiligingsstatus van een leverancier die de toeleveringsketen kwetsbaar maakt, nog voordat dit tot een incident leidt. De invoering van een nieuwe clouddienst die een aanvalsoppervlak creëert voordat het ISMS is bijgewerkt om dit te beheersen. Dit zijn de signalen die voorspellend cyberbeheer is ontworpen om te detecteren, en ze zijn onzichtbaar voor beheer modellen die werken op basis van periodieke evaluatiecycli.

Dankzij geïntegreerd beheer, operationele analyses en gecoördineerde workflows kunnen organisaties structurele cyberrisico’s veel eerder opsporen dan bij traditionele auditcycli het geval is, door signalen die momenteel in afzonderlijke beheerprocessen binnenkomen, samen te voegen tot één doorlopend beeld van de beveiligingssituatie. Het beheersmodel wordt hierdoor gevoelig voor vroege indicatoren van een verslechtering van de beveiligingsstatus, in plaats van dat het is opgezet om te reageren op bevestigde incidenten nadat deze al operationele gevolgen hebben gehad.

Dit is waar cyberoperationele inlichtingen strategisch waardevol worden. Niet omdat ze de kwaliteit van de beveiligingsrapportage verbeteren, maar omdat ze de organisatie beter in staat stellen om blootstelling te beheersen die zij nog niet heeft ondervonden, in plaats van de gevolgen te beheren die zij al heeft ondervonden. In een bedreigingsomgeving waarin de kosten van een ernstige beveiligingsfout tegelijkertijd kunnen bestaan uit bedrijfsstilstand, sancties van toezichthouders, verlies van klanten en reputatieschade, is die vooruitziendheid geen ambitie op het gebied van governance. Het is een strategische noodzaak.

Waarom directieteams het beheer van informatiebeveiliging herzien

Het topmanagement beseft steeds meer dat ernstige cyberverstoringen zelden het gevolg zijn van één op zichzelf staand beveiligingsincident dat door een goed beheerd ISMS had moeten worden opgemerkt en voorkomen.

De meest ingrijpende cyberincidenten ontstaan geleidelijk door versnipperde signalen die lang genoeg los van elkaar blijven staan, waardoor hun gezamenlijke betekenis pas wordt onderkend als de inbreuk al heeft plaatsgevonden. Een leverancier brengt verborgen cyberrisico’s in de toeleveringsketen door middel van een gecompromitteerde softwarecomponent of een verkeerd geconfigureerde integratie die een toegangspad creëert naar de eigen omgeving van de organisatie. Operationele veranderingen leiden tot nieuwe kwetsbaarheden op het gebied van toegang, aangezien nieuwe systemen worden geïmplementeerd, nieuwe medewerkers worden aangesteld en nieuwe integraties worden gecreëerd zonder dat het ISMS wordt bijgewerkt om het nieuwe aanvalsoppervlak te beheersen. Correctieve maatregelen slagen er herhaaldelijk niet in de structurele blootstelling te verminderen, niet omdat de afzonderlijke maatregelen ontoereikend zijn, maar omdat het bestuursmodel de resultaten van de correctieve maatregelen niet terugkoppelt naar de risicobeoordeling, die voortdurend door deze resultaten zou moeten worden bijgestuurd. Gedistribueerde systemen evolueren sneller dan dat bestuursstructuren zich kunnen aanpassen, aangezien organisaties clouddiensten, SaaS-platforms en integraties van derden in een tempo invoeren dat de documentbeheers- en wijzigingsbeheerprocessen die deze veranderingen regelen, niet kunnen bijhouden.

Tegelijkertijd neemt de externe druk op het cyberbeheer door het management toe in een tempo dat zijn weerga niet kent in andere bestuursdisciplines. Regelgevingskaders in diverse rechtsgebieden, waaronder NIS2 in Europa en de steeds uitgebreidere cyberrapportagevereisten van de SEC in de Verenigde Staten, breiden de persoonlijke aansprakelijkheid van leidinggevenden uit in verband met tekortkomingen in het beheer van informatiebeveiliging. Institutionele beleggers nemen de cyberrisicopositie mee in hun risicobeoordelingen van ondernemingen. Klanten in gereguleerde sectoren eisen aantoonbare capaciteiten op het gebied van beveiligingsbeheer, in plaats van louter een certificeringsstatus, als voorwaarde voor commerciële relaties.

Dit is de reden waarom volwassen organisaties ISO 27001 steeds vaker niet als een beveiligingsverplichting beschouwen, maar als een strategisch operationeel bestuursinstrument dat de veerkracht van de onderneming zelf ondersteunt, en waarom die herpositionering zich op het gebied van informatiebeveiliging sneller voltrekt dan in welke andere bestuursdiscipline dan ook.

Van naleving van informatiebeveiligingsvoorschriften tot cyberoperationele inlichtingen

ISO 27001 verliest niet aan relevantie, nu de dreigingen steeds geavanceerder worden en de operationele omgevingen steeds complexer worden.

Het wordt juist strategisch steeds belangrijker omdat de omgevingen die het moet beheren complexer, onderling meer verweven en dynamischer zijn dan waarvoor het oorspronkelijke nalevingsmodel van de norm was ontworpen.

Organisaties die ISO 27001 nog steeds voornamelijk als een raamwerk voor beveiligingscompliance beschouwen, zullen steeds vaker merken dat ze een beveiligingsbeleid hanteren dat geschikt was voor een vroegere dreigingsomgeving, terwijl hun daadwerkelijke cyberrisico’s zich op een manier ontwikkelen die het bestuursmodel niet snel genoeg kan detecteren om ernstige storingen te voorkomen. Naarmate de invoering van de cloud versnelt, AI nieuwe complexiteit op het gebied van beveiliging met zich meebrengt en de verwachtingen van regelgevers blijven toenemen, zal de kloof tussen een op naleving gericht ISMS en de operationele realiteit die het hoort te beheersen, steeds groter worden.

De organisaties die ISO 27001 omzetten in een gecoördineerd systeem voor cyberoperationele inlichtingen, zullen iets veel waardevollers verwerven dan alleen een certificeringsstatus. Ze krijgen continu en in realtime inzicht in hoe hun cyberblootstelling zich ontwikkelt binnen hun operationele en bedreigingsomgeving, de mogelijkheid om in te grijpen bij opkomende beveiligingsrisico’s voordat deze tot incidenten of gevolgen op regelgevingsgebied leiden, en een governance-architectuur die sterker wordt in plaats van te worstelen naarmate de operationele complexiteit en de verfijning van bedreigingen gelijktijdig toenemen.

In steeds meer onderling verbonden bedrijfsomgevingen wordt die continue cyberoperationele inlichtingenfunctie in hoog tempo een van de belangrijkste voordelen op het gebied van governance die een organisatie kan opbouwen. Niet omdat het de voorbereiding op audits verbetert, maar omdat het het vermogen van de organisatie vergroot om beveiligingsrisico’s te beheersen die sneller veranderen dan welke andere categorie operationele risico’s dan ook waarmee zij te maken heeft.