In deze miniserie over de algemene verordening gegevensbescherming (AVG) die vanaf 25 mei 2018 van toepassing is, informeren we je over drie resultaatgebieden van de nieuwe Wetgeving Informatiebeveiliging. In deel drie vertellen we je alles wat je moet weten over de continuïteit van je bedrijf.
Al eerder is in deze miniserie aangegeven dat aansprakelijkheid een belangrijke verandering in de nieuwe AVG is. De directeur is hoofdelijk aansprakelijk voor de juiste implementatie en uitvoering van wetten, regels en procedures op het gebied van informatiebeveiliging. Aandeelhouders zijn financieel aansprakelijk.
Aansprakelijkheid
Bij informatiebeveiliging gaat het over technische, organisatorische en procesmatige zaken in je onderneming. Als directeur of aandeelhouder sta je vaak verder af van dergelijke zaken en laat je dit over aan managers in het bedrijf. Met de komst van de AVG is informatiebeveiliging en bedrijfscontinuïteit nu ook een belangrijk aandachtspunt geworden voor de directeur geworden, omdat je hoofdelijk aansprakelijk bent als zaken fout gaan en dit de aandeelhouders financieel treft.
Waar gaat bedrijfscontinuïteit over?
Als we spreken over bedrijfscontinuïteit gaat het over het veiligstellen van de continuïteit van je onderneming. Het gaat over de organisatie, processen en technologie.
- Op organisatorisch vlak gaat het over informatiebeveiligingsbeleid, rollen en verantwoordelijkheden, dienstverbanden en bedrijfscontinuïteitsbeheer.
- Procesmatige aandachtsgebieden zijn operations security, assetmanagement, incidentmanagement en communicatiebeveiliging.
- Bij technische continuïteit gaat het om zaken als omgevingsbeveiliging, toegangscontrole, systemen en cryptografie.
Opstellen van beleid voor je bedrijfscontinuïteit
Door de komst van de AVG moet er beleid worden gemaakt voor veel (ICT) voorzieningen waar tot nu toe geen specifiek beleid voor is opgesteld. Hooguit zijn richtlijnen opgesteld voor hardware en software of zijn zaken technisch afgedwongen, maar echt beleid ontbreekt. Als de Autoriteit Persoonsgegevens een audit uitvoert, is het ontbreken van beleid het eerste kritiekpunt. Daarom moeten directeuren en managementteams de verantwoordelijkheid nemen voor het opstellen en bijstellen van beleid.
Topdown sturing op beleid
Daar waar al goede richtlijnen zijn opgesteld, is dat met de komst van de nieuwe wetgeving niet meer voldoende. Dergelijke richtlijnen moeten op een centrale manier geborgd en geharmoniseerd worden. Dit kun je bereiken door de bestaande afspraken en richtlijnen per onderdeel tot beleid te verheffen. Het opstellen van beleid is cruciaal om te voldoen aan de AVG. Directeuren hebben hiervoor een sturingsmechanisme tot hun beschikking, de implementatie van de ISO270001. Zo weet je zeker dat er op een juiste manier beleid wordt opgesteld.
Is jouw organisatie al bekend met het sturingsmechanisme van ISO27001? Of wil je op de hoogte blijven van de nieuwe Wetgeving Informatiebeveiliging? Maak een afspraak voor een vrijblijvend persoonlijk gesprek.
Geef een antwoord