Om een zicht te krijgen hoe een bedrijf het informatiebeveiligingsbeleid nog kan verbeteren, tellen sommigen het aantal kwetsbaarheden die ontdekt zijn tijdens de laatste security audit. Andere meten de mate van naleving van gekend een cybersecurity framework.
Geen van deze twee methodes geeft een duidelijk beeld van hoe volwassen het beleid rond informatiebeveiliging van een bedrijf is en welke de specifieke verbeterpunten zijn. Om het huidige niveau van het beleid te meten en te kunnen verbeteren moet een volwassenheidsmodel gebruikt worden.
Het gebrek aan een goed informatiebeveiligingsbeleid kan leiden tot het nemen van slechte beslissingen omtrent beveiliging of een verkeerde reactie op wijzigingen in de algemene bedrijfsvoering. De bedrijfsvoering zal bijgevolg niet in lijn liggen met de beveiliging van de informatievoorziening. Het bedrijf voldoet hoogstwaarschijnlijk ook niet aan de geldende wettelijke regels.
Er zijn bestaande modellen om de volwassenheid van het informatiebeveiligingsbeleid te meten. In de meeste van deze modellen wordt het beleid onderverdeeld worden in vijf niveaus:
Dit is het eerste en laagste niveau. Bedrijven op dit niveau zijn niet of heel weinig bezig met het informatiebeveiligingsbeleid. Kenmerken van dit beleidsniveau zijn:
Het tweede niveau in het volwassenheidsmodel bevat meer structuur dan de eerste initiële niveau. Nadruk ligt op documentatie en herhaalbaarheid. Het beveiligingsbeleid van bedrijven op dit niveau wordt gekarakteriseerd aan de hand van:
Het beleid van een bedrijf op het derde niveau is goed gedocumenteerd. Het wordt uitgevoerd op een gestructureerde en formele manier waarvan de goede werking reeds bewezen is. Er worden keuzes voor de informatiebeveiliging gemaakt die in lijn zijn met de algemene bedrijfsvoering. Kenmerken van het derde niveau zijn:
Het informatiebeveiligingsbeleid van bedrijven op het vierde niveau wordt regelmatig geaudit en gecontroleerd op kwaliteit en opvolging. De kenmerken van het vierde niveau zijn:
Op het hoogste niveau ontstaat er een cultuur van permanente verbeteringen en effectieve controles van het informatiebeveiligingsbeleid. De correlatie met de algemene bedrijfsvoering wordt zo sterk dat de informatievoorziening zal helpen met het realiseren van bedrijfsdoelstellingen. Kenmerken van het vierde niveau zijn:
Wij hebben vastgesteld dat de meeste KMO’s zich momenteel in de onderste twee niveaus bevinden. Uitzonderingen hebben een heel goed gedefinieerd beleid, zij zitten op het derde niveau.
Grote bedrijven zitten veelal in de drie middelste niveaus, afhankelijk van de sector: Financiële instellingen en bedrijven met een verhoogd risico zitten doorgaans hoger in het volwassenheidsmodel.
Aan de hand van het volwassenheidsmodel kunnen bedrijven die hun informatiebeveiliging sterker willen maken meten wat het huidige niveau is en doelgericht actie ondernemen om het gewenste niveau te halen. Contacteer ons om u te helpen deze doelstellingen te behalen.
