Een woord van onze CISO: Weerbaarheid begint met doen

Organisaties voelen zich vaak weerbaar. We hebben back-ups, noodplannen en monitoring. Maar de werkelijkheid is dat onze afhankelijkheden fundamenteel zijn veranderd, en daarmee ook de aard van onze kwetsbaarheid.

Waar we vroeger vooral rekening hielden met lokale verstoringen, draaien onze primaire processen nu op publieke infrastructuur zoals internet, cloudplatformen en wereldwijde dataketens. Valt één schakel uit, dan ligt niet alleen IT stil, maar de volledige dienstverlening. We zagen recent hoe kwetsbaar die ketens zijn wanneer een grote stroomstoring complete regio’s lamlegt. Dat is geen hypothetisch scenario meer.

Toch ligt de grootste dreiging niet in fysieke uitval, maar in digitale toegang. In kwaadwillenden die via configuratiefouten, zwakke instellingen of onvoldoende beveiligde applicaties binnendringen. We investeren veel in detectie, monitoring en dashboards, maar detectie is per definitie reactief. Preventie vraagt om bestuurlijke keuzes.

De standaarden zijn er al. De CIS Benchmarks beschrijven concreet hoe systemen veilig geconfigureerd moeten worden, zowel in de cloud als on-premises. De vraag is dus niet technisch, maar bestuurlijk: eisen we deze Benchmarks van onszelf en van onze applicatie-leveranciers, en laten we ze aantonen dat eraan wordt voldaan?

Cyberweerbaarheid is daarmee geen IT-discussie, maar een governancevraag. Wat is het risico als een kritieke applicatie niet voldoet aan basale beveiligingsnormen, zoals het kunnen draaien op systemen die voldoen aan deze benchmarks? Kunnen we de financiële en operationele schade dragen, mocht het fout gaan? Wat betekent een ernstig incident voor investeringsruimte, reputatie en continuïteit?

Naast fysieke verstoringen en digitale inbraken ontstaat bovendien een derde categorie risico’s, manipulatie van data en AI-gedreven misleiding. Ook dat raakt direct aan bestuurlijke verantwoordelijkheid. Maar voordat we vooruitkijken, moeten we eerst de basis op orde brengen.

Weerbaarheid begint niet met nóg een plan of rapport, maar met het verplicht stellen van bestaande standaarden en het consequent uitvoeren van gemaakte keuzes. Het vraagt om bestuurlijke duidelijkheid, om discipline in uitvoering en om de bereidheid om preventie boven gemak te plaatsen.

De vraag is niet of risico’s zich voordoen. De vraag is hoe groot de impact is wanneer zij zich voordoen, en of wij als organisatie voorbereid zijn om die gevolgen te dragen.

Als CISO zie ik dagelijks hoe klein het verschil is tussen risicobeheersing en kwetsbaarheid. Gezamenlijk beschikken we over de kennis, de normen en de middelen. Het is nu aan ons allen om ze daadwerkelijk toe te passen.