Wat vraagt ISO 27001 van medewerkers?

Bij ISO 27001 wordt al snel gedacht aan beleid, risicoanalyses, audits en technische beveiligingsmaatregelen. Toch wordt informatie iedere dag vooral door mensen gebruikt. Medewerkers openen bestanden, verwerken klantgegevens, gebruiken bedrijfsapplicaties, ontvangen e-mails en delen informatie met collega’s en externe partijen. Hun dagelijkse gedrag heeft daardoor rechtstreeks invloed op de informatiebeveiliging van een organisatie. Maar wat betekent werken volgens ISO 27001 eigenlijk voor medewerkers? Moeten zij allerlei regels uit hun hoofd leren of specialistische kennis hebben? In de praktijk draait het vooral om bewustwording, duidelijke afspraken en veilig gedrag dat past bij de werkzaamheden.

Geen beveiligingsexpert, wel bewust van risico’s

Een organisatie die zich oriënteert op ISO 27001 kijkt vaak eerst naar het certificeringstraject, de benodigde inspanningen en de kosten ISO 27001 certificering. Voor een succesvolle invoering is echter ook de betrokkenheid van medewerkers belangrijk. Een managementsysteem kan op papier uitstekend zijn ingericht, maar moet uiteindelijk in de dagelijkse praktijk worden toegepast.

Dat betekent niet dat iedere medewerker de volledige norm hoeft te kennen. Een administratief medewerker hoeft geen cybersecurityspecialist te worden en een verkoper hoeft niet precies te weten hoe iedere technische beveiligingsmaatregel werkt.

Wel moeten medewerkers begrijpen welke afspraken voor hun eigen werkzaamheden gelden. Ze moeten weten welke informatie gevoelig is, hoe ze daarmee omgaan en wat ze moeten doen wanneer ze iets verdachts opmerken. De precieze kennis die nodig is, verschilt dus per functie.

Zorgvuldig omgaan met informatie

Een van de belangrijkste verwachtingen is eigenlijk heel praktisch: medewerkers moeten zorgvuldig omgaan met de informatie waarmee ze werken.

Wat dat precies betekent, hangt af van de organisatie. Personeelsgegevens vragen bijvoorbeeld om een andere omgang dan openbaar beschikbare productinformatie. Ook financiële gegevens, contracten en interne bedrijfsinformatie kunnen extra bescherming nodig hebben.

Daarom moet voor medewerkers duidelijk zijn welke informatie vertrouwelijk is en hoe deze mag worden gebruikt, opgeslagen en gedeeld. Mag een bepaald document per e-mail worden verstuurd? Wie mag toegang krijgen tot een bestand? En waar moet gevoelige informatie worden opgeslagen?

Goede informatiebeveiliging voorkomt dat iedere medewerker daar zelf een antwoord op moet bedenken. Duidelijke procedures geven richting en verkleinen de kans dat collega’s uit onwetendheid verschillende keuzes maken.

Toegang is persoonlijk

Medewerkers krijgen doorgaans toegang tot de systemen en informatie die zij nodig hebben om hun werk uit te voeren. Met die toegang komt ook verantwoordelijkheid.

Inloggegevens horen bijvoorbeeld niet met collega’s te worden gedeeld. Ook wanneer het praktisch lijkt om iemand snel een wachtwoord te geven, wordt daardoor minder duidelijk wie bepaalde handelingen heeft uitgevoerd.

Daarnaast kunnen organisaties maatregelen gebruiken zoals multifactorauthenticatie en regels voor het vergrendelen van apparaten. Medewerkers moeten weten waarom zulke maatregelen bestaan en hoe ze correct worden gebruikt.

Ook veranderingen in functies zijn relevant. Wie binnen de organisatie een andere rol krijgt, heeft misschien andere toegangsrechten nodig. Door hier zorgvuldig mee om te gaan, wordt voorkomen dat medewerkers jarenlang toegang behouden tot informatie die ze niet meer nodig hebben.

Phishing herkennen en op tijd melden

Een technisch goed beveiligde omgeving neemt niet ieder risico weg. Aanvallers proberen daarom regelmatig medewerkers rechtstreeks te misleiden. Phishing is daarvan een bekend voorbeeld.

Een bericht kan eruitzien alsof het afkomstig is van een collega, leverancier of bekende organisatie. De ontvanger wordt vervolgens gevraagd om op een link te klikken, een bestand te openen of gegevens door te geven.

Van medewerkers mag niet worden verwacht dat ze iedere geraffineerde poging onmiddellijk herkennen. Wel helpt het wanneer zij weten op welke signalen ze kunnen letten en wat ze bij twijfel moeten doen.

Minstens zo belangrijk is een cultuur waarin medewerkers verdachte situaties durven te melden. Iemand die per ongeluk op een verkeerde link heeft geklikt, moet niet eerst proberen het probleem te verbergen uit angst voor kritiek. Een snelle melding kan juist helpen om mogelijke schade te beperken.

Incidenten zijn breder dan cyberaanvallen

Bij een beveiligingsincident denken mensen vaak aan hackers of malware, maar in de dagelijkse praktijk kan een incident veel eenvoudiger zijn.

Een laptop kan in de trein blijven liggen. Een document kan naar de verkeerde ontvanger worden gestuurd. Een medewerker kan vertrouwelijke informatie op een onbeveiligde locatie opslaan of ontdekken dat iemand toegang heeft tot gegevens waarvoor dat niet nodig is.

Daarom is het belangrijk dat medewerkers weten wat binnen hun organisatie als een mogelijk incident wordt beschouwd en waar zij dit kunnen melden.

Ze hoeven daarbij niet zelf te bepalen hoe ernstig een situatie is. Dat kan door de verantwoordelijke personen worden beoordeeld. De taak van de medewerker is vooral om een afwijkende situatie te herkennen en volgens de afgesproken procedure te handelen.

Training moet aansluiten op de dagelijkse praktijk

Bewustwording ontstaat niet door medewerkers één keer een lange lijst beveiligingsregels te laten lezen. Informatiebeveiliging werkt beter wanneer uitleg herkenbaar en praktisch is.

Een medewerker die dagelijks met persoonsgegevens werkt, heeft bijvoorbeeld baat bij concrete voorbeelden rondom het delen en opslaan van gegevens. Voor iemand die veel contact heeft met externe partijen kunnen phishing, identiteitscontrole en het veilig uitwisselen van documenten juist extra relevant zijn.

Daarom kunnen trainingen worden afgestemd op functies en risico’s. Ook korte herhalingen kunnen helpen om informatiebeveiliging onder de aandacht te houden.

Het doel is uiteindelijk niet dat medewerkers zoveel mogelijk beveiligingstermen kennen. Het gaat erom dat veilig handelen een vanzelfsprekend onderdeel van hun werkzaamheden wordt.

Regels moeten werkbaar blijven

Er bestaat ook een verantwoordelijkheid aan de kant van de organisatie. Medewerkers kunnen alleen veilig werken wanneer procedures duidelijk en uitvoerbaar zijn.

Wanneer een beveiligingsprocedure een eenvoudige taak onnodig ingewikkeld maakt, ontstaat het risico dat mensen naar een snellere omweg zoeken. Ze slaan bestanden bijvoorbeeld ergens anders op of gebruiken een niet-goedgekeurde toepassing omdat de officiële werkwijze te omslachtig is.

Daarom is het belangrijk om bij het opstellen van maatregelen rekening te houden met de dagelijkse praktijk. Beveiliging moet risico’s beperken zonder normale werkzaamheden onnodig te blokkeren.

Feedback van medewerkers kan daarbij waardevol zijn. Zij merken immers als eerste wanneer een procedure niet goed aansluit op de werkelijkheid. Door zulke signalen serieus te nemen, kunnen processen zowel veiliger als gebruiksvriendelijker worden gemaakt.

Verschillende functies, verschillende verantwoordelijkheden

Niet iedere medewerker heeft binnen informatiebeveiliging dezelfde rol. Iemand die systeembeheer uitvoert, heeft andere verantwoordelijkheden dan iemand die alleen toegang heeft tot enkele bedrijfsapplicaties.

Ook leidinggevenden hebben een eigen taak. Zij moeten bijvoorbeeld zorgen dat medewerkers weten welke afspraken gelden en kunnen een rol spelen bij het bepalen van noodzakelijke toegangsrechten.

Andere functies kunnen betrokken zijn bij leveranciers, personeelsprocessen of incidentafhandeling. Hierdoor raakt informatiebeveiliging verschillende afdelingen.

Een goede verdeling voorkomt dat iedereen verantwoordelijk wordt gemaakt voor alles. Medewerkers moeten vooral weten welke verantwoordelijkheden bij hun eigen functie horen en bij wie ze terechtkunnen wanneer een vraag buiten hun rol valt.

Een veilige cultuur ontstaat samen

Uiteindelijk draait de rol van medewerkers niet alleen om het naleven van regels. Een sterke informatiebeveiligingscultuur ontstaat wanneer mensen begrijpen waarom bepaalde afspraken belangrijk zijn.

Dat maakt een groot verschil. Een medewerker die uitsluitend weet dat iets niet mag, zal een regel misschien volgen omdat het moet. Wie begrijpt welk risico ermee wordt voorkomen, kan ook in onverwachte situaties bewustere keuzes maken.

Daarom zijn communicatie en betrokkenheid belangrijk. Informatiebeveiliging hoeft geen onderwerp te zijn dat alleen tijdens een jaarlijkse training of vlak voor een audit ter sprake komt. Door regelmatig aandacht te besteden aan nieuwe risico’s, ervaringen en praktische situaties blijft het onderwerp herkenbaar.

Medewerkers vormen daarmee niet alleen een mogelijk risico, zoals soms wordt gedacht. Ze zijn juist een belangrijk onderdeel van de bescherming van informatie.

ISO 27001 vraagt dus niet van iedere medewerker dat hij of zij specialist wordt in informatiebeveiliging. Veel belangrijker is dat mensen begrijpen welke afspraken voor hun functie gelden, zorgvuldig omgaan met informatie en weten hoe ze moeten reageren wanneer iets niet klopt. De organisatie moet daarvoor duidelijke, werkbare procedures en passende kennis bieden. Wanneer medewerkers vervolgens actief betrokken worden en veilig gedrag onderdeel wordt van het dagelijkse werk, ontstaat informatiebeveiliging die niet alleen op papier bestaat. Juist de combinatie van een goed ingericht managementsysteem en medewerkers die weten wat hun rol is, maakt structurele informatiebeveiliging mogelijk.

Dit artikel is een bijdrage van een externe partij en valt buiten de verantwoordelijkheid van de hoofdredactie van Brugmedia.