Een gids voor informatiebeveiligingsbeheer

Security governance wordt steeds belangrijker in alle sectoren, zeker gezien de grote hacks die recentelijk hebben plaatsgevonden.

Wat is security governance? Security governance is hoe een bedrijf zijn aanpak van beveiliging beheerst via procedures, strategieën en andere noodzakelijke programma’s om risico’s te beheren en ervoor te zorgen dat de beveiligingsdoelstellingen worden behaald.

Wat is Information Security Governance?

Information security governance is een raamwerk van beleidsregels, praktijken en strategieën die organisatiebronnen afstemmen op het beschermen van informatie via cyberbeveiligingsmaatregelen. Governancebeleid is cruciaal voor de meeste grote organisaties omdat ad-hoc beveiligingsmaatregelen vrijwel altijd tekortschieten naarmate moderne beveiligingsdreigingen en IT-infrastructuren zich ontwikkelen. Security en information governance centraliseren verantwoordelijkheid en planning binnen een organisatie, zodat er altijd meerdere overlappende prioriteiten aanwezig zijn. Deze prioriteiten omvatten het volgende:

• Toewijzing van middelen, waaronder financiering voor technologie, personeel, trainingsmateriaal en leidinggevende functies die te maken hebben met compliance en informatiebeveiliging
• Naleving, of het nu gaat om industriestandaarden of optionele raamwerken zoals bepaald door de behoeften van de organisatie
• Verantwoordelijkheid, gericht op een managementhiërarchie die besluitvorming en procesontwikkeling kan formaliseren
• Implementatie van geavanceerde beveiligingsmaatregelen zoals risicobeheer, proactieve preventie en tools zoals kwetsbaarheidsscanners, penetratietests of kunstmatige intelligentie

Deze prioriteiten worden gedragen door vier componenten van security governance:

1. Strategie: Voor beveiligingsdoelstellingen, bedrijfsdoelen, financiële doelen en compliance vereiste moet een organisatie een strategie hebben. Deze strategie moet al deze prioriteiten samenbrengen in een gedeelde set praktijken en beleidsregels.
2. Implementatie: Strategie is weinig waard zonder goede uitvoering. Een organisatie moet financiering en steun van het bedrijfsmanagement veiligstellen om middelen toe te wijzen voor het correct inzetten van beveiligingsvereiste die aansluiten bij governance strategieën.
3. Operatie: Na implementatie vereist een beveiligingsinfrastructuur continue operationele ondersteuning. Dit omvat direct beheer van compliance, projectafstemming en risico’s.
4. Monitoring: Succes, falen en optimalisatie—het meten van deze aspecten van een beveiligingsstrategie vereist regelmatige monitoring en metingen voor analyses en rapportages.

Wat is een Security Governance Framework?

Security governance is een complex proces dat elk aspect van een organisatie kan omvatten. Gelukkig hebben security- en compliance-inspanningen diverse strategieën en beste practices ontwikkeld om effectief governancebeleid te ondersteunen.

Om ondernemingen te helpen security governance strategieën te implementeren zonder het wiel opnieuw uit te vinden, hebben professionele organisaties raamwerken ontwikkeld die de snelle en effectieve inzet van security governance-infrastructuur ondersteunen. Een van de bekendste (en meest invloedrijke) raamwerken is het Cybersecurity Framework, ontwikkeld door het National Institute of Standards and Technology (NIST). Dit framework geeft richting aan het mobiliseren van bedrijfsprioriteiten om security en risicobeheer te stimuleren. Deze richtlijn is gestructureerd rond vijf Kernfuncties:

1. Identificeren: Een organisatie moet het vermogen ontwikkelen om kritieke middelen, mensen, activa, informatie en capaciteiten te identificeren die verband houden met het implementeren en onderhouden van IT-beveiliging. Dit omvat het begrijpen van de zakelijke context van deze middelen.
2. Beschermen: Een organisatie moet de juiste controles implementeren om geïdentificeerde activa te beschermen en de impact van beveiligingsproblemen met betrekking tot deze activa te beperken als er een datalek optreedt.
3. Detecteren: Een organisatie moet middelen inzetten, waaronder scan- en monitoringtools, om cyberbeveiligingsincidenten te detecteren zodra ze zich voordoen.
4. Reageren: Een organisatie moet het vermogen hebben om te reageren op beveiligingsincidenten nadat ze zich hebben voorgedaan, inclusief inspanningen om datalekken te beperken, problemen te herstellen en beveiligingsfouten aan te pakken.
5. Herstellen: Een organisatie moet beveiligingsincidenten, compliance vereiste en bedrijfsdoelen gebruiken om herstel- en weerbaarheidsplannen te ontwikkelen, inclusief regelmatige back-ups en hot/cold-restauratie voor continuïteit.

Wat zijn de voordelen van Security Governance voor bedrijven?

Het organiseren van security- en compliance-inspanningen onder één strategie levert een organisatie diverse belangrijke voordelen op die veel verder gaan dan het worstelen met ad-hoc beveiliging. Enkele van de belangrijkste voordelen van het implementeren van security governance beleid zijn onder andere:

• Effectievere beveiliging: Een uitgebreid en goed gedefinieerd security governance beleid kan bedrijfs- en beveiligingsdoelen samenbrengen op een manier die ongeorganiseerde beveiligingsaanpakken simpelweg niet kunnen evenaren. Raamwerken kunnen organisaties bovendien helpen direct aan de slag te gaan met een allesomvattende aanpak van beveiliging, zodat ze hun doelen behalen.
• Uniforme toepassing van compliance vereiste: Naleving is een cruciaal onderdeel van zakendoen in de meeste sectoren. Voldoen aan regelgeving is echter alles-of-niets—als één onderdeel van een systeem niet compliant is, loopt de hele organisatie risico op een boete of mogelijk datalek. Security governance beleid kan compliance-praktijken stroomlijnen over technische, administratieve en fysieke systemen.
• Gemeenschappelijke taal voor beveiliging: Het helpt niet als security-experts in hun eigen enclave blijven. Met een robuust beleidsraamwerk kan een organisatie een gemeenschappelijke woordenschat creëren die door het hele bedrijf wordt begrepen.
• Gestroomlijnde technologie: Zodra security- en compliance vereiste in beleid zijn vastgelegd, wordt het eenvoudig om de juiste platforms te definiëren die de organisatie moet gebruiken voor bedrijfsprocessen zoals klantrelatiebeheer, beveiligde bestandsoverdracht, documentbeheer en beveiligde e-mail.

Wat zijn de uitdagingen bij het implementeren van Security Governance?

Hoewel er aanzienlijke voordelen zijn aan het implementeren van een security governance beleid (of framework), is het niet zo dat deze beleidsregels zichzelf vormgeven of implementeren. Er zijn diverse gebieden waar een organisatie uitdagingen kan ondervinden in hoe het governancebeleid in de praktijk uitpakt. Enkele van de uitdagingen bij de implementatie van security governance zijn onder andere:

• Gebrek aan draagvlak bij het management: Niet alle bedrijfsleiders, vooral die van kleine tot middelgrote bedrijven of snelgroeiende ondernemingen, begrijpen de waarde van samenhangende cyberbeveiliging. Sommigen proberen mogelijk te bezuinigen op gebieden waar ze nog geen negatieve gevolgen hebben ervaren—zoals cyberbeveiliging. Gebrek aan draagvlak kan het onmogelijk maken om de mensen en middelen samen te brengen die nodig zijn om security governance beleid te implementeren.
• Gebrek aan personeel: Het bedenken en implementeren van security governance vereist expertise en voortdurende onderhoud. Organisaties zonder kritieke medewerkers, zoals security- en compliance-officers, zullen moeite hebben met de uitvoering van hun beleid.
• Onvermogen om succes te meten: Zonder de juiste meetwaarden en analyses is het moeilijk om te bepalen hoe, of zelfs of, een security governance beleid of framework verschil maakt. Omdat dit soort infrastructuur een uitgave is bovenop directe beveiligingsmaatregelen, hebben veel ondernemingen mogelijk niet de capaciteit om grootschalige monitoringtools in te zetten, wat de uitrol van beleid kan vertragen.

Kiteworks: Beveiligde Contentcommunicatie ter ondersteuning van Governancebeleid

Een van de belangrijkste aspecten van elk security governance beleid is een fundament van veilige technologie die aan compliance vereiste kan voldoen. Dit omvat technologieën voor e-mail, documentbeheer, bestandsoverdracht en file transfers.

Het Kiteworks-platform biedt uitgebreide governance, compliance en bescherming van privégegevens terwijl deze binnen, naar en uit een organisatie worden verplaatst. Kiteworks bevat geavanceerde enterprise data management functies die werken binnen een lange lijst van regelgeving over diverse grote sectoren en consumentenmarkten, zonder concessies te doen aan functionaliteit.

De volgende functies zijn inbegrepen in het Kiteworks-platform:

• Een CISO-dashboard biedt uitgebreid inzicht in data-toegang, gebruikersrechten, datatrends en -bewegingen, en controle over gegevensoverdrachten.
• Naadloze geautomatiseerde beheerde bestandsoverdracht en planning om robuust beleid voor bestandsoverdracht en delen te ondersteunen, inclusief overdrachten buiten werktijden en operaties die worden getriggerd door medewerkers- of patiëntactiviteiten.
• Beveiligde e-maillinks om persoonlijk identificeerbare informatie (PII), zoals beschermde gezondheidsinformatie (PHI), te beschermen en toch eenvoudige, gestroomlijnde communicatie met patiënten via e-mail te behouden.
• SIEM-integratie met populaire platforms zoals IBM QRadar, ArcSight, FireEye Helix en Splunk Forwarder. De integratie standaardiseert audit logs in één bestandsformaat ter ondersteuning van brede security information and event management-consumptie.
• Integratie van preventie van gegevensverlies (DLP) om alle data in transit te scannen en te bepalen of deze gevoelige of persoonlijke gegevens bevat.
• Disaster recovery met hot systemen en multi-site dataredundantie garandeert dat uw systemen operationeel blijven bij een calamiteit.
• Single-tenant cloud-omgevingen zorgen ervoor dat bedreigingen voor andere gebruikers niet overslaan naar uw Kiteworks-platforminstantie.
• Toegangscontrole over overflows en verbindingen om gevoelige gegevens te beschermen tegen ongeoorloofde toegang.
• Compliant encryptie, waaronder AES-256 voor gegevens in rust en TLS 1.2 encryptie voor gegevens onderweg, ter ondersteuning van compliance-inspanningen voor regelgeving zoals HIPAA, PCI DSS, FedRAMP, CMMC, NIST 800-53, ISO 27001 en GDPR.
• Grote bestandsoverdracht en opslag met limieten tot 16 TB.
• Gedetailleerde HIPAA-rapporten met één klik die risico’s in uw beveiligings- en governancebeleid belichten. Gebruik ze bij audits om snel compliance aan te tonen met uw gedocumenteerde controles, zoals DLP-scannerintegratie, data access policies, domeinwhitelisting en bestandsvervalcontroles.
• Extra beschermingslagen voor encryptiesleutels via integratie met een hardware security module of Amazon Web Services Key Management Service.

Wilt u meer weten over bestandsoverdracht en hoe dit past in een compleet security governance plan? Plan dan vandaag nog een aangepaste demo van Kiteworks.