Sturen op Informatiebeveiliging

Effectieve informatiebeveiliging vraagt om meer dan beleid, technische maatregelen en periodieke controles. Het vraagt om duidelijke verantwoordelijkheden, onderbouwde risicobesluiten en een managementsysteem dat daadwerkelijk bijdraagt aan de doelstellingen van de organisatie. Maar hoe richt je dit goed in? Hoe zorg je dat risicoanalyses leiden tot concrete acties? En hoe maak je informatiebeveiliging bestuurbaar voor directie en management?

In deze tweedaagse training leer je hoe je informatiebeveiliging vanuit een bestuurlijk en organisatorisch perspectief inricht en aanstuurt. Je volgt de weg van risicoanalyse naar besluitvorming en ontdekt hoe governance, risicomanagement, een Information Security Management System (ISMS) en effectieve rapportages elkaar versterken.

Het programma bestaat uit de volgende onderwerpen:

1. Governance van informatiebeveiliging

Wie is verantwoordelijk voor informatiebeveiliging en wie neemt uiteindelijk de beslissingen? Je leert hoe je rollen, verantwoordelijkheden en bevoegdheden binnen de organisatie organiseert. Daarbij besteden we aandacht aan bestuurlijke betrokkenheid, eigenaarschap van risico's en het creëren van draagvlak bij directie en management.

2. Risicomanagement verdiept

Een risicoanalyse is pas waardevol wanneer deze leidt tot concrete keuzes en maatregelen. Je leert hoe je risico's identificeert, beoordeelt en prioriteert en hoe je deze vertaalt naar een uitvoerbaar risicobehandelplan. Ook bespreken we hoe je eigenaren aanwijst, voortgang bewaakt en zorgt dat risicomanagement onderdeel wordt van de reguliere besluitvorming.

3. Risicobereidheid en risicoacceptatie

Hoeveel risico is een organisatie bereid te accepteren? We behandelen het bepalen en vastleggen van risicobereidheid en de vertaling daarvan naar praktische beslissingen. Je leert hoe je restrisico's inzichtelijk maakt, wie bevoegd is deze te accepteren en hoe je voorkomt dat risicoacceptatie een administratieve formaliteit wordt.

4. Het ISMS inrichten

Een Information Security Management System vormt de basis voor het structureel beheersen en verbeteren van informatiebeveiliging. Je leert hoe je een passende scope bepaalt, beleid en processen inricht en verantwoordelijkheden vastlegt. Daarbij besteden we aandacht aan de samenhang tussen risico's, beheersmaatregelen en de verklaring van toepasselijkheid (Statement of Applicability).

5. Van norm naar praktijk

Hoe voorkom je dat een managementsysteem vooral uit documenten en procedures bestaat? Je ontdekt hoe je beveiligingsbeleid vertaalt naar werkbare processen en concrete maatregelen. We bespreken hoe je informatiebeveiliging integreert in bestaande bedrijfsprocessen en hoe je ervoor zorgt dat maatregelen daadwerkelijk worden uitgevoerd en nageleefd.

6. Meten en verbeteren

Wat zegt een indicator werkelijk over de effectiviteit van informatiebeveiliging? Je leert het verschil tussen het meten van de aanwezigheid van maatregelen en het beoordelen van hun daadwerkelijke werking. We behandelen het selecteren van relevante prestatie- en risico-indicatoren en hoe je deze gebruikt om bij te sturen en continue verbetering te stimuleren.

7. Auditen en verantwoorden

Audits en managementbeoordelingen helpen om vast te stellen of het beveiligingsbeleid en de getroffen maatregelen effectief zijn. Je maakt kennis met de rol van interne audits, directiebeoordelingen en externe toetsingen. Daarbij leer je hoe je bevindingen vertaalt naar verbeteracties en hoe je aantoonbaar verantwoording aflegt over de werking van het ISMS.

8. Rapporteren aan directie en bestuur

Bestuurders hebben behoefte aan inzicht in risico's, gevolgen en mogelijke keuzes, niet aan uitgebreide technische rapportages. Je leert hoe je informatiebeveiligingsvraagstukken vertaalt naar begrijpelijke managementinformatie en concrete beslispunten. Daarbij besteden we aandacht aan het presenteren van risico's, het onderbouwen van investeringen en het verkrijgen van bestuurlijke besluitvorming.

Na afloop van de training begrijp je hoe de verschillende onderdelen van informatiebeveiliging samenkomen in een effectief besturingsmodel. Je beschikt over de kennis om risico's, maatregelen en verantwoordelijkheden met elkaar te verbinden en informatiebeveiliging structureel onderdeel te maken van de bedrijfsvoering.

De training Sturen op Informatiebeveiliging is bedoeld voor security officers, CISO's, informatiemanagers, risicomanagers en adviseurs die verantwoordelijk zijn voor de inrichting en besturing van informatiebeveiliging binnen hun organisatie.

Voor deze training is het volgen van een van de drie basistrainingen vereist, of beschik je over vergelijkbare kennis en ervaring.

• Risicomanagement zo inrichten dat risicoanalyses leiden tot concrete besluiten en uitvoerbare risicobehandelplannen;
• Een Information Security Management System (ISMS) opzetten met een duidelijke, passende en houdbare scope;
• Eigenaarschap voor informatiebeveiligingsrisico's beleggen binnen de organisatie en zorgen voor formele acceptatie van restrisico's;
• Relevante prestatie- en risico-indicatoren selecteren die inzicht geven in de daadwerkelijke werking en effectiviteit van beveiligingsmaatregelen;
• Informatiebeveiligingsrisico's en -maatregelen vertalen naar heldere bestuurlijke afwegingen en onderbouwde besluitvorming.