Wat bedoelen wij met de “driehoek” en waarom moet jij er als CISO van weten?

Als we over de cybersecurity van een organisatie praten en hoe dat in de praktijk werkt dan hebben wij het vaak over de “driehoek”. Er zijn namelijk 3 verschillende rollen die samen de verantwoordelijkheid hebben over jouw cybersecurity: de gebruiker, de beheerder en de bewaker. Maar welke verantwoordelijkheid ligt precies in welke hoek? En hoe functioneert deze driehoek het best?

In dit blogartikel bespreken we de cybersecurity driehoek en hoe jij als CISO deze het beste inricht.

Jouw organisatie: regisseur van de driehoek

Als organisatie staan jullie bovenin de driehoek. Jullie zijn immers gebruiker van de IT-infrastructuur en alle andere partijen zijn in dienst van jullie. Dat betekent dat jij als CISO van de organisatie (en niet de IT-beheerder) de regie moet voeren over de beveiliging van de omgeving.

Als regisseur is het dus ook aan jou om te zorgen dat de systemen veilig worden ingericht, en dat deze veiligheid voortdurend bewaakt wordt. Daarnaast is het van belang dat alle betrokken partijen onderling goed communiceren en samenwerken.

De IT-beheerder: aannemer van de driehoek

De rol van de IT-beheerder is ervoor te zorgen dat jullie IT-infrastructuur wordt opgebouwd en dat deze goed blijft werken. Ofwel, de werkplekken, servers en netwerken inrichten, onderhouden en afbreken wanneer ze niet meer nodig zijn – de gehele life-cycle van jouw systemen. De IT-beheerder is als het ware de aannemer van de IT-infrastructuur.

En net als dat aannemers verantwoordelijk zijn voor het bouwen van een hek en poort om het bedrijventerrein heeft de IT-beheerder ook een beveiligingsrol. De IT beheerder zorgt ervoor dat de systemen en netwerken veilig zijn geconfigureerd, en dat ze geüpdatet worden met de benodigde patches.

De security specialist: beveiliger van de driehoek

Veilig opbouwen van de IT infrastructuur is niet voldoende. Wanneer er ondanks de genomen maatregelen een indringer binnenkomt (dit is een kwestie van tijd), is het van belang deze snel te detecteren en te verwijderen. Dit noemen we security monitoring, en dit is het werk van de cybersecurity specialist. Met geavanceerde software en specialistische kennis worden cybercriminelen geïdentificeerd en geïsoleerd door systemen in quarantaine te plaatsen. Dit is de rol van de bewaker, en dit is een verantwoordelijkheid die over het algemeen niet bij de IT beheerder ligt.

De onderste 2 rollen in de driehoek – IT-beheer en Security specialist – worden vaak door elkaar gehaald. Ook horen we regelmatig dat deze twee rollen niet van elkaar worden gescheiden, want “mijn IT-beheerders zijn slimme mensen, die kunnen alles voor ons doen”. Toch is dat niet helemaal waar, denk maar aan de metafoor van de aannemer en de beveiliger.

Hoewel de aannemer verantwoordelijk is voor het hek en de poort, moet je hem niet vragen of er ‘s nachts iemand op het terrein is geweest. Detectie is namelijk de rol van de beveiliger. En als er ‘s nachts iemand rondloopt, dan is het ook niet aan de aannemer maar aan de beveiliger om daarop te reageren en de inbreker te stoppen. De beveiliger zal ook identificeren waar en hoe de inbreker is binnengekomen. Blijkt deze daarvoor het hek te hebben geforceerd, dan is het weer aan de aannemer om dit te repareren.

De sterkste vorm om op te bouwen

De driehoek is de sterkste vorm in de natuur waarop je kunt bouwen. Maar, het is aan jou als CISO van de organisatie – de regisseur van de driehoek – om deze kracht van de driehoek te benutten. Dat betekent dat je voor iedere punt in de driehoek de juiste experts nodig hebt en dat er open communicatielijnen zijn met duidelijke afspraken over ieders verantwoordelijkheid in het geheel.