Business-gedreven risicobeheer

Draagvlak afhankelijk van externe druk

Deze maand spraken de security managers van ING en Unilever op Forrester's Security Forum. Waar de man van Unilever problemen heeft om zijn inbreng bij de business te verkopen, wordt de ING-man daarbij juist geholpen door regulering en marktontwikkelingen.

Als we het verhaal van Andrew Strong, de global security officer van Unilever, aanhoren, lijkt hij problemen te hebben om zijn inbreng bij de business te verkopen. Volgens hem wordt informatiebeveiliging vooral als een IT-probleem gezien. Het op gang brengen en onderhouden van de dialoog is dan ook een cruciaal onderdeel van zijn werkzaamheden.

2300 assessments

In het kader van het Carisma-project heeft de afdeling van Strong de afgelopen zeven maanden maar liefst 2300 assessments uitgevoerd. Daarbij werden in een gesprekje van minder dan een half uur met de verantwoordelijke de financiële risico's van een systeem bepaald. De meest kritische daarvan – de SAP-servers – zullen de komende tijd nader worden onderzocht.

Gevraagd naar een integrale blik op een hoger niveau, bijvoorbeeld dat van processen en informatie, geeft Strong aan zijn inventarisatie te hebben beperkt tot de systemen. We hebben eerst naar de IT-systemen gekeken. Daarvoor hebben we de infrastructuur uit elkaar getrokken in componenten als databases, platformen, netwerken enzovoort. Je kunt ook naar de informatie kijken, maar dat is lastig. Informatie zit immers niet stil. Bovendien kan die in de loop der tijd minder belangrijk worden. Strong wil daar in de toekomst wel naar kijken, maar moet daarvoor wachten op de informatiemanagement-strategie die nu wordt ontwikkeld.

Eigenaar

Om het financiële risico te kunnen bepalen, is het volgens Strong cruciaal dat alle onderdelen een eigenaar hebben. Dat blijkt niet altijd even gemakkelijk te zijn. Wie is de eigenaar van e-mail of van de Active Directory? Dat zijn onderdelen van de infrastructuur, maar ze gedragen zich als applicaties. Als je die vergeet, kom je in de problemen. Zonder eigenaar kun je geen criticality assessment doen, en dus geen veiligheidsmaatregelen nemen. Je moet beginnen bij de eigenaar.

Dat Strong de assessments zelf tot twintig minuten heeft beperkt, heeft niet alleen te maken met practische overwegingen maar ook met de bereidheid van de business owners om hier tijd voor vrij te maken. Hou het licht. We hadden meer kunnen vragen van de business owners, maar dat hebben we niet gedaan. Wel zijn ze verplicht om alle projecten aan een korte criticality assessment te onderwerpen. Doe je dat niet, dan staat je project stil.

Winst

De relatie met de business is volgens Jan Douw, directeur Technology Office, Risk & Security bij ING, geen enkel probleem. Wij worden sterk gereguleerd door De Nederlandsche Bank (DNB), door de Europese Centrale Bank (ECB), door interne en externe auditors, en zelfs door onze eigen klanten. De sponsor van onze afdeling is Koos Timmermans. Hij is de Chief Risk Officer en zit ook in de Raad van Bestuur. Risk management is een van onze belangrijkste enablers voor de komende vijf tot tien jaar. In 2000 zijn wij van een gesloten-deur naar een open-door beleid overgegaan. Dat heeft ons in contact met de business gebracht. Ze hebben ons nodig.

Volgens Douw maken de regulering, de verplichting tot steeds verdere transparantie en de veranderingen in de markt zijn leven wat dat betreft juist gemakkelijker. De business manager lost de veiligheidsproblemen niet op. Audits leveren rapporten op, en die rapporten hebben tot gevolg dat we op onze kop krijgen van de regulatoren. Maar dat verandert niets, want business managers worden afgerekend op het maken van winst.

Revolutie

Douw ziet op dit moment echter een revolutie in de markt plaatsvinden. De populatie veranderd. Mensen tussen de veertig en zeventig hebben meer te besteden. Jongeren ook. Die zijn bovendien mobieler. De regulatoren eisen dat we transparanter zijn. Doe je iets fout, dan leest iedereen dat direct op internet. Bovendien is er meer competitie tussen de banken. Ik denk dat er straks een paar grote en een heleboel kleintjes zullen zijn.

Daarnaast willen klanten niet meer een of twee dagen op hun geld of een transactie wachten, zelfs geen twee uur. Ze willen dat het nu gebeurt. Dat betekent dat je als bank heel zeker moet weten dat een transactie geldig is, want het geld is al weg. Operationeel risico management wordt zo naar enterprise-niveau getild.

Housing en hosting

Een ander voorbeeld is de verplichting door de ECB om betaalsystemen binnen twee uur na een incident weer in de lucht te hebben. Om dat te kunnen, moet je twee datacenters tegelijkertijd actief hebben. Daarbij beperkt de technologie je tot een afstand van maximaal vijftig kilometer over glasvezel. Maar onze huidige datacenters zijn nog gebouwd voor de mainframes.

Het neerzetten van een nieuw datacenter is een grote investering en duurt drie tot vijf jaar, vervolgt Douw. Behalve dat het verhuizen van een draaiend datacenter heel duur is, wil je dat als risico-manager eigenlijk helemaal niet doen. Omdat deze richtlijn volgend jaar al van kracht wordt, moeten we nu op zoek naar externe partners voor housing en hosting. Dat is nog lastig want negentig procent van de datacenters in Nederland ligt meters onder zeeniveau.

Aan die samenwerking met partners koppelt Douw vervolgens het belang van bestaande standaarden voor beveiligingsbeleid. Je kunt je eigen, interne policy niet opleggen aan externe toeleveranciers, want zij hebben hun eigen organisatie. Gebruik daarom de bestaande COBIT, ITIL en ISO standaarden. Daarvoor kun je je ook laten certificeren. Het is er allemaal al.