Maandagochtend, directievergadering. De CISO laat trots de cijfers zien: 98% van de accounts gebruikt MFA, 95% van de medewerkers heeft de securitytraining afgerond en er draait elke nacht een back-up. Iedereen knikt tevreden. Dan stelt de CFO één vraag:
"Mooi. Maar zijn we daardoor ook veiliger? En hoeveel?"
Het wordt stil.
Organisaties investeren jaarlijks miljoenen in cybersecurity, continuïteit en risicobeheersing. Firewalls worden vernieuwd, MFA wordt uitgerold, medewerkers volgen trainingen en het ene beleidsdocument volgt op het andere. Maar de eenvoudigste vraag van allemaal blijft opvallend vaak onbeantwoord: werkt het eigenlijk?
Dat is wat mij betreft de grootste blinde vlek in security en compliance. Een geïmplementeerde maatregel is nog geen effectieve maatregel.
De denkfout achter het vinkje
De klassieke aanpak van risicomanagement gaat zo: je identificeert een risico, kiest een maatregel, implementeert die en controleert of hij aanwezig is. Vinkje. Risico beheerst.
Alleen meet die laatste stap of een maatregel bestaat, niet of hij werkt. Drie voorbeelden:
De relevante vraag is dus niet "Hebben we de maatregel geïmplementeerd?", maar:
"In welke mate vermindert deze maatregel het risico?"
Een klein verschil in woorden, een wezenlijk andere manier van kijken.
Meet resultaten, geen activiteiten
Om de effectiviteit te beoordelen, bepaal je vooraf wat een maatregel moet bereiken en hoe je dat resultaat meet. Bij technische maatregelen is dat vaak verrassend eenvoudig.
Neem een endpoint-securityoplossing. Meet niet alleen hoeveel endpoints zijn aangesloten, maar ook:
Bij back-ups draait het om twee getallen: de Recovery Time Objective (hoe snel ben je weer operationeel?) en de Recovery Point Objective (hoeveel data ben je kwijt?). Bij security awareness laten phishingsimulaties en gedragsmetingen zien of het gedrag echt verandert.
Je kunt heel veel activiteiten uitvoeren zonder het risico ook maar een beetje te verlagen. Daarom: meet wat het oplevert, niet wat je doet.
KPI's vertellen wat je doet, KRI's vertellen waar je staat
Het verschil tussen een KPI en een Key Risk Indicator (KRI) maakt dit concreet:
| Onderwerp | KPI (activiteit) | KRI (risico) |
|---|---|---|
| Awareness | 98% heeft de training afgerond | Klikratio bij phishingtest gedaald van 18% naar 6% |
| Kwetsbaarheden | Aantal uitgevoerde patches | Aantal kritieke kwetsbaarheden dat langer dan 30 dagen openstaat |
| Back-ups | Back-up draait elke nacht | Hersteltest gehaald binnen de afgesproken RTO |
| Toegang | 98% van de accounts heeft MFA | Aantal geslaagde inlogpogingen op accounts zonder MFA |
De rechterkolom vertelt veel meer over je werkelijke risico. Meten wordt daarmee geen doel op zich: de meting moet je helpen betere beslissingen te nemen.
Van securitytaal naar bestuurderstaal
Een maatregel staat nooit op zichzelf. Tegen ransomware zet je bijvoorbeeld endpoint protection, netwerksegmentatie, MFA, back-ups, monitoring en awareness tegelijk in. De echte vraag is wat die hele set doet met het oorspronkelijke risico.
Stel dat je de potentiële schade van een ransomware-aanval inschat op € 5 miljoen. Door de maatregelen wordt de kans op een incident kleiner en de impact beperkter. Het resterende risico is nog € 1 miljoen.
Dan heb je niet alleen "een securityvraagstuk opgelost". Je hebt € 4 miljoen aan potentieel risico gereduceerd. Dat is informatie waar een bestuurder of CFO iets mee kan.
Een rekenvoorbeeld
Stel dat je de jaarlijkse verwachte schade van een risico inschat op € 500.000 en dat een nieuwe maatregel van € 100.000 per jaar die schade halveert:
| Post | Bedrag per jaar |
|---|---|
| Verwachte schade zonder maatregel | € 500.000 |
| Verwachte schade met maatregel | € 250.000 |
| Geschatte risicoreductie | € 250.000 |
| Kosten van de maatregel | € 100.000 |
Is dat € 150.000 gegarandeerde winst? Nee, risico's blijven onzeker. Maar het is een veel steviger fundament voor een besluit dan de constatering dat "de oplossing voldoet aan de norm".
Meer maatregelen is niet meer veiligheid
Budgetten zijn beperkt, en er kan altijd meer: meer tooling, meer monitoring, meer controles, meer audits. Soms levert een investering van € 50.000 een enorme risicoreductie op, terwijl € 200.000 elders nauwelijks iets toevoegt.
Daarom hoort bij elk investeringsbesluit deze vraag:
Welke maatregel levert de grootste aantoonbare risicoreductie per geïnvesteerde euro?
Dat verandert het gesprek aan de bestuurstafel. Van "We hebben een nieuwe securitytool nodig." naar "Dit risico kan ons zoveel kosten. Met deze investering verwachten we het met zoveel procent te verlagen."
Het tweede verhaal is een stuk sterker.
Effectiviteit is geen jaarlijkse auditexercitie
Een maatregel die vandaag werkt, kan morgen tekortschieten. Dreigingen veranderen, technologie verandert, medewerkers komen en gaan en de organisatie zelf verandert. Een maatregel werkt prima totdat er een nieuwe kwetsbaarheid opduikt. Een back-upstrategie lijkt jarenlang voldoende, totdat een grootschalige verstoring laat zien dat de herstelcapaciteit tekortschiet.
Effectiviteit monitor je dus continu, niet één keer per jaar voor de auditor. Dashboards helpen daarbij, maar alleen als ze de juiste vraag beantwoorden. Een dashboard met honderden technische KPI's helpt weinig als de directie nog steeds niet ziet welke risico's zijn afgenomen. Een goed dashboard laat in één oogopslag zien:
Welke risico's lopen we, welke maatregelen hebben we daarvoor en hoe effectief zijn die?
Ook de normen vragen erom
Dit is geen theoretische wens. ISO 27001 verlangt in clausule 9.1 dat je niet alleen bepaalt wat je monitort en meet, maar ook de effectiviteit van je managementsysteem evalueert. En de NIS2-richtlijn, in Nederland de Cyberbeveiligingswet, noemt in artikel 21 expliciet beleid en procedures om de effectiviteit van cyberbeveiligingsmaatregelen te beoordelen. Reken er dus op dat je auditor steeds vaker vraagt: laat maar zien dat het werkt.
Mijn visie: stop met vinkjes verzamelen
Begrijp me goed: compliance, certificeringen en frameworks hebben absoluut waarde. Ze geven structuur en zorgen dat je belangrijke onderwerpen niet vergeet. Maar ze mogen nooit het einddoel worden. Je kunt volledig compliant zijn en toch kwetsbaar.
Daarom vind ik dat organisaties een stap verder moeten gaan: niet alleen aantonen dat een maatregel bestaat, maar aantonen wat hij oplevert. Dat vraagt om een andere samenwerking tussen IT, security, risk, finance en de business. Samen moeten zij kunnen beantwoorden:
Hoe uComply helpt
In uComply staan risico's en maatregelen niet in losse lijstjes, maar met elkaar verbonden. Je legt een risico vast in het risicoregister, koppelt de maatregelen die het moeten beheersen en ziet welke normeisen van ISO 27001, NIS2 of BIO2 je daarmee tegelijk afdekt. Blijkt een maatregel minder effectief dan gedacht, dan maak je er een verbeteractie van met een eigenaar en een deadline. Het Flightdeck-dashboard geeft je directie het overzicht dat ertoe doet: welke risico's er spelen, welke maatregelen er staan en waar actie nodig is.
Tot slot: blijf nieuwsgierig naar het resultaat
De toekomst van risicomanagement ligt niet in steeds meer maatregelen, controles en rapportages, maar in aantoonbare effectiviteit. Een organisatie die kan laten zien dat een investering van € 100.000 een risico substantieel verkleint, heeft een veel sterker verhaal dan een organisatie die alleen kan melden dat er een nieuwe securityoplossing draait.
Wees dus niet tevreden omdat een maatregel is ingevoerd. Blijf vragen:
Dat zijn geen vragen voor alleen de CISO of IT-manager. Ze zijn relevant voor de hele organisatie.
Effectieve risicobeheersing draait niet om zoveel mogelijk maatregelen, maar om zoveel mogelijk aantoonbare risicoreductie met de middelen die je hebt.
Wil je zien hoe je risico's, maatregelen en hun effectiviteit op één plek bijhoudt, met een dashboard dat ook je directie begrijpt? Plan een vrijblijvende demo.
