Keuzes bij de invoering van NEN 7510 nader toegelicht

Het is je ongetwijfeld niet ontgaan dat informatiebeveiliging een hype is geworden, waar iedereen een mening over heeft en waar vooral ook politici mee willen scoren, dapper ondersteund door gereputeerde adviesbureaus, die informatiebeveiliging zien als een belangrijke bron van inkomsten in deze tijd van recessie. Het elektronisch patiëntendossier leidde tot een niet relevante discussie, die ging over de vraag of het EPD wel 100% veilig is. Maar een kind weet, dat 100% veiligheid gewoon niet bestaat. Minder opvallend voor de buitenwereld was de introductie van NEN 7510.

Zorginstellingen zijn verplicht te voldoen aan NEN 7510. Allerlei toevoegingen die werden aangeleverd en die de implementatie zouden vergemakkelijken, leken een sympathiek gebaar richting zorginstellingen. Helaas ontbrak de belangrijkste aanwijzing: NEN 7510 is geen normatieve norm en een zorginstelling bepaalt zelf wat zij als norm nodig heeft. Daarbij komt dat door de acties van het IGZ en het CBP een zorginstelling vervolgens ook nog eens gemakkelijk op het verkeerde been wordt gezet: twintig ziekenhuizen werden getoetst op informatiebeveiliging en aan vier is een last onder dwangsom opgelegd. Het niveau van informatiebeveiliging zou niet voldoen aan ‘de norm’. Het lijkt erop dat het de bedoeling is hiermee zorginstellingen te intimideren, die NEN 7510 nog moeten invoeren. De opsteller van de norm, het NEN, geeft echter een totaal ander signaal af. Voor ziekenhuizen betekent dit niet een wezenlijk verschil, maar voor de meeste zorginstellingen maakt het wel degelijk wat uit.
Als je behoort tot de (bijna) vier van de vijf zorginstellingen die denken dat ze op grond van wet- en regelgeving verplicht zijn normen te implementeren, dan is er dus goed nieuws voor u: je stelt zelf jouw norm vast.

Misverstanden over informatiebeveiliging en NEN 7510

De definitie van het begrip ‘norm’ is in de afgelopen jaren gaan schuiven. Dat heeft voor verwarring gezorgd. Vroeger werd een norm opgevat als een absolute standaard. Tegenwoordig ziet het NEN als Nederlands centrum van normalisatie normen als ‘best practices’ en aanbevelingen waarover partijen intern en extern afspraken moeten maken.

Het NEN hanteert tegenwoordig de volgende definitie voor norm:

Nederlandse norm is een afspraak die zorgvuldig, volgens een vaste procedure tot stand komt. Het is vooral belangrijk dat alle belanghebbende partijen bij deze procedure worden betrokken en dat er overeenstemming is over de uiteindelijke afspraak. (bron: NEN, 27 augustus 2007)

Goed nieuws voor zorginstellingen

Deze definitie impliceert dat:

wanneer er sprake is van een norm, het niet gaat om een absolute standaard, maar om de procedure om te komen tot een stelsel van afspraken dat als de norm wordt vastgelegd;
niet het NEN, de beveiliger of de auditor de norm bepaalt, maar de eindverantwoordelijke(n) voor het totale proces, in overleg met de betrokkenen;
alleen het proces op grond waarvan de norm tot stand komt, wordt voorgeschreven in de NEN-ISO normen; de genoemde maatregelen zijn slechts ‘best practices’;
waar een zorginstelling haar eigen verantwoordelijkheid heeft, het eigen management verantwoordelijk is voor de vaststelling van de norm;
waar het gaat om gedelegeerde taken waarvoor men niet de eindverantwoordelijkheid heeft, de verantwoordelijkheid van de uitvoerder zich beperkt tot de uitvoering van het mandaat en de opdrachtgever verantwoordelijk is voor de controle op de output van de gedelegeerde taken.

In hoofdstuk 4 gaan we dieper in op dit laatste punt. Dit is namelijk van groot belang voor zorginstellingen die in opdracht van de overheid werken of door de overheid worden betaald.

Slecht nieuws voor informatiebeveiligers en auditors

Voor informatiebeveiligers betekent de definitie, dat het niet langer een gegeven is dat er een standaardset met maatregelen bij de interne of externe klant geïmplementeerd moet worden. Ook is er bij NEN 7510 geen normatief certificatieschema, op grond waarvan beveiligers van de zorginstelling kunnen eisen, dat maatregelen geïmplementeerd worden. Informatiebeveiligers werken nu in opdracht van het management aan de beslissingsvoorbereiding, waarbij de beleidsuitgangspunten van het management heilig zijn. Zelfs als die als volgt zijn:

Maatregelen zijn alleen acceptabel als norm, als zij geen negatieve gevolgen hebben voor de efficiency van de bedrijfsvoering.
Maatregelen die naar het oordeel van het management waarschijnlijk niet werkend gemaakt kunnen worden, zijn niet aan de orde.
Indien er in een aandachtsgebied in de afgelopen 5 jaar geen incident heeft plaatsgevonden met een schade van meer dan € 10.000, dan worden de huidige maatregelen de norm.
Het aantal nieuwe maatregelen mag ten hoogste 20 bedragen.

Met behulp van de betrokkenen kan de informatiebeveiliger de risicoanalyse uitvoeren om vervolgens aan de hand van de beleidsuitgangspunten te komen tot een aantal maatregelen die uiteraard voldoen aan die uitgangspunten. Normatieve methoden voor risico analyse (zoals CRAMM en ESAKA), vaak ondersteund door tools, zijn minder geschikt, omdat deze uitgaan van een normatieve benadering.

De auditor onderzoekt de evenwichtigheid van het proces. Hij voert namens het management een operational audit uit, waarbij hij is gehouden aan de opdrachtformulering van de zorginstelling met uiteraard als beleidsuitgangspunten:

De auditor toetst of het proces om te komen tot de eigen norm volgens de ISO-procedures is verlopen.
Daarnaast toetst hij of de zorginstelling haar eigen norm naleeft.

De tijd waarin een auditor op eigen houtje audits uitvoert met een rood potlood in de hand, ligt definitief achter ons. Een auditor werkt in opdracht en op basis van de door de opdrachtgever vastgestelde normen.

Meer weten of informatiebeveiliging of business continuity?

Contact

Is de NEN 7510 norm nu onzin geworden?

Natuurlijk laat bovenstaande onverlet, dat de NEN 7510 norm heel veel nuttige ‘best practices’ bevat, die hoogst serieus genomen moeten worden. Sterker nog, per maatregel moet de relevantie worden bekeken. En daarbij gaat het om vragen als wat bijvoorbeeld het begrip vertrouwelijkheid inhoudt voor een thuiszorginstelling die belast is met de uitvoering van de WMO.

Uitgangspunt is steeds het principe ‘Pas toe of leg uit’. Dat betekent, dat de maatregelen zullen worden toegepast, tenzij er redenen zijn om dit niet te doen. Redenen kunnen onder andere zijn:

de geldende beleidsuitgangspunten van de zorginstelling;
het ontbreken van draagvlak, vaak omdat een risico gezien de impact geaccepteerd wordt (zie ook ‘Informatiebeveiligers verpesten iedere awareness‘);
een alternatieve maatregel die voldoende dekking geeft.

De redenen om een maatregel niet toe te passen worden altijd vastgelegd, om zekerheid te verkrijgen, dat er geen risico’s onder het tapijt verdwijnen en om te voorkomen dat het stelsel van maatregelen later onvolledig lijkt te zijn.
De angst die bij veel zorginstellingen leeft voor auditors is ongegrond, mits ze maar het proces ingaan, zoals voorgeschreven. Belangrijk voordeel van dat proces is ook, dat de als ‘onzinnig’ ervaren maatregelen nu geschrapt kunnen worden, zodat automatisch draagvlak ontstaat.

Het proces om te komen tot de norm op basis van NEN 7510

Bij de invoering van NEN 7510 gaat het dus om het proces. Niet de beveiliger, maar de zorginstelling staat daarin centraal. (Zie ook ‘NEN 7510 pragmatisch invoeren in zorginstellingen‘.)
De eerste stap in het proces om te komen tot de norm op basis van NEN 7510 is het vaststellen van eisen. Niet de maatregelen of een baseline vormen hiervoor het uitgangspunt. De behoefte van de zorginstelling is de basis.

ISO noemt een aantal bronnen:

risicobeoordeling binnen de zorginstelling;
wet- en regelgeving en contractuele eisen (bestaande afspraken dus);
eigen stelsel van uitgangspunten, doelstellingen en eisen vanuit de bedrijfsvoering opgesteld.

Zo nodig moeten beleidsdocumenten aangepast en weer formeel goedgekeurd worden, om te voorkomen dat later op maatregelniveau het principe ‘pas toe of leg uit’ moet worden uitgewerkt.

De tweede stap is het beoordelen van de behoeften en eisen op wenselijkheid en haalbaarheid.

Tijdens de derde stap worden de behoeften gematcht met de maatregelen, waarbij in de praktijk per maatregel wordt bekeken:

de wenselijkheid;
of de maatregel al geïmplementeerd en werkend is;
de kosten en baten van de maatregel;
de timing van de invoeringsdatum.

Het is goed hierbij uit te gaan van de best practices uit de NEN 7510 norm en met de betrokkenen voor deze maatregelen vast te stellen of:

een soortgelijke maatregel al niet bestaat;
een dergelijke maatregel gezien de risico’s en uitgangspunten nodig en nuttig is;
de implementatie van een dergelijke maatregel wenselijk is en of er draagvlak voor is.

In het artikel ‘Managementrapportage risicoprofiel informatiebeveiliging NEN 7510‘ wordt een methode aangereikt om dit alles op een compacte manier vast te leggen, zodat het ook voor het management leesbaar en begrijpelijk is.

NEN 7510 is geen bedreiging voor zorginstellingen

De angst die veel zorginstellingen hebben als ze te maken krijgen met informatiebeveiliging en normen uit NEN 7510 is totaal ongegrond. Niet de informatiebeveiligers of de auditors zijn bepalend. Zij zijn nuttige adviseurs (of zouden dat moeten zijn). Trajecten om honderden maatregelen te implementeren zijn niet aan de orde. Die zijn bij voorbaat gedoemd te mislukken, zoals je waarschijnlijk uit eigen ervaring weet.
NEN 7510 geeft zorginstellingen de mogelijkheid een set van maatregelen te hanteren, die in balans is met de risico’s die zij lopen, zodat ze niet nodeloos op kosten gejaagd worden. Net als bij de ISO-kwaliteitssystemen wordt het normatieve denken vervangen door een invalshoek op basis van ‘fitness for purpose’. Niet de beveiligingsnorm of de baseline staat centraal. Centraal staan het bedrijfsrisico en de inschatting van het management of het een al dan niet acceptabele risico betreft. Het management moet hiervoor uiteraard met daadwerkelijke relevante informatie gevoed wordt. En dan gaat het niet om informatie over informatiebeveiliging of over absolute controle, maar om informatie over bedrijfsrisicobeheersing.
Dan is het ook eenvoudig om commitment te vinden voor de maatregelen. Als het gaat om zichtbare reductie van bedrijfsrisico’s, dan is er draagvlak om de risico’s daadwerkelijk aan te pakken. Helaas wordt dit door veel beveiligers over het hoofd gezien.

Voor het hele verhaal verwijzen we je graag naar ‘Pragmatische aanpak informatiebeveiliging‘. Dit is een presentatie met een toelichting, die je kunt gebruiken voor uzelf of voor interne presentaties.

Actueel