Cyberaanvallen worden steeds geavanceerder. Criminelen gebruiken in toenemende mate AI om de kwetsbaarheden in de techniek op te sporen en uit te buiten. De verdediging tegen die aanvallen vraagt echter niet alleen om technische maatregelen. Het dagelijks handelen van medewerkers, leidinggevenden en bestuurders bepaalt nog altijd voor zeker 60 procent hoe digitaal weerbaar een organisatie is. Maar hoe stuur je op veilig gedrag? En hoe voorkom je dat informatieveiligheid de energie en vaart uit innovatie haalt?
Informatieveiligheid en innovatie vormen in menig zorgorganisatie een ongelukkig huwelijk. Informatieveiligheid krijgt al snel de rol van showstopper: de reden waarom iets niet kan of vertraging oploopt. Maar dat hoeft niet zo te zijn. De zorg móét innoveren en niets doen brengt eveneens risico’s met zich mee. Risicoloos werken bestaat bovendien niet. Sturen op informatieveiligheid betekent daarom dat bestuurders risico’s expliciet wegen: welke risico’s zijn aanvaardbaar, welke niet, en welke maatregelen zijn nodig om verantwoord te kunnen innoveren?
De op 15 augustus in werking getreden Cyberbeveiligingswet (Cbw) maakt bestuurders nadrukkelijk eindverantwoordelijk voor de digitale weerbaarheid van hun organisatie. Deze wet vereist vanuit de zorgplicht dat organisaties een risicobeoordeling uitvoeren en op basis hiervan passende maatregelen nemen.
Bestuurders moeten daartoe aantoonbaar voldoende kennis hebben om risico’s en beveiligingsmaatregelen te kunnen beoordelen en proactief sturen op informatieveiligheid. Dat betekent dat zij het dossier informatieveiligheid niet volledig bij de IT-afdeling of Chief Information Security Officer (CISO) kunnen beleggen.
Praktische invulling
Als programma Informatieveilig gedrag in de zorg (IVGZ) spraken we het afgelopen jaar tientallen bestuurders en professionals op het gebied van informatieveiligheid. Eerder schreven we daarom al over hoe de CISO in zijn of haar organisatie innovatie kan versnellen. Maar hoe geeft de bestuurder praktische invulling aan deze verantwoordelijkheid?
Bovengenoemde gesprekken wijzen allemaal eenzelfde kant op: effectieve sturing begint bij een heldere rolverdeling, goede sturingsinformatie en nabijheid. We geven daarom vier adviezen aan bestuurders en experts op het gebied van informatieveiligheid:
1. Zet niet risico’s maar de waardeweging centraal
Op papier zijn de rollen vaak helder: de bestuurder weegt belangen en neemt besluiten, de CISO en andere experts adviseren vanuit specialistische kennis. In de praktijk blijkt juist het gesprek tussen beiden lastig.
“Als ik twee risico’s heb besproken, zakt de energie al weg. Vaak snappen bestuurders het inhoudelijk niet”, aldus een CISO. Basiskennis en urgentiebesef bij de bestuurder zijn daarom van grote waarde, en inmiddels dus ook wettelijk verplicht. Andersom is het belangrijk dat de CISO in staat is om de impact van mogelijke maatregelen in perspectief te plaatsen. Een lange opsomming van risico’s werkt eerder verlammend dan verhelderend.
Experts moeten complexe risico’s daarom vooral goed kunnen presenteren en duiden: wat kan er gebeuren, welke organisatiedoelen komen in gevaar en welke keuze ligt voor?
2. Bepaal samen welke risico’s aanvaardbaar zijn
Een goed bestuurlijk gesprek gaat over meer dan incidenten en maatregelen. Bestuurders, experts en toezichthouders moeten permanent aandacht hebben voor welke waarden op het spel staan en hoe die te wegen.
“Juist het gesprek over waardeweging is belangrijk.” […] “Uitzoomen doen we weinig, maar die diepere laag is wel nodig om tot een gedeelde visie te komen”, aldus een bestuurder en CISO.
Om deze gesprekken te stimuleren, ontwikkelde IVGZ dialoogkaarten, zodat je als organisatie proactief kunt werken aan een gedeelde visie op het belang van informatieveiligheid in relatie tot andere belangen. Dit voorkomt dat bij iedere innovatie opnieuw de discussie ontstaat over wat wel en niet verantwoord is.
3. Maak gedrag zichtbaar in de sturingsinformatie
Gedrag is al snel een ongrijpbaar onderwerp, waardoor het ondersneeuwt ten opzichte van technische maatregelen en beleidsvragen. Goede sturingsinformatie helpt om structureel aandacht te hebben voor het sturen op veilig gedrag. Bestuurders kunnen hierdoor ook risico’s eerder zien en sneller besluiten over nieuwe innovaties. Die sturingsinformatie is idealiter een combinatie van kwantitatieve KPI’s, signalen en casuïstiek.
Het programma Informatieveilig gedrag in de zorg verzamelde inspiratie over hoe je een voortgangsrapportage kan inrichten die zicht geeft op de gedragsfactor van informatieveiligheid. Met als advies: neem je voortgangsrapportage eens kritisch onder de loep en check of deze voldoende vertelt over hoe het staat met het gedrag van medewerkers, leidinggevenden en bestuurders.
4. Zorg voor nabijheid
Goede samenwerking ontstaat niet alleen tijdens formele overleggen. Juist regelmatig contact maakt het mogelijk om signalen vroeg te delen, dilemma’s te bespreken en elkaars afwegingen te begrijpen. Een expert uit de praktijk noemt frequent en laagdrempelig contact daarom als belangrijke succesfactor van goede sturing door bestuurders: "Nabijheid is een groot voordeel. Via informele gesprekken tussendoor, in de gang, bij het koffiezetapparaat. Die relatieopbouw is belangrijk.”
Vervolgens is het verstandig dat de bestuurder naar diens CISO de verwachting uitspreekt dat hij/zij nabij is ten opzichte van medewerkers. “De kracht van de organisatie zit in (dat) de CISO dicht op de praktijk zit, tijdig signalen opvangt en samen met zorgprofessionals oplossingen ontwikkelt”, aldus een CISO. Door experts bovendien vroeg bij innovaties te betrekken, kunnen zij meedenken over werkbare oplossingen in plaats van achteraf op de rem te trappen.
Conclusie
Informatieveiligheid hoeft innovatie niet te vertragen. Integendeel: duidelijke afspraken over risico’s, goede sturingsinformatie en vroegtijdig contact met experts maken het mogelijk om sneller én verantwoord te besluiten. Het goede bestuurlijke gesprek is daarmee geen zachte randvoorwaarde voor informatieveiligheid, maar een sterk bestuurlijk instrument.
