Van security by evidence naar security by accountability

In de luchtvaart accepteren we het niet dat een vliegtuig honderden mensen vervoert zonder dat achteraf kan worden onderzocht wat er tijdens een vlucht gebeurde. De flight recorder is niet een bewijs dat een vliegtuig veilig is. Het is een instrument om gebeurtenissen vast te leggen, veiligheid aantoonbaar te maken en ervan te leren. Precies die beweging moeten we nu ook in de digitale wereld maken.

Ook daar ontstaan steeds meer systemen die autonoom kunnen handelen. AI-agents nemen beslissingen, microservices reageren op elkaar, cloudplatforms schalen automatisch en data beweegt door ketens die we zelf niet meer kunnen overzien. Ergens in die keten kan iets gebeuren wat niemand heeft voorzien. Dan is de eerste vraag wat er is gebeurd. De black box kan ons daarbij helpen. Maar daarna volgen belangrijkere vragen: waarom gebeurde het, hadden we het kunnen zien aankomen en wie had moeten handelen?

Een black box registreert wel, maar begrijpt niets

Dat was precies het punt van mijn latere blog ‘De black box weet alles. Behalve wat er mis is’. We meten inmiddels bijna alles, maar meten is nog geen begrijpen. Een complex digitaal systeem lijkt steeds meer op een levend organisme. Miljoenen processen werken tegelijkertijd samen en kleine afwijkingen kunnen elkaar versterken. Een probleem kan ergens diep in een keten beginnen en pas veel later zichtbaar worden.

Klassieke monitoring ziet dan vooral symptomen. Een latency loopt op, een database reageert trager, een API geeft meer fouten of een AI-agent wijkt af van zijn normale gedrag. Maar welk signaal is de oorzaak en welk signaal slechts een gevolg? Daarom moeten we verder dan logging. Van registreren naar begrijpen, van meten naar diagnostiek en uiteindelijk naar het vinden van de oorzaak. De flight recorder vertelt wat er is gebeurd; de digitale dokter probeert te begrijpen waarom het systeem uit balans is geraakt. Wat is de ‘root-cause’?

En dan komt het bestuur in beeld

Precies hier wordt de nieuwe publieke managementletter van NOREA interessant. NOREA maakt digitale weerbaarheid nadrukkelijk tot een bestuurlijke opdracht. Niet alleen de CIO of CISO, maar het bestuur als geheel moet sturen op digitale weerbaarheid. Daarbij gaat het om inzicht in digitale ketens, samenhangende governance, structureel beveiligen en bijsturen, bewuste risicoacceptatie en adequate verantwoording.

Daarmee ontstaat een volgende laag. De black box registreert. De digitale diagnostiek probeert te begrijpen. Maar wie bepaalt vervolgens wat er moet gebeuren? Dat is het bestuur. Dat betekent niet dat bestuurders zelf firewalls moeten configureren of incidenten moeten analyseren. Het betekent wel dat zij verantwoordelijk zijn voor het organiseren van het systeem waarmee de organisatie digitaal gezond en weerbaar blijft. En juist daar komen Governance, Risk Management en Compliance samen.

Governance bepaalt waarom en hoe

Governance gaat over de basisvragen. Wat vinden we als organisatie belangrijk? Welke digitale diensten zijn kritiek? Welke data moeten we beschermen? Welke afhankelijkheden accepteren we? Welke risico’s vinden we aanvaardbaar en welke niet?

Maar governance gaat ook over de inrichting. Wie is eigenaar? Wie mag beslissen? Wie moet worden geïnformeerd? Welke escalatieladder geldt wanneer iets misgaat? En wanneer moet een bestuurder zelf aan tafel komen? Een volwassen governance-model maakt daarmee niet alleen duidelijk wat veilig moet zijn, maar ook waarom, hoe en met welke middelen we dat organiseren.

Risk management maakt het operationeel

Daarna komt risicomanagement. Weten we welke risico’s we lopen? Weten we welke systemen en leveranciers daarbij betrokken zijn? Kunnen we een afwijking tijdig constateren? Weten medewerkers hoe ze die moeten melden? Is duidelijk wie vervolgens handelt en wanneer er moet worden opgeschaald?

Een goed risicomanagementproces beschrijft niet alleen wat we vooraf verwachten. Het organiseert ook wat er tijdens een incident moet gebeuren. Daarmee wordt de black box onderdeel van een groter systeem. Logging, monitoring en AI-observability leveren de informatie. Risicomanagement bepaalt wat met die informatie moet gebeuren. En dat moet niet alleen op papier werken. Het moet werken wanneer het echt misgaat.

Compliance moet het bewijs leveren

Daar komt compliance om de hoek kijken. Kunnen we met een audittrail aantonen dat onze beheersmaatregelen daadwerkelijk werken of hebben gewerkt? Kunnen we aantonen dat we compliant waren vóór een cyberaanval? Maar misschien nog belangrijker: kunnen we aantonen dat we tijdens die aanval volgens ons eigen plan en de vastgestelde scenario’s hebben gehandeld?

Wie heeft het incident gemeld? Wie heeft het beoordeeld? Wie heeft de escalatie gestart? Welke medewerkers zijn betrokken? Welke beslissingen zijn genomen? Wanneer is het bestuur geïnformeerd? Welke communicatie heeft plaatsgevonden? En hebben we gehandeld zoals vooraf was afgesproken?

Dat is een heel andere vorm van compliance dan het jaarlijks afvinken van een checklist. De echte test van compliance begint op het moment dat het misgaat. Een organisatie moet dan niet alleen kunnen zeggen dat zij compliant was, maar kunnen aantonen dat zij ook compliant handelde. De audittrail wordt daarmee de digitale getuige van de organisatie. Niet alleen van wat systemen hebben gedaan, maar ook van wat mensen en bestuurders hebben besloten.

Van evidence naar accountability

Daarmee komen de eerdere ideeën samen. Security by evidence betekent dat we kunnen aantonen wat er gebeurt en welke beheersmaatregelen bestaan. Maar security by accountability gaat een stap verder. Het vraagt wie verantwoordelijk is voor het organiseren van die beheersing, voor het bewaken ervan en voor het nemen van beslissingen wanneer de werkelijkheid afwijkt van het plan.

OODA helpt om tijdens een incident te observeren, te begrijpen, te beslissen en te handelen. PDCA zorgt ervoor dat we daarna leren en verbeteren. GRC zorgt ervoor dat dit alles onderdeel wordt van de normale besturing van de organisatie. Dat maakt digitale weerbaarheid geen project, maar een bestuurlijk systeem. En precies daar ligt de betekenis van de NOREA-managementletter.

Digitaal bestuur kun je niet uitbesteden

De digitale werkelijkheid heeft nauwelijks nog organisatorische grenzen. Cloudleveranciers, softwareleveranciers, AI-diensten en onderleveranciers vormen samen een keten waarvan organisaties afhankelijk zijn. Die technische afhankelijkheid kan worden uitbesteed. De bestuurlijke verantwoordelijkheid daarvoor niet.

Een leverancier kan verantwoordelijk zijn voor zijn platform. De CISO kan verantwoordelijk zijn voor het securitybeleid. IT kan verantwoordelijk zijn voor de technische uitvoering. De auditor kan vaststellen of beheersmaatregelen werken. Maar het bestuur blijft verantwoordelijk voor de vraag of de organisatie haar digitale risico’s kent, hoe zij die beheerst, welke risico’s zij accepteert en of zij aantoonbaar kan handelen wanneer het misgaat. Dat is de stap van security by evidence naar security by accountability.

En die accountability wordt steeds minder vrijblijvend. Nieuwe Europese wet- en regelgeving maakt de verantwoordelijkheid van bestuurders voor digitale weerbaarheid explicieter. Bij onvoldoende bestuur en toezicht kunnen niet alleen organisaties worden aangesproken; bestuurders kunnen ook persoonlijk met aansprakelijkheid en, in ernstige gevallen, strafrechtelijke consequenties worden geconfronteerd.

Daarmee verandert de vraag definitief. Niet meer: “Is onze IT veilig?” Maar: “Kunnen wij als bestuur aantonen dat we onze digitale risico’s kennen, beheersen, monitoren en dat we volgens plan handelen als het misgaat?” Dat is volwassen digitaal bestuur. En dat kun je niet uitbesteden.

Door: Hans Timmerman (foto)