Cyber resilience is een 'leadership issue'

Digitaal risk management en de samenwerking tussen publiek en privaat

Kan een intensievere samenwerking tussen 'publiek en privaat' op het gebied van cybersecurity helpen de digitale weerstand en veerkracht van organisaties te versterken? En hoe zou die samenwerking er uit moeten zien?

 

Die vragen stonden centraal in een van de discussies tijdens het FERMA Forum in Berlijn. In het discussiepanel zaten naast Alexander Manke (CEO Insurance van Siemens) en Brigitte Bouquot (Director Insurance & Risk Management van Thales) als vertegenwoordigers van het bedrijfsleven ook Gerhard Schabhüser en Cyril Cuvillier namens de toezichthouders BSI in Duitsland en ANSSI in Frankrijk.

 

 Cyril Cuvillier, panellid in de discussie over cyber resilience

 

Cybersecurity is een leadership issue
Cybersecurity is inmiddels een leadership issue in elke onderneming, aldus Alexander Mahnke van Siemens. Of dat zou het in elk geval moeten zijn. Een thema dat is ingebed in de Risk Management-strategie en allang geen onderwerp meer is van alleen ICT'ers en techneuten. 'Het is de taak van de Risk Manager om het onderwerp upstream te brengen, onder de directe aandacht van het topmanagement.'

 

Digital risk management policy

Want de belangen zijn groot. Elke onderneming moet investeren in het bouwen van een digital risk management policy. Hoe een organisatie omgaat met de digitale risico's en welke maatregelen zijn genomen om cyberaanvallen en cybercriminaliteit te voorkomen, bepalen ook in hoge mate het vertrouwen dat het publiek (klanten, maar ook investeerders) in het bedrijf hebben. Daarmee is digital risk management policy ook bepalend voor de waarde van een onderneming.

 

A guide on digital risk managers for managers

Tijdens het FERMA Forum presenteerden ANSSI (het Franse nationale cybersecurity agency) en AMRAE (de Franse associatie voor Corporate Risk & Insurance Management) een gezamenlijk ontwikkelde gids met 15 stappen ter ondersteuning van managers van bedrijven en organisaties om tot een digitale Risk management-aanpak te komen. Controlling the risk - the trust advantage is de titel van de gids.

Stap voor stap wordt ingegaan op: Het begrijpen van digitale risico's en het organiseren hiervan; Het bouwen van een security baseline; Het managen van digitale risico's en het ontwikkelen van een cybersecurity strategie.

Samenwerking met toezichthouders en publieke instanties is noodzakelijk, maar maatregelen kunnen allang niet alleen meer aan de autoriteiten en aan toezichthouders worden overgelaten. Mahnke: 'Elk bedrijf moet zijn eigen verantwoordelijkheid nemen en daarnaar handelen. Vandaar het belang van inbedding in de strategie.'

 

Daarbij past onder meer het denken in scenario’s om na te gaan in welke mate risico’s zijn te reduceren of zelfs te minimaliseren. Samenwerking met cyber-instanties is van meerwaarde, maar de verantwoordelijkheid ligt in eerste instantie bij jezelf, sprak Mahnke.

 

Downstream: train je medewerkers

Niet alleen upstream, maar ook downstream is er veel te doen. Bijvoorbeeld in het trainen van medewerkers om ze veel bewuster te maken van wat ze doen. Daarbij gaat het niet om het aanbrengen van technische blokkades en het tegengaan van navigatiemogelijkheden, maar wel om het vergroten van het bewustzijn. Het advies is: train mensen in hun online gedrag en maak ze bewust van de gevaren. Dat kan heel goed via online trainingen die medewerkers vrijwillig kunnen volgen.

 

Investeren in weerbaarheid en vertrouwen

Dat brengt kosten met zich mee, stelde Cyril Cuvillier van de Franse cyber-autoriteit ANSSI, maar zie dit vooral als een investering om de weerbaarheid op langere termijn te vergroten. ‘Als je wordt geconfronteerd met een cyberattack en de gevolgen daarvan, zullen de kosten een veelvoud bedragen van deze investering.’

 

De komende jaren zal de hoeveelheid wet- en regelgeving ongetwijfeld toenemen, maar cybersecurity en het reduceren van risico’s op dit gebied is met regels nooit sluitend te krijgen. Belangrijk is het onderwerp onder de aandacht te krijgen en te houden: bij het topmanagement en bij medewerkers. Het creëert vertrouwen, zowel van klanten als van investeerders en andere stakeholders. Daar draait het om.