Van beleid naar praktijk
Informatiebeveiliging implementeren zonder de organisatie stil te leggen
Elke organisatie die met informatiebeveiliging aan de slag gaat, komt op hetzelfde punt: het beleid is geschreven, de procedures staan op papier, en dan? In de praktijk is dít het moment waarop trajecten vastlopen. Niet omdat het beleid slecht geschreven is, maar omdat implementeren een ander vak is dan schrijven.
Waarom implementaties vastlopen
De meest voorkomende oorzaak: informatiebeveiliging wordt náást het werk georganiseerd. Medewerkers dienen nieuwe regels te volgen, extra formulieren in te vullen en extra stappen te nemen, bovenop een toch al volle werkdag. Het voorspelbare gevolg: mensen vinden workarounds, en het managementsysteem bestaat alleen op papier. Bij een audit valt dat direct door de mand, maar belangrijker: de risico's blijven gewoon bestaan.
Drie principes die wél werken
Sluit aan op bestaande processen: heb je al een systeem voor klachten, ticketing of inkoop? Bouw informatiebeveiliging daarin, in plaats van een parallelle structuur op te tuigen.
Maak het klein en concreet: 'medewerkers dienen zorgvuldig om te gaan met informatie' is typische beleidstekst. 'Vergrendel je scherm, gebruik de wachtwoordmanager, meld bijzonderheden' is uitvoerbaar. Vertaal elk beleidsuitgangspunt naar hooguit een handvol concrete gedragingen per rol.
Geef prioriteit op basis van risiconiveau: je hoeft niet alles tegelijk te doen. Begin met de maatregelen die de grootste risico's afdekken, die volgen uit je assessment, en bouw van daaruit verder. Zichtbare eerste successen creëren daarnaast ook draagvlak voor de rest.
De mens maakt het verschil
Techniek en processen zijn de helft van het verhaal; de andere helft is gedrag. Daarom hoort bij elke implementatie aandacht voor de mensen die ermee moeten werken: uitleg over het waarom, training waar nodig, en leidinggevenden die het goede voorbeeld geven. Afspraken die medewerkers begrijpen én werkbaar vinden, houden zichzelf in stand.
Hulp nodig bij de implementatie?
Inrichten en implementeren is fase drie van onze vaste aanpak, en vaak de fase waarin organisaties tijdelijk extra handen en ervaring kunnen gebruiken. Wij doen dit dagelijks, bij organisaties van uiteenlopende omvang. Neem vrijblijvend contact op om de mogelijkheden te bespreken.