Afspraken met je eigen IT-leveranciers
Dit is de maatregel waar het hele Ketendossier over gaat, maar dan een schakel verder. Jouw opdrachtgever vraagt jou om bewijs. Wat doe jij richting het boekhoudkantoor, de IT-partner en het pakket waar je planning in staat.
De meeste incidenten bij kleine bedrijven komen niet door de voordeur. Ze komen binnen via een partij die al toegang had. Een boekhouder die gehackt wordt, een beheerder die op afstand meekijkt, een softwareleverancier met een lek.
Je hoeft geen audit te doen. Je hoeft op te schrijven wie kritiek is, en met die paar partijen iets af te spreken.
Beveiligingsafspraken met kritieke leveranciers op papier zetten
Begin met de lijst. Welke partijen kunnen bij jouw gegevens of in jouw systemen? Dat zijn er meestal drie tot zes: de IT-beheerder, de boekhouder, de leverancier van je hoofdpakket, misschien een salarisbureau.
Vraag ze twee dingen: melden jullie het binnen 24 uur als er bij jullie iets misgaat waar onze gegevens bij betrokken zijn, en hoe is de toegang naar ons beveiligd. Meer heb je voor de eerste ronde niet nodig.
Leg het antwoord vast in een mail of in de verwerkersovereenkomst die je vaak al hebt. Een mail met een datum erin is bewijs; een gesprek aan de telefoon niet.
Loop dit mee met contractverlenging. Een leverancier midden in een looptijd overtuigen kost moeite; bij verlenging staat het onderwerp vanzelf op tafel.
Zit er een partij bij die niet wil antwoorden, schrijf dat ook op. Dat is een risico dat je kent, en dat is beter dan een lijst waarop alles groen lijkt.
- 01Maak een lijst van partijen die bij jouw gegevens of systemen kunnen.
- 02Streep de partijen weg die je een week zou kunnen missen. Wat overblijft is kritiek.
- 03Stuur die partijen een mail met twee vragen: meldtermijn en beveiliging van de toegang.
- 04Bewaar de antwoorden bij elkaar, met datum.
- 05Zet de partijen die niet antwoorden op je eigen plan van aanpak.
Wat je opdrachtgever hierover kan vragen: Een inkoper vraagt of je weet wie er bij jouw gegevens kan. Een lijst van vijf namen met een datum erbij is een beter antwoord dan een contract van dertig pagina's.
De beveiligingsafspraken met opdrachtgevers in het contract vastleggen
Deze maatregel heeft twee kanten, en de meeste bedrijven kennen er maar een. Omlaag: wat spreek je af met je eigen leveranciers. Omhoog: wat staat er in het contract met je opdrachtgever over beveiliging.
Die tweede kant is degene waar je op wordt bevraagd. Je opdrachtgever valt onder de wet en moet kunnen laten zien dat hij afspraken met jou heeft. Staat er niets, dan komt hij bij je langs, en dan is het zijn tekst en zijn tempo.
Kijk in je grootste contract of er een bijlage over informatiebeveiliging bij zit, of een clausule in de inkoopvoorwaarden. Vaak staat er al iets over geheimhouding; dat is niet hetzelfde.
Staat er niets, dan is de volgende verlenging het moment. Kom zelf met een voorstel: dat leest anders dan wachten tot hij een vragenlijst stuurt.
- 01Zoek in je grootste contract op beveiliging, informatiebeveiliging en geheimhouding.
- 02Schrijf per opdrachtgever op of het geregeld is.
- 03Zet de contracten zonder afspraak op je lijst voor de volgende verlenging.
Vastleggen hoe je software veilig bouwt en test
Dit stuk geldt alleen als je zelf software of een IT-dienst levert. Rijd je vracht of maak je schoon, sla het dan over.
Voor wie wel bouwt: artikel 21, vierde lid, onderdeel b noemt veilige ontwikkelingsprocedures met zoveel woorden. Voor je opdrachtgever ben jij dan niet alleen een leverancier maar ook het risico zelf, want jouw code draait bij hem.
Wat er nodig is, is geen handboek. Een A4 met vier dingen: wie de code beoordeelt voordat hij live gaat, hoe je test, hoe je afhankelijkheden bijhoudt, en hoe iemand een kwetsbaarheid bij je meldt.
Heb je die afspraken wel maar staan ze nergens, zet ze dan op papier. Een afspraak die alleen in de hoofden van twee ontwikkelaars zit, kan een opdrachtgever niet inzien en verdwijnt als een van de twee weggaat.
- 01Schrijf op wie code beoordeelt voordat hij naar productie gaat.
- 02Noteer hoe je test, ook al is dat met de hand.
- 03Zet erbij hoe je bijhoudt welke bibliotheken je gebruikt en wanneer je ze bijwerkt.
- 04Noem het adres waar iemand een kwetsbaarheid kan melden.
- 05Zet je naam en de datum eronder, en herzie het jaarlijks.
Wat je opdrachtgever hierover kan vragen: Een inkoper vraagt hoe je voorkomt dat er een gat in je eigen product zit. Een A4 met vier regels is genoeg; hij verwacht geen norm.
Je opdrachtgever vraagt niet of je het hebt geregeld. Hij vraagt of je het kunt laten zien, want hij moet het zelf vastleggen. De gratis check laat zien waar het bij jou openstaat. Twee minuten, geen betaalgegevens.
Vragen en antwoorden
- Welke leveranciers zijn kritiek?
- De partijen die bij je gegevens of in je systemen kunnen, en de partijen die je bedrijf stil leggen als ze uitvallen. Meestal zijn dat er drie tot zes: IT-beheer, boekhouding, je hoofdpakket, soms een salarisbureau. Wie je een week kunt missen, is niet kritiek.
- Moet ik mijn leveranciers laten certificeren?
- Nee. Je hoeft geen ISO 27001 van ze te eisen. Wat je nodig hebt is een afspraak dat ze het melden als er iets misgaat, en inzicht in hoe hun toegang tot jouw omgeving beveiligd is. Voor het overgrote deel van de kleine bedrijven is dat proportioneel en genoeg.
- Wat als een leverancier niet wil meewerken?
- Schrijf dat op. Een bekend risico is beter dan een lijst waarop alles groen staat. Zet het punt op je plan van aanpak en breng het opnieuw op bij de contractverlenging, want dan heb je iets te ruilen.
- Is een verwerkersovereenkomst genoeg?
- Die gaat over persoonsgegevens, en dekt vaak al een meldtermijn af. Dat is een goed begin. Wat er meestal niet in staat is hoe de leverancier zijn eigen toegang naar jou beveiligt, en dat is precies wat je opdrachtgever wil weten.
- Mijn opdrachtgever vraagt naar mijn onderaannemers. Wat moet ik dan?
- Laat zien dat je weet wie het zijn en wat je met ze hebt afgesproken. Dezelfde twee vragen die jij krijgt, stel je een schakel verder. Dat is de kern van ketenverantwoordelijkheid: iedere schakel kijkt naar de volgende.