Als een bedrijf (ook) gebruik maakt van de platformen IaaS en PaaS dan heeft het meer verantwoordelijkheden. Met een beetje fantasie kan je zeggen dat IaaS en PaaS de bodems zijn voor bouwwerken waaruit een applicatie voort moet komen.

De riskmanager heeft als taak toe te zien dat de IaaS en/of PaaS-platformen op een beheersbare wijze worden georganiseerd zodat beheer mogelijk is en de foutkans geminimaliseerd wordt. Standaardisatie moet hier de norm zijn.

Ook bij de selectie van clouddiensten die bedrijven aanbieden op de infrastructuur van de grote cloudaanbieders, heeft advies van een riskmanager toegevoegde waarde. Immers, ook deze bedrijven moeten kunnen aantonen dat hun diensten veilig zijn en moeten verantwoordelijkheden en verantwoording hiervan contractueel geregeld worden.

Het lukt bedrijven niet altijd in één keer de overstap te maken naar de cloud. Hiervoor kunnen diverse oorzaken zijn. Dan ontstaat een hybride situatie, het bedrijf zit zowel in de cloud en houdt tevens lokaal IT-hardware en software aan.

Het gevolg is dat het bedrijf in een complexe situatie zit hetgeen het beheer ook complex maakt. Beide omgevingen hebben hun eigen risicoprofiel en het risicobeheer wordt in feite dubbel uitgevoerd. Een riskmanager kan ondersteunen bij het inrichten van risicobeheer en het beheersbaar houden van de risico’s.

In Nederland is het gebruik van Microsoft 365 zo goed als standaard. Wat veel bedrijven niet of onvoldoende beseffen zijn de mogelijkheden die Microsoft 365 biedt voor het uitvoeren van riskmanagement. Met Defender worden kwetsbaarheden gemeld en kan hier opvolging aan gegeven worden. Het is mogelijk om de scope van Defender uit te breiden met cloudomgevingen bij Microsoft en of andere cloudaanbieders en de lokale (onpremise) omgeving.

De uitkomst van de risicobeheersing met Defender is tevens belangrijk om aan te kunnen tonen dat passende beveiligingsmaatregelen zijn getroffen om persoonsgegevens te beschermen.

Het blijkt voor bedrijven lastig te zijn om de kwetsbaarheden in Defender te beoordelen en de impact te overzien. De riskmanager biedt hier een toegevoegde waarde om het bedrijf te helpen de kwetsbaarheden te verhelpen.

Coordinated Vulnerability Disclosure (CVD)

Naast het melden van interne kwetsbaarheden door Defender kan een bedrijf ook bevorderen dat kwetsbaarheden die extern gesignaleerd zijn, worden gemeld. Hiervoor is een beleid Coordinated Vulnerability Disclosure nodig en publicatie op de website. Zie hier.

De riskmanager neemt ook deze externe signalen op in zijn risicobeheer.

Riskmanagement, in het bijzonder IT-riskmanagement, speurt en registreert interne en externe kwetsbaarheden op, schat de bedrijfsrisico’s in en adviseert over het treffen van effectieve beheersmaatregelen. Het interne of externe beheer implementeert beheersmaatregelen waardoor het bedrijf haar bedrijfscontinuïteit beschermt.

De aangebrachte functiescheiding tussen beheer en riskmanagement vraagt van de bedrijfsleiding instemming en van de medewerkers begrip. Afhankelijk van de doelen van het instellen van riskmanagement kan er kennis- en verandermanagement nodig zijn.

Wij formuleren voor bedrijven concepten voor het organiseren van riskmanagement, in het bijzonder IT-riskmanagement. Wij verzorgen trainingsprogramma’s voor het management en de medewerkers en kunnen voor bedrijven structureel of incidenteel de rol van (IT-)riskmanager op ons nemen.