Security governance bij digital agencies: Van plan naar praktijk
Security governance is voor digital agencies belangrijk omdat klanten steeds vaker willen weten hoe informatiebeveiliging is georganiseerd én omdat een heldere structuur helpt om risico’s te beperken wanneer een organisatie groeit. Maar hoe ga je als bureaudirecteur van plan naar praktijk? Experts van MNP Solutions delen enkele praktische handvatten.
Veel digital agencies besteden volop aandacht aan techniek, tooling en cybersecurity. Toch blijkt juist de organisatorische kant van informatiebeveiliging vaak minder expliciet geregeld. Wie is verantwoordelijk voor toegangsbeheer? Wie houdt incidenten bij? En wie kan een klant of auditor uitleggen hoe security binnen de organisatie is ingericht?
Juist hier komt security governance om de hoek kijken. Volgens Jeroen Molenaar, Partner bij MNP Solutions, hoeft dat helemaal niet ingewikkeld te zijn. “Governance wordt vaak gezien als iets voor grote organisaties met uitgebreide compliance-afdelingen. Voor de meeste agencies gaat het juist om duidelijkheid: wie is waarvoor verantwoordelijk en hoe zorg je dat je dat kunt aantonen?”
Governance draait om eigenaarschap
Het begrip governance roept al snel beelden op van dikke handboeken, complexe processen en extra managementlagen. “In de praktijk is dat voor een digital agency van twintig tot vijftig medewerkers helemaal niet nodig”, zegt Mark Zwaan, Security & Quality Consultant bij MNP Solutions.
De kern is verrassend eenvoudig: leg vast wie verantwoordelijk is voor welke onderdelen van informatiebeveiliging, spreek af wanneer je die onderwerpen bespreekt en zorg dat besluiten worden vastgelegd. Daarmee ontstaat een structuur die niet afhankelijk is van één persoon, maar onderdeel wordt van de organisatie.
Dat maakt vooral verschil op het moment dat klanten, leveranciers of auditors vragen stellen over informatiebeveiliging. Waar het ene bureau moet zoeken naar een antwoord, kan het andere direct uitleggen hoe verantwoordelijkheden zijn verdeeld.
"Het verschil zit niet in méér werk, maar in expliciet maken wat veel bureaus eigenlijk al doen”, aldus Molenaar. “Governance is vooral structuur aanbrengen.”
Drie bouwstenen voor een praktische aanpak
Volgens MNP Solutions bestaat effectieve security governance uit drie overzichtelijke bouwstenen.
De eerste is eigenaarschap. Voor elk belangrijk domein – zoals toegangsbeheer, incidentmanagement, leveranciers en beleid – is één persoon aanspreekpunt. Dat hoeft geen securityspecialist te zijn. “Vaak vervullen bestaande rollen, zoals een operations lead, tech lead of founder, deze verantwoordelijkheid naast hun reguliere werkzaamheden”, aldus Zwaan.
De tweede bouwsteen is een vast ritme. Door elk kwartaal kort met de verantwoordelijken samen te komen, blijft informatiebeveiliging een terugkerend onderwerp. Tijdens zo’n overleg staan drie vragen centraal: wat is er veranderd, wat is er misgegaan en wat vraagt om actie?
Tot slot is er vastlegging. “Niet in uitgebreide rapportages, maar juist in beknopte notities waarin besluiten, acties en verantwoordelijkheden worden vastgelegd”, zegt Molenaar. “Zo ontstaat aantoonbaarheid zonder onnodige administratieve lasten.”
Van theorie naar dagelijkse praktijk
Hoe ziet dat er concreet uit? MNP Solutions komt met een voorbeeld van een bureau met ongeveer 35 medewerkers.
Daarin beheert de operations lead de gebruikersrechten en zorgt ervoor dat accounts bij in- en uitdiensttreding worden aangepast. De tech lead houdt incidenten en kwetsbaarheden bij. Een founder bewaakt het overzicht van leveranciers en securitybeleid. “Vier keer per jaar bespreken zij gezamenlijk de stand van zaken tijdens een overleg van ongeveer een uur”, vertelt Zwaan.
Na afloop worden de belangrijkste besluiten kort vastgelegd. Geen uitgebreide rapporten of dashboards, maar een overzichtelijke set notities waarmee de organisatie kan aantonen dat informatiebeveiliging structureel aandacht krijgt.
“Vier overleggen per jaar en een paar heldere afspraken zijn vaak al voldoende om governance stevig neer te zetten”, geeft Molenaar aan. “Juist die eenvoud maakt het werkbaar.”
Minder complex dan veel bureaus denken
Een belangrijke boodschap van MNP Solutions is dan ook dat governance niet gelijkstaat aan extra bureaucratie.
“Er hoeft geen nieuwe functie te worden gecreëerd en ook een uitgebreide compliance-afdeling is niet nodig”, vertelt Zwaan. “Evenmin gaat het om een beleidsdocument dat na oplevering in een digitale la verdwijnt. De kracht zit juist in het terugkerende proces waarin verantwoordelijkheden worden besproken, geëvalueerd en waar nodig aangepast.”
Voor veel agencies is zo’n lichte governance-structuur bovendien een logische voorbereiding op toekomstige eisen van klanten of certificeringen zoals ISO 27001. Niet omdat certificering direct noodzakelijk is, maar omdat veel van de benodigde basis al aanwezig is zodra verantwoordelijkheden, overlegmomenten en documentatie goed zijn georganiseerd.
Klein beginnen levert direct resultaat op
Volgens MNP Solutions is wachten op een aanleiding niet nodig. Er hoeft geen security-incident plaats te vinden of een grote klant aan te kloppen voordat governance waarde toevoegt.
Door verantwoordelijkheden toe te wijzen, een kwartaaloverleg in te plannen en afspraken vast te leggen, ontstaat binnen korte tijd een praktische structuur die meegroeit met de organisatie. Daarmee wordt security governance geen los project, maar een vanzelfsprekend onderdeel van de bedrijfsvoering.
“En juist dat maakt het verschil”, rondt Molenaar af: “Niet de omvang van het securityprogramma bepaalt de volwassenheid van een organisatie, maar de mate waarin verantwoordelijkheden duidelijk zijn belegd en aantoonbaar worden nageleefd.”
