Het model achter Kantyra: van signaal tot bewijs

Wie verantwoordelijk is voor informatiebeveiliging, jongleert al snel met losse lijstjes: een risicoregister hier, een normenkader daar, beleid op het intranet en bewijs in mappen en mailboxen. Elk lijstje klopt op zichzelf, en toch ontbreekt het overzicht. Daarom werkt Kantyra met één model dat alles verbindt, in vier fasen: signaleren, beoordelen, oplossen en aantonen.

Signaleren: de feiten uit de praktijk

Alles begint bij wat er werkelijk is en gebeurt. Je brengt je bedrijfsmiddelen en processen in kaart, je registreert je leveranciers met hun kritikaliteit, en je legt incidenten vast op het moment dat ze zich voordoen. Deze fase levert geen oordeel op; ze levert de feiten waarop elk oordeel moet rusten.

Beoordelen: weten waar je staat

Met de feiten op tafel kun je wegen. Je beoordeelt risico's op kans en impact, je bepaalt per norm-eis of je eraan voldoet, en je legt bij elke afweging een motivering vast. Het resultaat van deze fase is een eerlijk beeld: dit hebben we op orde, hier zit een gat, en dat gat heeft een eigenaar.

Oplossen: dekking die werkt

Elk gat verdient een oplossing die je kunt onderhouden. Dat is een beheersmaatregel met een effectiviteitstest, beleid met een goedkeuringsworkflow en een reviewcyclus, of een project voor wat er nog gebouwd moet worden. Voor risico's die je bewust accepteert bestaat de uitzondering: een formeel goedgekeurde afwijking met een einddatum, zodat accepteren nooit ongemerkt permanent wordt.

Aantonen: het bewijs op afroep

De laatste fase maakt het verschil bij elke audit en elke klantvraag. Omdat elk oordeel zijn motivering heeft en elke maatregel zijn bewijsstukken, is de Verklaring van Toepasselijkheid geen jaarlijkse reconstructie meer, maar een export. Wie erom vraagt, krijgt hem dezelfde dag.

De motor onder het model

Tussen de fasen draait een stille motor. Taken en automatische bewaking houden het model actueel: reviewdata, testdata en einddatums leiden vanzelf tot een seintje bij de juiste persoon. En de fasen voeden elkaar terug: een ernstig incident dwingt een herbeoordeling van het gekoppelde risico af, en een opgeleverd project wordt met één klik een actieve maatregel, met alle koppelingen erbij.

Zo wordt informatiebeveiliging geen project met een einddatum, maar een ritme dat blijft draaien. In de artikelen per fase werken we elk onderdeel verder uit.