Nexsure Security

Waardering zit ‘m niet altijd in een rapport, certificaat, vinkje op een lijst of een afgerond project. Soms zit het in het moment dat je merkt: dit werkt gewoon goed samen. De afgelopen periode hebben we met meerdere organisaties intensief samengewerkt aan het verbeteren van hun informatiebeveiliging. Niet door er “even een norm overheen te leggen”, gewoon een audit te doen of puur advies te geven. Juist door samen te onderzoeken wat er nu écht speelt en welke risico’s daarbij horen. Dat zijn gesprekken over risico’s. Over keuzes. Over wat past bij een organisatie en wat niet. Dat zijn niet altijd makkelijke gesprekken. Ze vragen vertrouwen, openheid en soms ook het loslaten van hoe het “altijd” ging. Maar juist daar ontstaan overzicht, rust en betere keuzes. Deze met zorg uitgekozen gepersonaliseerde flessen zijn daar een klein symbool van. Geen marketingactie of feestdagentruc, maar een teken van waardering voor de samenwerking, het wederzijds vertrouwen en de resultaten die je samen boekt. Soms is dat genoeg. Proost!

“𝗪𝗲 𝗵𝗮𝗱𝗱𝗲𝗻 𝗱𝗲 𝗶𝗻𝘁𝗲𝗿𝗻𝗲 𝗮𝘂𝗱𝗶𝘁 𝘃𝗼𝗼𝗿 𝗜𝗦𝗢𝟮𝟳𝟬𝟬𝟭 𝘇𝗲𝗹𝗳 𝘂𝗶𝘁𝗴𝗲𝘃𝗼𝗲𝗿𝗱, 𝗺𝗮𝗮𝗿 𝗸𝗿𝗲𝗴𝗲𝗻 𝘁𝗼𝗰𝗵 𝗲𝗲𝗻 𝗮𝗳𝘄𝗶𝗷𝗸𝗶𝗻𝗴 𝘁𝗶𝗷𝗱𝗲𝗻𝘀 𝗱𝗲 𝗲𝘅𝘁𝗲𝗿𝗻𝗲 𝗮𝘂𝗱𝗶𝘁” Soms komen we dat helaas tegen. Zo ook laatst bij een van onze klanten.  Ze hadden de externe ISO27001 certificeringsaudit gehad en kregen daarin een afwijking op de interne audit die ze zelf hadden uitgevoerd. Niet omdat het niet professioneel uitgevoerd was. Niet omdat er geen inhoudelijke kennis was. Niet omdat er geen betrokkenheid was. En ook niet omdat het werk slecht was. Maar omdat de interne audit niet onafhankelijk was genoeg uitgevoerd. Het betrof een kleinere organisatie en ze hadden dit nog niet eerder gedaan, waardoor ervaring ontbrak. Daarom vroegen ze ons om de interne audit opnieuw uit te voeren. Onafhankelijk. Met aantoonbare kennis en ervaring. Tijdens de audit en de gesprekken met de auditees gebeurde er iets moois. Naast het stellen van auditvragen, deelde ik mijn eigen ervaringen en inzichten waar dat passend was. Ik dacht mee met de organisatie en stelde vragen als: -              Waarom hebben jullie deze maatregel zo ingericht? -              Welke risico’s proberen jullie hiermee te beheersen? -              Wat is hier écht van belang voor jullie organisatie? -              Is deze maatregel in jullie situatie wel van toepassing? En toen begrepen ze het. Niet omdat ik “de auditor” was, maar omdat het gesprek inhoudelijk werd, omdat er werd meegedacht over hoe het ook kan en vooral hoe het beter kan werken voor dèze organisatie. En ja, dat is wat je als externe interne auditor wél kunt doen;-) Geen vinkjes.  Geen trucjes.  Gewoon samen kijken: Wat doen jullie? Waarom doen jullie het zo? Past het bij jullie risico’s? En past het binnen de kaders waar je aan moet voldoen? De uitkomst? Meer kennis in de organisatie. Meer inzicht in hoe een goede interne audit werkt En meer inzicht in hoe het ook kan. Maar vooral: rust en vertrouwen. Rust en vertrouwen richting de volgende audit en de verificatie van de afwijkingen. Rust en vertrouwen omdat nu wel onafhankelijk naar de stand van het ISMS was gekeken, maar ook omdat duidelijk werd waar ze goed bezig waren en waar nog wat bijsturing nodig was. Binnen ISO27001 voelt de interne audit helaas vaak als een verplicht nummer. Stiekem is dat ook wel een beetje zo, maar het is óók een mooi moment om écht goed naar de organisatie te kijken en daarvan te leren. Dat is precies waar we bij Nexsure Security voor staan. Geen poespas, geen bangmakerij of lastige taal. Wel inhoud die begrijpelijk wordt gemaakt. Wel meedenken. En gesprekken die iets opleveren;-) 𝙃𝙚𝙧𝙠𝙚𝙣𝙗𝙖𝙖𝙧? 𝙊𝙛 𝙥𝙖𝙠𝙠𝙚𝙣 𝙟𝙪𝙡𝙡𝙞𝙚 𝙞𝙣𝙩𝙚𝙧𝙣𝙚 𝙖𝙪𝙙𝙞𝙩𝙨 𝙝𝙚𝙚𝙡 𝙖𝙣𝙙𝙚𝙧𝙨 𝙖𝙖𝙣?

Nexsure Security. Ruim twee maanden geleden zijn we daarmee gestart. Niet met een groot plan op papier. Geen gelikte pitch. Geen super strakke overdachte uitingen. Wel met een duidelijke reden en visie:  Organisaties (groot én klein) écht helpen bij het identificeren en beheersen van de risico’s die er daadwerkelijk toe doen. In vrijwel elke organisatie die ik de afgelopen jaren heb mogen helpen zag ik dezelfde patronen terugkomen: - Cybersecurity is “iets van IT”.  - Cybersecurity is ingewikkeld.  - En vooral: Waar moeten we beginnen met cybersecurity? Vaak was er weinig inzicht in wat er al was ingericht, welke risico’s er echt speelden en wie uiteindelijk de keuzes maakte. - Welke risico’s hebben we?  - Welke risico’s accepteren we?  - Welke niet? - En waarom eigenlijk? Zonder duidelijke antwoorden op die vragen is er meestal ook geen echt eigenaarschap. En zonder eigenaarschap wordt een risico zelden goed beheerst. Het gaat dan ook niet vaak mis door de techniek. Als het eenmaal is ingericht staat dat meestal wel redelijk goed. Waar het vaak wel misgaat, is het gesprek. Vanuit Nexsure Security helpen we organisaties juist dát gesprek te voeren. Met de juiste mensen aan tafel. Welke risico’s hebben we, wat is acceptabel en wat niet? Wat past bij de organisatie en wat niet? Zonder poespas, zonder buzzwords. Gewoon in begrijpelijke taal.  Geen bangmakerij. Wel transparant, eerlijk en meedenkend. Cybersecurity moet werken voor jouw organisatie, je bedrijfsdoelstellingen ondersteunen en er simpelweg  voor zorgen dat je informatie veilig is. Benieuwd naar hoe wij daar in de praktijk invullen aan geven? Blijf ons volgen.