Beheersmaatregelen: wat zijn het en hoe gebruik je ze?

Wat is een beheersmaatregel?

Een beheersmaatregel, in het Engels: "control", is een concrete maatregel die je neemt om een risico te beheersen, aan een norm vereiste te voldoen, of naleving aan te tonen. Het gaat dus niet om abstracte intenties, maar om zaken in je organisatie die je daadwerkelijk doet of ingeregeld hebt.

Voorbeelden van beheersmaatregelen van ISO 27001:

• "Toegangslogs worden wekelijks beoordeeld door de systeembeheerder"
• "Alle data in rust is versleuteld met AES-256"
• "Nieuwe medewerkers ronden de security awareness-training af binnen 30 dagen na indiensttreding"

Elke maatregel is aantoonbaar. Dat is wat beheersmaatregelen onderscheidt van goede bedoelingen. Een auditor wil niet horen dat je "aandacht besteedt aan toegangsbeheer". Die wil de logs zien, de policy lezen, de trainingsrecords bekijken.

Maatregelen zitten op de implementatielaag onder een frameworkvereiste. Het framework vertelt je wát je moet doen. De beheersmaatregel is de concrete invulling van hóé jij dat doet in jouw organisatie.

Technische, organisatorische en fysieke maatregelen

Beheersmaatregelen worden ingedeeld naar type:

Technische maatregelen zijn ingeregeld in systemen en infrastructuur. Denk aan firewalls, encryptie, multifactorauthenticatie (MFA), toegangsbeheer, logging en patching. Ze kunnen grotendeels automatisch werken zodra ze zijn geconfigureerd en bijgehouden worden in Tidal.

Organisatorische maatregelen gaan over hoe mensen werken. Beleid en procedures, functieomschrijvingen, security awareness-trainingen, achtergrondscreenings van medewerkers. Ze vereisen bewuste naleving en regelmatige herziening.

Fysieke maatregelen beschermen de fysieke omgeving. Toegangsbadges voor serverruimten, camerabewaking, een clean desk-beleid, veilige vernietiging van hardware. Minder zichtbaar in digitale compliancetrajecten, maar zeker relevant voor ISO 27001.

Preventief, detectief en correctief

Naast het type kun je maatregelen ook indelen naar functie:

Preventieve maatregelen voorkomen dat iets misgaat. MFA voorkomt ongeautoriseerde toegang. Een wachtwoordbeleid voorkomt zwakke credentials. Clean desk voorkomt informatielekken via achtergelaten documenten.

Detectieve maatregelen signaleren wanneer iets misgaat of al is misgegaan. Loginmonitoring, auditlogs, inbraakdetectiesystemen. Ze stoppen het incident niet, maar zorgen dat je het snel genoeg ziet.

Correctieve maatregelen helpen herstellen na een incident. Een incidentresponsproces, een back-upstrategie, een herstelplan. Goed ingerichte correctieve maatregelen bepalen hoe snel je na een verstoring weer operationeel bent.

Een volwassen beveiligingsprogramma heeft alle drie. Alleen preventief redeneren is gevaarlijk, want je gaat er dan vanuit dat niets doorkomt. Detectie en respons zijn de vangvloer.

Hoe maatregelen werken binnen een framework

Frameworks schrijven voor welke onderwerpen je moet afdekken. Beheersmaatregelen zijn jouw concrete antwoord daarop.

ISO 27001 is hier het meest gebruikte voorbeeld. Bijlage A van de standaard (Annex A) bevat 93 beheersmaatregelen, verdeeld over 4 domeinen: organisatorische maatregelen, persoonsmaatregelen, fysieke maatregelen en technologische maatregelen. Die 93 maatregelen dek je niet allemaal verplicht in. Je doet een risicoanalyse en selecteert op basis daarvan welke maatregelen relevant zijn voor jouw organisatie, jouw omgeving en jouw risico's.

Elke maatregel die je niet toepast, moet je kunnen verantwoorden. Daarvoor gebruik je de Verklaring van Toepasselijkheid (VvT). Die VvT is een centraal document dat per maatregel bijhoudt of die van toepassing is, of die geïmplementeerd is in de organisatie, en waarom je bepaalde maatregelen hebt uitgesloten. Een auditor begint hier.

Eén risico vraagt vaak om meerdere maatregelen tegelijk. Het risico "ongeautoriseerde toegang tot klantdata" vraag je niet weg met alleen MFA. Je combineert dat met toegangsbeheerbeleid, logreview en incidentrespons. En omgekeerd: één maatregel kan meerdere risico's tegelijk adresseren. Dat is efficiënter werken en managen, zeker als je meerdere frameworks beheert via één GRC-aanpak.

Wat een goede maatregel maakt

Niet elke maatregel die op papier staat, werkt in de praktijk. Een goede beheersmaatregel voldoet aan vier criteria:

Concreet. "We letten op beveiliging" is geen maatregel. "Privileged accounts worden maandelijks gereviewd door de CISO" wel. Hoe specifieker de omschrijving, hoe makkelijker het is om hem te implementeren én te toetsen.

Eigenaarschap. Elke maatregel heeft een eigenaar. Iemand die verantwoordelijk is voor de uitvoering en voor het verzamelen van bewijs. Een maatregel zonder eigenaar zweeft rond. Het wordt niet geüpdate, niet uitgevoerd en niet bewezen.

Aantoonbaar. Je legt niet zomaar vast dat een maatregel "op z'n plek" is. Je bouwt bewijs op: logs, reviewverslagen, configuratieschermafbeeldingen. Een auditor vraagt niet alleen of je de maatregel hebt, maar om het bewijs dat het ook werkt.

Proportioneel. De maatregel moet passen bij het risico en bij de volwassenheid van jouw organisatie. Een kleine organisatie die 93 Annex A-maatregelen implementeert zonder prioriteit, maakt het zichzelf onnodig moeilijk. Begin met de maatregelen die de grootste risico's adresseren.

Veelgemaakte fouten bij beheersmaatregelen

In de praktijk gaan organisaties op dezelfde manieren de mist in.

Maatregelen kiezen zonder risicoanalyse. Beheersmaatregelen zijn geen willekeurige best-practicelijst. Ze zijn jouw antwoord op geïdentificeerde risico's. Wie begint met het invullen van Annex A zonder eerst te weten welke risico's er zijn, werkt achterstevoren.

Papieren maatregelen. Een maatregel die op papier bestaat maar in de praktijk niet werkt. Dit is de zogenoemde "papieren werkelijkheid" en is een van de snelste manieren om een audit te laten mislukken. Auditors herkennen ze direct. Ze vragen niet alleen naar het beleidstuk, maar ook naar bewijs dat deze wordt is geaccepteerd en wordt nageleefd.

Geen eigenaarschap. "We hebben een toegangsbeheerbeleid" klinkt goed. Maar wie is verantwoordelijk? Wie zorgt dat het jaarlijks gereviewd wordt? Wie verzamelt het bewijs dat het nog steeds goed staat? Als het antwoord op die vragen onduidelijk is, bestaat de maatregel alleen op papier of in het hoofd van de security officer.

Te veel maatregelen voor de organisatievolwassenheid. Beter 30 maatregelen die echt werken dan 93 die half zijn geïmplementeerd. Een audit op een maatregel die niet helemaal staat, is een bevinding. Prioriteer op risico, bouw stap voor stap uit en breid pas uit als de basis staat.

Beheersmaatregelen in de praktijk beheren

Eén maatregel beheren is overzichtelijk. Tien maatregelen ook nog wel. Maar zodra je richting de twintig, dertig of meer gaat met eigenaren verspreid over teams, meerdere frameworks en periodieke reviewverplichtingen, dan verliest een spreadsheet vaak de grip.

In de praktijk betekent goed controlsbeheer:

• Eigenaarschap per maatregel vastleggen en zichtbaar maken
• Bewijs continu verzamelen, niet alleen vlak voor een audit
• Reviewdata bijhouden zodat je weet wanneer iets voor het laatst is beoordeeld
• Maatregelen koppelen aan de frameworks en risico's die ze afdekken

Tidal Control's platform is de plek die precies dit centraliseert. Per framework, per domein, met toegewezen eigenaren en bijgevoegd bewijs. Zo wordt de review van maatregelen een doorlopend proces in plaats van een sprint van twee weken voor je certificeringsaudit.

Veelgestelde vragen over beheersmaatregelen

Wat is het verschil tussen een beheersmaatregel en een beleidsregel?

Een beleidsregel beschrijft wat jouw organisatie wil of vereist. Een beheersmaatregel is de concrete actie of configuratie die die eis invult. Het beleid zegt: "Toegang tot systemen is beperkt op basis van het need-to-know-principe." De maatregel is: "Toegangsrechten worden kwartaalsgewijs gereviewd door de systeemeigenaar en gedocumenteerd in het ITSM-systeem." Beleid is de intentie, de maatregel is de uitvoering.

Moet ik alle 93 Annex A-maatregelen uit ISO 27001 implementeren?

Nee. ISO 27001 vereist dat je een risicoanalyse doet en op basis daarvan maatregelen selecteert. Maatregelen die je niet toepast, hoef je niet te implementeren. Echter, je moet wel documenteren waarom ze niet van toepassing zijn. Dat doe je in de Verklaring van Toepasselijkheid.

Hoe toon ik aan dat een maatregel werkt?

Door bewijs te verzamelen en bij te houden. Afhankelijk van de maatregel is dat een logbestand, een trainingsregistratie, een reviewverslag, een configuratiescherm of een ondertekend document. Het bewijs laat zien dat de maatregel niet alleen bestaat op papier, maar ook in de praktijk werkt.

Hoe vaak moet ik maatregelen reviewen?

Dat verschilt per maatregel en per framework, maar als vuistregel geldt: minimaal jaarlijks, en direct na een significante wijziging in systemen, processen of risico's. ISO 27001 vereist dat het ISMS, inclusief de maatregelen, periodiek onafhankelijk wordt beoordeeld.

Wat is het verschil tussen een beheersmaatregel en een risicocontrol?

In de praktijk worden de termen door elkaar gebruikt. Technisch gezien is een risicocontrol de bredere categorie, elke maatregel die een risico beïnvloedt. Een beheersmaatregel is de concrete implementatie. De meeste ISO 27001-implementaties gebruiken "beheersmaatregel" als de gangbare term voor wat in de standaard "control" heet.

Niet zeker waar te beginnen?

Doe de gratis Quickscan → en ontdek in vijf minuten waar jouw organisatie staat en wat je als eerste kunt aanpakken.