Cybersecurity Terminologie
Een goed functionerend stelsel van informatiebeveiliging begint met een gemeenschappelijke taal. In veel organisaties blijkt in de praktijk dat begrippen als risico, dreiging, kwetsbaarheid, maatregel, controle, incident en gebeurtenis door verschillende teams en rollen anders worden geïnterpreteerd. Waar de ene afdeling met risico vooral financiële schade bedoelt, denkt een andere afdeling aan verstoring van dienstverlening of reputatieschade. Ook woorden als mitigeren, behandelen en accepteren worden niet altijd op dezelfde manier gebruikt. Dit lijkt op het eerste gezicht een detail, maar in de dagelijkse praktijk leidt het tot misverstanden in rapportages, onduidelijke besluiten in stuurgroepen en discussies over de reikwijdte van maatregelen.
De ISM Terminologie biedt hiervoor een gestructureerde oplossing door eenduidige definities vast te leggen voor de kernbegrippen van cybersecurity en informatiebeveiliging. Deze definities sluiten aan op de Nederlandse context, de Baseline Informatiebeveiliging Overheid (BIO) en de Nederlandse Baseline voor Veilige Cloud. Het uitgangspunt is dat een risico altijd wordt beschreven als de combinatie van een dreiging die een kwetsbaarheid kan uitbuiten, met een mogelijke impact op de organisatiedoelstellingen. Een dreiging is daarbij een potentiële gebeurtenis of actor die schade kan veroorzaken, terwijl een kwetsbaarheid gaat over een zwakte in processen, technologie of menselijk handelen die door die dreiging kan worden benut. Een maatregel of controle is vervolgens de georganiseerde respons van de organisatie om de kans, de impact of de detectie van een risico te beïnvloeden.
Door deze begrippen scherp te definiëren, ontstaat er een gezamenlijke basis die door bestuur, management, security officers, auditors, architecten en operationele beheerteams kan worden gebruikt. Beleidsdocumenten verwijzen naar dezelfde definities als architectuurrichtlijnen, risicoanalyses en auditrapporten. Dit maakt het eenvoudiger om conclusies uit verschillende onderzoeken met elkaar te vergelijken en om over meerdere jaren na te gaan of de organisatie daadwerkelijk professioneler is geworden in haar beveiligingsaanpak. Ook maakt het de communicatie met externe partijen, zoals toezichthouders, leveranciers en ketenpartners, transparanter, omdat er minder ruimte is voor interpretatieverschillen.
De ISM Terminologie gaat verder dan alleen een lijst met woorden. Bij elk begrip wordt niet alleen een korte definitie gegeven, maar ook de context waarin het begrip in de praktijk wordt gebruikt. Zo wordt bijvoorbeeld toegelicht hoe het begrip risico wordt toegepast in risicoregisters, in rapportages aan het management en in de besluitvorming over investeringen. Bij het begrip dreiging wordt beschreven hoe dreigingsinformatie van bijvoorbeeld het NCSC of sectorale CERTs kan worden vertaald naar concrete risico’s voor de eigen omgeving. Bij kwetsbaarheid wordt de link gelegd met technische kwetsbaarhedenscans, configuratiebeoordelingen en bewustwordingsprogramma’s voor medewerkers.
Daarnaast helpt een consistente terminologie bij de inrichting van tooling. In veel platforms voor risico- en compliancemanagement, security monitoring of ticketafhandeling wordt gebruikgemaakt van velden en categorieën die rechtstreeks teruggrijpen op de gebruikte begrippen. Als de organisatie geen uniforme definities hanteert, wordt het moeilijk om over verschillende systemen heen betrouwbare analyses te maken. Door de ISM Terminologie als uitgangspunt te nemen bij de inrichting van tooling, kunnen gegevens uit verschillende bronnen beter worden gecombineerd en ontstaat er een samenhangend beeld van de beveiligingspositie.
Ook voor opleiding en bewustwording biedt de ISM Terminologie belangrijke voordelen. Nieuwe medewerkers, externe specialisten en leveranciers kunnen sneller instromen wanneer zij een duidelijke en toegankelijke beschrijving hebben van de gebruikte begrippen binnen de organisatie. Opleidingsprogramma’s, e‑learningmodules en handreikingen voor management kunnen rechtstreeks verwijzen naar de terminologie, zodat iedereen dezelfde taal spreekt wanneer er wordt gesproken over risicoacceptatie, restrisico, mitigatieplannen of incidentrespons. Dit draagt direct bij aan de volwassenheid van de organisatie op het gebied van governance, risk en compliance.
Ten slotte ondersteunt de ISM Terminologie de overgang naar cloud- en SaaS‑diensten, zoals Microsoft 365 en Azure. In een cloudomgeving verschuiven verantwoordelijkheden tussen leverancier en afnemer en wordt het nog belangrijker om scherp te zijn op definities. Het moet helder zijn wat onder gedeelde verantwoordelijkheid wordt verstaan, welke risico’s door de cloudleverancier worden afgedekt en welke risico’s expliciet bij de overheidsorganisatie blijven. Door dezelfde begrippen systematisch te gebruiken in contracten, verwerkersovereenkomsten, architectuurbeschrijvingen en securitybaselines, wordt de governance rondom cloudbeveiliging aanzienlijk versterkt. De ISM Terminologie fungeert daarmee als ruggengraat voor alle documentatie binnen de Nederlandse Baseline voor Veilige Cloud.