Hoe het Bestuur Cyber-Risico's Effectief kan Beheren en Beoordelen

In een organisatie is het de taak van het benoemings- en governancecomité om diverse factoren in overweging te nemen bij het invullen van vacatures in de raad van bestuur. Kennis van financiën, ervaring in de industrie en op globaal niveau, de wens om invloed uit te oefenen op belanghebbenden en andere specifieke vaardigheden zijn daarbij van belang. Toch hebben bedrijfs eigenaren en aandeelhouders aanzienlijke invloed op de samenstelling van de raad van bestuur. Dit betekent dat zij in wezen bepalen of een cyberdeskundige in de raad wordt opgenomen (Internet Security Alliance, 2020). Ongeacht of de beslissing wordt genomen om een cyberbeveiligingsexpert toe te voegen aan de raad, kunnen de leden van de raad andere middelen inzetten om kennis en inzichten op het gebied van cyberbeveiliging in de boardroom te brengen. Zo kan de raad bijvoorbeeld onafhankelijke en objectieve cyberbeveiligingsexperts uitnodigen voor diepgaande briefings, om de effectiviteit van de geïmplementeerde cyberbeveiligingsprogramma's te valideren. Daarnaast kunnen externe adviseurs, zoals auditors of extern juridisch advies, worden geraadpleegd voor bredere perspectieven op cyberrisico's (Hess & Morton, 2020; Internet Security Alliance, 2020).

De meeste leden van de raad zijn experts in hun vakgebied. Hoewel zij vaak over een hoog niveau van expertise beschikken in hun specifieke domein, moeten zij in staat zijn om een brede visie te hanteren bij de beheersing van ondernemingsbrede risico's, inclusief cyberaanvallen (Hess & Morton, 2020). Het is niet verplicht voor een onderneming om een cyberbeveiligingsexpert op de raad van bestuur te benoemen, maar het is van essentieel belang dat de leden van de raad begrijpen wie verantwoordelijk is voor het toezicht op cyberrisico’s binnen de organisatie. Dit toezicht kan liggen bij het bestuur, bij specifieke leden van het senior management of bij de gehele raad van bestuur (Aguilar, 2014; Hess & Morton, 2020; Internet Security Alliance, 2020). Dit toezicht dekt echter niet het beheer van cyberbeveiliging zelf, wat cruciaal is voor het voorkomen en verminderen van cyberinbraken. De leden van de raad moeten zich realiseren dat cyberrisico’s een aanzienlijk bedreiging vormen voor de belanghebbenden, omdat bedrijven zichzelf niet volledig kunnen beschermen tegen alle vormen van cyberaanvallen. Dit is te wijten aan de hoge mate van digitale interconnectie in de huidige wereld, die voortdurend verandert (Aguilar, 2014; Internet Security Alliance, 2020).

Volgens de National Association of Corporate Directors (2016) werd de kwaliteit van de cybersecurityinformatie die aan de raad van bestuur werd verstrekt, als de laagste beoordeeld in vergelijking met andere soorten informatie. Ongeveer 25% van de directeuren van beursgenoteerde bedrijven in de Verenigde Staten gaven aan niet tevreden te zijn met de kwaliteit van de door het senior management geleverde cybersecurityrapporten (National Association of Corporate Directors, 2016). Dit ongenoegen wordt vaak veroorzaakt door moeilijkheden bij het interpreteren van de informatie, het gebruik ervan om de algehele prestaties van de organisatie te evalueren en de onvoldoende transparantie over de prestaties van de organisatie (National Association of Corporate Directors, 2016, 2017). Cyberrisico’s en cybersecurity zijn relatief nieuwe disciplines in vergelijking met bijvoorbeeld financiële analyses, maar het bestuur moet duidelijke verwachtingen stellen aan het senior management over de indeling van de cybersecurityrapporten. De leden van de raad moeten ook de frequentie en de hoeveelheid details aangeven die het management moet opnemen, en het rapport dient in zakelijke termen geschreven te worden. Het is belangrijk dat de raad zich ervan bewust is dat er mogelijk enige inherente bias in de rapportages van het management aanwezig is, die de ware staat van het cyberrisico-omgeving kunnen bagatelliseren. Uit onderzoek blijkt bijvoorbeeld dat ongeveer 60% van de IT-medewerkers cyberrisico’s niet melden totdat deze moeilijk te mitigeren zijn of waarschijnlijk negatieve gevolgen zullen hebben (Internet Security Alliance, 2020). Daarom is het noodzakelijk dat de raad een cultuur van open en transparante communicatie bevordert, zodat cyberrisico’s effectief kunnen worden gerapporteerd en beheerd.

Het is voor de raad van bestuur belangrijk om duidelijke verwachtingen te stellen voor het senior management en ervoor te zorgen dat een brede, organisatie-overstijgende aanpak wordt toegepast bij het beheren van cyberrisico’s. De raad moet een goed inzicht hebben in de specifieke risico’s waarmee het bedrijf wordt geconfronteerd en over de benodigde middelen beschikken om deze risico’s te beperken. Het succes van de organisatie kan alleen worden gegarandeerd als de raad van bestuur goed geïnformeerd is over het specifieke risicoprofiel en de cyberdreigingen waarmee het bedrijf te maken heeft (Hess & Morton, 2020).

Hoe het C-Suite-beleid voor het Bewaken van Interne Bedreigingen kan worden Vormgegeven

Aan de andere kant zijn er ook senior executives die van mening zijn dat het beter is om deze informatie niet te onthullen. Zij veronderstellen dat werknemers met kwaadwillige bedoelingen het risico lopen om gepakt te worden als ze niet weten wat het bedrijf precies kan monitoren. In dit geval biedt het niet onthullen van de monitoringcapaciteiten een strategisch voordeel, omdat het voor kwaadwillige insiders moeilijker wordt om hun acties te verbergen. De uitdaging voor het C-suite ligt in het bepalen of het potentieel om positieve gedragsverandering te bewerkstelligen door transparantie opweegt tegen de risico’s van medewerkers die pogingen ondernemen om de controles te omzeilen.

Het vaststellen van procedures voor het onderzoeken en herstellen van niet-kritieke overtredingen is een andere cruciale stap voor het C-suite. Dit voorkomt dat het management wordt overspoeld door valse positieve signalen en maakt het mogelijk om zich te concentreren op de ernstigere gevallen. Automatische systemen voor het corrigeren van niet-kritieke overtredingen kunnen helpen om de werkdruk van het C-suite te verlichten. Deze systemen kunnen eenvoudige waarschuwingen sturen naar de medewerkers om hen bewust te maken van de risico’s van hun gedrag. Als een situatie escaleert naar een ernstige overtreding, kan het C-suite maatregelen nemen, zoals het beëindigen van sessies of het isoleren van informatie, waarna compliance-officieren verder handelen om ongeautoriseerd gedrag te stoppen.

Het is echter van belang te beseffen dat niet alle incidenten eenvoudig te voorspellen zijn, zelfs met uitgebreide monitoring en voorzorgsmaatregelen. Soms kunnen meldingen van buitenaf of incidenten die niet direct met digitale middelen te maken hebben, wijzen op een potentieel gevaar. Bijvoorbeeld, een werknemer die in een gesprek zijn onvrede over de organisatie uit of een klokkenluider die vertrouwelijke bedrijfsinformatie op een andere locatie heeft gezien, kan een aanwijzing zijn dat er iets ernstigs aan de hand is. In dergelijke gevallen is een grondig onderzoek door het C-suite essentieel, waarbij geavanceerde beleidsmaatregelen en protocollen voor digitale misdrijven kunnen helpen om verdachte activiteiten snel te identificeren.

Bij het bepalen of en hoe te onderzoeken, is het voor het C-suite van belang een afgewogen beslissing te nemen. Dit kan variëren van het verzamelen van digitale gegevens tot het uitschakelen van een medewerker uit het systeem om de verdere verspreiding van vertrouwelijke informatie te voorkomen. Het C-suite moet hierbij wel rekening houden met de praktische beperkingen van de situatie, aangezien niet altijd alle overtredingen te voorzien zijn.