Control framework

Een control framework is een gestructureerde verzameling van principes, richtlijnen, processen en maatregelen die een organisatie gebruikt om haar beveiligingsrisico's systematisch te identificeren, beoordelen en beheersen. Het biedt een raamwerk waarbinnen beveiligingsmaatregelen worden georganiseerd, geimplementeerd en getoetst. Zonder een control framework opereer je reactief en ad hoc, met een framework werk je proactief en gestructureerd aan informatiebeveiliging.

De bekendste control frameworks in cybersecurity zijn het NIST Cybersecurity Framework (CSF), ISO 27001/27002, de CIS Controls en COBIT. Elk framework heeft een eigen focus en doelgroep, maar ze delen een gemeenschappelijk doel: organisaties helpen om hun beveiligingsmaatregelen te structureren, te prioriteren en aantoonbaar effectief te maken. Veel organisaties combineren elementen uit meerdere frameworks om een aanpak te creeren die past bij hun specifieke situatie.

Waarom belangrijk

Een control framework biedt structuur in een domein dat zonder richting snel chaotisch wordt. Cybersecurity omvat honderden mogelijke maatregelen, van technische controls zoals firewalls en encryptie tot organisatorische maatregelen zoals beleid en training. Een framework helpt je om deze maatregelen te ordenen, prioriteiten te stellen en ervoor te zorgen dat je geen kritieke gebieden over het hoofd ziet.

Het NIST CSF 2.0 organiseert beveiligingsmaatregelen in zes kernfuncties: Govern, Identify, Protect, Detect, Respond en Recover. Deze functies dekken de gehele levenscyclus van cybersecurity af, van het identificeren van risico's tot het herstellen na een incident. ISO 27001 biedt een certifieerbare standaard met 93 controls gegroepeerd in vier thema's: organisatorisch, menselijk, fysiek en technologisch.

De CIS Controls bieden een geprioriteerde aanpak met achttien controlegroepen die zijn gerangschikt op effectiviteit. Dit maakt ze bijzonder geschikt voor organisaties die snel willen beginnen met de meest impactvolle maatregelen. De eerste zes CIS Controls, waaronder asset-inventarisatie, softwarebeheer en secure configuratie, bieden al een stevige basis tegen de meest voorkomende aanvallen.

Compliance is een andere drijfveer voor het adopteren van een control framework. Regelgeving zoals de NIS2-richtlijn, de AVG en sectorspecifieke normen vereisen dat organisaties aantoonbaar beveiligingsmaatregelen hebben getroffen. Een control framework biedt de structuur om aan deze eisen te voldoen en dit te documenteren voor toezichthouders en auditors.

Hoe toepassen

Begin met het selecteren van een control framework dat past bij de omvang, het risicoprofiel en de branche van je organisatie. Voor veel Nederlandse organisaties is ISO 27001 een logische keuze vanwege de internationale erkenning en de mogelijkheid tot certificering. Kleinere organisaties die snel willen starten, kunnen beter beginnen met de CIS Controls vanwege de praktische, geprioriteerde aanpak.

Voer een gap-analyse uit om te bepalen waar je organisatie staat ten opzichte van het gekozen framework. Inventariseer welke controls al zijn geimplementeerd, welke gedeeltelijk aanwezig zijn en welke volledig ontbreken. Gebruik de uitkomsten om een implementatieplan op te stellen met duidelijke prioriteiten, verantwoordelijkheden en tijdslijnen.

Implementeer de controls gefaseerd, te beginnen met de maatregelen die de grootste risicoreductie opleveren. In de CIS Controls zijn dit de basis-controls zoals het inventariseren van hardware en software, het configureren van systemen volgens hardening-standaarden en het implementeren van sterke authenticatie. Bij ISO 27001 begin je met het opzetten van het Information Security Management System (ISMS) en de risicobeoordeling.

Documenteer elke control: wat het doel is, hoe het is geimplementeerd, wie verantwoordelijk is en hoe de effectiviteit wordt gemeten. Deze documentatie is essentieel voor audits en certificeringen, maar dient ook als kennisbron voor het beveiligingsteam en als basis voor continue verbetering.

Meet en evalueer de effectiviteit van je controls periodiek. Een control framework is geen eenmalige implementatie maar een continu proces. Voer interne audits uit, test controls via vulnerability scans en penetratietests, en pas je maatregelen aan op basis van nieuwe dreigingen, incidenten en organisatieveranderingen. Gebruik de Plan-Do-Check-Act cyclus om je framework continu te verbeteren.

In de praktijk

Een middelgroot IT-bedrijf kiest voor ISO 27001 als control framework om zich te certificeren en zo het vertrouwen van klanten te vergroten. Het implementatietraject begint met een risicobeoordeling waarbij de belangrijkste dreigingen en kwetsbaarheden worden geidentificeerd. Op basis hiervan worden controls geselecteerd en geimplementeerd. Na zes maanden voorbereiding volgt een externe audit door een geaccrediteerde certificeringsinstantie. De certificering opent deuren naar overheidsaanbestedingen en grote enterprise-klanten die ISO 27001 als eis stellen.

Een zorginstelling adopteert de NEN 7510 als control framework, dat is gebaseerd op ISO 27001 maar specifiek is aangevuld voor de zorgsector. De norm bevat aanvullende controls voor het beschermen van patientgegevens, het waarborgen van de beschikbaarheid van zorgsystemen en het naleven van medische privacywetgeving. Door NEN 7510 systematisch te implementeren, voldoet de instelling aan zowel de sectorale eisen als de bredere AVG-verplichtingen.

Een gemeente start met de CIS Controls omdat het framework direct toepasbare, geprioriteerde maatregelen biedt. De IT-afdeling begint met Control 1 (inventarisatie van hardware) en ontdekt al direct dat er meer dan tweehonderd apparaten op het netwerk zijn aangesloten waarvan dertig procent onbekend is bij het beheerteam. Door eerst de basis op orde te brengen met de eerste zes CIS Controls, bouwt de gemeente een solide fundament waarop later meer geavanceerde maatregelen worden geimplementeerd.

Een financiele instelling combineert het NIST CSF met ISO 27001 en PCI DSS. Het NIST CSF fungeert als overkoepelend raamwerk voor de cybersecuritystrategie, ISO 27001 biedt de certificeerbare basis voor het managementsysteem, en PCI DSS dekt de specifieke eisen voor betalingsverwerking. Door de mapping tussen deze frameworks te documenteren, voorkomt de instelling dubbel werk en biedt ze een integraal beeld van haar beveiligingspositie aan verschillende toezichthouders.

Veelgestelde vragen

Welk control framework is het meest geschikt voor mijn organisatie?

Dit hangt af van je sector, omvang en doelen. ISO 27001 is de meest universele keuze en biedt certificeringsmogelijkheden. De CIS Controls zijn ideaal om snel te starten met praktische maatregelen. Het NIST CSF is bijzonder geschikt als strategisch raamwerk. Veel organisaties combineren elementen uit meerdere frameworks.

Is een control framework wettelijk verplicht?

Het gebruik van een specifiek framework is zelden wettelijk verplicht, maar de onderliggende eisen wel. De NIS2-richtlijn en de AVG vereisen passende beveiligingsmaatregelen. Een control framework biedt de structuur om aan deze eisen te voldoen en dit aantoonbaar te maken. In sommige sectoren, zoals de zorg (NEN 7510) of betaalverkeer (PCI DSS), is het gebruik van een specifiek framework wel verplicht.

Hoeveel controls moet een organisatie implementeren?

Dit varieert per framework en per organisatie. ISO 27001 bevat 93 controls waaruit je selecteert op basis van je risicobeoordeling. De CIS Controls bevatten achttien controlegroepen met in totaal 153 safeguards. Het is niet nodig om alles te implementeren. Start met de controls die de grootste risicoreductie bieden en breid gefaseerd uit.

Hoe verhoudt een control framework zich tot een risicoanalyse?

Een risicoanalyse identificeert de dreigingen en kwetsbaarheden van je organisatie. Het control framework biedt de maatregelen om die risico's te beheersen. Ze werken samen: de risicoanalyse bepaalt welke controls prioriteit krijgen, en het framework biedt de structuur om die controls te implementeren en te onderhouden.

Wil je een control framework implementeren? Vergelijk cybersecurityoplossingen voor governance, risk en compliance op IBgidsNL.