Best practice

Een best practice is een bewezen werkwijze of methode die door de vakgemeenschap wordt erkend als de meest effectieve aanpak voor een specifiek vraagstuk. Binnen cybersecurity verwijst de term naar beveiligingsmaatregelen, configuraties en processen die in de praktijk hebben aangetoond dat ze effectief beschermen tegen dreigingen. Best practices worden ontwikkeld en onderhouden door organisaties als het NCSC, NIST, CIS en ENISA, en vormen de basis voor beveiligingsstandaarden en frameworks die wereldwijd worden toegepast door organisaties van elke omvang.

Het belang van best practices in cybersecurity kan niet worden onderschat. Het dreigingslandschap verandert voortdurend, maar veel succesvolle aanvallen maken gebruik van bekende kwetsbaarheden en configuratiefouten die met bestaande best practices voorkomen hadden kunnen worden. Denk aan het gebruik van sterke wachtwoorden, het tijdig installeren van beveiligingsupdates, het toepassen van het least privilege-principe, en het segmenteren van netwerken. Deze maatregelen zijn niet nieuw, maar organisaties die ze consequent toepassen zijn aanzienlijk weerbaarder dan organisaties die dat niet doen. Het verschil tussen een veilige en kwetsbare organisatie zit vaak niet in geavanceerde technologie maar in het consistent naleven van bewezen werkwijzen.

Hoe implementeer je best practices? Stappen

Het implementeren van cybersecurity best practices begint met het in kaart brengen van de huidige situatie. Je voert een gap analyse uit om te bepalen waar de organisatie afwijkt van erkende best practices. Dit geeft een helder overzicht van de verbeterpunten en helpt bij het prioriteren van maatregelen op basis van risico en impact. Zonder deze nulmeting loop je het risico dat je middelen inzet op gebieden die al goed zijn ingericht terwijl kritieke zwakheden onopgemerkt blijven.

Vervolgens selecteer je het framework of de best practice set die het beste past bij de organisatie. Het Digital Trust Center van het Ministerie van Economische Zaken biedt een praktisch startpunt met de vijf basisprincipes van veilig digitaal ondernemen. Voor organisaties die verder willen, bieden de CIS Controls een gestructureerde set van prioritaire beveiligingsmaatregelen. En voor organisaties die een compleet managementsysteem willen inrichten, is ISO 27001 de internationale standaard die het gehele spectrum van informatiebeveiliging afdekt.

De derde stap is de implementatie zelf. Begin met de maatregelen die het grootste risico adresseren en het snelst te implementeren zijn, de zogenaamde quick wins. Denk aan het activeren van multi-factor authenticatie, het aanscherpen van het wachtwoordbeleid, en het inrichten van automatische updates voor besturingssystemen en applicaties. Werk vervolgens toe naar meer complexe maatregelen zoals netwerksegmentatie, security monitoring, en incident response procedures die meer tijd en resources vereisen.

Tot slot is het onderhouden van best practices een continu proces. Beveiligingsmaatregelen die vandaag effectief zijn, kunnen morgen achterhaald zijn door nieuwe aanvalstechnieken of veranderingen in de technologische omgeving. Plan regelmatige reviews in waarbij je de geimplementeerde maatregelen toetst aan de laatste versies van de relevante frameworks en standaarden. Zorg ook dat nieuwe medewerkers worden getraind in de geldende best practices en dat bestaande medewerkers regelmatig worden bijgeschoold over actuele dreigingen.

Wanneer pas je best practices toe?

Best practices moeten vanaf het begin van elk IT-project worden meegenomen. Dit geldt voor het ontwerpen van nieuwe systemen (security by design), het configureren van servers en netwerkapparatuur (hardening), het ontwikkelen van software (secure coding), en het inrichten van bedrijfsprocessen. Hoe eerder je best practices integreert in het ontwikkelproces, hoe lager de kosten voor aanpassingen en hoe effectiever de bescherming op lange termijn.

Bij veranderingen in de IT-omgeving is het toepassen van best practices extra belangrijk. Migraties naar de cloud, de introductie van nieuwe applicaties, fusies en overnames, en de overgang naar hybride werken brengen nieuwe risico's met zich mee. Door bij elke verandering de relevante best practices te raadplegen en toe te passen, voorkom je dat er beveiligingsgaten ontstaan die aanvallers kunnen exploiteren.

Compliance-frameworks verwijzen regelmatig naar best practices als maatstaf voor passende beveiliging. Onder de AVG wordt verwacht dat je "passende technische en organisatorische maatregelen" treft, en best practices uit erkende frameworks worden door toezichthouders gezien als invulling hiervan. Bij audits voor ISO 27001 of NIS2 wordt getoetst of de organisatie best practices volgt en kan aantonen dat deze effectief zijn geimplementeerd en worden onderhouden.

Wat kosten best practices?

De kosten van het implementeren van best practices varieren enorm, van gratis tot honderdduizenden euro's, afhankelijk van de maatregel en de omvang van de organisatie. Veel fundamentele best practices, zoals het activeren van MFA, het instellen van sterke wachtwoorden, en het bijhouden van software-updates, zijn nagenoeg gratis of vereisen minimale investering. Deze basismaatregelen bieden al een aanzienlijke verbetering van het beveiligingsniveau.

Complexere best practices vereisen meer investering. Het opzetten van netwerksegmentatie, het implementeren van een SIEM-systeem, of het inrichten van een security operations center brengt substantiele kosten met zich mee. Reken op 10.000 tot 100.000 euro voor middelgrote organisaties, afhankelijk van de scope en de gekozen oplossingen. Het inhuren van een security consultant om best practices te implementeren kost doorgaans tussen 1.000 en 2.000 euro per dag.

De kosten van het niet volgen van best practices zijn echter vele malen hoger. Volgens het IBM Cost of a Data Breach Report bedragen de gemiddelde kosten van een datalek wereldwijd 4,45 miljoen dollar. Organisaties die aantoonbaar best practices implementeren, rapporteren lagere incidentkosten en snellere hersteltijden na een beveiligingsincident. De investering in best practices is daarmee niet alleen een beveiligingsmaatregel, maar ook een financiele risicomitigatie die zich op termijn altijd terugverdient.

Veelgestelde vragen over best practice

Wat zijn de vijf basisprincipes van veilig digitaal ondernemen?

Het Digital Trust Center noemt vijf basisprincipes: inventariseer kwetsbaarheden, kies veilige instellingen, voer updates uit, beperk toegang, en voorkom virussen en andere malware. Deze principes vormen het minimale startpunt voor elke organisatie die serieus met cybersecurity aan de slag wil gaan.

Wat is het verschil tussen een best practice en een standaard?

Een best practice is een aanbevolen werkwijze gebaseerd op ervaring en bewezen effectiviteit. Een standaard is een formeel vastgelegd geheel van eisen waaraan een organisatie kan worden getoetst en gecertificeerd. Best practices vormen vaak de inhoudelijke basis voor standaarden, maar een standaard voegt een formeel kader en certificeringsmogelijkheid toe.

Zijn best practices verplicht?

Best practices zijn niet juridisch verplicht, maar het niet volgen ervan kan wel juridische consequenties hebben. Bij een datalek beoordeelt de Autoriteit Persoonsgegevens of je "passende maatregelen" hebt getroffen. Als je achterblijft bij gangbare best practices, vergroot dat het risico op boetes en aansprakelijkheid aanzienlijk.

Hoe blijf je op de hoogte van nieuwe best practices?

Volg publicaties van het NCSC, CIS, NIST en ENISA. Schrijf je in voor security-nieuwsbrieven en sluit je aan bij vakgroepen of ISAC's in jouw sector. Het Digital Trust Center biedt specifiek voor het Nederlandse MKB actuele en praktische adviezen over cybersecurity best practices.

Welke best practice heeft de grootste impact?

Multi-factor authenticatie wordt breed gezien als de best practice met de grootste impact ten opzichte van de investering. Volgens Microsoft voorkomt MFA meer dan 99 procent van de accountovernames. Combineer dit met tijdige patching en security awareness training voor een sterke basisbescherming.

Verbeter de beveiliging van je organisatie. Vergelijk Risk Assessment diensten op IBgidsNL.