Moet het bestuur cyberrapportages van IT krijgen of van buiten?
Van allebei, voor verschillende doelen. Interne rapportages van IT of de beveiligingseigenaar geven het vaste beeld: kengetallen, openstaande punten en benodigde besluiten. Een onafhankelijke blik, van een auditor, een penetratietest of een externe adviseur, controleert elke een à twee jaar of dat beeld klopt. Wie alleen op interne rapportages vertrouwt, laat de verantwoordelijken hun eigen werk nakijken; wie alleen op externe vertrouwt, heeft lange periodes tussen momentopnames. Vraag beide om dezelfde paar kengetallen, zodat hun bevindingen vergelijkbaar zijn. Laat het bestuur waar mogelijk ook ruw bewijs zien, zoals een alertrapport, niet alleen dia's. NetSenX-rapporten komen uit uw eigen netwerkverkeer en kunnen beide soorten review ondersteunen, maar dekken alleen wat de sensoren bewaken.
Algemene informatie, geen juridisch advies. Nationale wetten kunnen de hier aangehaalde EU-teksten aanvullen, bijvoorbeeld met termijnen, formulieren of meldkanalen: controleer de regels van uw eigen land.
Lees verder
Gerelateerde vragen
- Hoe weten we of onze IT-dienstverlener goed werk levert op beveiliging?
- Wie moet antwoorden op beveiligingsvragenlijsten van klanten goedkeuren?
- Hoe leggen we een cyberincident uit aan klanten en de pers?
- Moeten we medewerkers informeren over een cyberincident?
- Wat is een tabletop-oefening, en moet het bestuur meedoen?
← Alle 40 vragen over Voor bestuur en financiënAlle onderwerpen