“Het was een best-ver-van-ons-bed-show”
Bas van Breugel kijkt inmiddels heel anders naar informatiebeveiliging dan een aantal jaren geleden. “Het heeft onze ogen geopend. Het gaat voor ons vooral om bewustwording. Dat je bewust bent van de gegevens waarmee je werkt en waarom je daar zorgvuldig mee om moet gaan.”
Hij legt uit waarom ISO 27001 voor GACOM relevant is. “Wij werken met informatie die iets zegt over de beveiliging van een gebouw. Denk aan technische tekeningen, plattegronden en gegevens over waar melders, camera’s of toegangsdeuren zitten. Dat is informatie die je niet zomaar wilt laten rondgaan. Klanten vertrouwen ons die gegevens toe, dus daar gaan we erg zorgvuldig mee om.” Toch was ISO 27001 in het begin geen vanzelfsprekend onderwerp binnen de organisatie. “Het was voor ons best een ver-van-ons-bed-show,” vertelt Bas. “Daar hadden we begeleiding bij nodig.” De aanleiding kwam vanuit een klantvraag. Opdrachtgevers wilden steeds vaker weten hoe GACOM omging met informatiebeveiliging. “Harold kende ik via via en ik wist dat Conformiso ons hierin kon begeleiden,” vertelt Bas.
Zijn eigen rol tijdens de implementatie omschrijft hij met een glimlach: “Helemaal niks. Daar hebben we juist begeleiding voor gezocht.”
Van een klantvraag naar een vaste manier van werken
Wat begon als een certificeringstraject, werd bij GACOM steeds meer onderdeel van het dagelijkse werk. Dat is volgens Bas ook precies waar ISO 27001 waarde krijgt. “Je denkt beter na over dingen die anders heel normaal lijken,” vertelt Bas. “Laat je je laptop zomaar ergens liggen? Kijk je goed wie de afzender van een mail is?”
Dat zijn geen ingewikkelde maatregelen. Het zit vaak in de dagelijkse praktijk. Wie heeft toegang tot klantinformatie? Waar sla je bestanden op? En hoe deel je documenten veilig? Bas: “Wij werken dagelijks met technische tekeningen, plattegronden en klantgegevens. Daarop staat bijvoorbeeld waar brandmelders, camera’s, toegangscontrole of andere beveiligingssystemen in een pand zitten. Dat is informatie waar je zorgvuldig mee om moet gaan. Je wilt weten wie erbij kan en hoe je voorkomt dat gegevens op de verkeerde plek terechtkomen. Het begint echt met bewustwording, daar draait het allemaal om.”
“Je wil alle mensen meenemen”
Een ISO 27001-certificering raakt de hele organisatie. Niet alleen de directie of de IT-omgeving. Iedereen werkt met informatie en iedereen heeft daar dus een rol in. “Het heeft best wat voeten in de aarde gehad,” zegt Bas. “Je wilt alle mensen meenemen. En daarna wil je ze ook betrokken houden.”
Daarom keek GACOM niet alleen naar documenten en systemen, maar vooral naar het dagelijks werk. Hoe gaan medewerkers om met klantinformatie? Waar slaan ze bestanden op? Hoe delen ze documenten veilig? En wat doe je als er iets misgaat? Bas noemt het beheer van laptops als praktisch voorbeeld. GACOM kan apparaten op afstand beheren. Wordt een laptop gestolen, dan kan de informatie op afstand worden gewist. “Je wil natuurlijk voorkomen dat je een dusdanige handeling moet uitvoeren, dus dat maakt het zo belangrijk om bewustwording te blijven behouden,” vertelt Bas. “Daarom zorgen we dat medewerkers trainingen volgen, zodat het blijft leven.”
