Centered Cybersecurity (NL): Toegankelijke inzichten in cybersecurity, governance en audit

Hoeveel zekerheid bieden een ISO 27001-certificaat, positieve auditresultaten en geteste beveiligingsmaatregelen over de werking van de organisatie als geheel?
In deze 50ste aflevering van Centered Cybersecurity onderzoeken we waarom afzonderlijk goed uitgevoerde controles niet noodzakelijk aantonen dat de organisatie haar doelstellingen kan waarmaken.
We verbinden cybersecurity, governance, risicobeheer en teamwork met een fundamentele vraag voor de directie: waarop steunt ons vertrouwen dat het geheel daadwerkelijk werkt?
Want zekerheid over de afzonderlijke onderdelen is nog geen zekerheid over het gezamenlijke resultaat.

De auditor stelt een major non-conformity vast. Maar waar staat dat die afwijking een major moet zijn? 
In deze aflevering legt Dirk De Nijs uit hoe normeisen, bewijslast en professioneel oordeel samenkomen. 
Wat vertelt een tekortkoming over de werking van uw managementsysteem?
Waarom kan dezelfde afwijking anders worden beoordeeld?
En welke vragen helpen u om de redenering van de auditor te begrijpen of onderbouwd te betwisten?

AI en ISO 27090 helder uitgelegd
In deze aflevering ontdekt U hoe ISO/IEC 27090 helpt om aanvallen op AI-systemen te begrijpen, blinde vlekken in risicoanalyses bloot te leggen en beveiligingsmaatregelen kritisch te beoordelen.
Want de vraag is niet alleen welke maatregelen U heeft getroffen, maar vooral wat uw AI ondanks die maatregelen nog verkeerd kan doen.
Kortom een podcast die helpt om dingen scherper te zien, toepasbaar is in een professionele context, en die ik zelf ook graag eerder had gehoord.

Heeft uw auditor gelijk, of wil hij vooral gelijk krijgen? En hoe maakt U het verschil?
Kan de ervaring die een auditor deskundiger maakt, tegelijkertijd leiden tot voorbarige conclusies? Of stelt diezelfde ervaring hem juist in staat om problemen te ontdekken die anderen ontgaan?
In deze aflevering ontdekt u hoe u die intuïtie op haar waarde kunt inschatten, en hoe u als auditor of auditee het verschil maakt tussen een deskundig oordeel en een voorbarige conclusie. Want het gaat niet alleen om wat een auditor vaststelt, maar ook om hoe hij het brengt.
Over intuïtie, patroonherkenning en professioneel oordeel, met inzichten van Daniel Kahneman en Gary Klein.

Een perfecte auditvoorbereiding. De juiste documenten, controles en medewerkers op het juiste moment. De auditor tevreden. Het certificaat binnen.
Maar wat als vooral de voorstelling perfect was?
Wanneer wordt optimalisatie misleiding? En hoe verklaart de wet van Goodhart waarom we soms ons doel voorbijstreven?
In deze aflevering van Centered Cybersecurity onderzoekt Dirk De Nijs de grens tussen legitieme audit-optimalisatie en schijnconformiteit. 
Want zelfs een positief auditresultaat biedt niet noodzakelijk de zekerheid die klanten verwachten.
Het doel is niet om de audit te halen. Het doel is een organisatie die ook voldoet wanneer niemand kijkt.
Kortom een podcast voor bestuurders, managers, auditors en security-professionals  die helpt om dingen scherper te zien, toepasbaar zijn in een professionele context. 
Een duidelijke podcast in klare taal die ik zelf ook graag eerder had gehoord.

Hoe betrouwbaar is een audit als het resultaat mee afhangt van wie de audit uitvoert?Wat als ze niet identiek dezelfde problemen ontdekken?
In deze aflevering van Centered Cybersecurity onderzoeken we de verrassende invloed van methodiek, ervaring, technische expertise, kadering en professioneel oordeel op auditresultaten.
Waarom ontdekt de ene auditor problemen die de andere niet ziet? Wanneer zijn die verschillen gerechtvaardigd? En waar ligt de grens tussen professioneel oordeel en willekeur?
Een audit is geen thermometer. Maar het mag ook geen loterij worden.
Kortom een podcast voor bestuurders, managers, auditors en security-professionals  die helpt om dingen scherper te zien, toepasbaar zijn in een professionele context. 
Een duidelijke podcast in klare taal die ik zelf ook graag eerder had gehoord.

ISO 27001 in 90 dagen?
Je ziet het steeds vaker aangeboden.
Drie maanden. Certificaat binnen. Klaar.
Maar kan dat werkelijk?
En als het kan, wat moet er dan al aanwezig zijn vóór die 90 dagen beginnen?
Want tussen “we starten vandaag” en een succesvolle certificatie zitten nogal wat stappen: processen, risico’s, controles, bewijslast, interne audit, management review en uiteindelijk de externe audit.
En dan hebben we het nog niet eens gehad over mensen, technologie, managementbeslissingen en beschikbare auditorcapaciteit.
In deze aflevering van Centered Cybersecurity ontleed ik wat er achter zo’n ISO 27001 fast track schuilgaat.
Is 90 dagen realistisch?
Of lijkt het vooral zo op papier?Kortom een podcast voor bestuurders, managers, auditors en security-professionals  die helpt om dingen scherper te zien, toepasbaar zijn in een professionele context. Een duidelijke podcast in klare taal die ik zelf ook graag eerder had gehoord.

Stel dat vanaf morgen geen enkele klant nog naar uw ISO 27001-certificaat vraagt.
Geen aanbesteding. Geen procurementvraag. Geen salesproces waarin het certificaat moet worden meegestuurd.
Zou u het dan behouden?
Die vraag lijkt eenvoudig, maar raakt aan iets fundamentelers.
Waarom hebben we ISO 27001 eigenlijk?
Voor commerciële toegang? Voor aantoonbaar vertrouwen? Voor interne structuur? Voor governance? Of omdat we het inmiddels als vanzelfsprekend zijn gaan beschouwen?
Met NIS2 en CyberFundamentals wordt die vraag alleen maar relevanter. Organisaties hebben steeds meer behoefte aan aantoonbare cybersecurity, maar dat betekent niet automatisch dat er maar één manier bestaat om die aantoonbaarheid te organiseren.
Een podcastaflevering over ISO 27001, CyFun, NIS2 en vooral over het gepaste kwaliteitskenmerk voor uw cybersecurity.