Informatiebeveiliging woningsector

Digitalisering speelt een steeds grotere rol binnen de woningsector. Woningplatformen, verhuurorganisaties, makelaars en vastgoedbeheerders verwerken dagelijks grote hoeveelheden informatie. Denk aan persoonsgegevens van woningzoekenden, contactgegevens, documenten, communicatie met huurders en gegevens die via externe softwareleveranciers worden uitgewisseld.

Daardoor wordt het steeds belangrijker om niet alleen naar technische beveiliging te kijken, maar ook naar de manier waarop processen, verantwoordelijkheden en risico’s binnen een organisatie zijn georganiseerd. Informatiebeveiliging is immers meer dan alleen een firewall, SSL-certificaat of sterk wachtwoord.

Waarom informatiebeveiliging belangrijk is binnen vastgoed en wonen

Organisaties binnen de vastgoed- en woningsector werken vaak met meerdere systemen tegelijk. Een CRM-systeem kan bijvoorbeeld gekoppeld zijn aan een website, woningfeed, boekhoudpakket, e-mailomgeving of externe dienstverlener.

Iedere koppeling en iedere externe partij kan nieuwe afhankelijkheden met zich meebrengen. Daarom is het verstandig om regelmatig te beoordelen welke informatie wordt verwerkt, wie toegang heeft tot deze informatie en welke risico’s er ontstaan wanneer een systeem of leverancier tijdelijk niet beschikbaar is.

Een gestructureerde aanpak helpt organisaties om deze risico’s inzichtelijk te maken en beveiligingsmaatregelen niet alleen technisch, maar ook organisatorisch vast te leggen.

Van losse beveiligingsmaatregelen naar structureel risicobeheer

Veel organisaties hebben afzonderlijke beveiligingsmaatregelen al goed geregeld. Denk bijvoorbeeld aan tweefactorauthenticatie, back-ups, toegangsbeheer en beveiligde verbindingen. De volgende stap is om deze maatregelen onderdeel te maken van een breder proces voor governance, risk en compliance.

Dit wordt vaak aangeduid als GRC: Governance, Risk & Compliance. Hierbij wordt gekeken naar de samenhang tussen beleid, verantwoordelijkheden, risico’s, wet- en regelgeving en de maatregelen die een organisatie heeft genomen.

Voor organisaties die hun risico’s, maatregelen en compliance centraal willen beheren, kan een GRC tool ondersteuning bieden. Hiermee kunnen verschillende onderdelen van informatiebeveiliging overzichtelijker worden vastgelegd en gevolgd.

Normenkaders als hulpmiddel

Naast algemene beveiligingsmaatregelen bestaan er verschillende normen en frameworks waarmee organisaties hun informatiebeveiliging structureel kunnen organiseren. Welke norm relevant is, hangt onder andere af van de sector, het soort gegevens dat wordt verwerkt en de eisen van klanten, opdrachtgevers en samenwerkingspartners.

Binnen de zorgsector is bijvoorbeeld NEN 7510 een belangrijk normenkader voor informatiebeveiliging. Hoewel woningorganisaties doorgaans met andere specifieke verplichtingen te maken hebben, laat zo’n normenkader goed zien hoe informatiebeveiliging vanuit processen, risico’s en verantwoordelijkheden kan worden ingericht.

Ook leveranciers verdienen aandacht

Een organisatie kan haar eigen beveiliging goed hebben ingericht, terwijl er via leveranciers alsnog risico’s ontstaan. Denk bijvoorbeeld aan hostingproviders, softwareleveranciers, CRM-systemen, onderhoudspartijen, API-koppelingen en organisaties die persoonsgegevens namens een bedrijf verwerken.

Daarom hoort leveranciersmanagement bij een volwassen beveiligingsaanpak. Belangrijke vragen zijn bijvoorbeeld welke gegevens een leverancier verwerkt, hoe toegang is geregeld, wat er gebeurt bij een beveiligingsincident en hoe de continuïteit wordt gewaarborgd wanneer een dienst tijdelijk uitvalt.

Continu verbeteren in plaats van eenmalig controleren

Informatiebeveiliging is geen eenmalig project. Websites veranderen, nieuwe medewerkers krijgen toegang, software wordt vervangen en nieuwe koppelingen worden toegevoegd. Daardoor verandert ook het risicoprofiel van een organisatie.

Het is daarom verstandig om beveiligingsmaatregelen, toegangsrechten, leveranciers en belangrijke bedrijfsprocessen periodiek opnieuw te beoordelen. Door deze onderdelen centraal vast te leggen ontstaat bovendien beter inzicht in welke maatregelen al zijn uitgevoerd en welke punten nog aandacht nodig hebben.

Meer inzicht in governance, risico en compliance

Voor organisaties die zich verder willen verdiepen in governance, risk management, compliance en informatiebeveiliging biedt Your GRC aanvullende informatie over verschillende normen, frameworks en hulpmiddelen.

Uiteindelijk draait goede informatiebeveiliging niet alleen om technologie. Juist de combinatie van mensen, processen, leveranciers, beleid en technische maatregelen bepaalt hoe weerbaar een organisatie daadwerkelijk is.