- Door
- Jeroen Mulder
- geplaatst op
- 20 februari 2013 08:00 uur
Hoster Solcon kondigde deze week trots aan dat het bedrijf ISO27001 gecertificeerd is, specifiek voor de dienstverlening richting de zakelijke markt. Dat is natuurlijk goed nieuws voor Solcon en de klanten van deze degelijke provider. Of niet? Het bedrijf heeft blijkbaar zakelijke klanten die het tot voor kort niet nodig achtten dat hun dienstverlener dit felbegeerde certificaat had. En dat is toch opmerkelijk. Alsof je je kind toevertrouwt aan een badmeester die zelf geen zwemdiploma heeft.
Voor de goede orde: het is ontzettend goed dat Solcon nu gecertificeerd is. Meer bedrijven in de branche zouden dit voorbeeld moeten volgen. Wellicht zelfs afgedwongen door de brancheverenigingen, maar zeker ook door de klanten. Gek? De grote ICT-dienstverleners weten niet beter. Al jaren is een van de standaardvragen in een RFI (Request for Information) het kunnen overleggen van diverse certificaten, waaronder ISO27001. Je parkeert jouw bedrijfskritische data tenslotte alleen bij een bedrijf dat regelmatig door een extern bureau volledig wordt doorgelicht op maatregelen die ervoor moeten zorgen dat jouw data echt jouw data blijft.
Terecht merkt security officer Sven van der Horst van Solcon in het persbericht op dat ,,het bedrijfsleven er vanuit moet kunnen gaan dat de bedrijfsgegevens volgens afspraak beschikbaar en veilig zijn”. Des te opmerkelijker is het dat hosters dus blijkbaar klanten hebben die dat geen prioriteit geven. En dus is het aantal hosters dat zich laat certificeren eigenlijk bedroevend laag. Volgens de gegevens die ISPam.nl heeft, is slechts een op de drie DHPA-leden daadwerkelijk ISO27001-gecertificeerd. Waarbij de kanttekening geldt dat het certificaat niet altijd louter voor de hostingdiensten is afgegeven. En dat terwijl de branchevereniging het wel hoog op haar verlanglijstje heeft staan.
Vertrouwen
Een rondgang langs hostingbedrijven leert dat ook slechts een beperkt aantal bedrijven het noemt. Niet dat er geen aandacht is voor zaken omtrent databeveiliging, integendeel. Neem een bedrijf als Cyso. Onder het kopje ‘juridisch’ vermeldt het bedrijf keurig alle maatregelen die het neemt om data te beveiligen. Maar ook Cyso is niet ISO27001-gecertificeerd. Cyso vermeldt er ook niets over op de website. Een andere grote speler – Argeweb – meldt op haar website ook keurig hoe ze met privacy, cookies, tracking en databeveiliging omgaan, maar ook hier geen verwijzing naar certificaten. Klanten moeten er bij al deze bedrijven domweg op vertrouwen dat alles keurig is geregeld.
Het is voorwaar ook geen sinecure om het ISO-certificaat te krijgen. ISO27001 specificeert haarscherp eisen voor vaststellen, uitrollen, uitvoeren, controleren, beoordelen en verbeteren van een gedocumenteerd Information Security Management System. Hierbij worden alle bedrijfsrisico’s – intern en extern – vastgesteld en vastgelegd, inclusief aanpaksvoorstellen voor verbeteringen. Doel: een waarborg voor klanten dat er goede beveiligingsmaatregelen zijn genomen die periodiek worden gecontroleerd en waarin een organisatie zichzelf verplicht om deze voortdurend aan te passen en te verbeteren. Voor veel hosters is ISO27001 domweg geen haalbare kaart.
Keten
Maar er speelt meer. Daarvoor moeten we een onderscheid maken tussen hosters met eigen datacenters en hosters die op hun beurt weer gebruikmaken van externe datacenters. En van deze laatste soort zijn er heel veel in ons land. En juist die groep bedrijven zou bij hun datacenterleverancier erop aan moeten dringen dat datacenterdiensten ISO27001-compliant zijn. Dat ontslaat ze overigens weer niet van de morele plicht om dit ook zelf te doen. Daarbij rijst onmiddellijk de vraag wat de waarde van zo’n certificaat is als de plaats waar de data is ondergebracht, niet onder volledige controle staat van de hoster die het product aanbiedt aan de eindklant.
Die eindklant vraagt erom. Meer en meer. In het kader van het volwassen worden van de branche is het goed dat hosters zichzelf eens gaan afvragen of certificering niet gewoon een must is. Dan verdient het wel aanbeveling om dit vanuit de keten te bekijken. Een hoster die gebruikmaakt van een extern datacenter dat niet ISO-compliant is, betekent automatisch dat de hoster zelf ook niet compliant kan zijn. Immers, hij kan de maatregelen niet op elk niveau in zijn dienstverlening borgen. Hosters, resellers, datacenters en branchevertegenwoordigers zullen met elkaar om tafel moeten om hier een leidraad in op te stellen. Want in de komende jaren zullen klanten steeds vaker eisen dat security ‘geborgd en getoetst’ is door de hele keten.
Ondertussen hebben bedrijven als Solcon dus nu een streep voor. Dat vergroot hun onderscheidende vermogen. Naarmate de druk vanuit klanten en ook vanuit de politiek op ‘veilige hosting en dataopslag’ toeneemt – en dat is iets dat we dit jaar in sterk toenemende mate zullen zien – zal de branche zelf het kaf van het koren moeten scheiden en certificering hoog op de agenda moeten hebben.
