Operational security, vaak afgekort tot OPSEC, is de manier waarop je gevoelige informatie beschermt tijdens het dagelijkse werk. Het gaat niet om één tool of product. Het gaat om afspraken, rechten, procedures en gedrag. Veel organisaties hebben firewalls en virusscanners op orde. Toch gaat het vaak mis bij de basis: te ruime toegangsrechten, wijzigingen zonder goedkeuring of logs die niemand bekijkt. Hieronder staat wat operational security inhoudt, welke stappen erbij horen, wat het kost en waar de nadelen zitten.
Wat is operational security precies?
Operational security komt oorspronkelijk uit de militaire wereld en is inmiddels een vast onderdeel van informatiebeveiliging en compliance binnen veel organisaties. Het uitgangspunt is eenvoudig: je kijkt naar je eigen organisatie door de ogen van een aanvaller. Welke informatie is voor die aanvaller bruikbaar? En hoe kan hij die zonder veel moeite verzamelen?
In IT betekent dit dat je let op gegevens die onschuldig lijken. Denk aan een netwerkschema in een gedeelde map of een lijst met leveranciers en hun beheeraccounts. Ook een medewerker die op LinkedIn schrijft welke systemen hij beheert, geeft informatie weg. Los zijn dit kleine details. Samen geven ze een goed beeld van je omgeving.
Operational security wordt vaak verward met andere begrippen. De tabel laat zien hoe ze zich verhouden.
| Begrip | Focus | Voorbeeld |
|---|---|---|
| Informatiebeveiliging | Beleid en bescherming van informatie | ISO 27001, classificatie van gegevens |
| Cybersecurity | Techniek tegen digitale aanvallen | Firewall, MFA, endpointbeveiliging |
| Operational security | Dagelijkse processen en gedrag | Toegangsrechten, wijzigingsprocedure, logging |
Je hebt alle drie nodig. Operational security zorgt ervoor dat beleid en techniek in de praktijk ook werken.
De vijf stappen van operational security
De klassieke aanpak kent vijf stappen. Ze passen goed bij een IT omgeving met 100 tot 500 gebruikers.
Stap 1 is bepalen welke informatie kritiek is. Voor een ziekenhuis zijn dat patiëntgegevens, voor een fabrikant productieorders en machinebesturing. De vraag is steeds dezelfde: wat doet pijn als het uitlekt of uitvalt?
Stap 2 is de dreigingen in kaart brengen. Wie wil bij deze informatie en waarom? Denk aan criminelen die losgeld willen, een ontevreden voormalig medewerker of een leverancier met te ruime toegang.
Stap 3 is kwetsbaarheden vaststellen. Een beheeraccount zonder MFA is een voorbeeld. Een koppeling met een leverancier waarvan niemand de eigenaar kent is een ander.
Stap 4 is het risico beoordelen. Je weegt de kans op misbruik af tegen de gevolgen. Een kwetsbaarheid op een testserver weegt minder zwaar dan dezelfde kwetsbaarheid op een server die een productielijn aanstuurt.
Stap 5 is maatregelen nemen en controleren. Je beperkt rechten, legt procedures vast en zet monitoring in. Daarna herhaal je de stappen, omdat je omgeving verandert door overnames, nieuwe applicaties en wisselende leveranciers.
Operational security toepassen in je dagelijkse IT
Toegangsbeheer is de eerste plek om te beginnen. Geef medewerkers alleen de rechten die ze nodig hebben en regel wat er gebeurt bij een functiewissel of vertrek. Een voormalig medewerker die maanden na vertrek nog in een bedrijfsapplicatie kan, komt vaker voor dan je denkt. Een vast proces voor instroom en uitstroom lost dat op.
Wijzigingsbeheer is de tweede maatregel. Elke aanpassing aan systemen, firewallregels of koppelingen heeft een eigenaar, een goedkeuring en een terugvalplan. Zo zet een snelle aanpassing van een leverancier niet ongemerkt een poort open.
Logging en monitoring werken alleen als iemand erop reageert. Leg vast welke meldingen direct aandacht krijgen en wie die oppakt, ook buiten kantoortijden. Een alarm dat ’s nachts afgaat zonder dat iemand het ziet, voorkomt niets.
Backups vragen om een test. Een backup die je nooit hebt teruggezet, is een aanname. Controleer periodiek of herstel binnen de afgesproken tijd lukt.
Ook je medewerkers horen erbij, want veel incidenten beginnen met een gewone handeling zoals het openen van een phishingmail. SPS biedt binnen Security & Compliance workshops, online trainingen en phishingsimulaties aan, naast NIS2 quickscans en ISO 27001 trajecten.
Operational security in zorg en industrie
Hoe zwaar operational security weegt, hangt af van wat uitval kost. In een ziekenhuis draaien circa 500 koppelingen tussen applicaties. Als er één misgaat, is het zoeken waar het probleem zit en wie actie moet nemen. Operational security betekent hier dat je per koppeling weet wie eigenaar is, welke leverancier erbij hoort en wie wijzigingen mag doorvoeren.
In de maakindustrie komt IT/OT erbij. Productiesystemen draaien vaak jaren op dezelfde software en zijn lastig te updaten. Stilstand betekent directe omzetderving. Hier draait operational security om gescheiden netwerken, beperkte toegang voor externe onderhoudspartijen en inzicht in welke IT systemen de productie aansturen.
Dat inzicht is vaak het moeilijkste deel. Veel organisaties houden afhankelijkheden bij in Excel of in een CMDB die niet actueel is. SPS gebruikt hiervoor Gensys ketenmonitoring, het eigen platform dat applicaties, onderliggende systemen en leveranciers als keten in beeld brengt. Gensys ketenmonitoring kan on premise en volledig geïsoleerd van de buitenwereld worden geleverd, wat past bij omgevingen met strenge eisen. Met de Gensys Actieve CMDB zie je welke assets bij welke keten horen.
SPS combineert dit in Managed Continuity met 24/7 preventieve monitoring en beheer. Het doel is voorkomen in plaats van genezen.
Wat kost operational security en welke nadelen zijn er?
De kosten hangen van drie dingen af. Het eerste is je uitgangspunt. Heb je al toegangsbeheer, wijzigingsprocedures en monitoring, dan gaat het vooral om bijsturen. Begin je bij nul, dan kost het eerst tijd om te inventariseren.
Het tweede is de dekking. 24/7 monitoring kost meer dan bewaking tijdens kantoortijden, maar past bij organisaties waar uitval direct impact heeft. Het derde is wie het uitvoert. Zelf doen vraagt vaste capaciteit en specialistische kennis. Uitbesteden maakt de kosten voorspelbaarder, omdat je betaalt naar gebruik zonder grote investering vooraf. Een vast bedrag is niet te geven zonder eerst je omgeving te kennen.
Er zijn ook nadelen. Extra procedures vertragen het werk. Een goedkeuring voor elke wijziging voelt voor een beheerder als een omweg, zeker bij spoed. Medewerkers omzeilen regels die ze niet begrijpen. Daarnaast bestaat het risico op schijnzekerheid: een document met procedures helpt niet als niemand ernaar handelt.
Je beperkt die nadelen door regels proportioneel te houden en uit te leggen waarom ze er zijn. Gedragsverandering borg je met een gestructureerde aanpak voor adoptie en change management. Begin bij de systemen waar uitval het meeste kost en breid daarna uit.
Begin met inzicht in wat je moet beschermen
Operational security is geen project met een einddatum. Het is een werkwijze waarin je kritieke informatie kent, risico’s weegt en maatregelen blijft controleren. Een nulmeting is een goede eerste stap. Daarmee zie je waar rechten te ruim zijn, procedures ontbreken en afhankelijkheden onbekend zijn.
SPS (sps.nl) brengt bij de inbeheername van Managed Services binnen twee weken het totale IT landschap in kaart. Ook voert SPS IT Health Checks uit. Bij het inrichten van veilige processen helpt SPS met consultancy en projecten.
Veelgestelde vragen over wat is operational security en hoe pas je dit toe
Waar begin je met operational security?
Begin met een lijst van je kritieke informatie en systemen. Kijk daarna wie er toegang toe heeft en welke leveranciers erbij betrokken zijn. Pak eerst de onderdelen aan waar uitval of datalekken de meeste schade geven.
Wie is binnen de organisatie verantwoordelijk voor operational security?
Het bestuur blijft eindverantwoordelijk. De dagelijkse uitvoering ligt vaak bij de IT manager, een security officer of een externe beheerpartij. Belangrijk is dat per proces, zoals toegangsbeheer en wijzigingen, één eigenaar is aangewezen.
Is operational security verplicht onder NIS2?
NIS2 gebruikt de term niet. De wet vraagt wel om passende maatregelen voor risicobeheer, zoals toegangsbeheer, incidentafhandeling en bedrijfscontinuïteit. Dat zijn onderdelen van operational security. Of jouw organisatie onder NIS2 valt, hangt af van je sector en omvang.
perts
