Dataverkeer, zonder vertraging, zonder verstoring en zonder dat derden de inhoud wijzigen is uitgegroeid tot de levensader bij uitstek van elke organisatie. Aan de andere kant is ook het besef toegenomen dat systemen en datastromen daarom maximaal beveiligd dienen te zijn. Leveranciers en afnemers getroosten zich als gevolg hiervan inspanningen om dat doel te bereiken.

Ook bij UWV (Uitvoeringsinstituut Werknemersverzekeringen) staat beveiligen van de bedrijfssystemen hoog in het vaandel. Jaarlijks gaat er ruim 22 miljard euro door de systemen en onze stakeholders rekenen er (terecht) op dat hun premies en uitkeringen in goede handen zijn.

Een goed opgezette informatiebeveiliging heeft weinig te maken met het ‘blind’ installeren van alle veiligheids-patches die aanwezig zijn. Het adagium bij UWV is: ‘Security patches zijn zo veilig niet.’ Patches voor Internet Explorer 7, Mediaplayer of Outlook Express zijn niet noodzakelijk in een zakelijke omgeving. Immers, het ondoordacht installeren van veiligheids-patches kan bij veel ondernemingen (en dus ook bij UWV) tot verstoring leiden van de informatievoorziening. Idealiter moet je elke verandering in de informatievoorziening testen in een gespiegelde productieomgeving. In de praktijk is dat echter niet altijd mogelijk om voor de hand liggende redenen als de grootte van het serverpark, de complexiteit van hybride systemen en financiële belemmeringen.

Het allerbelangrijkst is patch-beheer procesmatig te benaderen en niet aan te pakken vanuit de techniek. Bij UWV is patch-management onderdeel van de risicomanagement-analyses die wij continue uitvoeren. Wij realiseren ons terdege dat verandering zonder regie een groot gevaar kan opleveren voor de continuïteit van de informatievoorziening en daarmee van de bedrijfsvoering.

In de meest ideale situatie adviseert een speciale adviescommissie welke patches worden geïnstalleerd op welk platform. In die commissie brengen we diverse inhoudelijk deskundigen bij elkaar op het gebied van security, platforms, applicaties en change management. Dat is voor UWV dé manier om patchbeleid onderdeel te maken van de regievoering op niet standaard wijzigingen binnen de ICT organisatie en daarmee de gevaren van het ongenuanceerd installeren van veiligheids-patches uit te sluiten.

Door Max Bohnsack Teammanager Technisch Risico Management UWV