Waarom compliance geen securitystrategie is

Europese regelgeving onderstreept dat belang; denk aan (vernieuwde) wetgeving zoals NIS2 of de Cyber Resilience Act. Veel datacenters zijn compliant maar tóch kwetsbaar. Het verschil zit ‘m in het volgende feit: compliance kijkt terug, terwijl cyberdreigingen continu vooruit bewegen.

Compliance kijkt naar gisteren Een audit bevestigt dat processen op een specifiek moment voldeden aan een vastgestelde norm. Een certificering bevestigt dat processen op een specifiek moment voldeden aan een specifieke set regels. Maar dreigingen evolueren dagelijks. Zo ontstaan zerodays zonder aankondiging en verschuiven aanvallen steeds vaker van netwerkniveau naar componentniveau. De kloof tussen het statische karakter van regelgeving en de dynamiek van het dreigingslandschap wordt elk jaar groter.

Complexe ketens, complexe risico’s

Bovendien zijn datacenters niet langer geïsoleerde omgevingen. Elke uitbreiding, update of koppeling voegt nieuwe afhankelijkheden toe: extra firmware, extra leveranciers, extra beheerders, extra toegangspunten. Dat zijn stuk voor stuk schakels in een keten die kunnen falen, en één zwakke schakel is al genoeg. Zoals een firmware-update die wordt uitgesteld, een leverancier die tijdelijk extra toegang krijgt of een component die securitytechnisch achterblijft.

Juist daar gaat het mis. Niet door één grote fout, maar door een opeenstapeling van afhankelijkheden en configuratiekeuzes die afzonderlijk logisch lijken. Regelgeving beoordeelt een beperkt aantal definieerbare risico’s, maar biedt geen bescherming tegen de ketenrealiteit waarin datacenters inmiddels opereren. Operators die vertrouwen op compliance zijn dus in feite blind voor hun grootste risico’s.

CIAA: de vier pilaren voor robuuste beveiliging

Als gevolg is een ketenbenadering van security cruciaal, en dat komt tot zijn recht in een CIAA-benadering: een focus op confidentiality, integrity, authenticity en availability. De vier CIAA-pilaren vullen regelgeving aan, omdat ze kijken naar wat systemen nodig hebben om veilig te zijn, in plaats van kijken naar of ze voldoen aan een set regels.

Confidentiality vraagt wat systemen nodig hebben om te voorkomen dat er ongeautoriseerde inzage of beheer van gegevens plaatsvindt, bijvoorbeeld wanneer onbeveiligde verbindingen configuraties of credentials blootleggen. Integrity borgt dat systemen en data niet ongemerkt worden aangepast, ook niet via gemanipuleerde updates of automatiseringsprocessen. Authenticity vereist dat er wordt voorkomen dat kwaadwillenden zich kunnen voordoen als legitieme componenten of beheerders, en availability zorgt ervoor dat infrastructuur blijft draaien, ook wanneer onderdelen falen of aangevallen worden. Samen vormen deze pijlers geen checklist, maar een beoordelingskader dat blootlegt waar ketens kwetsbaar zijn, ook als ze formeel compliant zijn.

Wat kun je nú al doen?

Echte beveiliging is geen project, maar een ritme. Operators kunnen vandaag al stappen zetten die risico’s direct verlagen:

• Security-by-design, waarbij beveiliging structureel wordt meegenomen vanaf ontwerp en architectuur in plaats van achteraf te worden toegevoegd, toepassen bij nieuwe systemen én grote upgrades.
• Regelmatige pentests, vulnerability-scans en threat assessments inplannen.
• Lifecycle-management en patchbeleid prioriteren.
• Leveranciers toetsen op componentniveau, bijvoorbeeld via normen zoals IEC 62443-4-2. Zo blijven ketenrisico’s niet onzichtbaar.
• Continue monitoring en automatische waarschuwingen inzetten om afwijkingen in vroeg stadium te detecteren.
• CIAA gebruiken als fundament voor ontwerp, beheer en besluitvorming. Zo blijft security systematisch, objectief én allesomvattend.

Geen van deze punten zijn ‘quick fixes’: het zijn stuk voor stuk structurele ingrepen die meegroeien met het datacenter en zo voorkomen dat ketenrisico’s zich ongemerkt opstapelen.

Van vinkjes naar vertrouwen

Compliance is niet het eindpunt, maar de basis. Operators die echte veerkracht willen opbouwen, zien cybersecurity als een continu proces dat meegroeit met de infrastructuur en het dreigingslandschap. Want vertrouwen bestaat niet uit een checklist, maar uit een robuuste infrastructuur die daadwerkelijk overeind blijft staan.

Dit artikel is geschreven door een van onze partners. Onze redactie is niet verantwoordelijk voor de inhoud.