VVP 1-22 ONLINE NIEUW

VOLMACHT VOORUIT!
aan wet- en regelgeving omdat de serviceprovider niet
voldoet aan wet- en regelgeving; het risico dat de serviceprovider
niet voldoet aan de gemaakte afspraken
vanuit zowel kwantitatief (bijvoorbeeld servicelevels)
als kwalitatief (bijvoorbeeld assurance) perspectief; het
risico dat er gegevens gestolen worden of dat de dienstverlening
wordt verstoord door cyberaanvallen.”
ISO 27001
Dat financieel dienstverleners nadrukkelijk worden geacht
IT-risico’s in hun analyse mee te nemen, verwondert
niet. Meer dan de helft van de in de AFM-verkenning
gemelde uitstedingen, betreft IT.
Uiteraard mag van een partij aan wie IT wordt uitbesteed
worden verwacht dat zij haar informatiebeveiliging
op orde heeft. Maar het ontslaat de uitbestedende
partij niet van de eindverantwoordelijkheid. De
AFM stelt dan ook, in haar vorig jaar gepubliceerde
‘Aandachtspunten bij het gebruik van adviessoftware’:
“Zorg ervoor dat u zeker weet dat uw softwareleverancier
een goede invulling geeft aan de informatiebeveiliging.
Als eindverantwoordelijke is het belangrijk dat
u er zich van verzekert dat uw softwareleverancier een
goede invulling geeft aan haar informatiebeveiligingsverantwoordelijkheden.
Erkende certificeringen zijn
een mogelijkheid om dat te doen. De meeste leveranciers
van adviessoftware zijn (gedeeltelijk) ISO 27001
gecertificeerd of van plan om op deze certificering op
korte termijn te halen. ISO 27001 is een voorbeeld van
een internationaal erkende norm voor informatiebeveiliging.
Door hieraan te voldoen biedt een leverancier
15%
6%
4%
21,5%
23,5%
30%
n IT Services (Infra, Hosting, IaaS)
n Applicatiediensten (Ontwikkeling, SaaS, beheer)
n Business Process Outsourcing
n Kredietwaardigheid
n Debiteurenbeheer
n Overig (pensioenuitvoering, printen, vastgoed,
verslaggeving etc.)
Externe uitbesteding financiële dienstverleners (Top 200).
Bron: AFM-verkenning ‘Beheerst uitbesteden’.
enige zekerheid dat zij haar verantwoordelijkheden kan
nakomen. Een andere manier is om eisen aan informatiebeveiliging
op te nemen in de overeenkomst met uw
softwareleverancier, bijvoorbeeld met betrekking tot
bewaartermijnen of beveiligingsmaatregelen.”
De AFM verder: “Bescherm de toegang tot uw (klant)
data in de cloud. U blijft verantwoordelijk voor de beschikbaarheid,
integriteit en vertrouwelijkheid van uw
(klant)data. Daarom is het aan te bevelen om een sterke
toegangsbeveiliging tot de data te implementeren.
Dit kan door een moeilijk te raden wachtwoord te gebruiken,
aangevuld met een secundaire authenticatiemethode,
zoals een authenticator app. Daarnaast is het
aan te raden om de data te versleutelen met een actuele
versleutelingstechniek en de sleutel veilig te bewaren.
Let in het bijzonder op de zorgvuldige bewaring
van documenten die u uit de cloudomgeving downloadt
naar uw lokale omgeving (wat vaak het geval is
bij een afgerond adviesrapport).”
WERK AAN DE WINKEL
Lees zeker ook de Leidraad IT-risico’s Volmachten die
NVGA en Verbond van Verzekeraars in 2021 hebben uitgegeven,
waarin overigens veel van de AFM-principes
terug te vinden zijn.
In GA-magazine van december stelde Ron Krisman
(Cumela Assuradeuren), lid van de werkgroep die
de leidraad heeft opgesteld: “Zet je de zaken die in de
leidraad beschreven zijn af tegen de huidige beheersmaatregelen
van het gemiddelde volmachtbedrijf, dan
zitten we, denk ik, op zo’n 60 tot 65 procent van wat er
gevraagd wordt. Er is dus nog een gat te overbruggen,
bijvoorbeeld in het beschrijven van procedures in de organisatie
en het opstellen van risicoanalyses.” Er is dus
nog wel wat werk aan de uitbestedingswinkel. n
NR 1 FEBRUARI 2022 VVP | 41