Een ISMS in Excel of in software?
Bijna elk ISMS begint in een spreadsheet, en dat is geen slechte keuze. De vraag is niet of Excel werkt, maar tot waar. Hieronder de eerlijke afweging, inclusief de situaties waarin u helemaal geen software nodig heeft.
Excel houdt stand zolang één persoon het overzicht heeft en er geen wettelijke termijnen meelopen. Zodra er meerdere mensen aan werken, er een auditor meekijkt of er meldplichten gelden, gaat het niet stuk op de inhoud maar op het onderhoud.
Waar Excel echt goed in is
Laten we eerlijk beginnen. Een spreadsheet is gratis, iedereen kan ermee overweg, en u kunt hem precies vormgeven zoals u wilt. Voor een eerste risico-inventarisatie is dat vaak sneller dan welk systeem ook. Wie begint met nadenken over risico's in plaats van met het kiezen van software, doet het in die volgorde goed.
Voor een organisatie van vijf mensen zonder wettelijke verplichtingen, die één klant wil laten zien dat er over beveiliging is nagedacht, is een spreadsheet een prima antwoord. Koop dan geen software.
Waar het misgaat
Het probleem met een spreadsheet is zelden de eerste versie. Die is meestal netjes. Het probleem is maand zeven.
Een spreadsheet vergeet niets, maar herinnert ook niemand
In de kolom staat dat de leveranciersbeoordeling in maart moet. In maart opent niemand het bestand. Een ISMS is geen document maar een ritme, en een spreadsheet kan geen ritme afdwingen. Dit is de meest voorkomende reden dat een traject bij de controle-audit strandt.
Er is geen geschiedenis
Een auditor vraagt niet alleen wat de huidige risicoscore is, maar ook wanneer die is aangepast, door wie, en op grond waarvan. In een spreadsheet is die vraag niet te beantwoorden. "Versie 3 definitief final" is geen audit-trail.
Wettelijke termijnen lopen niet mee
Onder de AVG heeft u 72 uur voor een datalekmelding. Onder NIS2 geldt 24 uur voor een vroege waarschuwing, 72 uur voor de volledige melding en een maand voor het eindverslag. Die klokken lopen door in het weekend. Een spreadsheet begint pas te tellen als iemand hem opent, en dat is precies het moment waarop u het al te druk heeft.
Alles staat los van elkaar
Uw assetlijst staat in het ene tabblad, uw risico's in het andere, uw leveranciers in een derde bestand en uw beleid in een map op de server. Vervangt u een systeem, dan moet u zelf bedenken welke risico's, processen en maatregelen daarmee samenhangen. In de praktijk gebeurt dat niet, en dan valt bij de audit op dat het register verwijst naar een server die er al een jaar niet meer staat.
Met twee mensen is het al lastig
Wie heeft de laatste versie? Waarom staat het bestand op slot? De klassieke oplossingen daarvoor, gedeelde mappen en versienummers in de bestandsnaam, lossen het probleem niet op maar verplaatsen het.
De vergelijking
| Onderwerp | Spreadsheet | ISMS-software |
|---|---|---|
| Opstarten | Direct, gratis, geen leercurve | Een aantal weken inrichten |
| Deadlines | Alleen als iemand kijkt | Taken en notificaties lopen vanzelf |
| Meldtermijnen | Handmatig bijhouden | Klokken starten bij registratie van het incident |
| Geschiedenis | Geen, of versienummers in de bestandsnaam | Audit-trail met gebruiker, datum en wijziging |
| Samenhang | Losse tabbladen, u legt zelf verband | Asset, proces, risico en leverancier staan gekoppeld |
| Samenwerken | Lastig vanaf twee personen | Rollen en rechten per module |
| Kosten | Geen licentie, wel veel uren | Abonnement, minder uren |
| Flexibiliteit | Onbeperkt, u bepaalt alles zelf | Beperkt tot wat het systeem ondersteunt |
Die laatste rij staat er bewust in. Een spreadsheet buigt naar elke situatie en software niet. Dat is een echt nadeel, en het is de reden dat sommige organisaties terecht bij Excel blijven.
Vier signalen dat u eruit groeit
- Er kijkt iemand van buiten mee. Een auditor, een accountant of een grote klant met een vragenlijst. Vanaf dat moment is aantoonbaarheid het product, niet de inhoud.
- Er lopen wettelijke termijnen. NIS2 of de AVG. Een gemiste termijn is geen slordigheid meer maar een overtreding.
- Meer dan twee mensen werken eraan. Vanaf dat punt kost het bijhouden van versies meer tijd dan het werk zelf.
- U bent een herbeoordeling vergeten. Eén keer is een ongelukje. Twee keer is een systeemfout, en die lost u niet op met een strengere agenda-afspraak.
De overstap, eerlijk
Overstappen kost werk. Er is bij ons geen import vanuit Excel, dus uw bestaande register zet u met de hand over. Bij vijftig risico's is dat ongeveer een dagdeel. Wij vinden dat vervelend genoeg om het te noemen en niet erg genoeg om er een blokkade van te maken: vrijwel iedereen die dit doet, gooit onderweg regels weg die er allang niet meer toe deden.
Wat u wel meeneemt zonder overtypen: beleid en bewijsstukken uploadt u als document, met de bestaande versie en goedkeurder erbij. De volledige aanpak staat op de implementatiepagina.
Blijf bij Excel als
- u geen wettelijke verplichting heeft en niemand om bewijs vraagt;
- één persoon het beheert en dat de komende jaren zo blijft;
- u aan het verkennen bent wat uw risico's überhaupt zijn. Doe dat eerst, en kies daarna pas gereedschap.
Wij verkopen liever niets aan iemand die het niet nodig heeft. Dat scheelt ons allebei een teleurstelling over zes maanden.