Homepage Blog De rol van ITIL bij informatiebeveiliging en privacy

De rol van ITIL bij informatiebeveiliging en privacy

5 juni 2025

De rol van ITIL bij informatiebeveiliging en privacy

Information Technology Infrastructure Library – beter bekent onder de afkorting ITIL – biedt een kader voor IT-servicemanagement. Maar je kunt ITIL ook toepassen op informatiebeveiliging en privacy. Zo ontstaat een proces dat niet alleen bescherming biedt, maar ook efficiëntie en controle.

De gestructureerde processen van ITIL zorgen voor een beveiliging die niet alleen reactief is, maar juist proactief inspeelt op veranderingen, van strategie tot operatie. Door bij nieuwe diensten tijdens de ontwikkeling al zowel technisch als organisatorisch af te dwingen dat op een veilige manier met persoonsgegevens wordt omgegaan is er altijd voldoende aandacht voor informatiebeveiliging (privacy by design). We hebben de belangrijkste rollen rondom informatiebeveiliging en privacy op een rij gezet. Laten we per functie eens bekijken hoe ze samenwerken met ITIL-rollen.

Relevante wetgeving

Informatiebeveiliging en privacy volgt een aantal wet- en regelgeving en normeringen, afhankelijk van de sector en aard van de organisatie. Enkele belangrijke voorbeelden:

NEN-ISO 27001/ISO 27002: internationale normen voor informatiemanagementsystemen die organisaties helpen bij het opzetten, implementeren, onderhouden en continu verbeteren van hun informatiebeveiliging.

NEN 7510: specifieke norm voor informatiebeveiliging in de gezondheidszorg in Nederland, gericht op patiëntgegevens.

NIS2-richtlijn (Network and Information Security Directive 2): Europese richtlijn die strengere eisen stelt aan cyberbeveiliging voor een breder scala aan essentiële en belangrijke entiteiten.

Algemene Verordening Gegevensbescherming (AVG/GDPR): stelt eisen aan de verwerking van persoonsgegevens, inclusief principes zoals rechtmatigheid, doelbinding, dataminimalisatie, juistheid, opslagbeperking, integriteit en vertrouwelijkheid en verantwoording. Het behandelt ook rechten van betrokkenen (inzage, rectificatie, wissen, etc.) en de meldplicht datalekken.

Uitvoeringswet AVG: vult de AVG aan en bevat specifieke bepalingen voor Nederland, zoals bevoegdheden van de Autoriteit Persoonsgegevens.

Chief Information Security Officer (CISO)

De Chief Information Security Officer (CISO) is de hoogste functionaris die verantwoordelijk is voor de strategie en het management van informatiebeveiliging binnen een organisatie. Hij of zij rapporteert vaak rechtstreeks aan het management of de raad van bestuur. De CISO werkt nauw samen met de managementteams om ervoor te zorgen dat beveiliging is ingebed in de bedrijfsdoelstellingen en de IT-servicestrategie. Ook overlegt de CISO met de changemanager om ervoor te zorgen dat beveiligingsaspecten worden meegenomen bij elke wijziging in de ICT-infrastructuur of -diensten. De CISO overziet de rol van de securitymanager, die verantwoordelijk is voor de operationele beveiligingsprocessen binnen ITIL.

Taken en verantwoordelijkheden:

Ontwikkelt en implementeert een informatiebeveiligingsstrategie die aansluit bij de bedrijfsdoelstellingen.
Ontwikkelt het beleid, de standaarden en de procedures voor informatiebeveiliging.
Zorgt voor naleving van relevante wet- en regelgeving.
Monitort de effectiviteit van beveiligingsmaatregelen en rapporteert hierover aan het management.
Coördineert de opvolging van beveiligingsincidenten.

Functionaris Gegevensbescherming (FG)

De Functionaris Gegevensbescherming (FG) – in het Engels bekend als de Data Protection Officer (DPO) – is de onafhankelijke toezichthouder binnen de organisatie die zich richt op de naleving van privacywetgeving. Samen met de service-architect waarborgt de FG privacy by design in nieuwe diensten en systemen. Bij incidenten is er afstemming met de incidentmanager om te zorgen dat datalekken correct worden afgehandeld. Ook zorgt de FG dat nieuwe of gewijzigde diensten voldoen aan de privacyeisen voordat ze in productie gaan.

Taken en verantwoordelijkheden:

Informeert en adviseert de organisatie en haar medewerkers over hun privacyverplichtingen.
Houdt toezicht op de naleving van de AVG en ander privacybeleid.
Adviseert over data protection assessments (DPIA’s)
Fungeert als contactpersoon voor de Autoriteit Persoonsgegevens en betrokkenen (individuen van wie gegevens worden verwerkt).
Werkt samen met de CISO en andere beveiligingsprofessionals om privacyrisico’s te verzachten.
Traint medewerkers over privacybewustzijn.

Security-architect

De security-architect is verantwoordelijk voor het ontwerpen en implementeren van veilige IT-infrastructuren en -systemen. Ze zorgen ervoor dat beveiliging vanaf het begin in de architectuur wordt ingebouwd (security by design). De service- en security-architect werken intensief samen om te zorgen dat de architectuur van nieuwe diensten structureel veilig is. Ze overleggen met de projectmanagers om te garanderen dat beveiligingscomponenten correct worden geïmplementeerd.

Taken en verantwoordelijkheden:

Ontwerpt beveiligingsoplossingen en -componenten voor nieuwe en bestaande systemen.
Evalueert de beveiliging van bestaande architecturen en doet aanbevelingen voor verbeteringen.
Stelt technische beveiligingsstandaarden en richtlijnen op.
Werkt nauw samen met ontwikkelaars en systeembeheerders om beveiligingsvereisten te integreren.
Blijft op de hoogte van de nieuwste beveiligingstechnologieën en -bedreigingen.

Security-engineer

De security-engineer implementeert en beheert de technische beveiligingsoplossingen die door de security-architect zijn ontworpen. Ze zijn nauw betrokken bij de operationele aspecten van informatiebeveiliging. In ITIL werkt de security-engineer nauw samen met de operationsmanager en technisch management (onderdeel van service operations). Samen onderhouden en optimaliseren ze beveiligingssystemen. Bij wijzigingen en updates is er afstemming met de changemanager.

Taken en verantwoordelijkheden:

Implementeert en configureert beveiligingssystemen zoals firewalls, Intrusion Detection/Prevention Systems (IDS/IPS) en tools voor Security Information & Event Management (SIEM).
Voert regelmatige beveiligingsupdates en patches uit.
Monitort beveiligingslogs en -alerts.
Lost technische beveiligingsproblemen op.
Neemt deel aan de opvolging van beveiligingsincidenten.

Security-analist

Security-analisten – of analist security operations center (SOC) – vormen de frontlinie in de strijd tegen cyberbedreigingen. Ze monitoren systemen, detecteren afwijkingen en reageren op beveiligingsincidenten. De security-analist speelt een cruciale rol in het proces voor incidentmanagement. Ze werken direct samen met de incidentmanager om snelle en effectieve respons op incidenten te garanderen. Ook leveren ze input aan problemmanagement om de onderliggende oorzaken van incidenten te identificeren en aan te pakken.

Taken en verantwoordelijkheden:

Controleert beveiligingssystemen en logs op verdachte activiteiten.
Analyseert beveiligingswaarschuwingen en onderzoekt potentiële inbreuken.
Reageert op beveiligingsincidenten door het volgen van vastgestelde procedures.
Voert kwetsbaarheidsscans uit en rapporteert bevindingen.
Draagt bij aan de verbetering van detectie- en responsmogelijkheden.

Privacy-officer

De privacy-officer of -specialist werkt vaak onder leiding van de FG en is verantwoordelijk voor de dagelijkse uitvoering van privacybeleid en -procedures. Niet alleen assisteert de privacy-officer de FG, maar werkt ook samen met de servicerequest-manager om verzoeken van betrokkenen (bijvoorbeeld inzageverzoeken) efficiënt af te handelen. Ze zijn ook betrokken bij service operations om te zorgen dat de dagelijkse verwerking van persoonsgegevens volgens de privacyrichtlijnen verloopt.

Taken en verantwoordelijkheden:

Ondersteunt de FG bij de naleving van privacywetgeving.
Beheert verzoeken van betrokkenen (bijvoorbeeld inzage-, correctie- of verwijderingsverzoeken).
Documenteert gegevensverwerkingen en onderhoudt het register van verwerkingsactiviteiten.
Voert interne privacycontroles uit.
Draagt bij aan privacybewustzijnstrainingen voor medewerkers.

Compliance-officer

De compliance-officer zorgt ervoor dat de organisatie voldoet aan alle relevante wet- en regelgeving, standaarden en interne beleidsregels. Hoewel compliance breder is, zijn er vaak specialisten die zich richten op beveiligings- en privacycompliance. Compliance-officers werken samen met de servicelevel-manager om te zorgen dat beveiligings- en privacyvereisten worden opgenomen in service level agreements (SLA’s) en operationele level agreements (OLA’s). Ze controleren ook de output van diverse ITIL-processen om naleving te waarborgen.

Taken en verantwoordelijkheden:

Interpreteert wet- en regelgeving op het gebied van informatiebeveiliging en privacy.
Evalueert of de organisatie voldoet aan interne en externe compliance-eisen.
Coördineert audits en helpt bij de voorbereiding daarvan.
Adviseert over de implementatie van controles om naleving te waarborgen.
Houdt zich op de hoogte van nieuwe wetgeving en de impact daarvan.

Incident response-specialist

De incident response-specialist focust op het reageren op cyberbeveiligingsincidenten. Hun doel is de schade te beperken, de oorzaak te achterhalen en herhaling te voorkomen. Deze rol is onlosmakelijk verbonden met het incidentmanagementproces. De incident response-specialist werkt nauw samen met de incidentmanager en de problemmanager om niet alleen incidenten op te lossen, maar ook te leren van de incidenten en toekomstige voorvallen te voorkomen.

Taken en verantwoordelijkheden:

Identificeert, analyseert en beperkt de impact van beveiligingsincidenten.
Voert forensisch onderzoek uit om de oorzaak en omvang van een incident vast te stellen.
Herstelt getroffen systemen en gegevens.
Documenteert incidenten en lessen die hieruit geleerd zijn.

Samenwerking tussen privacy en ITIL

Door deze rollen en hun verantwoordelijkheden binnen het gestructureerde kader van ITIL te plaatsen ontstaat een samenhangende en effectieve benadering van informatiebeveiliging en privacy. Dit bevordert niet alleen de veiligheid van gegevens en de bescherming van privacy, maar draagt ook bij aan de algehele stabiliteit, betrouwbaarheid en reputatie van de IT-diensten die een organisatie levert. Het is een samenwerking die cruciaal is voor succes in het huidige digitale landschap.

Lees meer

Patrick de Regt

Patrick de Regt

CISO Meer van Patrick