GRC-tools uitgelegd: wat doet een GRC-pakket?

Wat is een GRC-tool?

In gewone taal is een GRC-tool een gedeeld register. Daarin staat wat de organisatie moet doen (wetten, normen, eigen beleid), wat ze daarvoor doet (maatregelen), wie dat doet (eigenaren), hoe ze weet dat het werkt (bewijs en toetsen) en wat er nog openstaat (bevindingen en risico's). Het alternatief is een verzameling spreadsheets en mailtjes, die bij elke audit opnieuw bij elkaar worden gezocht.

Het begrip GRC zelf is breder dan software. OCEG omschrijft GRC als het geheel van vermogens waarmee een organisatie betrouwbaar doelen haalt, onzekerheid aanpakt en integer handelt (OCEG). Volgens OCEG betekent integreren niet dat er een grote aparte afdeling voor komt, en ook niet dat al het beheer in één softwarepakket moet. Een tool is dus een hulpmiddel binnen een bredere aanpak. Hoe goed het werkt, hangt af van wie het invult en wie het gebruikt. Meer achtergrond vind je bij wat GRC is. Het raakt aan compliance en privacy en aan risk management.

Wat zit er in een GRC-pakket?

Een GRC-pakket bestaat uit vijf bouwstenen die aan elkaar hangen.

• Beleid en normen. Het geheel van eigen regels en externe kaders.
• Risicobeheer. Een risicoregister legt de risico's vast, met hun eigenaren, de maatregelen erop en het restrisico. NIST omschrijft een risicoregister als een centrale vastlegging van actuele risico's en de bijbehorende informatie voor een bepaalde scope (NIST-woordenlijst). Het werk erachter lees je bij risicobeoordeling.
• Beheersmaatregelen en bewijs. NIST omschrijft een beheersmaatregel als een waarborg of tegenmaatregel die is voorgeschreven om vertrouwelijkheid, integriteit en beschikbaarheid te beschermen (NIST-woordenlijst). Elke maatregel heeft een eigenaar, een toets en bewijs. Microsoft Purview Compliance Manager werkt met controls (eisen uit regelgeving, normen of beleid), assessments (groeperingen van controls) en improvement actions. Een improvement action bevat een aanbeveling, kan aan iemand worden toegewezen en heeft ruimte voor bewijs, notities en status.
• Audit. Het plannen van audits, het uitvoeren ervan en het rapporteren van bevindingen, tot en met de opvolging.
• Leveranciersrisico. Het in kaart brengen en beoordelen van partijen waar de organisatie van afhankelijk is.

Sommige pakketten voegen privacy, bedrijfscontinuïteit, incidentregistratie en beleidsuitzonderingen toe. ServiceNow noemt in zijn GRC-documentatie ook toepassingen voor AI-risico, bedrijfscontinuïteit, privacy, operationele weerbaarheid, regelgevingswijzigingen en modelrisico. Productonderdelen verschillen per release, dus controleer de actuele stand in de ServiceNow-documentatie.

Een voorbeeld: van wettekst naar bewijs

Dit is een gedachte-experiment om de keten te laten zien. Het beschrijft geen bestaand product.

Artikel 21, lid 2 van NIS2 noemt onder meer toegangsbeleid en, waar gepast, multifactorauthenticatie. Stel dat een organisatie onder NIS2 valt en volgens ISO 27001 werkt. In de GRC-tool staat een maatregel "Beheerders gebruiken MFA". Die maatregel is gekoppeld aan het eigen toegangsbeleid, aan de ISO-eis voor toegang en aan het artikel uit NIS2. Eén maatregel kan zo meerdere kaders dekken, en je legt hem één keer vast.

De IAM-engineer is eigenaar van de maatregel. Als bewijs levert hij een schermafbeelding van het beleid in het identiteitsplatform en een lijst van beheeraccounts. Een compliance-analist toetst een steekproef en ziet dat twee serviceaccounts nog geen MFA hebben. Dat wordt een bevinding met een deadline en een eigenaar. Het risico op overname van een beheeraccount gaat in het risicoregister van laag naar gemiddeld, totdat het is opgelost. Voor de achtergrond bij toegang lees je identity en access management.

Na herstel levert de engineer nieuw bewijs. De analist sluit de bevinding, en het risico gaat terug naar laag. Bij de volgende audit staat de hele keten klaar: maatregel, eigenaar, bewijs, toets, bevinding en risico.

Governance, risk en compliance hangen in een tool samen. Governance gaat over wie beslist en welke regels gelden. Risk gaat over wat er mis kan gaan en wat je daaraan doet. Compliance gaat over of je doet wat je moet doen en of je dat kunt laten zien. Wie beslist, wie toezicht houdt en wie toetst, beschrijft ISO 31000 en het three lines model.

Welke kaders en wetten komen in een GRC-tool terug?

Een tool kan kaders als sjabloon aanbieden, maar de organisatie moet zelf vertalen wat een eis betekent voor haar eigen situatie.

De ISO/IEC 27001 is volgens ISO de bekendste norm voor informatiebeveiligingsmanagementsystemen en beschrijft de eisen waaraan zo'n systeem moet voldoen (ISO). De huidige editie is ISO/IEC 27001:2022, met één amendement uit 2024. De norm is bedoeld voor organisaties van elke omvang en uit alle sectoren. Lees meer in wat ISO 27001 is.

Het NIST Cybersecurity Framework versie 2.0 is op 26 februari 2024 uitgebracht. NIST schrijft dat het kader is ontworpen voor alle doelgroepen, sectoren en soorten organisaties. Het heeft zes functies: Identify, Protect, Detect, Respond, Recover en Govern. Govern is nieuw in versie 2.0 en gaat over hoe een organisatie haar cybersecuritystrategie bepaalt en uitvoert. Het is een kader voor alle organisaties, geen wet. Zie ook het NIST Cybersecurity Framework.

Voor NIS2 noemt artikel 21, lid 2 onder meer beleid voor risicoanalyse en beveiliging van informatiesystemen, beleid om de doeltreffendheid van maatregelen te beoordelen, personeelsbeveiliging, toegangsbeleid en beheer van activa, en waar gepast multifactor- of continue authenticatie. De maatregelen zijn gebaseerd op een all-hazards approach. ENISA citeert deze lijst in een document uit juni 2025 (ENISA). Voor de Nederlandse context verwijst het kennisbankartikel NIS2 en de Cyberbeveiligingswet door.

Ook de AVG en DORA zijn kaders waarmee een organisatie kan werken. Lees de artikelen over de AVG en DORA. Microsoft Purview Compliance Manager heeft kant-en-klare en eigen regelgevingssjablonen. Een voorbeeld is een assessment om Microsoft 365-instellingen in lijn te brengen met ISO 27001. Ook dan blijft de vertaling naar de eigen omgeving aan de organisatie.

Wat is OSCAL en waarom komt het voor?

NIST beschrijft OSCAL (Open Security Controls Assessment Language) als een initiatief dat beveiligings- en nalevingsprocessen moderniseert en automatiseert. OSCAL biedt open, machineleesbare formaten in XML, JSON en YAML. Daarmee leg je catalogi van beveiligings- en privacymaatregelen vast en bijvoorbeeld ook hoe maatregelen in systemen zijn ingevuld (NIST).

Voor een GRC-professional is dit vooral van belang wanneer tooling gegevens met andere systemen uitwisselt. Je hoeft er niet zelf mee te programmeren, maar het helpt om te weten dat dit formaat bestaat. Bij sommige organisaties speelt het nog geen rol.

Welke GRC-tools bestaan er?

Twee voorbeelden uit de officiële documentatie zijn ServiceNow en Microsoft Purview Compliance Manager. ServiceNow beschrijft GRC als een geïntegreerd risicoprogramma dat business-, security- en IT-functies op één platform verbindt. Microsoft beschrijft Compliance Manager als een oplossing om naleving in een multicloudomgeving automatisch te beoordelen en te beheren (Microsoft). Er bestaan ook andere pakketten.

Wat de keuze beïnvloedt, is het platform dat de organisatie al gebruikt, het aantal kaders, het aantal gebruikers en de koppelingen met andere systemen. Ticketsystemen voor bevindingen en wijzigingen, identiteitsplatformen, kwetsbaarhedenscanners en cloudplatformen kunnen gegevens aanleveren. Voor een klein team met één kader kan een goed ingericht register in een spreadsheet of document soms volstaan. Een tool loont meer wanneer er meerdere kaders, eigenaren en audits zijn.

Wat doet een GRC-tool niet?

Een tool legt vast, de organisatie voert uit. Een GRC-tool legt vast dat multifactorauthenticatie aan staat, maar zet die niet zelf aan. Sommige pakketten halen gegevens uit andere systemen om bewijs automatisch in te vullen, maar of dat bewijs voldoet, beoordeelt een mens.

Een groen dashboard of een hoge score zegt iets over wat in de tool is ingevuld, niet automatisch over wat in de praktijk werkt. Bij Microsoft Purview Compliance Manager kent de tool punten toe voor voltooide improvement actions en combineert die tot een compliance score. Die score helpt prioriteren welke actie je eerst oppakt. Hij is geen bewijs van naleving. Verouderde gegevens zijn erger dan geen gegevens, omdat ze een valse gerustheid geven.

Veelgemaakte fouten zijn: te veel kaders tegelijk invoeren, maatregelen zo breed formuleren dat ze niet toetsbaar zijn, geen eigenaar per maatregel, bewijs dat ouder is dan de toetsperiode, de tool als doel zien in plaats van als middel, en alleen de complianceafdeling die het gebruikt terwijl de eigenaren van de maatregelen er nooit in kijken.

Een auditor kijkt naar hoe een maatregel werkt, niet naar het bestaan van een tabblad of een vinkje. Het bewijs moet je naast de praktijk leggen.

Wie werkt met GRC-tools?

De taakverdeling verschilt per organisatie. In grote lijnen ziet die er zo uit:

• GRC Consultant: richt de tool in, vertaalt kaders naar maatregelen en helpt bij de keuze. Zie de rolgids voor de GRC Consultant.
• Compliance Officer en Compliance Analyst: beheren het register van eisen en toetsen de maatregelen. Zie de rolgids voor de Compliance Officer.
• Risk Manager en IT Risk Manager: beheren het risicoregister. Zie de rolgids voor de IT Risk Manager.
• Third Party Risk Manager: beoordeelt leveranciers.
• IT-auditor: kijkt naar bewijs en werking. Zie de rolgids voor de IT-auditor.
• Information Security Officer: eigenaar van het beveiligingsdeel.
• Privacy Officer: eigenaar van het privacydeel.

Op de werkgeverspagina van de GRC Consultant zie je welke werkgevers deze functie hebben. Het ENISA-profiel Cyber Legal, Policy & Compliance Officer noemt GRC Consultant als alternatieve titel (ENISA). Er is dus geen apart ENISA-profiel met die naam.

Wie dit wil leren, kan klein beginnen. Kies één kader, bijvoorbeeld ISO 27001, en schrijf in een spreadsheet tien maatregelen met een eigenaar, bewijs en een toetsmethode. Koppel ze aan de eisen van het kader. Dat is wat een tool ook doet. Werk je bij een organisatie die met ServiceNow of Microsoft Purview werkt, dan kun je de eigen omgeving verkennen, maar vraag daar eerst toestemming voor.