Informatiebeveiliging is het bredere begrip: het omvat de bescherming van alle informatie, ongeacht de vorm of het medium. Cybersecurity valt daaronder als het deelgebied dat specifiek gaat over digitale systemen, netwerken en data in de digitale omgeving. Kort gezegd: alle cybersecurity is informatiebeveiliging, maar niet alle informatiebeveiliging is cybersecurity. In dit artikel beantwoorden we de meest gestelde vragen over dit onderscheid, zodat je precies weet welke term van toepassing is op jouw situatie. Wil je meteen weten wat dit betekent voor jouw organisatie? Neem gerust contact op en we helpen je verder.
Valt cybersecurity onder informatiebeveiliging, of andersom?
Cybersecurity valt onder informatiebeveiliging, niet andersom. Informatiebeveiliging is het overkoepelende vakgebied dat gaat over het beveiligen van informatie in alle verschijningsvormen: digitaal, op papier en mondeling. Cybersecurity is een deelgebied dat zich richt op de digitale kant, zoals netwerken, systemen en software.
Dit onderscheid klinkt misschien technisch, maar het is praktisch relevant. Een organisatie die alleen aan cybersecurity doet, beveiligt haar digitale omgeving maar laat mogelijk papieren dossiers, mondelinge communicatie of fysieke toegangsbeveiliging buiten beschouwing. Wie aan informatiebeveiliging doet, denkt breder en dekt meer risico’s af. In de praktijk worden de termen door elkaar gebruikt, maar voor normen, certificeringen en beleid is het onderscheid wél van belang.
Wat valt er precies onder informatiebeveiliging?
Informatiebeveiliging omvat alle maatregelen die een organisatie neemt om informatie te beschermen op het gebied van vertrouwelijkheid, integriteit en beschikbaarheid. Dit geldt voor informatie in digitale én fysieke vorm, en voor de processen en mensen die daarmee omgaan.
De drie kernprincipes van informatiebeveiliging zijn:
- Vertrouwelijkheid: informatie is alleen toegankelijk voor wie daartoe bevoegd is.
- Integriteit: informatie is correct, volledig en niet ongeautoriseerd gewijzigd.
- Beschikbaarheid: informatie is beschikbaar wanneer bevoegde gebruikers er toegang toe nodig hebben.
Informatiebeveiliging gaat dus verder dan technologie. Het omvat ook organisatorische maatregelen zoals toegangsbeleid en functiescheiding, fysieke beveiliging zoals afgesloten serverruimtes, en menselijke factoren zoals bewustwording en training van medewerkers. Een medewerker die een vertrouwelijk document op zijn bureau laat liggen, vormt net zo goed een informatiebeveiligingsrisico als een slecht beveiligd netwerk. Meer achtergrond over dit brede vakgebied vind je op onze pagina over informatiebeveiliging.
Wat valt er precies onder cybersecurity?
Cybersecurity richt zich op de bescherming van digitale systemen, netwerken, applicaties en data tegen ongeautoriseerde toegang, aanvallen en schade. Het is het deelgebied van informatiebeveiliging dat specifiek de digitale en technische kant van beveiliging afdekt.
Typische onderwerpen binnen cybersecurity zijn onder andere:
- Beveiliging van netwerken en firewalls
- Bescherming tegen malware, ransomware en phishing
- Veilig ontwikkelen van software en applicaties
- Beheer van kwetsbaarheden en patches
- Monitoring van systemen op verdachte activiteiten
- Incidentrespons bij digitale aanvallen
Cybersecurity is sterk technisch van aard en vraagt om gespecialiseerde kennis van IT-infrastructuur en dreigingslandschappen. Toch is ook hier de menselijke factor niet te verwaarlozen: veel succesvolle cyberaanvallen beginnen niet met een technische kwetsbaarheid, maar met een medewerker die op een phishinglink klikt.
Welke term wordt gebruikt in normen zoals ISO 27001 en NEN 7510?
Zowel ISO 27001 als NEN 7510 hanteren de term informatiebeveiliging, niet cybersecurity. Beide normen zijn ontworpen als beheersystemen voor informatiebeveiliging in de brede zin, inclusief organisatorische, fysieke en technische maatregelen.
ISO 27001 is de internationale norm voor een Information Security Management System (ISMS) en richt zich op het systematisch identificeren en beheersen van informatiebeveiligingsrisico’s binnen een organisatie. NEN 7510 is de Nederlandse norm specifiek voor informatiebeveiliging in de zorg, en bouwt voort op dezelfde brede principes. Beide normen erkennen cybersecurity als een belangrijk onderdeel, maar beperken zich er niet toe. Organisaties die een van deze normen willen behalen, moeten dus een breder informatiebeveiligingsbeleid voeren dan alleen technische digitale beveiliging. Wil je weten wat een certificeringstraject voor jouw organisatie inhoudt? Bekijk ons certificeringsaanbod.
Wanneer spreek je van een cybersecurity-incident en wanneer van een informatiebeveiligingsincident?
Een cybersecurity-incident betreft een verstoring of aanval via digitale systemen, zoals een ransomware-infectie, een datalek via een gehackt account of een DDoS-aanval. Een informatiebeveiligingsincident is breder: het omvat elk voorval waarbij de vertrouwelijkheid, integriteit of beschikbaarheid van informatie in het geding is, ongeacht de oorzaak.
Een paar voorbeelden maken het verschil concreet:
- Een medewerker die een USB-stick met klantgegevens verliest: dit is een informatiebeveiligingsincident, maar geen cybersecurity-incident.
- Een hacker die inbreekt op een bedrijfsnetwerk: dit is zowel een cybersecurity-incident als een informatiebeveiligingsincident.
- Een papieren dossier dat in de verkeerde handen valt: dit is een informatiebeveiligingsincident zonder digitale component.
In de praktijk worden beide termen ook bij digitale incidenten door elkaar gebruikt. Voor rapportage aan toezichthouders zoals de Autoriteit Persoonsgegevens wordt doorgaans gesproken van een informatiebeveiligingsincident of datalek, conform de bredere definitie.
Moet mijn organisatie zich richten op informatiebeveiliging of cybersecurity?
Voor de meeste organisaties is informatiebeveiliging het juiste uitgangspunt. Het dekt een breder scala aan risico’s en vormt de basis voor certificeringen zoals ISO 27001 en NEN 7510. Cybersecurity is een essentieel onderdeel daarvan, maar geen vervanging voor een integraal informatiebeveiligingsbeleid.
Of je nu een zorginstelling bent, een softwarebedrijf of een MKB dat klantgegevens verwerkt: de kans is groot dat informatie bij jou in meerdere vormen aanwezig is en via meerdere kanalen kan lekken. Een exclusieve focus op cybersecurity laat dan blinde vlekken bestaan. Door informatiebeveiliging als vertrekpunt te nemen, dek je zowel de technische als de organisatorische en fysieke risico’s af.
Wil je weten hoe jouw organisatie er op dit moment voor staat en welke stappen je kunt zetten richting certificering? Neem contact op en we denken graag met je mee over een aanpak die past bij jouw sector en ambitie.
Veelgestelde vragen
Wat is het verschil tussen informatiebeveiliging en cybersecurity?
Informatiebeveiliging is het overkoepelende vakgebied dat alle informatie beschermt, ongeacht de vorm — digitaal, op papier of mondeling. Cybersecurity is een deelgebied dat zich uitsluitend richt op digitale systemen, netwerken en data, waardoor alle cybersecurity onder informatiebeveiliging valt, maar niet andersom.
Waarom is informatiebeveiliging breder dan alleen technische digitale beveiliging?
Informatiebeveiliging omvat naast technische maatregelen ook organisatorische aspecten zoals toegangsbeleid en functiescheiding, fysieke beveiliging zoals afgesloten serverruimtes, en menselijke factoren zoals bewustwording en training, omdat informatie op vele manieren kwetsbaar kan zijn — ook buiten digitale systemen om.
Hoe weet ik of een incident een cybersecurity-incident of een informatiebeveiligingsincident is?
Een cybersecurity-incident betreft altijd een digitale aanval of verstoring, zoals ransomware of een gehackt account. Een informatiebeveiligingsincident is breder en omvat elk voorval waarbij vertrouwelijkheid, integriteit of beschikbaarheid van informatie in het geding is, inclusief het verlies van een USB-stick of een papieren dossier.
Wanneer is het zinvol om te kiezen voor een certificering zoals ISO 27001 of NEN 7510?
Een certificering is zinvol zodra jouw organisatie structureel wil aantonen dat informatie betrouwbaar en veilig wordt beheerd, bijvoorbeeld richting klanten, partners of toezichthouders. Beide normen hanteren informatiebeveiliging als breed uitgangspunt en vereisen meer dan alleen technische digitale maatregelen.
Gerelateerde artikelen
- Wat gebeurt er als je de geldigheidstermijn van je ISO 27001 certificaat laat verlopen?
- ISO 27001 of NEN 7510: welke norm past bij jouw organisatie?
- Wat zijn kritieke afwijkingen bij een ISO 27001 certificering?
- Hoe werkt de samenwerking tussen een consultant en een certificerende instelling?
- Hoe herken je een phishingaanval gericht op je organisatie?
