Veiligheid op 1 klinkt eenvoudig, maar het is een scherpe keuze. Het betekent dat informatiebeveiliging niet pas aan het einde van een project wordt toegevoegd en ook niet mag verdwijnen achter gemak, snelheid of verkoopbaarheid. Veiligheid is het vertrekpunt van het ontwerp, de uitvoering en de verantwoording.
De formulering is niet toevallig verwant aan de luchtvaart. Daar is safety first geen slogan voor op een poster, maar een manier van werken: standaardprocedures, checklists, crew resource management, meldcultuur, training, incidentonderzoek en de discipline om ook onder tijdsdruk geen onnodige risico’s te normaliseren. Een vlucht is niet veilig omdat er niets misging, maar omdat mensen, processen en techniek zo zijn ingericht dat fouten worden opgevangen, afwijkingen worden gemeld en lessen terugkomen in de operatie.
Die luchtvaartles is direct relevant voor informatiebeveiliging. Digitale systemen zijn complex, teams zijn afhankelijk van elkaar en kleine afwijkingen kunnen grote gevolgen krijgen. Daarom vraagt veiligheid om meer dan heldhaftige experts of dure tooling. Het vraagt om een organisatie die onzekerheid zichtbaar maakt, met checklists werkt waar dat helpt, besluiten kan herleiden en mensen ruimte geeft om twijfel of fouten vroeg te melden.
Informatiebeveiliging draait klassiek om beschikbaarheid, integriteit en vertrouwelijkheid. Die drie woorden zijn geen abstract model, maar beschrijven of een organisatie kan blijven functioneren, of gegevens betrouwbaar zijn en of informatie beschermd blijft tegen onbevoegde toegang. Als een van die drie ontbreekt, is veiligheid geen belofte meer maar een aanname.
Voor LibreKAT betekent veiligheid op 1 daarom dat we niet alleen naar kwetsbaarheden kijken, maar naar beheersbaarheid. Wie kan bij data? Wie kan dienstverlening stoppen? Wie kan software wijzigen? Wie kan controleren of een maatregel werkelijk werkt? Die vragen horen niet alleen thuis bij technici, maar ook bij bestuurders, inkopers, juristen en gebruikers.
In Fundamenten van informatiebeveiliging wordt dit samengevat als ROT: regulering, organisatie en techniek. Wetgeving en normen geven kaders. De organisatie bepaalt rollen, mandaat, processen en cultuur. Techniek levert de hulpmiddelen zoals logging, toegangsbeheer, segmentatie en monitoring. Pas als die drie samen werken, ontstaat veiligheid die meer is dan een verzameling losse maatregelen.
Safety first vraagt om discipline. Niet omdat alles gevaarlijk is, maar omdat digitale afhankelijkheden vaak stil ontstaan. Een leverancier wordt belangrijker. Een koppeling wordt onmisbaar. Een cloudomgeving groeit uit tot de plek waar identiteit, documenten, communicatie en back-ups samenkomen. Zolang alles werkt, voelt dat efficiënt. Pas bij een incident blijkt of er nog een alternatief is.
Daarom is veiligheid bij LibreKAT controleerbaar. Een maatregel moet uitgelegd, getoetst en waar nodig gereproduceerd kunnen worden. Open tooling, duidelijke documentatie en herhaalbare onderzoeken helpen daarbij. Zij maken van veiligheid geen ritueel, maar een praktijk waarin anderen kunnen meekijken en waarin bevindingen niet afhankelijk zijn van vertrouwen alleen.
Veiligheid op 1 betekent ook dat er grenzen worden gesteld. Niet elke afhankelijkheid is verkeerd. Soms is uitbesteden rationeel en veiliger dan alles zelf doen. Maar afhankelijkheden moeten bewust, omkeerbaar en passend bij het risico zijn. Voor een nieuwsbrief gelden andere eisen dan voor identiteitsbeheer of patiëntgegevens. Het volwassen gesprek begint bij die differentiatie.
Daarbij helpt de vraag uit Fundamenten: is het goed gegaan of is het goed gedaan? Dat verschil is wezenlijk. Een organisatie kan jarenlang geen incident hebben en toch op geluk draaien. Veiligheid op 1 vraagt dat we kunnen aantonen waarom iets goed is gedaan: welke risico’s zijn gezien, welke maatregelen zijn gekozen, wie is verantwoordelijk en hoe wordt gecontroleerd of het blijft werken?
Deze kernwaarde is uiteindelijk een vorm van zorgplicht. Organisaties die digitale systemen gebruiken, dragen verantwoordelijkheid voor de mensen die daarvan afhankelijk zijn. Burgers, klanten, medewerkers en partners moeten erop kunnen vertrouwen dat systemen niet alleen handig zijn, maar ook bestand tegen fouten, druk en veranderende omstandigheden.
Veiligheid op 1 is dus geen angstige houding. Het is professioneel optimisme met een checklist. We bouwen, delen en verbeteren, maar doen dat met bewijs, scenario’s en de bereidheid om ongemakkelijke vragen vroeg te stellen. Juist daardoor ontstaat ruimte voor innovatie die blijft werken als het spannend wordt.