• Home
• Nieuws

'Te weinig aandacht bij corporaties 'waarom' ze ICT gebruiken'

Geplaatst door CorporatieMedia op Tuesday 7 June 2016

Corporaties denken doorgaans bij het invullen van hun ICT-landschap teveel aan 'hoe' iets moet, en te weinig aan 'wat' en 'waarom' het nodig is. Dat zegt Harry Wibier, ICT- en organisatieadviseur bij Audittrail. De grotere focus op automatisering ten opzichte van informatie kan onder andere voor een minder sterke beveiliging zorgen. "Ik heb voorbeelden gezien dat dezelfde informatie twee verschillende beveiligingsniveaus kende."

Een te grote focus op het 'hoe' is volgens Harry niet iets wat inherent is aan woningcorporaties: "Ik heb dit in mijn twintig jaar als adviseur bij pakweg tachtig procent van de organisaties gezien. Ik vermoed dat het vooral komt omdat ICT van oudsher het domein van technici is en de medewerkers aan de voorkant die situatie aanvankelijk comfortabel vonden en zich er niet mee bemoeiden. Die ingesleten patronen blijken heel hardnekkig te zijn."

Onduidelijkheden en conflicten
Het ontdekken van deze ingesleten patronen is daarbij vrij lastig. "Onderontwikkeld functioneel beheer of informatiemanagement leidt namelijk niet tot onmiddellijke problemen," legt Harry uit. "De ICT dienstverlening is gewoon beschikbaar en functioneert dikwijls naar behoren. Maar op de achtergrond kan het op verschillende manieren wringen, bijvoorbeeld door onduidelijkheid over hoe applicaties en netwerken moeten worden beveiligd of conflicten met leveranciers."

"Het gevolg daarvan is dat gebruikers en opdrachtgevers zich vaak onbegrepen voelen omdat de ICT niet doet wat zij willen. Ze ervaren een grote kloof tussen techniek en uitvoering en raken ontevreden. Automatiseerders vinden op hun beurt dat zij onvoldoende input krijgen van de klant. Ze proberen noodgedwongen - met de beste bedoelingen - de ICT-infrastructuur zo goed mogelijk in te regelen, maar kunnen onmogelijk aansluiten op de échte behoefte van de opdrachtgevers en gebruikers."

Hoe en waarom
Volgens Harry kunnen corporaties toch achter de disbalans komen door het uitvoeren van een audit. "Een groot deel van de organisatie zou dan redelijk scoren op applicatie- en technisch beheer, en naar verhouding veel minder op functioneel beheer en informatiemanagement. Oftewel; er zijn meer medewerkers en processen voor de automatisering dan voor het regelen van goede informatiestromen. De grotere nadruk op het 'hoe' ten opzichte van 'wat' en 'waarom' komt dan aan het licht."

Focus op informatie
Meer focus op informatie is volgens Harry het antwoord omdat het onder andere de strategische planning van ICT, samenwerking met ketenpartners en leveranciers en informatiebeveiliging ten goede komt. "Het helpt daarnaast ook automatisering effectief en efficiënt te maken. Zo heb ik in de praktijk bij meerdere corporaties gezien dat mogelijkheden van applicaties om gegevens toe te voegen volledig werden benut, terwijl de toevoegingen eigenlijk helemaal niet nodig waren. Zo ontstond een onnodige surplus aan data. Soms ging het daarbij om vertrouwelijke informatie, waardoor een corporatie niet alleen te maken kreeg met onnodige handelingen in het proces en extra beheerkosten, maar ook het risico dat niet werd voldaan aan wet- en regelgeving."

"Zicht op informatie is ook onontbeerlijk wanneer een corporatie gegevens in de cloud - bijvoorbeeld via een webapplicatie - wil opslaan. Alleen als er een heel goed besef bestaat van het soort informatie en de bijbehorende beveiligingsniveaus, kan een corporatie met zekerheid de juiste beveiligingsmaatregelen benoemen en tot uitvoering brengen. Als een corporatie zich bijvoorbeeld afvraagt of de servers van de cloudleverancier wel in de EU staan en of dataopslag erbuiten wel verantwoord is, bestaat de kans dat hij zich de juiste vraag te laat stelt. En als het mis is gegaan blijkt vaak dat gegevens uit de cloud halen moeilijker is dan ze erin zetten."

Informatiebeveiliging                                                                         
Om meer nadruk te leggen op informatie moet de hele organisatie de verantwoording dragen: "Bij automatisering geldt de verantwoordelijkheid vaak slechts voor één afdeling. In het kader van informatiebeveiliging zorgt deze bijvoorbeeld voor spamfilters, beveiligingsupdates en antivirussoftware, maar dat is niet voldoende. Het merendeel van de incidenten betreft namelijk ongelukjes in het gebruik als per ongeluk gedeelde informatie of slecht gekozen wachtwoorden. Zonder aandacht voor informatie krijg je gegarandeerd de poppen aan het dansen."

Harry geeft een ander praktijkvoorbeeld: "Onlangs zag ik bij een corporatie hoe een applicatie keurig beveiligd was met rollen en autorisaties, terwijl de rapportagemogelijkheden daar dwars doorheen liepen en haaks op de restricties van de applicatie stonden. Zo ontstond een situatie waarin dezelfde informatie twee verschillende beveiligingsniveaus kende. Oorzaak hiervoor was dat er gedacht werd vanuit de automatisering en de beveiliging van de applicatie en de rapportagetool. Maar als er eerst gekeken was naar de informatie en de eisen aan beschikbaarheid, integriteit en vertrouwelijkheid, hadden beide toepassingen daarop gebaseerd kunnen worden. De informatie was dan consequent beveiligd geweest."

Veranderen
Wil een corporatie de 'switch' maken van automatisering naar informatie, dan is er wel een organisatorische verandering nodig. "Hoe groot die verandering is verschilt van corporatie tot corporatie, maar het is belangrijk dat de top het belang inziet en snapt. Zij moeten écht voelen dat het van doorslaggevend belang is voor de kernprocessen en er consequent op sturen, want dan is het niet moeilijk de aandacht binnen de organisatie te verleggen. Een eerste stap hiernaar toe is kennis in huis halen, bijvoorbeeld door medewerkers een cursus functioneel beheer en informatie management te laten volgen en aansluitend informatieplannen op te stellen en implementeren."

"Ook is het verstandig om de thermometer in de organisatie te steken en aan de hand van een audit te bepalen waar de ontwikkelkansen liggen. Er zijn prima consultants die dit proces kunnen begeleiden, ook bij Audittrail. Een projectmatige aanpak van het gehele vervolgtraject is dan van wezenlijk belang, want zonder dat kan de transitie van focus op automatisering naar focus op informatie heel makkelijk misgaan."

Bron: Johan van den Beld | CorporatieMedia - 2 juni 2016