VISIE  
New Security Magazine 143 – juli 2017

Dynamische securityplanning volgens gezond boerenverstand

Elke security manager krijgt ermee te kampen, de sectorgebonden ‘Directives’ die, om concurrentieel te blijven, het best asap worden geïmplementeerd binnen de bedrijfsprocessen. Enkele voorbeelden hiervan – naast de ISO-kwaliteitsnormen en de wettelijke veiligheidsvereisten – zijn: de TAPA¹-reglementering voor de opslagmagazijnen, de FSR²-bepalingen voor de logistiek, de ISPS³ Code voor de havenfaciliteiten, de AEO⁴-richtlijnen voor de internationale handel, de LME⁵-standaard voor de industriële metaalverhandeling en het INCERT⁶-label voor inbraakgevoelige bedrijven. En morgen komt er steevast een extra ‘spelregel’ uw richting uit… .

Dynamisch anticiperen

Doordat de restricties en de vereisten van een volgend te behalen certificaat niet altijd evident zijn, ziet de security manager zich genoodzaakt om er een veiligheidsconsulent bij te halen. Deze specialist ter zake zal helpen om het bedrijf in regel te stellen naar de nieuwe normering. Echter, aangezien een goed securityplan altijd een momentopname is, en dus empirisch wordt bijgestuurd, zijn er misschien maar enkele extra maatregelen nodig om de auditor tevreden te stellen.

Hands-on risico controle

Een goede insteek om het securityplan up-to-date te houden is door de nieuwe bedrijfsrisico’s in kaart te brengen. De creativiteit én de middelen van agressoren evolueren immers met de technologie, waardoor het aangewezen is om het securityplan ‘continu’ bij te sturen. Door de actuele berichtgeving van veiligheidsincidenten en van ongekende (ingenieuze) inbraaktechnieken op te volgen, kan al veel onheil worden voorkomen. Dit echter op voorwaarde dat tegenover elk extra risico of elke nieuwe ‘Directive’ een afdoende oplossing in het ‘oude’ securityplan wordt voorzien.

Risico-identificatie en -evaluatie

Startpunt bij de risico-identificatie is om eerst goed na te denken over de vraag: ‘Wat/wie moet worden beveiligd tegen wat/wie?’ Na het oplijsten van de risico’s dienen deze in volgorde van belangrijkheid te worden geordend. Brandgevaar is bijvoorbeeld belangrijker dan het risico dat een vliegtuig neerstort op de bedrijfsgebouwen. Beide risico’s bestaan, en misschien zouden ze evenveel schade berokkenen, maar de kans dat er brand ontstaat is natuurlijk veel groter.

Kwantificeren van de risico’s

Om risico’s in te delen hebben academici en specialisten tal van technieken ontwikkeld. De meest gekende zijn de Methode van KINNEY en de HAAGSE Methodiek. In grote lijnen komt het erop neer dat de grootte van een risico wordt bepaald door drie hoofdfactoren. Deze zijn: (1) de waarschijnlijkheid van voorkomen (probability), (2) de blootstelling aan het risico (exposure), en (3) de ernst (severity) of de schade indien het risico effectief zou plaatsvinden.

Risico = Impact x Kans

Een goede risico-inschatting, een vuistregel als het ware, is om het verwachte verlies (Impact) en de frequentie (Kans) van het risico met elkaar te vermenigvuldigen. De uitkomst ervan geeft een objectieve indicatie over de belangrijkheid van het risico. De kwantificering is dan een vereenvoudigd model over elk risico op zich. De restrisico’s – op alle risico’s anticiperen is een illusie – kunnen desgewenst worden verzekerd. Het beste branddetectiesysteem sluit het ontstaan van brand niet uit, noch garandeert een hightech inbraakinstallatie dat een rancuneuze werknemer een dure machine saboteert. Of een cyberattack legt uw bedrijfsnetwerk lam met ransomware. En wat met een gaslek of een Amok-incident? Laat u deze risico’s toe, of neemt u hiervoor een verzekeraar onder de arm?

Actieplan voor beveiliging met het incident als vertrekpunt

De volgende stap, na de veiligheidsbeoordeling en het oplijsten van de risico’s, is het opstellen van een actieplan. Dit plan beschrijft in detail de te nemen maatregelen door het security personeel. In geval van een safety-incident zal dit plan logischerwijs worden gelinkt met de nood- en evacuatie-procedures. Het actieplan bepaalt twee situaties: (1) het incident is nog niet gebeurd en in dit geval moet alles in het werk worden gesteld om het incident te voorkomen, of (2) het incident is gebeurd of aan de gang en er moet op gepaste wijze worden gereageerd om erger te voorkomen. In de beide gevallen komt het erop aan sluitende tegenmaatregelen te bedenken door zich op voorhand in de situatie in te leven. En dat proces gebeurt het beste aan de hand van de scenariomethode.

De scenariomethode: ‘Wat als…?’

De scenariomethode werd ontwikkeld door militaire strategen alsook door Shell om met meerdere mogelijke toekomsten rekening te houden. Het is een didactisch instrument om aan goed risicomanagement te doen. Aan de hand ervan kan men op eenvoudige manier tot een brede waaier van conclusies komen. De scenariomethode vertrekt steeds vanuit de vraagstelling ‘Wat als…?’, waarna het echte brainstormen begint. Geen ingewikkelde formules, wel gezond boerenverstand.

De scenariomethode in de praktijk

Bij de vraagstelling wordt onderscheid gemaakt tussen drie doelwitgroepen: de personen, de bedrijfsmiddelen en de infrastructuur. Op deze ‘targets’ wordt de scenariomethode toegepast. Ter info: ook het gecertificeerde Risk Management Systeem (ISO-31000) volgt grotendeels deze denkpiste. Onderstaand voorbeelden van een incidentenvraagstelling die van toepassing is op een Seveso⁷-haventerminal:

•Wat als het IT-lokaal vuur vat?

•Wat als de gasleiding wordt stukgeslagen waardoor een giftige rook zal vrijkomen?

•Wat als de radio in het wachtlokaal wordt gestolen?

•Wat als een bezoeker een verboden zone binnenwandelt?

•Wat als een matroos drugs aan land probeert te smokkelen?

•Wat als een personeelslid wordt bedreigd door een bezoeker met een mes?

•Wat als onbegeleide bagage wordt aangetroffen in het administratieve gebouw?

•Wat als een laadinstallatie wordt gesaboteerd waardoor een container in zee valt?

•Wat als iemand over het hekwerk klimt en zich vastketent aan een nucleaire container?

•Wat als een aangemeerd schip met opzet wordt geramd door een sleepboot?

•Wat als een gekaapte LNG-tanker de haven binnenvaart en zijn lading tot ontploffing brengt?

Standard Operating Procedures (SOP’s) en speciale tegenacties

Het antwoord op deze ‘Wat als’-vragen beschrijft welke organisatorische, bouwkundige, elektronische en meldingsmaatregelen nodig zijn om elk risico maximaal in te dijken. Hiermee wordt een proactief actieplan ontwikkeld dat zich ontrolt wanneer een welbepaald risico een incident is of dreigt te worden. Aangezien bepaalde risico’s eenzelfde afhandeling vragen kunnen de tegenmaatregelen worden ondergebracht in een soort draaiboek van SOP’s, dat door het personeel en de interims is gekend. Het actieplan van speciale procedures en veiligheidsinstructies wordt het best door een ervaren security taskforceteam opgesteld… én ook regelmatig bijgestuurd. Deze aanpak is de beste garantie opdat uw bedrijf bij een volgende audit het veiligheidscertificaat zal behouden of verkrijgen.

Security Awareness bij het personeel

Een goede manier om incidenten voor te zijn, is door zich voortdurend bewust te zijn van de mogelijkheid op malafide of criminele acties. Alert zijn is hier de boodschap. Dreigend onheil of verdachte handelingen moeten meteen worden gemeld en vervolgens met de nodige omzichtigheid benaderd. Tip: leer het personeel om tijdens het ‘spotten’ van een verdacht persoon, een voertuig of een lading om zoveel mogelijk relevante informatie te herkennen en (efficiënt) te communiceren. Een collectieve anticipatie dus op security-incidenten door meer aandacht te besteden aan de proactieve acties (preventie) in plaats van de reactieve acties (crisis management). En wees extra aandachtig en kijk ook uit voor mogelijke hinderlagen of afleidingsmanoeuvres… .

Door Philip Vandenbon

1. TAPA: Transported Asset Protection Association

2. FSR: Freight Security Requirements ‘

3. ISPS Code: International Ship and Port facility Security Code (Europa: EG/725/2004)

4. AEO: Authorized Economic Operator

5. LME: London Metal Exchange

6. INCERT: Intrusion Certification

7. SEVESO: verwijst naar een industriële ramp in Italië (1976) waarna Europese richtlijnen zijn aangenomen.

Een goede insteek om het securityplan up-to-date te houden is door de nieuwe bedrijfsrisico’s in kaart te brengen.