Vertrouwen is goed, IAM implementeren is beter! : Bron infosecuritymagazine.nl
Het merendeel van de CISO’s vertrouwt op zijn werknemers voor het melden van datalekken. Maar is dit wel verstandig? En welke alternatieven zijn er?
Vertellen of voor je houden? Een werknemer kan iets verdachts zien, maar is er niet honderd procent zeker van. Of heeft sterk het vermoeden dat er wangedrag plaatsvindt, maar dan wel van een collega in een hogere functie – en met angst voor mogelijke repercussies voor het eventueel melden als gevolg. Zullen ze er iets van zeggen, of houden ze zich stil? Helaas voor organisaties die te maken hebben met een toenemend aantal interne risico’s: onderzoek toont aan dat werknemers neigen het niet te melden, of het pas doen wanneer het te laat is.
Interne datalekken zijn traditioneel lastig te detecteren en te stoppen. Werknemers die legitieme toegang hebben tot gevoelige bedrijfsinformatie, kunnen opzettelijk of per ongeluk kwaad doen door informatie te stelen of op een verkeerde manier te delen. De oorzaken hiervan lopen uiteen en ook de omstandigheden waaronder het plaatsvindt, verschillen van geval tot geval; van gegevens die met kwade bedoelingen worden gelekt tot iemand die per ongeluk de verkeerde bijlage toevoegt aan een e-mail.
Werknemers die legitieme toegang hebben tot gevoelige bedrijfsinformatie, kunnen opzettelijk of per ongeluk kwaad doen door informatie te stelen of op een verkeerde manier te delen.
Tony Pepper
Toch toont recent onderzoek door Egress aan dat meer dan de helft van de CISO’s op het personeel vertrouwt wanneer het gaat om de detectie van datalekken. Voor 59% is het rapporteren van onbedoelde datalekken door werknemers de belangrijkste manier om geïnformeerd te worden. En 57% van de CISO’s vertrouwt ook vooral op zijn eigen werknemers bij het melden van een opzettelijk lek.
Is dit vertrouwen in het rapporteren door werknemers gerechtvaardigd? Onderzoek door Red Goat Security LLP toonde in ieder geval aan dat werknemers weerzin voelen tegen het melden van wangedrag. Red Goat onderzoekt hierin welke factoren ervoor zorgen dat werknemers verdacht gedrag wel of niet melden.
Chronische onderrapportage, door persoonlijk risico van de werknemer?
De uitkomsten zijn fascinerend, helemaal in het licht van de afhankelijkheid van CISO’s van het melden van datalekken door werknemers. In het merendeel van de onderzochte situaties is er sprake van chronische onderrapportage van verdacht gedrag. Respondenten zijn minder geneigd tot rapporteren wanneer het gaat om een collega of vriend, en sterk minder geneigd bij incidenten met een collega hoger in rang. De enige situatie waarin het waarschijnlijker wordt dat verdachte situaties wel worden gemeld, is wanneer het gaat om incidenten waarbij nieuwe werknemers of invalkrachten betrokken zijn.
Het onderzoek concludeert dan ook dat het rapporteren van een datalek gezien wordt als een ‘groot, persoonlijk risico’. Uit de kwalitatieve data kan worden opgemaakt dat het besluit om wel of niet te rapporteren sterk beïnvloed wordt door eigenbelang en zelfbescherming. Mensen willen de zaken niet moeilijker maken voor zichzelf op hun werk en ze willen ook niet bekritiseerd worden wanneer ze het juiste proberen te doen. In plaats daarvan kijken ze weg en houden ze zich stil.