1 november 2011 -
Wereldwijd willen organisaties processen steeds verder digitaliseren met nieuwe technologieën. Daarnaast begeven ze zich steeds dieper in de wereld van cloud computing en sociale media. Hierdoor ontstaat er een toenemende kloof tussen enerzijds de zakelijke behoeften van organisaties en anderzijds hun vermogen om nieuwe en complexe beveiligingsrisico’s aan te pakken.
Dat staat in de veertiende jaarlijkse Global Information Security Survey van Ernst & Young. Uit het onderzoek blijkt dat 72 procent van de respondenten een groeiend risico bespeurt in de toename van externe bedreigingen. Toch heeft slechts een derde zijn informatiebeveiligingsstrategie in de afgelopen twaalf maanden gemoderniseerd.
Strategische beveiliging
80 procent van de organisaties gebruikt inmiddels tablets (of overweegt die te gaan gebruiken), en 61 procent maakt gebruik van cloud computing-diensten (of overweegt dat het komende jaar te gaan doen). Men lijkt vooral geneigd zich zo snel mogelijk te willen aanpassen aan het rap evoluerende IT-landschap. Pas in tweede instantie realiseren bedrijven zich dat die nieuwe middelen ook beveiligingsrisico’s met zich meebrengen. Lieke Verstegen van Ernst & Young: "Steeds meer grote organisaties draaien op software en online dienstverlening. Gegevens bevinden zich overal. Nu de grenzen vervagen en het aantal diensten en bedrijfsmodellen in cloud computing toeneemt, vragen bedrijven zich af hoe ze nieuwe risico’s moeten aanpakken en of ze wellicht hun strategie moeten herzien. Het is zaak dat de aandacht verschuift van stop- en lapwerk naar een benadering waarin ook de strategische bedrijfsdoelen voor de lange termijn zijn opgenomen."
Cloud computing, tablets en smartphones
Voor de respondenten heeft cloud computing de komende twaalf maanden de hoogste prioriteit in het beveiligingsbudget. Het invoeren van tablets en smartphones staat op nummer twee op de lijst van meest significante technologische uitdagingen. Meer dan de helft van de respondenten noemt dit een (zeer) lastige uitdaging. De risico’s die deze nieuwe mobiele apparatuur met zich meebrengen, worden met name bestreden door aanpassing van de voorschriften en door mensen structureel te wijzen op de gevaren. Toch hebben nog niet veel organisaties specifieke beveiligingstechnieken en -software ingevoerd. Zo maakt amper de helft (47 procent) gebruik van versleuteltechnologie.
Dat cloud computing grote voordelen met zich meebrengt, staat buiten kijf. Veel organisaties hebben echter nog geen goed beeld van de exacte implicaties van deze technologie. "Het ziet ernaar uit dat veel organisaties bij gebrek aan heldere richtsnoeren ongefundeerde besluiten nemen. We zien dat sommige veel te snel overstappen op de cloud zonder de risico’s afdoende te onderzoeken, terwijl andere bedrijven er überhaupt niet aan willen. En hoewel veel organisaties inmiddels op cloud computing zijn overgestapt, ging dat lang niet altijd van harte", aldus Verstegen.
Sociale media Volgens de meeste respondenten (72 procent) vormen kwaadaardige aanvallen van buitenaf het grootste risico. Bij dergelijke aanvallen kan gebruik worden gemaakt van informatie die via sociale media is verkregen en vervolgens gericht wordt ingezet om aan bepaalde personen gegevens te ontfutselen (phishing). In de poging om de potentiële risico’s van sociale media te beteugelen lijken veel organisaties te kiezen voor de harde lijn. Ruim de helft (53 procent) heeft de toegang tot specifieke websites simpelweg geblokkeerd, in plaats van ondernemingsbrede maatregelen te treffen die de verandering op zich juist bevorderen.
Hoogste prioriteit
Het blijkt dat bij slechts twaalf procent van de respondenten informatiebeveiliging standaard op de agenda van de directie staat, en dat bij minder dan de helft (49 procent) de informatiebeveiliging voldoet aan de behoeften van de organisatie. "We moeten af van reactieve maatregelen en kiezen voor een pragmatische en proactieve aanpak", concludeert Verstegen. "Voor de meeste bedrijven is er wat dat betreft nog een hele weg te gaan. Als organisaties hun IT-risico's effectief willen beheren, moeten ze zich eerst een compleet en coherent beeld vormen van alle risico’s die met informatietechnologie gepaard gaan. Vervolgens kunnen de risico’s en uitdagingen op IT-gebied in kaart worden gebracht en beheerd – niet alleen de huidige, maar ook de problemen die mogelijk nog gaan komen."
