Security: waar trek je de lijn?

Niemand kan nog zonder, maar elk bedrijf moet zich de vraag stellen hoever het moet gaan in het inrichten van beveiligingssystemen op het computernetwerk en in het datacenter. Dit vraagstuk kan je van verschillende kanten bekijken. Maar het blijft altijd een balans zoeken tussen geld uitgeven en inschatten welke risico’s je ermee afdekt.

Tijdens zakelijke vregaderingen krijg ik vaak de vraag “maar wij zijn toch geen bank, dus zoveel security hebben wij toch niet nodig?” Waarop ik steeds hetzelfde antwoord moet geven: “inderdaad, uw bedrijf is geen bank, maar heeft u er al eens over nagedacht wat er gebeurt met uw bedrijfsprocessen als uw systemen niet meer werken, of privégegevens van uw klanten misbruikt worden door derden of data niet meer te vertrouwen zijn?”

Als het gaat om beschikbaarheid van systemen wordt de aanschaf van nieuwe apparatuur of software vaak gezien als een vanzelfsprekendheid, maar zodra het gaat over de andere twee vragen is het vaak moeilijk oversteken. Toch ben ik van mening dat ethisch gezien bedrijven soms wat vaker zouden moeten oversteken.

Bedrijven moeten zich er meer bewust van zijn dat alle informatie in hun databases per definitie confidentiële informatie is. Hetzelfde geldt voor data op een laptop, tablet of smartphone. Het gaat dan niet alleen om naam, adres, woonplaats en telefoonnummers, maar ook e-mailadressen, aankoop- en betalingsgedrag. Niemand wil dat dergelijke informatie op straat komt te liggen, laat staan in handen komt van criminele organisaties.

Maar ook de juistheid van informatie en data in systemen is heel belangrijk. Niets is zo vervelend als financiële gegevens die onbedoeld niet kloppen. Dat kan heel nadelige gevolgen hebben voor een bedrijf, maar helemaal vervelend wordt het als orders verkeerd of niet verstuurd worden door foute data in het systeem.

Probleem uitbesteden?
“Dan besteden we applicaties en systemen toch gewoon uit en brengen ze in de cloud en dan ligt de verantwoordelijkheid ergens anders”, is een vaak gehoord argument. Niets is uiteraard minder waar. Technisch is het vaak een voordeel en de operationele kosten zullen waarschijnlijk lager liggen, maar de verantwoordelijkheid over de data verhuist niet mee naar de cloud.

Persoonlijk vind ik dat bedrijven die gebruik (gaan) maken van cloudservices heel goed moeten onderzoeken op welke manier de cloudservice provider zijn data gaat bewaken en beschermen. Niets lijkt mij vervelender dan dat je als organisatie het nieuws haalt, door toedoen van een derde partij.

Hoe controleer je wie, vanaf welk apparaat, waar vandaan toegang krijgt tot de informatie? De hedendaagse technologie maakt alles mogelijk, maar de balans tussen wat kan en wat je wil dat kan, moet met beleid gevonden vonden worden.

Dus als er een lijn getrokken wordt op een bepaalde plaats omdat de markt of de organisatie daar om vraagt, moet je wel altijd zorgen dat de lijn bewaakt wordt met de juiste technologie, om de balans in evenwicht te houden.