'Beveiligen van gevoelige informatie wordt onhoudbaar'

In '7 vragen aan...' besteden we aandacht aan IT-bedrijven van Nederlandse bodem. Deze week spraken we met Ton Mooren, CEO en oprichter van Motiv. Hij stelt dat het beveiligen van gevoelige informatie in de toekomst praktisch onmogelijk wordt, omdat teveel instanties en personen er toegang tot hebben terwijl dat vaak niet noodzakelijk is. Hij pleit voor een nieuw beveiligingsbeleid. Tijd voor zeven vragen…

1. Motiv bestaat 15 jaar. Wat is er in die tijd allemaal veranderd op IT gebied?

“We begonnen eigenlijk als consultancy- en adviesbureau op het gebied van security. We constateerden een vacuüm om het advies over beveiliging te vertalen naar de praktijk, waardoor we ons meer zijn gaan richten op het leveren en beheren van oplossingen, vooral voor netwerken en databases. Al snel werd er een verschuiving zichtbaar: je huurde niet meer eenmalig een mannetje in die met een project een oplossing bood voor een bepaald probleem, maar beheer werd steeds vaker langdurig uitbesteed. Je zag een ‘verdiensting’ van de IT - een ander business model.”

2. Wat zien jullie gebeuren op het gebied van security?

“Netwerkbescherming wordt steeds minder relevant. De traditionele antivirus- en firewall-oplossingen zijn niet meer voldoende, want bedreigingen zijn veel minder voorspelbaar en herkenbaar dan voorheen. Organisaties lopen al snel achter de feiten aan, terwijl ze vaak denken de zaken goed op orde te hebben. Maar de aanvaller is altijd eerder dan de verdediger. Monitoring, detectie en automatische anticipatie op bedreigingen is daardoor veel belangrijker geworden.”

“Om de veiligheid in een netwerk te beoordelen plaatsen we een driedimensionale securityscan in het netwerk die al het verkeer analyseert. Deze toont al het verkeer dat het netwerk in- en uitgaat, maar ook welke onveilige applicaties en handelingen er gebruikt worden. Dat is vaak een eye-opener. 100% veiligheid bestaat niet, daarom moet de focus wat ons betreft liggen op de bescherming van de kroonjuwelen van een bedrijf: de meest gevoelige informatie.”

Bedrijfsnaam: Motiv IT masters B.V.

Website: www.motiv.nl 

Productgroepen: Informatievoorziening, Informatiebeveiliging diensten en oplossingen

Jaaromzet: 17 miljoen euro

Aantal medewerkers: 90

Vestigingsplaats: IJsselstein

Klanten: Onder andere – Nederlandse Spoorwegen, Politie Nederland, Robeco, Rabobank, VvAA en DHV Groep.

3. Wat schort er vaak aan het securitybeleid?

“Veel organisaties zijn zich niet bewust van de risico’s, terwijl ze bij een incident een omzet van vele dagen kunnen verliezen of zelfs ‘out of business’ kunnen gaan. Denk bijvoorbeeld aan een webshop die dagenlang onbereikbaar is of een bank met een veiligheidsincident. Maar gelukkig is het bewustzijn de afgelopen jaren wel vergroot, doordat incidenten en cyberdreiging steeds vaker in het nieuws komen.”

“Als organisaties een goed beeld hebben van concrete bedreigingen, zijn ze wel bereid te investeren ondanks dat er voorzichtig met uitgaven wordt omgesprongen. Het tijdperk van de firewall als bescherming is voorbij. Het is zaak om de bedreiging of een aanval voor te zijn. Gartner stelt dat in 2020 driekwart van gevoelige data niet meer goed te beveiligen is, omdat de hoeveelheid zo groot is en data op verschillende locaties wordt opgeslagen. Dat is een enorme uitdaging.”

4. Wat is het probleem dan precies?

“Als individu weet je niet meer waar je persoonlijke data allemaal staat. Consumenten zijn actief op sociale media en plaatsen daar persoonlijke informatie, die vervolgens op allerlei andere plaatsen kan opduiken. Ze geven een deel van hun privacy op door applicaties van derden toegang te geven tot hun gegevens in ruil voor aanbiedingen, kortingen of handige diensten. Tegelijkertijd maken hotels, autoverhuurbedrijven en werkgevers kopieën van een paspoort, terwijl dat een potentieel gevaar is voor identiteitsfraude – en volgens de wet zelfs illegaal. Zakelijk zien we hetzelfde gebeuren, mede vanwege het gebruik van diverse clouddiensten. Het is niet meer duidelijk waar welke gegevens staan – het overzicht is weg.”

Gebruikers zijn de zwakste schakel in security

Maak je je zorgen dat cybercriminelen zich een weg kunnen banen in je netwerk of dat werkstations en zelfs servers besmet raken met malware? Nee? Dan moet je je instelling snel veranderen, want dat risico loop je wel degelijk. En de grootste bedreiging ligt niet eens in de software of hardware, maar is afkomstig van gebruikers.

IT gezien als valscherm

Als je kijkt naar de grootste cyberkraken van de afgelopen jaren en je gaat terug naar de oorspronkelijke oorzaak, dan zie je dat de meeste incidenten zijn te wijten aan het onzorgvuldig handelen van één werknemer. Of ze het nu per ongeluk doen of door grove nalatigheid: al je goede beveilgingsmaatregelen kunnen ongedaan worden gemaakt door één domme gebruikersactie.

Veel werknemers zijn zich totaal niet bewust van de risico´s. In bedrijven met een IT-afdeling denken veel mensen dat ze worden beschermd voor fouten. Dat maakt ze zelfs nog iets onvoorzichtiger dan ze thuis zouden zijn, waar ze zelf verantwoordelijk zijn voor het opruimen van de ellende als ze iets verkeerd doen.

Onveilig door productiviteitsverhoging

Osterman Research vroeg wat volgens systeembeheerders een risico is voor de IT-omgeving en daaruit kwam de gebruiker naar voren als belangrijk element. Meer dan de helft van de ondervraagden zegt dat gebruikers malware-verspreiding veroorzaken. Ongeveer driekwart gaf aan dat het netwerk het afgelopen jaar is besmet met malware na websurfen en tweederde van de ondervraagden gaf aan dat besmetting via e-mails de hoofdoorzaak was.

Maar opvallend is dat risicovol gedrag vaak gepaard gaat met de wens productiever te werken. Zo uploaden werknemers bijvoorbeeld zakelijke documenten naar consumentendiensten als Dropbox, zodat ze thuis verder kunnen werken of toegang hebben tot documenten als ze op locatie zijn.

Data het bedrijf uit

Eén onderzoek toonde aan dat maar liefst 87 procent van managers bedrijfsdata of e-mails in hun persoonlijke cloud opslaan, zodat ze ermee kunnen werken. Nog schokkender: 58 procent gaf toe dat ze wel eens gevoelige gegevens naar de verkeerde bestemming hadden gestuurd. Daar ligt een schone taak voor IT: ze moeten een volwaardig alternatief ter beschikking stellen dat goed is beveiligd.

Bewustzijn is een van de effectiefste tools om bedrijfsdata te beschermen: gebruikers moeten worden voorgelicht over dit soort problemen. Organisaties moeten er zeker van zijn dat werknemers begrijpen hoe belangrijk het is dat gevoelige data niet buiten de organisatie stromen en dat ze op de hoogte zijn van hoe hun eigen acties de totale beveiliging van het bedrijf op het spel zetten.

IT moet het mogelijk maken

Maar dat is nog lang niet voldoende. Gebruikers zullen zelfs hierna nog policies omzeilen, shadow IT inzetten en ervoor zorgen dat ze hun werk kunnen doen - ondanks de verstikkende IT-afdeling. Daarom is het belangrijk dat IT'ers met gebruikers in dialoog gaan over waarom ze bijvoorbeeld deze policies handhaven en op de hoogte zijn van de belemmeringen die gebruikers ervaren.

IT'ers moeten kortom niet de politiedienst zijn die het leven van gebruikers ingewikkelder maakt. IT 'ers zijn er juist voor om dingen mogelijk te maken en er met de juiste tools voor te zorgen dat bedrijfsprocessen fatsoenlijk én beveiligd kunnen worden uitgevoerd.