Er is een grote kans dat jouw organisatie al een informatiebeveiligingsbeleid heeft. Maar is dit beleid ook vertaald naar concrete maatregelen? Heeft jouw ICT-manager het beheer van de ICT-omgeving volledig onder controle? ICT-kwetsbaarheden breng je optimaal in kaart met risicomanagement.
Het is de nachtmerrie van elke bestuurder: de voorpagina’s van alle landelijke dagbladen halen wegens gegevensdiefstal of fraude. De GGD kan hierover meepraten. Recentelijk nog handelden criminelen op uitgebreide schaal in gevoelige gegevens uit de centrale systemen voor coronatesten en het bron- en contactonderzoek. Naast gegevensverlies bestaat er ook nog de bedreiging dat systemen onbereikbaar worden door sabotage. Hoe gaat jouw organisatie om met deze risico’s?
Digitale informatiebeveiliging
Digitale informatie is overal om ons heen. De NAW-gegevens van cliënten van een zorginstelling, het intellectuele eigendom van technologiebedrijven of nog niet gepubliceerde onderzoeksrapporten zijn allemaal potentieel interessant voor diefstal of fraude. Uit een rapport van de Autoriteit Persoonsgegevens (AP) blijkt dat er in 2019 bijna 27.000 datalekmeldingen binnenkwamen, maar liefst 29 procent meer dan het jaar ervoor. Het aantal meldingen naar aanleiding van hacking, phishing of malware-incidenten steeg met een kwart. Met deze stijgende bedreigingen wordt het dus steeds belangrijker om de privacy en security van je organisatie én je klanten te borgen met een sterke informatieveiligheid.
Risicobeheersing met de juiste mix
Veelgebruikte servicemanagementtools hebben vaak geen gecoördineerd riskassessment, triggers of duidelijk gedefinieerde in- en output. Uiteraard zijn er genoeg triggers om over de risico’s na te denken. Datahacks, gegevensdiefstal en fraude worden in de media groot uitgelicht, waardoor organisaties zich steeds bewuster worden van de beveiligingsrisico’s binnen de ICT. Er worden dagelijks nieuwe kwetsbaarheden (vulnerabilities) in software en firmware ontdekt. Versies zijn bij projectoplevering immers wel up-to-date en ogenschijnlijk veilig, maar binnen enkele weken of maanden is deze veiligheid al niet meer te garanderen als gevolg van nieuw ontdekte kwetsbaarheden. ICT-afdelingen zijn zich hier vaak wel van bewust, maar maken meestal niet gebruik van een gedefinieerd proces om deze risico’s optimaal tegen te gaan. Veel organisaties focussen zich op de tools die risico’s detecteren, zoals vulnerabilityscanners en compliance-assessments. Tools alleen zijn helaas niet de oplossing, anders zouden er niet zoveel voorbeelden van hacks zijn.
Kijk verder dan de tooling
Het detecteren van risico’s is een goed uitgangspunt voor een pragmatische start van risicomanagement. Hierbij is het wel belangrijk dat er verder wordt gekeken dan de detectietool alleen. Vraag jezelf af:
- Wie is eigenaar van de gevonden risico’s?
- Welke risico’s zijn acceptabel en welke moeten worden aangepakt?
- Wie bepaalt de prioriteit en de timing van een eventuele herstelactie?
- Hoe is de relatie met changemanagement geregeld?
- Wat is de juiste balans tussen veiligheid en beschikbaarheid?
- Welke middelen zijn er beschikbaar?
Inderdaad, dat zijn precies de vragen die doorgaans bij de afhandeling van incidenten en wijzigingen worden gesteld.
Ontdek risico’s en bestrijd ze
Door de juiste tooling in te zetten als onderdeel van een procesmatig risicomanagement krijgt de ICT-afdeling controle over de risico’s binnen de ICT-infrastructuur. De vulnerabilityscanner van Acknowledge Proactieve Monitoring (APM) is daarom gekoppeld aan de bestaande werkprocessen van onze beheerafdeling. Detecteren we een risico door verouderde firmware? Dan geeft de detectie-informatie meestal al de oplossing, bijvoorbeeld een update naar een nieuwe versie. Wij gebruiken die informatie automatisch voor het wijzigingsproces van ons servicemanagementsysteem (Service.Direct). Op deze manier haken we aan op bestaande werkwijzen voor eigenaarschap, prioritering, planning en communicatie. Zo garanderen we een adequate opvolging en afhandeling.
Monitoringtool met module voor risicomanagement
De vorige week vrijgegeven update van APM staat helemaal in het teken van verdere verbeteringen aan onze geïntegreerde vulnerabilityscanner. Naast de integratie met ons servicemanagementsysteem zijn ook de filteropties uitgebreid en is het inplannen van periodieke scans flexibeler geworden. Wil je meer weten over onze monitoringtool APM met de module voor risicomanagement? Vraag dan direct een vrijblijvende demo aan!