Ruim 40 procent van de grote organisaties weet niet of externe partij data-incident veroorzaakte
Van de organisaties met meer dan 250 medewerkers kan 42 procent niet met zekerheid zeggen of ze de afgelopen twee jaar te maken hebben gehad met een incident rond data-uitwisseling met een externe partij, zoals een IT-dienstverlener of ketenpartner. De onzekerheid komt voort uit een gebrek aan zicht op incidenten: 21 procent weet het simpelweg niet, en nog eens 21 procent heeft concrete vermoedens die het niet kan bevestigen.
Dat blijkt uit onderzoek van IT-dienstverlener en gegevensuitwisselingsspecialist SureSync onder 433 beslissers. Een structurele afhankelijkheid van externe partijen verklaart deels waarom organisaties niet precies weten wat er met hun data gebeurt. Zo laat 58 procent het toezicht op externe IT-partijen over aan een toezichthouder of koepelorganisatie, in plaats van er zelf zicht op te houden. Evenveel organisaties, eveneens 58 procent, weten niet precies wat externe partners met hun data doen, maar gaan er zonder meer van uit dat die veilig is.
Twijfel over eigen controle
Dat vertrouwen staat op gespannen voet met het beeld dat organisaties van zichzelf hebben. Van de ondervraagden heeft 55 procent het gevoel onvoldoende controle te hebben over waar de eigen data zich bevindt, en 53 procent vindt dat de eigen organisatie de risico’s van die afhankelijkheid onderschat.
Ontbrekend overzicht heeft ook gevolgen voor de openheid naar buiten. De helft van de organisaties geeft toe niet altijd volledig transparant te zijn over de risico’s van data-uitwisseling met externe partijen.
Maaike Berger, managing director bij SureSync: ‘‘Opvallend is niet het aantal incidenten met externe IT-partijen, maar het gebrek aan inzicht dat organisaties zelf hebben in wat er met data gebeurt zodra die de eigen systeemgrenzen verlaat. Zonder dat inzicht is het ook lastig om met zekerheid vast te stellen of er ergens in de keten een incident heeft plaatsgevonden. Wie gegevens uitwisselt, blijft verantwoordelijk voor wat er verderop in de keten mee gebeurt. Dat geldt dus ook voor de schakels die je zelf niet meer ziet. Toezicht kun je uitbesteden aan een toezichthouder of koepelorganisatie, maar de eindverantwoordelijkheid niet. Daarom moet een goede samenwerking verder gaan dan vertrouwen of een certificering die ooit is afgegeven. Het vraagt om partijen die aantoonbaar maken wat er met data gebeurt, met concrete afspraken over rapportage, transparantie en periodiek bewijs.’’
Meer over Security
Over Wouter Hoeffnagel
