IT-beslissers zijn bereid om beveiliging op te offeren om andere bedrijfsdoelstellingen, bijvoorbeeld productiviteitsverhoging of verdere digitale transformatie, beter te behalen. Bovendien geeft de grote meerderheid aan onder druk gezet te zijn om de risico’s van digitale dreigingen te minimaliseren bij het bestuur.
Uit onderzoek van IT-beveiliger Trend Micro blijkt dat 92 procent van de IT-beslissers meent dat de organisatie waar ze werken bereid zou zijn in te boeten op cyberbeveiliging ten gunste van digitale transformatie, productiviteit of andere doelstellingen. Ongeveer de helft van de respondenten denkt dat het bestuur de risico’s van digitale dreigingen begrijpt. Volgens het beveiligingsbedrijf betekenen deze resultaten dat er op een andere manier met de business gepraat moet worden over risico’s, kosten en baten. In plaats van een verhaal over bedreigingen eb beperkingen, zou het meer moeten gaan om het creëren van waarde voor stakeholders.
Risk & Compliance: data, digitale transformatie en risico’s
In de collegereeks Risk & Compliance vanaf 10 maart 2022 gaan diverse deskundigen op Nyenrode Business Universiteit in op bedrijfsrisico’s, goede bestuurpractices en digitalisering. Schrijf u nu hier in voor deze eerste reeks in deze cyclus komend voorjaar.
Eisen AVG aan beveiliging
Volgens de onderzoekers blijkt dat de meeste bedrijven digitale beveiliging pas serieus nemen als er een netwerkinbraak heeft plaatsgevonden of als klanten een hogere mate van beveiliging eisen. De AVG verlangt van Nederlandse bedrijven dat beveiliging van gegevens van de grond af in de principes van het gebruik van data moet zijn verwerkt. Dat betekent dat er niet zozeer wordt vertrouwd op producten, maar dat databeveiliging een strategie moet zijn bij het ontwerpen van het systeem.
Op digitale risico’s sturen
Datzelfde moet gelden voor het hele IT-systeem: security by design is een basisprincipe waar veel techneuten al decennia op hameren. Dergelijk denken over de digitale middelen vereist in veel organisaties een cultuuromslag. De resultaten van het onderzoek illustreren dat deze benadering nog ontbreekt in de overgrote meerderheid van bedrijven. Het rapport raadt, behalve enkele technische maatregelen, bedrijven aan om deze strategie te gieten in kpi’s over digitale risico’s die beslissingen sturen en eventueel een nieuwe rol te ontwikkelen. Deze ciso-achtige functie moet zich specifiek bezighouden met informatiebeveiliging vanuit businessperspectief.
Vicieuze cirkel
Trend Micro noemt de resultaten van het onderzoek naar hoe risico’s in de business worden gebracht verontrustend. ‘IT-leiders passen zelfcensuur toe bij het bestuur uit angst te repetitief of te negatief over te komen, terwijl bijna een derde zegt dat dit een constante druk is,’ licht Bharat Mistry van het bedrijf toe. ‘Maar dit zal alleen maar de vicieuze cirkel in stand houden waarbij de C-suite niet weet aan welke risico’s het bedrijf daadwerkelijk is blootgesteld.’ Volgens hem moet risico worden benaderd als een drijfveer voor bedrijfsgroei, waarbij de business en IT aan hetzelfde doel werken.
Geef een antwoord