Ruim vier op de tien Nederlandse organisaties weten niet zeker of hun gegevens de afgelopen twee jaar betrokken zijn geweest bij een beveiligingsincident bij externe partijen. Dat blijkt uit onderzoek van IT-dienstverlener SureSync onder 433 beslissers bij organisaties met meer dan 250 medewerkers. Vooral het gebrek aan inzicht in gegevensuitwisseling met IT-dienstverleners en ketenpartners vormt volgens de onderzoekers een belangrijk risico voor de dataveiligheid.
Uit het onderzoek blijkt dat 42 procent van de organisaties geen uitsluitsel kan geven over mogelijke incidenten bij externe partijen. De helft daarvan, 21 procent, weet eenvoudigweg niet of zich problemen hebben voorgedaan. Een even grote groep heeft concrete vermoedens van incidenten, maar beschikt niet over voldoende informatie om deze te bevestigen.
De uitkomsten wijzen volgens SureSync op een zorgwekkend gebrek aan transparantie binnen digitale samenwerkingsketens. Organisaties wisselen steeds meer gegevens uit met externe dienstverleners, maar verliezen daarbij regelmatig het zicht op wat er vervolgens met die informatie gebeurt.
Dataveiligheid
Opvallend is dat 58 procent van de ondervraagde organisaties het toezicht op externe IT-partijen overlaat aan een toezichthouder of koepelorganisatie. Daardoor ontbreekt vaak directe controle over de manier waarop gegevens worden opgeslagen, verwerkt en beveiligd.
Daarnaast geeft eveneens 58 procent aan niet precies te weten wat externe partners met hun data doen. Toch vertrouwen deze organisaties erop dat hun gegevens voldoende beschermd zijn.
Vertrouwen
Dat vertrouwen staat op gespannen voet met de eigen beoordeling van de informatiebeveiliging. Zo heeft 55 procent van de respondenten het gevoel onvoldoende controle te hebben over de locatie waar bedrijfsgegevens zich bevinden. Bovendien vindt 53 procent dat de eigen organisatie de risico’s van afhankelijkheid van externe partijen onderschat.
Ook de openheid over deze risico’s laat te wensen over. De helft van de onderzochte organisaties erkent niet altijd volledig transparant te communiceren over de mogelijke gevolgen van gegevensuitwisseling met externe dienstverleners.
Verantwoordelijkheid blijft bij organisatie
Volgens Maaike Berger, managing director bij SureSync, ligt het grootste probleem niet uitsluitend bij mogelijke beveiligingsincidenten, maar vooral bij het gebrek aan inzicht waarmee organisaties worden geconfronteerd.
Wanneer gegevens de eigen digitale omgeving verlaten, wordt het moeilijker om vast te stellen waar informatie terechtkomt, wie toegang heeft en of ergens in de keten een incident heeft plaatsgevonden.
Berger benadrukt dat organisaties hun verantwoordelijkheid voor gegevensbescherming niet eenvoudig kunnen afschuiven op externe partijen. Het uitbesteden van toezicht betekent volgens haar niet dat daarmee ook de eindverantwoordelijkheid verdwijnt.
Meer transparantie noodzakelijk
SureSync pleit daarom voor duidelijkere afspraken tussen organisaties en hun IT-partners. Daarbij moet niet uitsluitend worden vertrouwd op certificeringen of eerder gemaakte toezeggingen. Ook periodieke controles, inzichtelijke rapportages en aantoonbare beveiligingsmaatregelen zijn noodzakelijk.
Voor organisaties betekent dit dat zij beter moeten vastleggen welke gegevens met externe partijen worden gedeeld, hoe deze worden beschermd en welke afspraken gelden wanneer zich incidenten voordoen.
Afhankelijkheid
Het onderzoek onderstreept daarmee een groeiend aandachtspunt binnen informatiebeveiliging: naarmate organisaties afhankelijker worden van externe technologiepartners, wordt het belangrijker om niet alleen de eigen systemen te beveiligen, maar ook daadwerkelijk zicht te houden op de volledige keten waarin bedrijfsgegevens worden verwerkt.