Zwerfinformatie bedreigt informatieveiligheid

Gezien alle aandacht voor ransomware, hackers, digitale bedrijfsspionage en pogingen van bepaalde mogendheden om in andere landen verkiezingen te manipuleren, is het niet vreemd dat veel organisaties denken dat het gevaar van buiten komt.

Uit onderzoek van Veenman, specialist op het gebied van print, informatievraagstukken en visual solutions, blijkt dat de grootste bedreigingen voor de informatieveiligheid van binnenuit komen. Organisaties realiseren zich dat echter nog onvoldoende.

Deze rondslingerende informatie wordt in het onderzoek ‘zwerfinformatie’ genoemd. Dat kan bijvoorbeeld gaan om prints of USB-sticks die achterblijven op de werkplek. Maar denk ook aan werknemers die hun laptop in de auto laten liggen. Of een e-mail met een bijlage met salarisgegevens die per ongeluk aan de verkeerde personen wordt gestuurd.

Het probleem voor de security is dat medewerkers zich niet of nauwelijks bewust zijn van de waarde van privacy- en concurrentiegevoelige informatie. Daarbij komt dat werknemers ook niet weten wat zij precies moeten doen om zwerfinformatie te voorkomen.

Van onbewust onbekwaam naar onbewust bekwaam

Door de voortschrijdende digitalisering is informatieveiligheid een steeds complexer domein geworden. Voor het onderzoek is de borging van informatieveiligheid daarom benaderd vanuit een overzichtelijke driehoek met als hoekpunten:

• Bewustzijn van mensen: kennen zij de waarde van informatie en van mogelijke gevaren?
• De techniek: adequate beveiligingssoftware en -hardware
• Het gedrag van mensen: vertonen zij het juiste gedrag als het om veiligheid gaat?

Als bewustzijn en gedrag nader worden bekeken, dan blijkt dat veel mensen als het ware ‘onbewust onbekwaam’ met informatie omgaan. De uitdaging is om dit onbewust onbekwame gedrag om te zetten in onbewust bekwaam gedrag: veilig omgaan met informatie, zonder er over te hoeven nadenken. Maar dat lukt alleen als goed in kaart wordt gebracht welke informatie geen duidelijke plek heeft binnen de primaire processen en daardoor op allerlei plekken gaat rondslingeren.

Zwerfinformatie als security-uitdaging bevindt zich ook aan de outputkant. Een ‘einddocument’, zoals de print, de factuur of aantekeningen op flipovers, kan makkelijk in verkeerde handen vallen en levert daardoor veel groter risico op dan informatie die niet kan rondslingeren.

Het blijkt dat veel bedrijven bewuster zijn geworden van de risico’s. Zo is de Wet Meldplicht Datalekken voor driekwart van de ondervraagde bedrijven aanleiding geweest om hun securitybeleid aan te scherpen.

Zwerfinformatie hoeft niet altijd een veiligheidsprobleem op te leveren. Dat gebeurt pas als de veiligheid in het geding komt en dat hangt dus af van de aard van de informatie. Denk aan privacygevoelige of concurrentiegevoelige informatie.

Bepaal ook welke informatie op welk niveau beschermd moet worden. Kroonjuwelen verdienen een ander informatiebeleid en daarmee een ander beschermingsniveau, dan gegevens waarvan het geen enkel probleem is als ze openbaar worden. Wie zwerfinformatie voorkomt gaat al direct veiliger met informatie om.