Schendingen van informatiebeveiliging door personeel richten evenveel schade aan als hacken, blijkt uit onderzoek van Kaspersky
Schendingen van het informatiebeveiligingsbeleid van een organisatie door medewerkers zijn volgens een recent onderzoek van Kaspersky net zo gevaarlijk als aanvallen van hackers. In de afgelopen twee jaar was 26 procent van de cyberincidenten in bedrijven te wijten aan werknemers die opzettelijk het securityprotocol schonden. Dit cijfer is bijna gelijk aan de 30% van de cyberincidenten die veroorzaakt worden door hacken.
Het is algemeen bekend dat menselijke fouten een van de belangrijkste oorzaken zijn van cyberincidenten in bedrijven. Daarom heeft Kaspersky een wereldwijd onderzoek uitgevoerd naar de meningen van IT-securityprofessionals in (grote) ondernemingen en het MKB over de invloed van mensen op de cybersecurity in een bedrijf. Het onderzoek was bedoeld om informatie te verzamelen over verschillende groepen mensen die van invloed zijn op de cybersecurity, waarbij zowel interne medewerkers als externe actoren in beschouwing werden genomen.
Uit het onderzoek bleek dat, naast echte fouten, schendingen van het informatiebeveiligingsbeleid door werknemers een van de grootste problemen voor bedrijven was. Respondenten beweerden dat er in de afgelopen twee jaar opzettelijke acties werden ondernomen om de cybersecurityregels te overtreden door zowel niet-IT- als IT-medewerkers. Zo gaven ze aan dat dergelijke schendingen van het beleid door IT-securitymedewerkers 12 procent van de cyberincidenten in de afgelopen twee jaar veroorzaakten. Andere IT-professionals en hun niet-IT-collega's veroorzaakten respectievelijk 11 procent en 8 procent van de cyberincidenten toen zij beveiligingsprotocollen schonden.
Als het om het gedrag van individuele medewerkers gaat, is het meest voorkomende probleem dat medewerkers opzettelijk doen wat verboden is en, omgekeerd, voeren ze niet uit wat vereist is. Zo beweren respondenten dat een kwart (25%) van de cyberincidenten in de afgelopen twee jaar plaatsvond als gevolg van het gebruik van zwakke wachtwoorden of het niet tijdig wijzigen ervan. De andere oorzaak van bijna een kwart (24%) van de cyberincidenten was het bezoeken van onbeveiligde websites door medewerkers. Nog eens 21 procent meldt dat ze te maken kregen met cyberincidenten omdat medewerkers de systeemsoftware of -toepassingen niet bijwerkten wanneer dit vereist was.
Het gebruik van ongewenste diensten of apparaten is een andere belangrijke oorzaak van opzettelijke schendingen van het informatiebeveiligingsbeleid. Bijna een kwart (24%) van de bedrijven kreeg te maken met cyberincidenten omdat hun werknemers ongeautoriseerde systemen gebruikten voor het delen van gegevens. In 21 procent van de bedrijven bekeken werknemers opzettelijk gegevens via ongeautoriseerde apparaten, terwijl 20 procent van de werknemers gegevens naar persoonlijke e-mailadressen stuurden. Een andere gerapporteerde actie was de inzet van schaduw-IT op werkapparaten, 11 procent van de respondenten geeft aan dat dit heeft geleid tot hun cyberincidenten.
Alarmerend is dat respondenten toegeven dat, naast het al genoemde onverantwoordelijke gedrag, 20 procent van de acties door werknemers werd gepleegd voor persoonlijk gewin. De opzettelijke schendingen bleken volgens 34 procent van de respondenten een relatief groot probleem in de financiële dienstverlening.
"Naast externe cybersecuritybedreigingen zijn er veel interne factoren die kunnen leiden tot incidenten in elke organisatie. Zoals uit de statistieken blijkt, kunnen medewerkers van elke afdeling, of het nu gaat om IT-securityprofessionals of niet-IT-specialisten, de cybersecurity zowel opzettelijk als onopzettelijk negatief beïnvloeden. Daarom is het belangrijk om bij de beveiliging na te denken over methoden om schendingen van het informatiebeveiligingsbeleid te voorkomen zoals het implementeren van een geïntegreerde aanpak van cybersecurity. Volgens ons onderzoek wordt niet alleen 26 procent van de cyberincidenten veroorzaakt door schending van het informatiebeveiligingsbeleid, maar wordt 38 procent van de inbreuken veroorzaakt door menselijke fouten. Omdat de cijfers alarmerend zijn, is het noodzakelijk om vanaf het begin een cybersecuritycultuur in een organisatie te creëren. Dit kan door een beveiligingsbeleid te ontwikkelen en te handhaven en door het bewustzijn van cybersecurity onder medewerkers te vergroten. Op die manier zal het personeel de regels verantwoordelijker benaderen en duidelijk de mogelijke gevolgen van hun overtredingen begrijpen", zegt Alexey Vovk, Head of Information Security bij Kaspersky.
Het volledige rapport en meer inzichten over de menselijke impact op cybersecurity in bedrijven zijn beschikbaar via deze link .
Lees meer
