Kennis van Zaken

Checklist

1. Heeft uw organisatie een informatiebeveiligingsbeleid?
   Bewust nadenken over informatiebeveiliging is zeer belangrijk. Niet alleen omdat er dan maatregelen worden getroffen, maar ook om een bewustwording tot stand te brengen. Met het opstellen van een informatiebeveiligingsbeleid wordt dit proces in gang gezet.
2. Als uw organisatie een beveiligingsbeleid hanteert, staat daar dan duidelijk in benoemd wie er welke verantwoordelijkheid heeft? En wordt dit ook aangepast bij wisselingen in het personeelsbestand?
   Als verantwoordelijkheden niet worden toegewezen en/of actueel worden gehouden, zal het beleid een papieren tijger worden.
3. Ondersteunt de informatiebeveiliging, zowel voor wat de procedures betreft als de technische maatregelen, de bedrijfsdoelstellingen?
   Informatiebeveiliging is geen doel op zich maar moet een bijdrage leveren aan de hogere doelen van de organisatie.
4. Delen uw medewerkers wachtwoorden?
   Dit kan het onmogelijk maken om daders van eventuele toekomstige malversaties op te sporen.
5. Bestaat er draagvlak onder de medewerkers voor de informatiebeveiliging?
   Dit is noodzakelijk omdat bewustwording en handhaving de eerste vereisten zijn voor de bescherming van de informatie van uw organisatie.
6. Maakt uw organisatie gebruik van een terminal server omgeving?
   Als dit het geval is, blijven er over het algemeen heel weinig sporen achter van de activiteiten van de verschillende gebruikers. Er is software beschikbaar waarmee dit verholpen kan worden.
7. Hebben medewerkers op het werk de mogelijkheid om hun privé-webmailaccounts te raadplegen? Of maken zij tijdens werktijd gebruik van sociale netwerken op internet?
   Dan is de toegang tot het internet te onveilig en kunnen organisatiebestanden makkelijk verspreid worden.
8. Is het mogelijk om ongeautoriseerd externe opslagmedia, zoals USB-sticks, aan te sluiten op de zakelijke computers? En/of kunnen er vrijelijk of ongezien bestanden van uw organisatie worden gekopieerd en verstuurd?
   Het onmogelijk maken van het aansluiten van externe media en het toepassen van compartimentering verkleint de kans op het uitlekken van vertrouwelijke gegevens aanzienlijk.
9. Zijn er detectiemiddelen op uw automatiseringssysteem geïmplementeerd?
   Hiermee kunnen malversaties goed onderzocht worden.

Risico's kunnen nooit voor honderd procent worden weggenomen. Ook organisaties met informatiebeveiliging hoog in het vaandel worden met incidenten geconfronteerd. Uw organisatie kan het risico op malversaties echter wel zo klein mogelijk maken, en het systeem zo inrichten dat de daders de dans niet zullen ontspringen.

Wij kunnen u op verschillende wijzen bijstaan om de informatiebeveiliging van uw organisatie zo optimaal mogelijk te maken. Zo kunt u gebruikmaken van de digitale inlooptest. Onze digitaal forensische experts proberen dan via internet uw interne systeem binnen te komen. Onze medewerkers informeren u graag verder.

Worst case scenario's

• Er zijn grote sommen geld weggesluisd naar de rekening van een katvanger. Er is niet te achterhalen welke medewerker de rekeningnummers in het facturatiesysteem heeft (terug)veranderd. De fraude kon plaatsvinden omdat er voor het wijzigen van rekeningnummers geen procedure is vastgelegd en omdat er geen audit trail in het automatiseringssysteem is geïmplementeerd (oftewel: er vindt geen vastlegging en/of archivering plaats van opeenvolgende activiteiten op het systeem).
• Het systeem is gehackt maar het opsporen van de hackers is niet mogelijk omdat er geen technische maatregelen zijn genomen die de verbindingen met internet controleren en vastleggen.
• Hacking wordt door het ontbreken van technische maatregelen überhaupt niet gesignaleerd. De organisatie waar is ingebroken, krijgt pas een vermoeden als er een concurrent uit het niets verschijnt met een innoverend product dat bijna identiek is aan het resultaat van jarenlang onderzoek.
• Vertrouwelijke bedrijfsinformatie is uitgelekt via e-mailcorrespondentie. Er kan niet worden vastgesteld wie de dader is omdat deze correspondentie niet gearchiveerd wordt.
• Er is onrust binnen de organisatie omdat er geen compartimentering wordt toegepast en enkele vertrouwelijke P&O-documenten door medewerkers zijn ingezien.