Regelmatig komt het in het nieuws voorbij: een datalek. Een fout van een medewerker, roepen ze dan. Klopt dat wel? Of is het een makkelijke manier om de schuld af te schuiven? Laten we de digitale risicos en oplossingen eens onder de loep nemen.

Ligt de fout wel bij de mens?

Laatst nog in het nieuws: het datalek bij de politie. De oorzaak volgens het bericht? Het foutief handelen van een vrijwilliger. Voor een leek klinkt dit logisch. Het datalek ontstond toch omdat een medewerker een fout maakte? Wij bij yellow arrow kijken er toch anders naar. Kun je de schuld wel bij de vrijwilliger leggen als er voldoende oplossingen zijn om een datalek te voorkomen?  

Een voorbeeld. Stel, er is een druk kruispunt met standaard verkeersregels. Hier vinden vijf ernstige verkeersongevallen per jaar plaats. Zijn dit allemaal menselijke fouten? Het korte antwoord is ja. Maar van de gemeente verwachten we dat ze de onderliggende oorzaak boven krijgen. En bedenken: hoe kunnen we die ongevallen voorkomen? Misschien is de ’technische’ oplossing wel een rotonde. Zo verklein je de kans op menselijke fouten. En omdat auto’s afremmen voor een rotonde, is de impact wanneer het toch misgaat veel kleiner. Hooguit blikschade.  

Terug naar de ICT-omgeving. Daar geldt hetzelfde, alleen zijn de oplossingen in de digitale wereld lastig zonder de combi van digitale kennis en kennis van de organisatie. Oplossingen in het verkeer zijn vaak tastbaar en zichtbaar, in de digitale wereld niet.  

Hoe vang je het risico af?  

Ook al is de digitale wereld niet tastbaar, het is toch mogelijk om op basis van goede informatie en risico’s keuzes te maken. Om oplossingen te bieden. Je begint met het identificeren van kritische en gevoelige data. Bepaal ook welke data de meeste impact hebben op je organisatie, als ze niet beschikbaar zijn. En kijk welke digitale incidenten er het afgelopen jaar zijn geweest op het gebied van informatiebeveiliging en privacy. In je organisatie én bij branchegenoten en leveranciers. Gebruik deze kennis om digitale risico s te identificeren.  

Veelvoorkomende incidenten zijn de beruchte phishingmails. Voor een aanvaller eenvoudig en massaal uit te voeren. Er bestaan phishing-simulatietools die het klikgedrag van medewerkers omlaaghalen. Dat zou dan dé oplossing zijn. Zo’n tool kan zeker helpen om medewerkers bewust te maken van de gevaren van phishing. Maar wat veel belangrijker is, doet het niet: voorkomen dat medewerkers in de situatie komen om een datalek te veroorzaken.

Deze versturen we 3-4x per jaar.