Datamonitor verwijt bancaire sector nalatigheid
Onderzoek onder leiding van Datamonitor wijst uit dat de bancaire sector ruim onvoldoende scoort op het vlak van ‘Information Risk Management’. Gebrek aan kennis van zaken is niet het echte probleem. Het probleem is dat die kennis lang niet altijd in de praktijk wordt gebracht.
Het onderzoek dat Datamonitor heeft gedaan naar het gebruik van Information Risk Management (IRM) in de bancaire sector werd uitgevoerd in opdracht van RSA Security, een volle dochter van EMC. Martha Bennett, researcher bij Datamonitor, zegt dat ze ernstig verontrust werd door een aantal van de reacties die ze kreeg als antwoord op haar vragen. Volgens haar maken banken te weinig onderscheid tussen externe en interne bedreigingen. Zij stelt daarbij dat onderzoek aantoont dat aanvallen van binnenuit juist een veel groter probleem vormen dan de veel meer gevreesde externe bedreigingen. ‘De praktijk wijst echt uit dat het meeste geld verloren gaat door diefstal die gepleegd wordt door het eigen personeel dat daarvoor al dan niet samenwerkt met extern opererende criminelen’, zegt Bennett. Het onderzoek van Bennett werd niet later uitgevoerd dan in het derde kwartaal van dit jaar en legt dus recente pijnpunten bloot. Het zijn overigens uitsluitend Europese banken die aan het onderzoek meewerkten, waaronder enkele banken uit Nederland. Onduidelijk is evenwel om welke banken het precies gaat. ‘Het goede nieuws is dat banken over het algemeen drommels goed weten wat ze moeten doen als het om beveiliging van informatie gaat. Het slechte nieuws is dat ze hun kennis vaak niet in de praktijk brengen. Verontrustend is dat liefst de helft van de ondervraagde banken niet eens een strategische benadering heeft om aan de bestaande regelgeving op het vlak van beveiliging te voldoen. Ze reageren meestal ad hoc op wat er gebeurd.’
Zekerheden
Overdreven zelfvertrouwen in de eigen beveiligingsmaatregelen is ook niet goed, meent Bennett. ‘Helaas leren de feiten dat beveiliging nooit voor 100 procent waterdicht te maken is.’ Dat neemt niet weg dat maar liefst 23 procent van de ondervraagde financiele instellingen rustig volhoudt dat de eigen beveiliging een garantie van 100 procent biedt. Als belangrijkste hindernis bij het implementeren van een betere beveiliging noemen alle banken op de eerste plaats organisatorische hindernissen. Op de tweede plaats wordt merkwaardig genoeg gebrek aan geld genoemd. Bennett beweert dat die banken die aan het onderzoek meewerkten al te vaak op een verkeerde manier naar beveiliging kijken. Niet iedereen blijkt de basics van IRM te onderkennen. ‘IT security staat in het geheel niet gelijk aan informatiebeveiliging, zoals men abusievelijk meent te mogen denken. IRM behelst veel meer dan dat. En toch is het soms ook verduiveld simpel. Het komt voor dat bepaalde medewerkers bepaalde documenten mogen printen. Prima, maar die documenten kunnen gestolen worden, in de verkeerde handen terecht komen. Een papiervernietiger zou al heel veel verschil kunnen maken. Informatie moet echt van het begin tot aan het einde beveiligd worden. Daarom is een beveiligingsaanpak die informatie centraal stelt van essentieel belang.’
