Financieel/Nieuws

Gedrag werknemer onder de loep

Gevoelig datalek komt van binnenuit

Christy Wyatt raadt bedrijven aan om de computers van medewerkers te monitoren.

Christy Wyatt raadt bedrijven aan om de computers van medewerkers te monitoren.

foto Richard mouw

Amsterdam - In de beveiliging tegen cyberaanvallen worden de risico’s van lekkende medewerkers stelselmatig onderschat. Dat blijkt uit een rondgang van deze krant langs cybersecurity-experts.

Christy Wyatt raadt bedrijven aan om de computers van medewerkers te monitoren.

Christy Wyatt raadt bedrijven aan om de computers van medewerkers te monitoren.

foto Richard mouw

„Het is verleidelijk voor de IT-beveiligers om zich in een James Bond-scenario te wanen”, stelt security-deskundige Jelle Niemantsverdriet van Deloitte. „Maar het zijn niet altijd buitenlandse mogendheden die informatie stelen. Zeker kleine bedrijven zijn geopolitiek misschien minder interessant, maar hebben wel degelijk gevoelige informatie die beschermd moet worden.”

Dergelijke informatie verlaat het bedrijfspand in 90% van de gevallen door menselijke fouten, stelt Christy Wyatt van het Amerikaanse securitybedrijf Dtex Systems. Wyatt was in 2015 één van de 50 vrouwelijke topondernemers in de VS volgens zakentijdschrift Inc. Deze week sprak ze in Nederland met verschillende overheden en bedrijven over het herkennen van risicopatronen.

„Je schrikt je rot als je hoort hoeveel bedrijven zich totaal geen zorgen maken over datalekken”, aldus Wyatt. „Zij zeggen: wij zijn toch geen bank, wij weten toch niet hoe je een kernbom bouwt? Maar intussen stonden van een klant van ons wel gedetailleerde montagehandleidingen en interne prijzen op het internet.”

De Canadese, die overigens Nederlandse roots heeft, is erg te spreken over de voortvarendheid waarmee Nederland met cybersecurity omgaat. „De meldplicht datalekken zorgt ervoor dat bedrijven zich veel meer bewust zijn geworden van hun zwakke plekken.”

Door mogelijk Russische hacks tijdens de Amerikaanse verkiezingscampagne staat cybersecurity internationaal in de schijnwerpers. Deze week bleek dat ook de Nederlandse verkiezingscampagne in de belangstelling staat van buitenlandse hackers. Volgens Deloitte zoeken deze de gemakkelijkste weg, en loopt die veelal via medewerkers.

Niemantsverdriet (Deloitte) wijst op het hack bij de Democratische partij, dat via een zogeheten phishing-mail tot stand kwam. Daarbij doet de hacker zich voor als een vertrouwde organisatie om inloggegevens te bemachtigen. Niemantsverdriet: „Natuurlijk zijn er ook briljante hackers. Maar als het simpeler en sneller kan, waarom zouden ze dan moeilijk doen?”

Christy Wyatt erkent dit. „Je bent zo sterk als je zwakste schakel. Het is goed om beducht te zijn op aanvallen van buitenaf, maar wees je ook bewust van kwetsbaarheid binnen de eigen organisatie. Er zijn verschillende redenen waarom medewerkers informatie kunnen lekken. Rancune, financieel gewin... Maar in de meeste gevallen weten ze niet eens dat ze het lek zijn, omdat ze bijvoorbeeld op de verkeerde mail hebben geklikt.”

Dtex ontwikkelde software die patronen herkent die tot datalekken leiden. Wyatt: „Dat kan echt alles zijn. Als een medewerker grote hoeveelheden interne informatie downloadt, of ineens in mappen komt waar hij nog nooit eerder is geweest. Zelfs toenemend bezoek aan Linkedin kan een aanwijzing zijn. Want medewerkers die weg willen, zijn een extra groot risico.”

Wyatt raadt bedrijven aan om de computers van hun medewerkers streng in de gaten te houden. „Een meerderheid van de werknemers vindt het niet hun verantwoordelijkheid om informatie binnen het bedrijf te houden. Maar zolang je ze vertelt dat hun activiteit wordt gemonitord, vinden ze dat ook niet erg.”