State of Information Security Survey

In de hele wereld investeren organisaties in infrastructuur, maar lopen ze achter inzake de implementatie, meting en herziening van een veiligheids- en privacybeleid. Dat blijkt uit de 5e jaarlijkse Global State of Information Security Survey, anno 2007, een wereldwijd onderzoek van PwC, CIO Magazine en CSO Magazine.

Het onderzoek, het grootste in zijn soort, verwerkt antwoorden van 7.200 IT, security en business executives in meer dan 119 landen (waaronder België) in alle sectoren.

De voornaamste resultaten van het onderzoek tonen aan dat:

• organisaties sterk staan qua infrastructuur en beveiligingstools, maar het niet zo goed doen qua toezicht en uitvoering;
• aanvullende IT-uitgaven moeten zorgen dat de IT-beveiliging beter wordt afgestemd op de businessdoelstellingen;
• werknemers – de meest waarschijnlijke oorzaak van veiligheidsincidenten – niet voldoende ‘bewust’ zijn;
• er nog altijd weinig vertrouwen is in beveiligingsmaatregelen van derden.

Dit bericht, dat meer op de Belgische resultaten focust, biedt meer specifieke details en onderstreept de belangrijkste verschillen in vergelijking met de wereldwijde resultaten en de resultaten van vorige jaren.

Daniel Evrard, PwC Advisory Partner in IT Effectiveness: “De kwaliteit van informatiebeveiliging steunt op de zwakste schakel: Belgische bedrijven moeten het bewustzijn van gebruikers vergroten en controlemaatregelen implementeren om hun risico’s beter te controleren zodat hun technologische investeringen maximaal voordeel opleveren voor de business. Rapporten over de efficiëntie van de beveiliging op basis van reële tests zullen het vertrouwen van het bedrijfsmanagement in de prestaties vergroten en hun aandacht vestigen op te treffen aanvullende maatregelen.”

• Ruimte voor verbetering van de beveiliging voor IT én business.

Volgens het onderzoek is er in Europa en in België voortdurend meer behoefte aan doordacht Information Security Management. Security Management wint aan maturiteit. Sinds 2006 is de vertegenwoordiging door Chief Information Security Officers (CISO’s) in Europese organisaties aanzienlijk toegenomen. In België heeft meer dan de helft van de respondenten een CISO benoemd, wat veel meer is dan in de rest van Europa en in de VS. Desondanks verklaart slechts één derde dat beveiligingskwesties zowel door beslissingsnemers op IT- als op businessniveau worden aangepakt.

• Organisaties staan sterk qua infrastructuur en beveiligingsmiddelen, maar doen het niet zo goed qua toezicht en uitvoering.

De meeste Belgische organisaties hebben ook zwaar geïnvesteerd in technologische veiligheidsmaatregelen zoals firewalls rond hun netwerk, back-ups van gegevens, wachtwoorden voor gebruikers en antispywareprogramma’s. Hiermee volgen ze de Amerikaanse en Europese trend.
Investeringen in minder tastbare zaken, zoals toezicht en audits inzake compliance, bewustmaking, standaardisering van processen en mechanismen voor de toepassing van normen, blijven klein. 70% van de Belgische respondenten verklaart bijvoorbeeld nooit compliance-tests uit te voeren. Bovendien heeft minder dan de helft van de organisaties het afgelopen jaar de efficiëntie van het eigen veiligheidsbeleid en de eigen veiligheidsprocedures gemeten en beoordeeld.

• Hiaten in de afstemming van de veiligheidsuitgaven op de businessdoelstellingen.

Momenteel zijn er hiaten in de afstemming van de veiligheidsuitgaven op de businessdoelstellingen. In het onderzoek verklaart slechts één Belgische respondent op drie dat het informatieveiligheidsbeleid van zijn organisatie volledig is afgestemd op de businessdoelstellingen, en er zijn er nog minder die denken dat hun veiligheidsuitgaven erop afgestemd zijn.

Hoewel 56 percent van de respondenten verklaart dat de naleving van reglementen heeft geleid tot een aanzienlijke stijging van de veiligheidsuitgaven, zegt 70% dat ze veiligheid niet koppelen – noch via de organisatiestructuur noch via het beleid – aan de naleving van privacy en/of reguleringen.

Net zoals in de rest van de wereld gaan uitgaven inzake informatieveiligheid vooral naar de continuïteit van de business/disaster recovery en naar de naleving van reguleringen. In België hebben de bedrijfsreputatie en digitale convergentietrends (VoIP, enz.) wel een grotere impact op veiligheidsuitgaven dan in de rest van de wereld.

Marc Sel, Director bij PwC en expert in IT-beveiliging, voegt toe dat men in België ook projecten begint te zien die hun voordeel doen met de grote investeringen die de regering doet in de eID-kaart, de elektronische identiteitskaart.

• Werknemers – de meest waarschijnlijke oorzaak van veiligheidsincidenten ­– zijn niet voldoende ‘bewust’.

Voor de eerste keer bekleden werknemers de eerste plaats als meest waarschijnlijke oorzaak van gebeurtenissen die betrekking hebben op informatieveiligheid. Niet minder dan 60% van de respondenten citeert werknemers als de voornaamste bron van aanvallen, vóór hackers. Dat is aanzienlijk meer dan in 2006 en meer dan de Europese, Amerikaanse en wereldwijde cijfers. Meer dan de helft van de ondervraagden in het onderzoek meent dat minder dan 75% van hun personeel voldoet aan hun beleid inzake informatieveiligheid (in de VS slechts 27%). Bovendien treffen Belgische bedrijven minder beveiligingsmaatregelen in verband met opleidingen en bewustmaking van hun werknemers op het vlak van privacybeleid.

• Nood aan betere beveiliging bij derden.

Het onderzoek toont ook aan dat bedrijven continu worstelen met het uitbreiden van de beveiliging naar derden. Organisaties lopen achter bij de inventarisering van alle derden die klantengegevens gebruiken en vergeten van die derden te eisen dat ze voldoen aan hun privacybeleid. Een grote meerderheid heeft een beperkt vertrouwen of helemaal geen vertrouwen in de informatieveiligheid van de externe partners. Het vertrouwen in de veiligheid bij die externe partners is drastisch gedaald.

Daniel Evrard besluit: “Nu de business meer en meer internationaal wordt, zelfs wereldwijd verloopt, en er voortdurend meer geoutsourced wordt, moeten Belgische bedrijven specifiek aandacht besteden aan het veiligheidsaspect wanneer ze elektronisch in contact staan met derden.”

xxx

Opmerking voor de redacties : Gelieve naar het onderzoek te verwijzen als “The State of Information Security 2007, een wereldwijd onderzoek door CIO, CSO en PwC.” De bronregel moet CIO, CSO en PwC bevatten.

- De wereldwijde resultaten van dit onderzoek zijn terug te vinden op www.pwc.com/security.
- Belgische journalisten kunnen een exemplaar verkrijgen bij Luna

(contactgegevens invoegen …).

Methodologie
The Global State of Information Security 2007, een wereldwijd onderzoek door CIO Magazine, CSO Magazine en PwC, werd online gevoerd van 6 maart 2007 tot 4 mei 2007. Lezers van CIO en CSO en klanten van PriceWaterhouseCoopers werden per e-mail uitgenodigd om de enquête in te vullen. De resultaten in dit onderzoek zijn gebaseerd op de antwoorden van 7.200 CEO's, CFO's, CIO's, CSO's, vice-presidents, directeurs IT, IS en Veiligheid, en IT-professionals uit meer dan 100 landen. De meeste respondenten kwamen uit Noord-Amerika (36%), gevolgd door Europa (28%), Azië (23%), Zuid-Amerika (2%) en het Midden-Oosten en Zuid-Afrika (2%). De foutenmarge voor dit onderzoek bedraagt +/- 1,0 percent.

Over PwC
PwC (www.pwc.com) levert sectorgerichte diensten op het vlak van audit, fiscaliteit en adviesverlening om het publieksvertrouwen te versterken en extra waarde voor cliënten en hun belanghebbenden te creëren. Meer dan 140.000 mensen in de 149 landen waarin ons netwerk is ontplooid, delen hun ideeën, ervaring en oplossingen om tot nieuwe inzichten te komen en praktisch advies te geven.

‘PwC’ verwijst naar het netwerk van firma’s die deel uitmaken van PwC International Limited. Elke firma is een afzonderlijke en onafhankelijke juridische entiteit.

Over CIO Magazine en CSO Magazine
CIO Magazine en CSO Magazine worden uitgegeven door CXO Media Inc. CIO Magazine, gesticht in 1987, bespreekt kwesties die van vitaal belang zijn voor het succes van Chief Information Officers (CIO’s) in de hele wereld. De portfolio van CIO omvat een begeleidende website www.CIO.com, CIO Executive Programs, een reeks persoonlijke conferenties met educatieve en netwerkmogelijkheden voor vooraf geselecteerde bedrijfs- en regeringsleiders.

CSO Magazine, opgericht in 2002, de begeleidende website (www.CSOonline.com) en de CSO Perspectives™-conferenties bieden Chief Security Officers (CSO's) analyses en inzicht in veiligheidstrends en een goed begrip van hoe ze succesvolle strategieën kunnen ontwikkelen om al hun ‘business assets’ te beveiligen.. CXO Media is een afdeling van International Data Group (IDG).
                                       
© 2007 PwC. Tous droits réservés.