De overheid heeft wellicht wel voldoende IT-security kennis maar maakt er zeker niet optimaal gebruik van...

Deze kennis ontbreekt wel degelijk, in de meeste gevallen worden goeie beveiligingsmensen gewoon weggekocht. De overheid betaald maar een schijntje van wat bedrijven je kunnen betalen en dan is de keus snel gemaakt.

De trend was al bekend; "Today's public figures can no longer write their own speeches or books, and there is some evidence that they can't read them either." (Gore Vidal)
Dus OOK hier geldt; "A patriot must always be ready to defend his country against his government." (Edward Abbey)

;)

~ I used to have a .sig, but the government told me it would cause cancer. ~

De vraag is of de overheid zelf IT-security kennis nodig heeft. Beveiliging is zeer gespecialiseerd werk, dat goed is uit te besteden.

Het probleem is echter, dat projectmanagers en andere beslissers bij de overheid obvoldoende inzien, dat dit soort zaken professioneel geregeld moeten worden. Daardoor wordt beveiliging vaak niet uitgevoerd of overgelaten aan onvoldoend geschoold eigen personeel.

Het probleem zit dus vooral bij het management.

Uitbesteden is helaas ook zeer gespecialiseerd werk en ook dit beheerst de overheid niet voldoende. Wat je ook uitbesteed, als je niet in staat bent om de juiste vragen te stellen en te controleren of de zaken ook goed gebeuren (en ook nog eens werk neerlegt bij bedrijven waar je toch al van afhankelijk hebt) is het nog steeds een recept voor ellende.

Hm, de overheid heeft - mijns inzien - voldoende kennis in huis, zowel technisch als strategisch/tactisch. Product specifieke kennis hoeft ze niet te hebben omdat je daar de leveranciers voor kunt gebruiken.
Echter, net als bij "gewone" bedrijven, spelen vaak onwetendheid, financiën, macht spelletjes en verkeerde verwachtingen een rol. In veel gevallen speelt bij de overheid nog het glazenhuis principe mee en minder de financiële risico's.
Nu spreek ik over de rijksoverheid want bij (kleinere) gemeentes zou spelen factoren als macht en onwetendheid een veel grotere rol.

De fout die de IT-wereld vroeger heeft gemaakt - met oplossingen komen zonder dat gebruikers wisten dat ze een probleem hadden - speelt nog steeds. Nog steeds wordt er gepraat over informatiebeveiliging (het hoe) in plaats dat we praten over informatie risico management (het wat). De meeste kennen de 80/20 regel wel (80% is organisatie en 20% is techniek etc), maar nog steeds ligt de nadruk op de techniek. Mooi, maar absoluut niet interessant voor de gemiddelde manager laat staan (eind)gebruiker.

Frans.

69% stemt "ja", 30% stemt "nee"..... hoe zit het met de overige 1%?

Zelfde probleem hier overigens, ik las ook "Voldoende"

Je bent niet de enige.
Het is ook heel vreemd om dit soort stellingen in ontkennende vorm voor te leggen. Dan weet je dat een deel van de mensen de vraag verkeerd zal interpreteren en daarmee maak je de uitkomst van de poll ook in een klap nutteloos.