KPMG Risk Management heeft recent onderzoek uitgevoerd naar IT beveiliging
onder een groot aantal bedrijven. Tweederde van deze bedrijven is van
mening dat hun netwerk redelijk goed is beveiligd. Dit ondanks het feit dat
bijna 90 procent ooit een beveiligings-incident heeft meegemaakt. Slechts
35 procent van alle onderzochte bedrijven meet en rapporteert de
effectiviteit van hun beveiligingsmaatregelen.

Het belang van een waterdicht IT beveiligingsbeleid wordt nog steeds
onderschat, de effectiviteit van dit beleid wordt niet voldoende
gecontroleerd. Er wordt pas ingegrepen nadat er een overtreding heeft
plaatsgevonden met alle gevolgen vandien, zoals verlies van vertrouwen,
assets en financiële middelen. "Het is de vraag of beveiligingsmanagement
wel effectief kan plaatsvinden als het niet wordt gemeten", licht Peter
Kornelisse van KPMG toe. "Als één onderdeel een zwakke schakel in
informatiebeveiliging heeft, dan is de hele organisatie in gevaar."

Het onderzoek toont tevens aan dat bedrijven in hoofdzaak gericht zijn op
het voorkomen van externe bedreigingen, zoals virussen en hackers. "De
externe beveiliging is doorgaans beter geregeld dan interne beveiliging.
Het is dan ook de vraag of organisaties wel voldoende aandacht hebben voor
interne bedreigingen", zegt Kornelisse. KPMG concludeert voorzichtig dat
bedrijven weliswaar gemiddeld tien procent van hun IT-budget aan
beveiliging uitgeven, maar weinig aandacht lijken te hebben voor de
daadwerkelijke return on investment.

Organisaties zouden dus meer aandacht mogen besteden aan de beveiliging van
interne netwerken. Echter, zelfs het meest doordachte beveiligingsbeleid
biedt geen garanties als men onvoldoende rekening houdt met de mogelijkheid
van interne ovetredingen en geen controlesysteem hanteert. Meten is weten!