Een heel groot hiata. MEDEWERKERS…. Er is aan medewerkers gevraagt wat ZIJ zien. Bij grotere bedrijven is de zichtbaarheid en iritatie waarschijnlijk hoger. Dus geeft dat een vertekend beeld. Beetje alsof ik aan de ADAC vraag een winterbandentest te doen. Dan is continental altijd te vinden in de top3

Er is geen aandacht omdat:

A. Er veel tijd en aandacht naar het primaire proces moet gaan om het bedrijf in leven te houden.
B. Er geen geld is om serieus naar security te kijken
C. Men zich niet bewust is van de risico's.

Weinig verassend en al heel lang bekend. Dit onderzoek is echt een niemendalletje van jewelste.

Wat nog erger is: als men wel aandacht heeft zullen A en B toch nog roet in het eten gooien. Ik heb bij een bedrijf gewerkt waar men graag ISO27001 wilde kunnen pronken, maar dan wel zonder wat dan ook aan investeringen of verandering in de processen.

Wat ik mis in dit onderzoek is zijn het ITers die gevraagd zijn of reguliere medewerkers want als laatste is dan veel succes met accurate data krijgen. Meeste medewerkers hebben namelijk geen enkel beeld van wat er op de achtergrond werkelijk gebeurd.

Gebruikers bij ons weten bijvoorbeeld niet dat we naast op client level ook op elk netwerk punt als in router al malware scannen of dat we dagelijkse resultaten krijgen van wat is tegengehouden met een heatmap van onze vloeren zodat we daarop weer onze beveiliging kunnen afstellen per afdeling.Bijvoorbeeld door als we bij sales in de heatmap veel geblokkerde links zien van crypto kunnen we daarop de manager vragen beleid aan te scherpen terwijl we dit niet direct hoeven te doen bij andere afdelingen.

Ze weten ook niet dat we met 1 druk op de knop elk apparaat wat van ons is kunnen killen qua netwerk toegang of op afstand uitschakele tot ingeleved bij onze afdeling. Staat allemaal in de data beveiliging documenten maar wie leest dat.

Ze weten ook niet welk antimalware pakket we hebben omdat er niks op front-end zichtbaar is alles gaat naar een live monitoring dashboard met alert via een background agent die niet in processen naar voren komt Proberen ze iets binnen te halen wat gevaarlijk wordt beschouwd dan mislukt de download simpelweg komen ze vanzelf met hun vraag naar ons.
Komen er spam mailtjes binnen dan blokkeren we die voor ze bij de medewerkers komen en dan als ze een keer mailtje missen die wel false positive is geven we die simpelweg vrij na een audit. Ze weten dus niks van onze antispam beveiliging enkel dat ze het kunnen melden als er wel iets doorkomt.

Het idee is dat goede beveiliging niet zichbaar is tenzij noodzakelijk. Want ik wil helemaal niet dat ze zich 1 bemoeien met dit omdat ze geen kennis erin hebben 2 dat ze informatie onbewust delen via socialmedia of andere kanalen. Die medewekers krijgen enkel een glimps ervan als ze iets doen wat ze niet moeten doen.

En dus als die medewerkers gevraagd zouden worden wat doet ons bedrijf qua veiligheid zeggen ze waarschijnlijk niet veel niet wetend dat er een aardig budget aan uitgegeven wordt wat ze never te nimmer zien tenzij ze c-level bereiken qua management rol of bij de IT afdeling werken.

Ondernemen is sowieso een kunst en zeker als je een kleintje bent. En om tien uur 's nachts je voetjes op de bank te leggen.

Suggereren dat zulke mensen dan ook nog systeembeheerder en security expert moeten zijn is niet erg lief.

Wat je koopt moet gewoon goed zijn. Dat weet elke kleine ondernemer. Software is een rommelmarkt.