IT security bewustzijn moet van bovenaf komen
Managers en bestuurders moeten bedrijven helpen bij het opzetten van een IT security-bewuste cultuur, waarbij een top down aanpak gehanteerd moet worden, zo blijkt uit een onderzoek van Ernst & Young. Uit het Global Information security onderzoek 2004 blijkt dat een gebrek aan security bewustzijn bij de gebruikers het grootste obstakel voor de informatie security is. Toch vindt slechts 28% van de ondervraagden dat het bewust maken van gebruikers een belangrijk initiatief is. Security bewustzijn wordt op dit moment vaak bij technische personen ondergebracht, maar zij hebben niet de sociale netwerken en perspectief om het beleid onder de aandacht van de gebruikers te brengen. De mensen aan de top moeten de boodschap dan ook verspreiden, zo laat Jan Babiak van Ernst & Young in dit artikel weten.
verspreiden, zo laat Jan Babiak van Ernst & Young in dit
artikel weten.
hmm, dit is toch wel erg oud nieuws heer Babiak, ga me ook
nog even vertellen dat je gigantisch beloond wordt voor deze
fascinerende conclusie.
aan het management uitleggen hoe ze dat moeten.
Mensen aan de top moeten de boodschap verspreiden?! Als je het mij vraagt
zijn ze uiteindelijk verantwoordelijk voor de security binnen hun bedrijf...
Risk and Continuity Management anyone?
die is voor morgen denk ik. Chapter 1 is dikwijls security
management :)
belangrijk te zijn in het stimuleren van een klantgerichte cultuur, het creëren
van een cultuur die sexuele intimidatie ontmoedigd, een cultuur waarin
zelfverrijking wordt ontmoedigd, een cultuur..., enzovoorts, enzovoorts.
Volgens mij is de top in de meeste organisaties vooral onmachtig om
iemand voldoende mandaat en budget te geven om de benodigde
maatregelen te identificeren en te nemen. Men zegt het belangrijk te vinden
maar heeft er als puntje bij paaltje komt geen cent voor over om het echt
goed te regelen en maakt zichzelf wijs met een virusscanner, firewall en
backup wel klaar te zijn.
UIteindelijk is het namelijk ook vooral een kwestie van geld (wie betaalt
bepaalt) of het wel of niet gebeurt. Ik benijd niet al die Security Officers
(meestal iemand bij de dienst ICT) die met de handen op de rug gebonden
moeten roeien met de riemen die ze beloofd zijn....geen bevoegdheden,
geen budget en gedoemd roepende in de woestijn te blijven.
Hoe vorstelijk zou E&Y zich voor dit flut advies hebben laten belonen?
(flut)adviezen van dure externe bureau's dan naar de
aanbevelingen van hun eigen systeembeheerders. Dus als meer
sjieke raadbedrijfjes dit soort opmerkingen plaatst, gaat er
misschien een lampje branden bij veel managers.
Want managers gaan doorgaans over de centen en die zijn hard
nodig voor veiligheid. In ander artikeltje op
http://www.security.nl dat geheimen van goed beveiligde bedrijven
verklapte, las ik dat er meer geld uitgegeven moet worden.
informatiebeveiliging zélf virussen verwijderen, spammers backtracen en de
ISP inseinen, buffer overflows uit applicatiecode halen en buggye apps als
IE van hun PC gooien. Niet dus, want van datzelfde beleid mógen ze niks. En
terecht overigens.
Dat hele gebeuren van bewustzijn is dan ook voor leuk voor de 27 jarige
principal consultant of 23 jarige security architect van CGEY of een andere
prutserstoko, die uurtjes moet schrijven. Maar als puntje bij paaltje komt is
dat dan ook het enige nut.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
