Insider risk verdient mee aandacht
Het gaat om iedereen met legitieme toegang tot systemen en informatie: medewerkers, zzp’ers, leveranciers en partners. Vertrouwde toegang betekent niet dat die toegang zonder risico is, stellen de auteurs. Lang niet iedere insider is kwaadwillend. Naast mensen die hun toegang bewust misbruiken, bijvoorbeeld onder financiële druk of chantage, zijn er medewerkers die onder werkdruk processen omzeilen of een fout maken. Denk aan iemand die gevoelige bestanden uploadt naar persoonlijke cloudopslag of een onverwacht verzoek voor multifactorauthenticatie goedkeurt. Ook te ruime toegangsrechten en accounts die na vertrek actief blijven, vergroten het risico.
De aanpak begint volgens PwC bij duidelijk eigenaarschap. IT, HR, juridische zaken, compliance en risicomanagement moeten samenwerken, met betrokkenheid van het bestuur. Beoordeel eerst de bestaande maatregelen voordat je in nieuwe technologie investeert, en richt je op een beperkt aantal realistische scenario’s met de grootste impact. Behandel niet elk intern risico als wangedrag, maar maak veilig werken eenvoudig. Let daarbij op de hele medewerkerscyclus, van indiensttreding tot vertrek. Insider risk vraagt daarmee niet alleen om betere monitoring, maar vooral om een samenhangende aanpak van governance, mensen, processen en technologie.
Dit is een samenvatting van het volledige artikel op de site van PwC.
