Telewerker…. U bent de zwakste schakel

‘Nederland moet telewerken’ luidde dit najaar de kop van het openingartikel van een publicatie voor IT managers. Het blad breekt een lans voor het fenomeen, en draagt een veelheid aan bekende argumenten aan die de bedrijfsleiding zouden moeten overtuigen. Maar afgezien van de vraag of de telewerker wel zo graag vanuit huis werkt, is er nog steeds het risico van de beveiliging.

De verkoopdirecteur die zijn mensen vanuit huis laat werken, wint ruimte, boekt zonder twijfel tijdwinst, maar haalt op hetzelfde moment een verraderlijk beest binnen – een Trojaans paard van heb ik jou daar. De zwakste schakel in de security-aanpak is en blijft de mens. Als die zich dan ook nog onttrekt aan het toezicht van de IT-beheerder heb je de kat in de gordijnen. Vaak wel tenminste.Nee, informatiebeveiliging en telewerken zijn niet twee begrippen die in een adem worden genoemd. Terwijl dat wel zou moeten.

Telewerken kwam in een recent verleden niet echt van de grond, vooral vanwege technische obstructies. Maar de technologie haalt de problemen in. En daarmee worden de risico’s minder. Onze thuiswerker kan nu via een browser toegang krijgen tot de bedrijfsgegevens. Die toegang geschiedt in lagen en is afhankelijk van de kwetsbaarheid van de opgevraagde gegevens en hun fysieke verblijfplaats. Naarmate de gegevens confidentiëler zijn zullen er hogere eisen worden gesteld aan de beveiliging. Maar een internetaansluiting is nu synoniem voor het bekijken van het eigen bureaublad. Als het goed is.

Maar de zwakste schakel in het uitbannen van elk risico is en blijft de mens, de gebruiker. Ons wordt met regelmaat gevraagd of de ICT-afdeling niet die mens tegen zijn eigen mogelijk falen kan beschermen. Kan die ICT-afdeling aan het elimineren van die zwakste schakel een bijdrage leveren? Volgens mij is het de vraag of bewustwordingscampagnes wel in het straatje van de ICT-afdeling thuishoren. De afdeling kan wel zeggen: “Hoor eens, wij kennen de infrastructuur. Het is onze zaak.”

Maar de feiten liggen anders. Het maximaal elimineren van menselijk falen ligt bij het algemeen management, ook al omdat privacy bij beveiligingsmaatregelen een belangrijk aspect vormt. Een risicoanalyse is onontbeerlijk. Daarnaast is een voorlichtingsbrochure een goed middel. Maar ook dat is nog onvoldoende. Ik heb de beste ervaringen met de constructie waar de security manager vaststelt wie wat mag. Hij is de verantwoordelijke voor het maken van een risicoanalyse, in eendrachtige samenwerking met alle betrokkenen van afdelingen zoals personeelszaken, verkoop, marketing en research. Op die manier kan hij een beleid maken en dat bedrijfswijd geïmplementeerd krijgen.

Dat daarbij de betrokkenheid van alle managers onontbeerlijk is en dat het ook hùn verantwoordelijkheid is om duidelijk te maken welke risico’s ze wel, en welke niet kunnen nemen, is natuurlijk evident. Maar laat het niet aan de ICT-afdeling over. De ICT-er weet niet wat belangrijk is. Hij spreekt tegen een beeldscherm en dat zegt niks terug.

Remco Bakker
irC2