Wie controleert de systeembeheerder?

Computable Expert

Paul de Vlieger

Directeur

Expert van Computable voor de topics: Security en Internet

Meer

Ongeveer 35 procent van het ict-personeel met admin-rechten bekijkt zonder toestemming bedrijfsgevoelige informatie. Verder verdwijnt jaarlijks gemiddeld zes procent van de bedrijfswinst binnen bedrijven en organisaties door interne (bedrijfs)criminaliteit.

Bij seminars en bedrijfsbijeenkomsten komt altijd de vraag terug: 'Wie controleert bij jou de systeembeheerder?'. Het komt zeer zelden voor dat we hierop een antwoord krijgen dat luidt 'dat doen wij'. De controle van de interne systeembeheerder schijnt bijna niet te bestaan, zeker niet binnen het mkb, maar ook de extern ingehuurde systeembeheerder heeft schijnbaar geen enkele vorm van controle of audit nodig. Bij 'mystery scans' is me meer dan één keer gelukt om zonder enige problemen binnen te komen als de nieuwe medewerker van de externe systeembeheerder.

De laatste jaren is een duidelijke verschuiving in de vorm van criminaliteit waar te nemen. Waren in het verleden vaak het graaien in de bedrijfskas en het verduisteren van goederen de meest in het oog springende strafbare feiten, nu is er steeds meer sprake van criminaliteit die gepleegd kan worden door de digitale kloof van de (ict-)medewerker en het verantwoordelijke management.

De ouderwetse strafbare feiten, diefstal, verduistering, fraude, oplichting, chantage en het doorspelen van bedrijfsinformatie, hebben een digitaal jasje gekregen. En deze nieuwe, ‘digitale’, strafbare feiten zijn een stuk moeilijker te bestrijden en op te sporen. De hedendaagse (ict-)medewerker is steeds vaker bekend met virtueel werken, web 2.0 en dus met kennis delen via nieuwe media. Oudere werknemers, managers en directie blijven achter. Juist deze digitale kloof maakt interne criminaliteit vaak heel makkelijk.

Deze kloof is zichtbaar in het gebruik van ict-systemen binnen bedrijven en organisaties, maar ook in de manier waarop de medewerker tegenwoordig vaak weet om te gaan met cruciale bedrijfsinformatie en de waarde hiervan. De vraag in deze tijd is dan ook: zijn bedrijven en organisaties wel klaar voor de nieuwe generatie (ict-)werknemers in combinatie met de huidige interne (cyber-)criminaliteit? En dus is een nog meer cruciale vraag die men mag stellen in dit digitaal tijdperk: wie binnen de organisatie controleert nu eigenlijk de systeembeheerder?

De functie van systeem- en netwerkbeheerder is en moet ook een vertrouwensfunctie blijven.  De systeem en/of netwerkbeheerders moeten funtioneel toegang hebben tot het bedrijfssysteem, maar dat betekent niet dat daarop geen toezicht uitgeoefend kan worden. Bij consultancy-opdrachten zie ik heel vaak dat enige vorm van toezicht of audit naar deze medewerkers ontbreekt. Vaak heeft er ook al geen (uitgebreide) employment screening plaatsgevonden bij de indienstreding van de 'nieuwe' systeembeheerder.

Daarom lijken mij bij berichten als:

- 35 procent van de ict'ers met admin-rechten bekijkt zonder toestemming gevoelige informatie
- 6 procent van de nettowinst verdwijnt door interne (bedrijfs)criminaliteit

een onafhankelijk toezicht op de systeembeeherder en wat meer gerichte controle op (ict-)medewerkers zeker op zijn plaats en eigenlijk dus noodzakelijk.