07 mei 2019

Wat is datarisicobeheer?

Door Tobias Geisler Mesevage

Je behoort tot een minderheid als je nog nooit een krantenkop hebt gezien over — of persoonlijk te maken hebt gehad met — een van de duizenden datalekken die zich de afgelopen tien jaar hebben voorgedaan. Om er maar een paar te noemen:

In 2013 werd Yahoo gehackt, waardoor meer dan drie miljard accounts op de servers van het bedrijf werden blootgesteld, waaronder de namen, geboortedata, telefoonnummers en wachtwoorden van gebruikers.
In 2018 kwamen de namen, postadressen, telefoonnummers, e-mailadressen, paspoortnummers, geboortedata, geslacht, accountgegevens van het Starwood Preferred Guest-loyaliteitsprogramma, aankomst- en vertrektijden en reserveringsdata van 500 miljoen Marriott-gasten openbaar na een datalek.
De wachtwoorden van honderden miljoenen Facebook-gebruikers zijn openbaar geworden doordat Facebook de gegevens in leesbare tekst opsloeg, waardoor deze voor meer dan 20.000 medewerkers zichtbaar waren.

Hoewel grote organisaties waarschijnlijk de krantenkoppen halen, blijkt uit onderzoek van Beazley Breach Response Services dat 71% van de ransomware-aanvallen in 2018 gericht was op kleine bedrijven.

Hoewel datalekken niet de enige soorten datarisico's zijn die een organisatie moet beheren, zijn ze vaak wel het meest zichtbaar. Om te voorkomen dat je de zoveelste krantenkop, rechtszaak of onbeveiligde organisatie wordt, is het beheer van datarisico's een integraal onderdeel van de IT-infrastructuur geworden.

Wat is datarisicomanagement en hoe kunt u het implementeren in uw organisatie?

Wat is gegevensrisicobeheer?

Datarisico is de kans op zakelijk verlies als gevolg van:

Gebrekkig gegevensbeheer: het onvermogen van een organisatie om gedurende de gehele levenscyclus van de gegevens de hoge kwaliteit ervan te waarborgen.
Slecht gegevensbeheer: Gebrekkige processen voor het verzamelen, valideren, opslaan, beveiligen en verwerken van gegevens ten behoeve van de gebruikers.
Gebrekkige gegevensbeveiliging: Moeilijkheden bij het beschermen van digitale gegevens tegen ongewenste handelingen, zoals een cyberaanval of een datalek.

Datarisicomanagement is het gecontroleerde proces dat een organisatie gebruikt bij het verwerven, opslaan, transformeren en gebruiken van haar data, van creatie tot buitengebruikstelling, om datarisico's te elimineren.

Een holistisch systeem voor het beheer van gegevensrisico's minimaliseert de mogelijkheid van gegevens die kunnen worden blootgesteld of geschonden en bevordert ook de productiviteit op de werkplek met goed georganiseerde en nauwkeurige informatie.

Waarom datarisicomanagement belangrijk is

Wanneer bedrijfsgegevens worden blootgelegd of in gevaar worden gebracht, zijn er zowel directe als indirecte kosten verbonden aan de wanpraktijken. Wanneer gegevens in gevaar zijn, kan een bedrijf aansprakelijk worden gesteld voor te dekken kosten:

De schade herstellen die een aanval aanrichtte op de IT-infrastructuur
Kosten in verband met gelekte activa, inclusief boetes en kosten voor juridisch advies
Toegenomen handmatige arbeid voor de tijd die nodig is om een incident in te sluiten
Uitval van datacenters en verlies aan bedrijfscontinuïteit
Afgenomen productiviteit op de werkplek
Verlies van merkwaarde en reputatie

Gegevensrisico’s die niet bekend zijn, niet worden beheerd en niet worden beperkt, leiden vaak tot datalekken, die bijzonder kostbaar zijn. Volgens het onderzoek ‘Cost of a Data Breach Study’ uit 2018 van Ponemon bedragen de wereldwijde gemiddelde kosten van een datalek 3,86 miljoen dollar, bedragen de gemiddelde kosten per verloren of gestolen record met gevoelige en vertrouwelijke informatie 148 dollar per record, en zijn de kosten van datalekken jaar op jaar gestegen.

Omdat de kosten die gepaard gaan met gegevensrisico's blijven stijgen, is het beschermen en onderhouden van gegevens essentieel voor organisaties.

Gegevensrisico's om voor uit te kijken

Lacunes in een plan voor het beheer van gegevensrisico's zorgen voor kwetsbaarheden op de volgende gebieden:

Afhankelijkheid van eigen systemen: SaaS-leveranciers kunnen uw gegevens in feite gijzelen als u besluit van leverancier te wisselen. Met name afhankelijkheid van eigen systemen, ook wel ‘vendor lock-in’ genoemd, kan uw gegevens in gevaar brengen wanneer leveranciers het overzetten van gegevens, applicaties en infrastructuur, of het overdragen van kennis van personeel bij het wisselen van leverancier beperken of buitensporig duur maken.
Storing in een opslagapparaat: van mechanische problemen tot malware-aanvallen – alles kan leiden tot gegevensverlies als uw opslagapparaat uitvalt. Beperk de kosten en risico’s door back-ups te maken en gebruik te maken van storingsbestendige opslag.
Gegevensbeschadiging: Door menselijke fouten, datalekken en storingen in databases kan er binnen uw organisatie gegevensbeschadiging optreden. Onjuiste of beschadigde gegevens vormen bovendien een gevaar voor de reputatie van uw merk en de algehele productiviteit.
Gegevensremanentie: Gegevens die in uw organisatie achterblijven, zelfs nadat er pogingen zijn ondernomen om ze te verwijderen, worden ‘gegevensremanentie’ genoemd. Deze achtergebleven gegevens zijn bijzonder gevaarlijk omdat uw organisatie zich mogelijk niet bewust is van het bestaan ervan, en ze kunnen gemakkelijk zonder uw medeweten openbaar worden gemaakt.
Naleving van gegevensvoorschriften: Als gegevens niet op de juiste wijze worden beheerd, of niet in overeenstemming met de wet- en regelgeving voor de sector, leidt dit tot boetes en juridische gevolgen.
Zwakke plekken in de beveiliging: Cybercriminelen zoeken naar zwakke plekken in uw beveiliging. Of het nu gaat om software waarvoor nog geen patch is geïnstalleerd of om medewerkers die gevoelig zijn voor social engineering-aanvallen: elke zwakke plek in uw beveiliging vormt een risico voor uw gegevens.
Ongebruikte gegevens: Ook wel ‘dark data’ genoemd. Dit zijn de gegevens die een organisatie verzamelt, verwerkt en opslaat, maar niet gebruikt. Het opslaan van dark data langer dan de gebruiksduur ervan kan onnodige beveiligingsrisico’s, nalevingsproblemen en opslagproblemen met zich meebrengen.

Het maken van een back-up van uw gegevens is een manier om de schade als gevolg van elk van deze risico’s tot een minimum te beperken, mochten deze zich voordoen. Zo kunt u namelijk snel en eenvoudig een afzonderlijk bestand of een volledige gegevensopslag terugzetten, ongeacht de risico’s waarmee u te maken hebt gehad.

Best practices voor gegevensbeheer en risicobeheer in datacenters

Het aantal datamanagementmodellen neemt voortdurend toe om bij te blijven met de steeds veranderende eisen op het gebied van regelgeving en bedrijfsprocessen, en de opeenstapeling van inputgegevens. Het is van cruciaal belang voor het succes van uw organisatie om voorop te blijven lopen op het gebied van best practices voor datamanagement. Omdat gegevens op verschillende locaties worden opgeslagen, is het altijd belangrijk om ervoor te zorgen dat zowel de gegevens als de infrastructuur, zoals datacenters en machines van eindgebruikers, worden beschermd.

Volgens het National Institute of Standards and Technology omvatten de huidige beste praktijken voor gegevensbeheer onder meer:

Bepaal de reikwijdte van de risicoanalyse op basis van infrastructuur en technologie
Bedreigingen en risico's identificeren en definiëren
De waarschijnlijkheid en impact van risico's beoordelen
De kwaliteit van bestaande controles evalueren
Risico's beoordelen en reacties bepalen
Plannen voor risicobehandeling ontwikkelen, testen en implementeren
Voortdurende bewaking en feedback bieden
De geïdentificeerde kansen aanpakken

Beperk het risico op gegevensverlies met betrouwbare back-ups

Zorg er bovendien voor dat uw organisatie beschikt over een oplossing voor back-up en noodherstel (BDR). Met BDR-oplossingen kunnen er meerdere keren per dag momentopnames van uw gegevens worden gemaakt, zodat u stilstand kunt voorkomen en de bedrijfscontinuïteit kunt waarborgen, aangezien uw gegevens binnen enkele seconden kunnen worden teruggezet naar de toestand van vóór het gegevensverlies.

Datto SIRIS is een betrouwbare, alles-in-één oplossing voor back-up en noodherstel (BDR), speciaal ontwikkeld voor MSP’s om gegevensverlies te voorkomen en de downtime voor klanten tot een minimum te beperken.

Ga voor meer informatie over Datto SIRIS naar de productpagina of vraag vandaag nog een demo aan.