Schendingen van het informatiebeveiligingsbeleid van een organisatie door medewerkers zijn volgens een recent onderzoek van Kaspersky net zo gevaarlijk als aanvallen van hackers. In de afgelopen twee jaar was 26 procent van de cyberincidenten in bedrijven te wijten aan werknemers die opzettelijk het securityprotocol schonden. Dit cijfer is bijna gelijk aan de 30% van de cyberincidenten die veroorzaakt worden door hacken.
Het is algemeen bekend dat menselijke fouten een van de belangrijkste oorzaken zijn van cyberincidenten in bedrijven. Daarom heeft Kaspersky een wereldwijd onderzoek uitgevoerd naar de meningen van IT-securityprofessionals in (grote) ondernemingen en het mkb over de invloed van mensen op de cybersecurity in een bedrijf. Het onderzoek was bedoeld om informatie te verzamelen over verschillende groepen mensen die van invloed zijn op de cybersecurity, waarbij zowel interne medewerkers als externe actoren in beschouwing werden genomen.
Uit het onderzoek bleek dat, naast echte fouten, schendingen van het informatiebeveiligingsbeleid door werknemers een van de grootste problemen voor bedrijven was. Respondenten beweerden dat er in de afgelopen twee jaar opzettelijke acties werden ondernomen om de cybersecurityregels te overtreden door zowel niet-IT- als IT-medewerkers. Zo gaven ze aan dat dergelijke schendingen van het beleid door IT-securitymedewerkers 12 procent van de cyberincidenten in de afgelopen twee jaar veroorzaakten. Andere IT-professionals en hun niet-IT-collega’s veroorzaakten respectievelijk 11 procent en 8 procent van de cyberincidenten toen zij beveiligingsprotocollen schonden.
Opzettelijk
Als het om het gedrag van individuele medewerkers gaat, is het meest voorkomende probleem dat medewerkers opzettelijk doen wat verboden is en, omgekeerd, voeren ze niet uit wat vereist is. Zo beweren respondenten dat een kwart (25%) van de cyberincidenten in de afgelopen twee jaar plaatsvond als gevolg van het gebruik van zwakke wachtwoorden of het niet tijdig wijzigen ervan. De andere oorzaak van bijna een kwart (24%) van de cyberincidenten was het bezoeken van onbeveiligde websites door medewerkers. Nog eens 21 procent meldt dat ze te maken kregen met cyberincidenten omdat medewerkers de systeemsoftware of -toepassingen niet bijwerkten wanneer dit vereist was.
Het gebruik van ongewenste diensten of apparaten is een andere belangrijke oorzaak van opzettelijke schendingen van het informatiebeveiligingsbeleid. Bijna een kwart (24%) van de bedrijven kreeg te maken met cyberincidenten omdat hun werknemers ongeautoriseerde systemen gebruikten voor het delen van gegevens. In 21 procent van de bedrijven bekeken werknemers opzettelijk gegevens via ongeautoriseerde apparaten, terwijl 20 procent van de werknemers gegevens naar persoonlijke e-mailadressen stuurden. Een andere gerapporteerde actie was de inzet van schaduw-IT op werkapparaten, 11 procent van de respondenten geeft aan dat dit heeft geleid tot hun cyberincidenten.
Alarmerend is dat respondenten toegeven dat, naast het al genoemde onverantwoordelijke gedrag, 20 procent van de acties door werknemers werd gepleegd voor persoonlijk gewin. De opzettelijke schendingen bleken volgens 34 procent van de respondenten een relatief groot probleem in de financiële dienstverlening.
