De AIVD waarschuwt organisaties vandaag voor de risico's van 'insiders', medewerkers die bewust of onbewust schade kunnen toebrengen aan de belangen van de organisatie waar diegene werkt. Het gaat onder andere om 'security-vermijdende insiders', medewerkers die bewust beveiligingsmaatregelen negeren en zodoende voor schade kunnen zorgen.
Volgens de AIVD blijkt uit veel zaken rondom het risico van insiders dat dezelfde systeemkwetsbaarheden steeds naar voren komen. "Het is belangrijk dat organisaties en bedrijven voldoende maatregelen treffen om zich te beschermen tegen dreigingen van binnenuit", aldus de inlichtingendienst. In een nieuwe publicatie beschrijft de dienst verschillende soorten insiders. Het kan dan gaan om medewerkers die zich bewust bezighouden met zaken als spionage, sabotage en corruptie.
Daarnaast zijn er volgens de dienst 'niet-intentionele insiders'. Het gaat dan om medewerkers die onbewust schade toebrengen aan de organisatie waarvoor die persoon werkt of heeft gewerkt. Dit kan bijvoorbeeld doordat deze persoon in zijn of haar werk onzorgvuldig, onwetend of security-vermijdend is. Zo is de security-vermijdende insider iemand die de regels wel kent, maar besluit om zich er niet aan te houden bij het uitvoeren van zijn of haar werkzaamheden.
"De security-vermijdende insider heeft niet bewust het doel om schade aan zijn/haar organisatie toe te brengen maar dit kan wel een effect zijn van het negeren van de geldende beveiligingsmaatregelen", aldus de uitleg van de AIVD. Als voorbeeld wordt iemand genoemd die uit gemakzucht bewust vertrouwelijke gesprekken voert op plekken die niet daarvoor geschikt zijn. Bijvoorbeeld het bespreken van bedrijfsgevoelige of staatsgeheime informatie in het openbaar vervoer met een collega.
In de publicatie noemt de AIVD verschillende zaken die organisaties kunnen nemen om de risico's van insiders tegen te gaan. Het gaat onder andere om het nemen van fysieke maatregelen, zoals risico-gebaseerde compartimentering van werkgebieden op basis van het need-to-be-principe en multifactorauthenticatie voor fysieke toegang tot gevoelige werkgebieden. Ook noemt de dienst organisatorische maatregelen zoals beveiligingsbeleid, gedragscodes, een clean desk policy en bewustwording.
Verder moet er voldoende aandacht zijn voor het aanpassen van rechten bij functiewisseling, uitdiensttreding of langdurige ziektetrajecten waarin de medewerkers niet aan het werk zijn. Zo moeten organisaties de autorisaties, rechten en plichten van medewerkers direct aanpassen bij een functieovergang of uitdiensttreding. Tevens pleit de AIVD voor het (periodiek) controleren of de autorisaties van medewerkers nog aansluiten op hun werkzaamheden.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Chief Information Security Officer
Wil jij richting geven aan informatie-veiligheid binnen twee gemeenten die digitaal volop in ontwikkeling zijn? Zoek je een rol waarin strategie, beleid en samenwerking samenkomen? Dan ma-ken we graag kennis met je.
