Ruim vier op de tien organisaties kunnen niet met zekerheid zeggen of ze de afgelopen twee jaar een incident hebben gehad bij data-uitwisseling met een externe partij, zoals een IT-dienstverlener of ketenpartner. Een meerderheid laat het toezicht op die partijen over aan anderen en gaat ervan uit dat de data veilig is. Tegelijk geeft ruim de helft aan onvoldoende controle te hebben over waar de eigen data zich bevindt.
Het onderzoek is uitgevoerd door SureSync, een IT-dienstverlener die gespecialiseerd is in gegevensuitwisseling. Het bedrijf ondervroeg 433 beslissers die werkzaam zijn bij organisaties met meer dan 250 medewerkers. De groep die onzeker is over incidenten valt uiteen in twee even grote delen. Van de ondervraagden geeft 21 procent aan simpelweg niet te weten of er een incident is geweest. Nog eens 21 procent heeft concrete vermoedens van een incident, maar kan die niet bevestigen. Volgens SureSync komt de onzekerheid voort uit een gebrek aan zicht op incidenten.
Toezicht ligt vaak buiten de deur
Een meerderheid van 58 procent laat het toezicht op externe IT-partijen over aan een toezichthouder of koepelorganisatie en houdt hier zelf geen zicht op. SureSync ziet in die structurele afhankelijkheid een deel van de verklaring waarom organisaties niet precies weten wat er met hun data gebeurt.
Dat ontbrekende eigen zicht is ook op een andere manier terug te zien in de cijfers. Eveneens 58 procent weet niet precies wat externe partners met de data doen, maar gaat er zonder verdere controle van uit dat die veilig is.
Gevoel van controle ontbreekt
Dat vertrouwen in externe IT-partijen staat op gespannen voet met het beeld dat organisaties van zichzelf hebben. Van de respondenten heeft 55 procent het gevoel onvoldoende controle te hebben over waar de eigen data zich bevindt. Daarnaast vindt 53 procent dat de eigen organisatie de risico’s van de afhankelijkheid van externe partijen onderschat.
Het ontbrekende overzicht werkt door in de communicatie naar buiten. De helft van de organisaties geeft toe niet altijd volledig transparant te zijn over de risico’s van data-uitwisseling met externe partijen. Wie intern het overzicht mist, kan daar extern ook moeilijk open over zijn, zo stellen de onderzoekers.
Verantwoordelijkheid blijft bij de organisatie
Maaike Berger, managing director bij SureSync, vindt het aantal incidenten met externe IT-partijen minder opvallend dan het gebrek aan inzicht dat organisaties hebben in wat er met data gebeurt zodra die de eigen systeemgrenzen verlaat. Zonder dat inzicht is volgens haar lastig vast te stellen of er ergens in de keten een incident heeft plaatsgevonden.
Berger benadrukt dat een organisatie die gegevens uitwisselt verantwoordelijk blijft voor wat er verderop in de keten mee gebeurt. Dat geldt volgens haar ook voor schakels die de organisatie zelf niet meer ziet. Toezicht is uit te besteden aan een toezichthouder of koepelorganisatie, de eindverantwoordelijkheid niet.
Samenwerking met externe partijen moet daarom volgens Berger verder gaan dan vertrouwen of een certificering die ooit is afgegeven. Ze pleit voor partijen die aantoonbaar maken wat er met data gebeurt, met concrete afspraken over rapportage, transparantie en periodiek bewijs.
