Wie houdt toezicht op IT-middelen? "Uit onderzoek blijkt..."

Zoals eerder gepubliceerd in Corporate Compliance Insights , onderzoekt Mark Gaydos, Chief Marketing Officer van Nlyte, waarom veel bedrijven herhaaldelijk merken dat hun netwerken niet voldoen aan tal van compliance-eisen en -voorschriften. Het simpele antwoord op veel van deze problemen is dat er te veel aannames bestaan ​​tussen IT-medewerkers en het managementteam.

Het artikel , dat bevestigd wordt door de resultaten van een nieuw onderzoek naar technologieactivabeheer , is zowel verhelderend als alarmerend. Meer dan 1,500 IT-professionals geven hierin hun eerlijke mening over de staat van de grootste netwerken van vandaag.

Wie houdt toezicht op IT-middelen? "Uit onderzoek blijkt..."

Naarmate organisaties digitaliseren en hun computerinfrastructuren groeien, komen IT-middelen niet altijd terecht waar ze het hardst nodig zijn. Het toewijzen van personeel om te zorgen voor naleving van IT-regelgeving is een van die middelen die vaak over het hoofd wordt gezien. Als gevolg hiervan maken bedrijven zich vaak schuldig aan datalekken door zwakke nalevingsmaatregelen. Hoewel het niet-conform zijn op zich geen misdaad is, schaadt het wel het publieke vertrouwen in een bedrijf – Equifax is daar nog steeds van aan het herstellen.

GDPR, HIPAA, PCI, SOX en andere regelgeving worden door verschillende instanties ingevoerd als controlemechanismen die richtlijnen voor best practices bieden. Wat IT-compliance betreft, zijn er twee basisgebieden: interne compliance, die ervoor zorgt dat een organisatie zich houdt aan haar specifieke regels en voorschriften; en externe compliance, die zich houdt aan de door de overheid vastgestelde wetgeving. Daarnaast zijn er de tussenliggende interne en externe regelgevingen die door organisaties worden opgelegd, zoals de Payment Card Industry Data Security Standard (PCI DSS), die extra beveiliging biedt voor financiële transacties, of het vrijwillige gebruik van het Basel III-raamwerk.

Het weghalen van IT-personeel van dagelijkse taken om complianceproblemen aan te pakken, kan nadelen hebben. Er zijn interne kosten verbonden aan het verschuiven van IT-functies van helpdeskreacties en inkomstengenererende infrastructuurupgrades naar het documenteren van IT-processen en -procedures. Feit is dat er veel andere taken zijn die vaak voorrang krijgen boven de dagelijkse netwerkscans die ervoor zorgen dat het netwerk aan de eisen van een auditor voldoet. De opvatting dat compliance een constante prioriteit is, verschilt sterk tussen de directieleden in de directiekamers en de IT-medewerkers die kabels trekken om de datastroom te garanderen.

Kloof in nalevingsveronderstellingen

Het samenbrengen van informatie uit verschillende gegevensbronnen om het benodigde materiaal voor audit- en compliance-rapporten te leveren, kan een grote uitdaging vormen voor organisaties. Vaak omvatten deze gegevensbronnen alles van spreadsheets tot post-it-briefjes, naast andere applicaties van derden, verspreid over talloze werkgroepen.

Wie houdt wat in de gaten en hoe vaak? Het antwoord op deze ogenschijnlijk eenvoudige vraag kan sterk variëren, afhankelijk van wie je het binnen een bedrijf vraagt. Een nieuw onderzoek getiteld " Technology Asset Management Global Survey: Today's Challenges of Device Proliferation ", in opdracht van Nlyte Software, werpt enig licht op het antwoord op deze vraag.

Het wereldwijde onderzoek peilde de mening van 1,516 besluitvormers op het gebied van technologieactiva binnen organisaties met 1,000 of meer werknemers. Van de respondenten gaf 96% aan dat het beheer van hardware- en softwareactiva een van de vijf belangrijkste prioriteiten voor het bedrijf is – geen verrassing. Wat echter wel verrassend is, is dat bijna een derde (31%) van deze bedrijven hun activabeheer nog steeds handmatig bijhoudt. Wanneer de IT-afdeling weinig tijd heeft voor compliance-gerelateerde taken, is dit handmatige proces ontmoedigend en kan het ertoe leiden dat compliance-inspanningen verder naar achteren worden geschoven. Vijfendertig procent van de C-suite-leden bevestigde dat gegevens handmatig worden vastgelegd als onderdeel van een IT-activabeheerproces, maar ook dat deze gegevens snel verouderd zijn en gevoelig voor menselijke fouten.

IT-middelen moeten regelmatig worden gecontroleerd, maar de mate waarin wordt aangenomen dat dit gebeurt, verschilt sterk. Uit het Technology Asset Management Global Survey (onderzoek) bleek dat respondenten op C-suite-niveau denken dat middelen elk uur (27%) of dagelijks (35%) worden gescand, terwijl managers op lager niveau hier minder vertrouwen in hebben (respectievelijk 8% en 28%).

Dagelijkse netwerkscans zijn belangrijk omdat er regelmatig nieuwe apparaten worden aangesloten en ongedetecteerde IT-middelen een risico vormen voor de naleving van regelgeving en de beveiliging. Wat betreft ongedetecteerde apparaten, bleek uit het onderzoek het volgende:

• 28% van de directieleden en 29% van de managers zijn van mening dat 10% van hun vermogen onopgemerkt en onbeschermd is.
• 35% van de directieleden en 14% van de managers zijn van mening dat 20% van hun vermogen onopgemerkt en onbeschermd is.
• Slechts 24% van de vermogensbeheerders is van mening dat 80-100% van hun apparaten over de nieuwste beveiligingssoftware en firmware-updates beschikt.
• Volgens vermogensbeheerders is 33% van de IT-apparaten slechts zelden met het netwerk verbonden.

Simpel gezegd: gemiste netwerkscans leiden tot een grotere kwetsbaarheid, wat onvermijdelijk tot complianceproblemen leidt. Dit wordt bevestigd door het feit dat 15% van de organisaties aangeeft dat tussen de 80 en 100% van de apparaten niet proactief worden beheerd – een recept voor een groot risico.

Hoewel de meeste IT-apparaten up-to-date zijn (gemiddeld 67% beschikt over de nieuwste beveiligingssoftware en firmware-updates), heeft minder dan de helft (49%) een oplossing die alle apparaten scant en valideert om een ​​auditspoor te creëren voor het beheer van beveiligingspatches. Daarnaast bleek uit het onderzoek dat bijna de helft (48%) van de apparaten helemaal niet proactief wordt beheerd. Hoewel het percentage van 67% met de nieuwste software en firmware beter is dan gemiddeld, bevestigt het dat slechts een derde van de IT-middelen die gegevens zoals persoonlijke financiën, gezondheidszorg en burgerservicenummers beheren, risico lopen, verouderd zijn of niet overeenkomen.

Conclusie

Het scannen en registreren van IT-assets kan niet handmatig worden uitgevoerd als organisaties willen voldoen aan de geldende voorschriften en regelgeving. Zelfs met barcode-technologie kan het gebeuren dat, zodra een onderdeel is afgerond en de controlemedewerker verdergaat, iemand anders direct daarna een apparaat installeert of verwijdert. Het bereiken van IT-compliance vereist een systematisch en geautomatiseerd proces dat continu het volledige netwerk identificeert, monitort en controleert om naleving te garanderen.

Doordat data steeds meer naar de cloud, virtuele omgevingen en de randen van het netwerk wordt verplaatst, is de IT-infrastructuur veel te omvangrijk om met een simpele blik op een spreadsheet te controleren wat wel en niet aan de regelgeving voldoet. Het gebruik van een tool voor technologie-assetmanagement (TAM) om het complianceproces te vereenvoudigen is dan ook een goed idee. Zoals uit het onderzoek blijkt, geloven meer dan 1,500 grote organisaties dat ze het meest waarschijnlijk zullen profiteren van een TAM-oplossing voor bedrijfsefficiëntie (41%), algehele kostenbesparingen (40%) en verbeterde data- en bedrijfsbeveiliging (39%).