Dell komt met Best practices om aan GPDR te voldoen

De nieuwe richtlijn heeft als doel om de bescherming van persoonsgegevens van alle burgers in de EU te verbeteren en gaat in mei 2018 van kracht. De GDPR is van toepassing op bedrijven van elke omvang in alle regio’s en in alle sectoren. Als zij niet volledig voldoen aan de eisen van de GDPR, lopen zij kans op forse boetes, datalekken en reputatie/imago schade.

De enquêteresultaten geven aan dat 82 procent van alle zakelijke en ICT-professionals, die verantwoordelijk zijn voor gegevensbescherming, zich zorgen maakt over de naleving van de GDPR. Toch zijn ze onvoldoende bekend met de GDPR en er niet op voorbereid. Ook verwachten zij er niet voldoende op voorbereid te zijn als de verordening van kracht gaat.

• Meer dan tachtig procent van de respondenten zegt weinig of geen kennis te hebben van de GDPR.
• Minder dan een derde van alle bedrijven is van mening dat zij momenteel zijn voorbereid op de GDPR.
• Bijna zeventig procent van alle zakelijke en ICT-professionals zegt dat hun bedrijf niet is voorbereid, of weet niet of hun organisatie is voorbereid op de GDPR. Slechts drie procent van hen beschikt over een plan van aanpak.
• Duitse deelnemers aan de enquête voelen zich het meest voorbereid op de GDPR (44 procent); respondenten uit de Benelux voelen zich het minst voorbereid (26 procent).
• Meer dan 75 procent van de respondenten buiten Europa zegt dat ze niet zijn voorbereid op de GDPR of niet te weten of ze daarop zijn voorbereid.
• De meeste bedrijven (97 procent) beschikken niet over een plan voor de invoering van de GDPR in 2018.

Uit de enquêteresultaten blijkt verder dat bedrijven zich realiseren dat niet-naleving van de GDPR van invloed zal zijn op de gegevensbescherming en hun bedrijfsresultaat. Ze hebben echter geen inzicht in hoeveel verandering er vereist is, de ernst van de boetes voor niet-naleving en de manier waarop de veranderingen hun bedrijfsvoering gaan beïnvloeden. 79 procent zegt niet te weten of hun bedrijf kans zou lopen op een boete als de GDPR dit jaar van kracht zou zijn gegaan.

• Van de 21 procent van de respondenten die zegt een sanctie te riskeren als de GDPR momenteel van kracht zou zijn, denkt 36 procent dat de sanctie slechts een milde herstelmaatregel zou omvatten, of weet niet hoe die eruit zou zien.
• Bijna vijftig procent is van mening dat zij een gematigde financiële boete zouden krijgen of overzienbare herstelmaatregelen zouden moeten nemen.
• Bijna 25 procent verwacht dat er ingrijpende wijzigingen in hun huidige procedures en technologieën voor gegevensbescherming nodig zijn.

De meeste organisaties zijn daarnaast van mening dat zij onvoldoende zijn voorbereid op de beveiligingsprocedures die vereist zijn door de GDPR.

• Minder dan de helft van de respondenten voelt zich voldoende voorbereid op de beveiligingsprocedures die door de GDPR worden voorgeschreven.
• Slechts 21 procent is van mening dat hun organisatie effectief is voorbereid op access governance, een belangrijk beveiligingsaspect binnen de GDPR.
• Ruim zestig procent van alle zakelijke respondenten in Europa is niet voorbereid op de GDPR of weet niet of hun organisatie daarop is voorbereid. Bijna zeventig procent van alle MKB’s in deze regio zegt niet voorbereid te zijn op de GDPR of niet te weten of ze daarop zijn voorbereid.
• Meer dan negentig procent van de respondenten zegt dat hun bestaande beveiligingspraktijken niet zullen voldoen aan de nieuwe eisen van de GDPR.
• Ruim tachtig procent zegt goed dan wel enigszins op de GDPR te zijn voorbereid wat betreft de technologie voor e-mailbeveiliging die binnen hun organisatie wordt gebruikt.
• Bijna zestig procent zegt goed dan wel enigszins te zijn voorbereid wat betreft hun huidige technologie voor access governance.
• Ruim tachtig procent zegt goed dan wel enigszins te zijn voorbereid wat betreft de huidige technologie voor toegangsbeheer.
• 65 procent zegt goed dan wel enigszins te zijn voorbereid wat betreft hun next generation firewalls (NGFW’s).

Best practices helpen om aan de eisen van de GPDR te voldoen

De GDPR werd dit jaar door het Europees Parlement en de Europese Raad aangenomen en gaat volledig van kracht in mei 2018. Hieronder volgen enkele tips en strategieën die bedrijven kunnen helpen in de richting van de beveiligingseisen van de GDPR-richtlijn. Op deze manier kunnen zij persoonsgegevens van klanten beschermen en datalekken, forse boetes en reputatie/imago schade beperken.

• Stel een Data Protection Officer (DPO) aan. De GDPR schrijft voor dat bedrijven een functionaris voor gegevensbescherming moeten benoemen. Dit kan een fulltime functie zijn, maar het is ook mogelijk om deze rol te laten vervullen door een medewerker met andere verantwoordelijkheden. Het goede nieuws is dat een DPO in de vorm van een dienst kan worden ingezet. Systeemintegrators en partners kunnen daarom een dergelijke dienst aanbieden om hun omzet de laten groeien.
• Gebruik een krachtige oplossing voor access governance. Toezicht houden op de toegang tot applicaties die persoonsgegevens van EU-burgers bevatten (met name ongestructureerde data), vormt een belangrijk aspect van de gegevensbescherming en daarmee de naleving van de GDPR. Access governance vraagt normaliter om een periodieke evaluatie van de toegangsrechten door afdelingshoofden en een verklaring (of hernieuwde certificering) dat de toegangsrechten van medewerkers aansluiten op hun functie en geen gevaren opleveren voor de gegevensbescherming. De Dell One Identity-familie voor Identity & Access Management oplossingen biedt hiervoor de benodigde mate van overzicht en controle.
• Neem de regie over het toegangsbeheer in handen. Om te kunnen voldoen aan de eisen van de GDPR moeten bedrijven ervoor zorgen dat werknemers en aannemers enkel beschikken over de toegangsrechten die strikt noodzakelijk zijn om hun taken uit te voeren. De technologieën voor identity & access management die een dergelijke mate van controle mogelijk maken, zijn multi-factor authenticatie, veilige toegang op afstand, risico gebaseerde/adaptieve beveiliging, verfijnd wachtwoordbeheer en integrale controle van de activiteiten van gebruikers met speciale toegangsrechten.
• Bescherm de infrastructuur. Organisaties moeten gebruikmaken van next-generation firewalls (NGFW’s) om de blootstelling van het netwerk aan cyberbedreigingen terug te dringen. Dit vermindert de kans op datalekken, die in het kader van de GDPR in hoge boetes kunnen resulteren. NGFW’s bieden ook toegang tot de forensische data die nodig zijn om overeenstemming met de GDPR te bewijzen en passende herstelmaatregelen te nemen na het optreden van een datalek. De NGFW’s uit de Dell SonicWALL-reeks bieden bescherming tegen geavanceerde bedreigingen met deep packet inspection (non-caching/non-proxy), inspectie van SSL-sessies, adaptieve sandboxing op basis van meerdere engines en integrale controle en real-time visualisatie van applicaties.
• Zorg voor veilige mobiele toegang. Organisaties moeten voor een veilige transmissie van alle data zorgen waarop de GDPR van toepassing is. Bovendien moeten zij werknemers op de manier en met het apparaat van hun keuze toegang bieden tot de data en bedrijfsapplicaties die ze nodig hebben. Ook moeten bedrijven de gegevensbescherming verbeteren en obstakels voor de toegang elimineren. Dit kunnen zij bereiken door componenten waaronder identiteit, apparaat-gegevens en tijdelijke factoren (tijdstip, locatie enzovoort) te combineren tot een adaptieve, op risico’s gebaseerde aanpak die altijd en overal de juiste mate van toegang waarborgt en zowel de dataveiligheid als de overeenstemming met de GDPR verbetert.
• Zorg voor effectieve e-mailbeveiliging. Om te kunnen voldoen aan de eisen van de GDPR moet een organisatie volledig overzicht en grip hebben op het e-mailverkeer. Dit is nodig om de kans op phishing en andere aanvallen via e-mail terug te dringen en te zorgen voor een veilige uitwisseling van gevoelige en vertrouwelijke data in overeenstemming met de GDPR.

Enquêtemethodiek

De enquête werd door Dimensional Research uitgevoerd onder 821 zakelijke en ICT-professionals die verantwoordelijk zijn voor de gegevensbescherming bij bedrijven met Europese klanten. Zij gaven antwoord op vragen over hun kennis en perceptie van de GDPR, hun gereedheid voor deze richtlijn en de verwachte gevolgen van niet-naleving wanneer de GDPR van kracht gaat. De enquête werd uitgevoerd in de Verenigde Staten, Canada, Asia Pacific (Australië, Hongkong, Singapore en India), het Verenigd Koninkrijk, Duitsland, Zweden, België, Nederland, Frankrijk, Italië, Spanje en Polen.