Security strategie wordt niet altijd ondersteund door processen en controls

Security dienstverlener SecureLink lanceert haar Security Maturity Report voor 2019. Het rapport is gemaakt met behulp van duizenden antwoorden, ontleend aan evaluaties van maturity assessments bij Europese bedrijven.

Het rapport bevat volwassenheidsniveaus voor verschillende branches, menselijke factoren, processen en technologie. Het doel is om een objectieve security maturity marker te zijn, die licht werpt op sterke en zwakke punten zoals waargenomen door de cyber security verantwoordelijke van de organisatie.

Enkele take aways uit het rapport zijn:

1. Hoewel twee derde van de respondenten een cyber security strategie op hoog niveau heeft, wordt deze vaak niet vertaald in processen en technologie. De intentie is er, maar de follow-up ontbreekt.
2. Ondanks een toegenomen risicobewustzijn, richten veel organisaties zich nog steeds meer op 'preventieve' controles zoals endpoint- en perimeter security, dan op detectie van incidenten, die door de verdediging glippen. Het is interessant om te zien dat er behoefte is aan extern gerichte hulpmiddelen zoals threat intelligence.
3. De financiële en juridische sector beschouwen zichzelf als het meest volwassen. Verrassend genoeg beschouwt Retail (inclusief fysieke winkels) zichzelf als het minst volwassen. Tevens halen de meeste organisaties de gedefinieerde baseline niet.

Thomas Fetten (foto), CEO van SecureLink, zegt: “Het is geweldig om te zien dat organisaties in heel Europa op zoek zijn naar ondersteuning en interne middelen toewijzen aan het vaststellen van hun cyber security volwassenheid. Cyber security is een reis die begint met weten waar je bent. De resultaten laten zien dat de meeste organisaties in Europa zich op een betere plek bevinden dan een jaar geleden. Dat gezegd hebbende, er is nog steeds, volgens hun eigen normen, veel werk te doen.”

Richard Jones, CISO bij SecureLink voegt hieraan toe: “De toegenomen diversiteit aan risico's leidt tot een mentaliteitsverandering: organisaties begrijpen dat je niet 100% veilig kunt zijn. Organisaties moeten zich richten op het vaststellen van gedefinieerde cyber security rollen, gedocumenteerde processen en geavanceerde technologie als basis. Niet iedereen waarmee wij praten, is nu op dat niveau.”

Security Maturity Report 2019