PwC en Iron Mountain: Stappenplan informatiebeheer

06 december 2012 Consultancy.nl

PwC heeft samen met Iron Mountain en overige deskundigen een Plan van Aanpak (PvA) opgesteld voor bedrijven die hun informatiebeheer willen verbeteren. Het plan van aanpak is volgens de partners een 8 stappenplan die de eerste, belangrijke stappen vormen om te komen tot ´Corporate Information Responsibility´.
 
Grote risico’s
Uit het recente onderzoek ‘Information Risk Maturity Index’ van PwC en Iron Mountain onder middelgrote Europese en Nederlandse bedrijven bleek dat bedrijven grote risico’s lopen op het gebied van informatiebeheer. Dit geldt ook voor bedrijven actief in de zakelijke dienstverlening. Zo heeft 42% van de Europese advocaten geen notie of er de afgelopen drie jaar sprake is geweest van een datalek. En in de adviesbranche zijn consultancykantoren een tijdje terug flink wakker geschud door het hackschandaal van Booz Allen Hamilton, notabene één van de belangrijkste adviesbureaus op het gebied van informatiebeveiliging.
 
Zie ook het gerelateerde bericht: Informatiebeveiliging wordt cruciaal in adviesbranche.
 
Plan van Aanpak
1 Plaats informatie op de directieagenda: Zorg dat de gevolgen van een datalek duidelijk zijn voor de hogere leidinggevenden. Te vaak worden beschermende maatregelen pas genomen na een lek
Activiteit: Zorg dat informatierisico´s een terugkerend onderwerp zijn op de directieagenda.

2 Begin met de mensen
: Betrek de medewerkers erbij. Begrijp hoe ze hun informatie gebruiken en leer hen die te beschermen. Stimuleer een werkcultuur die verantwoordelijk met informatie omgaat, maak de waarde van informatie duidelijk en faciliteer veiligheid.
Activiteit: Vraag medewerkers wat volgens hen de gouden regels zijn om informatie te beschermen en stel een vertrouwelijk meldpunt in om bedenkingen te melden en kwesties aan de orde te stellen.

3 Ga realistisch om met schaarse middelen en pak het fundamenteel aan
: Het is onnodig om zwaar te investeren in IT om de risico´s te minimaliseren. De grootste winst biedt interne communicatie en de training van medewerkers. Begin met eenvoudige, kleine eerste stappen in de goede richting – alles is beter dan niets.
Activiteit: Bewaar dossiers en documenten in een afgesloten ruimte, of besteed dat uit; bewaar backup-tapes buiten het kantoor en gebruik encryptie (versleuteling) van data waar nodig.

4 Begrijp het bedrijfsproces en hoe informatie door de organisatie beweegt
: Bekijk waar en hoe informatie wordt geproduceerd, ontvangen, verwerkt, opgeslagen en uiteindelijk vernietigd. Wie is er op welk moment verantwoordelijk voor, en hoe is de bescherming dan geregeld?
Activiteit: Stel een afdelingoverstijgende werkgroep in die voor de directie in kaart brengt welke reis informatie door de organisatie aflegt en wat de kwetsbaarheden en risico´s ´onderweg´ zijn - van ontstaan tot vernietiging.

5 Bepaal wat de belangrijkste informatie is en wat het waard is om die te beschermen
: Niet alle informatie is even belangrijk: bepaal welke gelekte of verloren informatie de organisatie schade toebrengt.
Activiteit: Overweeg wat de gevolgen van verloren en gelekte informatie zijn om de risico´s beter te begrijpen.

6 Introduceer een eenduidig en voortdurend risicobeheer
: Bepaal de verantwoordelijkheids- en de rapportagelijnen, en controleer centraal op overlap en witte vlekken tussen afdelingen.
Activiteit: Benoem een eindverantwoordelijke voor de informatie.

7 Maak beleid en procedures en controleer de effectiviteit
: Regels alleen, zijn niet voldoende - ze moeten ook worden begrepen en doorgevoerd.
Activiteit: Beloon onderscheidend goed gedrag van medewerkers. Overweeg een vrijblijvende analyse op fouten en gaten door een partij die gecertificeerd is voor standaarden als PCI DSS en ISO27001.

8 Zoek ondersteuning
: Informatiebeheer wordt snel lastiger wanneer de hoeveelheid en omloopsnelheid van (on-) gestructureerde informatie toeneemt. Er zijn leveranciers voor specialistische ondersteuning.
Activiteit: Als die niet in huis is, overweeg dan specialistische ondersteuning door een deskundige organisatie of een uitbestedingspartner en ontdek hoe die adviseert om de koe bij de horens te vatten.

Nieuws

Meer nieuws over