Veel organisaties richten hun beveiliging vooral op externe dreigingen, terwijl ook medewerkers met toegang tot gevoelige informatie een veiligheidsrisico kunnen vormen. Volgens de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) hebben veel publieke en private organisaties onvoldoende maatregelen getroffen om kwaadwillende medewerkers tijdig te herkennen. In een nieuwe publicatie beschrijft de dienst waar de belangrijkste kwetsbaarheden zitten en hoe organisaties zich beter kunnen beschermen.
Uit inlichtingenonderzoek van de AIVD blijkt dat kwaadwillende insiders misbruik weten te maken van zwakke plekken in de beveiliging van Nederlandse organisaties. Buitenlandse inlichtingendiensten en criminele netwerken kunnen medewerkers bijvoorbeeld inzetten om vertrouwelijke informatie te verkrijgen of bedrijfsprocessen te verstoren.
De dreiging hoeft niet altijd opzettelijk te zijn. Ook medewerkers die onzorgvuldig omgaan met gevoelige informatie of beveiligingsregels negeren, kunnen schade veroorzaken. Bovendien beperkt het risico zich niet tot vaste medewerkers. Ook leveranciers en voormalige werknemers kunnen toegang hebben tot informatie of systemen die organisaties willen beschermen.
In de publicatie Weerbaar tegen dreigingen van binnenuit beschrijft de AIVD veelvoorkomende kwetsbaarheden die de dienst tijdens inlichtingenonderzoek is tegengekomen.
Een van de problemen is dat organisaties signalen van mogelijk schadelijk gedrag onvoldoende vastleggen. Meldingen komen bijvoorbeeld bij verschillende afdelingen terecht, zonder dat deze met elkaar worden gedeeld. Daardoor ontbreekt het overzicht dat nodig is om een interne dreiging tijdig te herkennen.
Volgens de AIVD weten medewerkers bovendien niet altijd waar zij verdachte situaties veilig kunnen melden. Ook loyaliteit aan collega's kan een belemmering vormen. Een organisatiecultuur waarin medewerkers zich niet vrij voelen om zorgen te uiten, vergroot daarmee het risico dat belangrijke signalen onopgemerkt blijven.
De dienst wijst ook op integriteitsonderzoeken die worden beëindigd zodra een betrokken medewerker ontslag neemt. Wanneer de bevindingen vervolgens onvoldoende worden vastgelegd, bestaat het risico dat iemand bij een andere organisatie opnieuw schadelijk gedrag vertoont.
Een andere kwetsbaarheid is het beheer van toegangsrechten. Organisaties controleren volgens de AIVD onvoldoende of medewerkers nog toegang nodig hebben tot bepaalde informatie en systemen.
Dat speelt bijvoorbeeld wanneer iemand van functie verandert of langdurig afwezig is. Zonder periodieke controle kunnen medewerkers toegang behouden tot gegevens die zij voor hun werkzaamheden niet meer nodig hebben.
Ook de registratie van digitale handelingen schiet regelmatig tekort. Als een organisatie loggegevens slechts enkele dagen bewaart, kan het na een incident onmogelijk zijn om vast te stellen wie vertrouwelijke informatie heeft geraadpleegd.
De AIVD adviseert daarom om toegangsrechten strikt te koppelen aan de werkzaamheden van medewerkers. Bij processen met een verhoogd risico op fraude kan daarnaast het vierogenprincipe helpen voorkomen dat één persoon zelfstandig schadelijke handelingen uitvoert.
Om interne dreigingen beter te beheersen, adviseert de AIVD organisaties een zogenoemd insider risk-programma in te richten. Daarbij worden interne veiligheidsrisico's niet uitsluitend als een technisch probleem behandeld, maar ook meegenomen in het personeelsbeleid en de dagelijkse bedrijfsvoering.
Bestuurders moeten volgens de dienst zorgen voor duidelijke verantwoordelijkheden en toezicht op het beleid. Ook moeten organisaties voorbereid zijn op incidenten, zodat toegangsrechten snel kunnen worden ingetrokken wanneer daar aanleiding voor is.
De AIVD benadrukt verder dat preventie niet alleen draait om controle. Een veilige meldcultuur en ondersteuning van medewerkers met persoonlijke problemen kunnen helpen voorkomen dat kwetsbare situaties uitgroeien tot veiligheidsincidenten.
Het rapport bevat geen nieuwe wettelijke verplichtingen, maar biedt organisaties wel concrete aanknopingspunten om hun bestaande risicobeheer te beoordelen. De AIVD heeft hiervoor ook een reeks beoordelingsvragen opgesteld, onder meer over het melden van verdachte situaties en het beheer van toegangsrechten.
