Ciso beslist zelden over securityaankoop

Chief information security officers (ciso’s) zijn verantwoordelijk, maar zitten niet aan het stuur. Bij 82 procent van de organisaties neemt de ciso of information security manager niet het definitieve besluit over de aanschaf van een securitydienst.Dat blijkt uit onderzoek van cyberbeveiliger Northwave dat onder meer het mandaat van security-verantwoordelijken onderzocht bij 130 Nederlandse organisaties met tussen de honderd en duizend medewerkers. Uit het rapport met de titel ‘Wie heeft hier de regie?’ blijkt dat de verantwoordelijkheid en beslissingsmacht binnen de onderzochte bedrijven lang niet altijd op dezelfde plek liggen.Tegelijkertijd schat 68,5 procent van de respondenten het eigen securityniveau hoger in dan dat van vergelijkbare organisaties in de sector. Die tegenstelling is opvallend. De ciso is er wel, maar heeft kennelijk niet altijd het mandaat. Security staat bij veel organisaties op de agenda, maar de daadwerkelijke besluitvorming ligt vaak bij it-management of de directie. Daarmee dreigt security tussen it en bestuur in te komen te zitten.Security is nog te afhankelijk van incidenten en auditsVeel organisaties hebben veel vertrouwen in hun eigen beveiliging, maar dat beeld is niet helemaal in lijn met hoe security daadwerkelijk wordt bestuurd. Uit het onderzoek blijkt dat de technische basis vaak goed staat, terwijl juist de organisatorische…