CIO: “Doorslaggevend was voor mij dat Passguard een onafhankelijke organisatie is”

Informatiebeveiliging krijgt steeds meer aandacht binnen zorgorganisaties. We spraken hierover met een grote zorgorganisatie in het zuiden van Nederland. Informatiebeveiliging is daar een belangrijk thema: ze brengen continu kwetsbaarheden in kaart en voeren verbeteringen door. Een van de tools die ze daarvoor gebruiken is Passguard. Waarom? We vroegen het de CIO.

Het waarom

Waarom wilde je de risico's op het dark web in kaart brengen? 

Veel bedrijven kijken alleen naar hun eigen systemen om hun beveiliging te toetsen, bijvoorbeeld met pentests. Dat is belangrijk, maar het geeft geen volledig beeld. Er gebeurt zoveel meer in de grote boze buitenwereld waar je geen zicht op hebt. Ik wilde deze kwetsbaarheden breder in kaart brengen.

"Er gebeurt zoveel meer in de grote boze buitenwereld waar je geen zicht op hebt."

En waarom koos je specifiek voor Passguard? 

Doorslaggevend was voor mij dat Passguard een onafhankelijke organisatie is: geen bestaande dienstverlener met belangen bij de uitkomsten van een scan. Dankzij de gratis Quick Scan van Passguard zag ik snel wat er speelde. Dat hielp me om het belang ervan tastbaar te maken voor de Raad van Bestuur. Zo konden we snel handelen om de risico's in kaart te brengen en te beperken.

‍

Bevindingen

Wat waren de bevindingen? 

Je weet dat er bij zo'n scan dingen boven water kunnen komen. Dat was bij ons ook zo. Zo werd duidelijk dat er veel 'interesse' was in onze organisatie. Ons inzicht: we kunnen informatie beter beschermen door ongeautoriseerde toegang tot interne systemen via accounts van medewerkers te voorkomen. Je hebt wel een idee dat het kan gebeuren en je hoort de verhalen. Maar na zo'n scan zie je de harde feiten. Het gaf iedereen een heel helder beeld van waar we staan.

"Ons inzicht: we kunnen informatie beter beschermen door ongeautoriseerde toegang tot interne systemen via accounts van medewerkers te voorkomen."

Was er een bevinding die eruit sprong? 

Vanaf één privéapparaat dat met infostealer-malware was geïnfecteerd, zagen we serieuze toegang. Verder werd duidelijk dat de meeste risico's ontstaan op het snijvlak van werk en privé. Dat brengt risico's met zich mee waar we voor willen zijn.

Infecties aanpakken

Wat hebben jullie met de bevindingen gedaan? 

We hebben direct actie ondernomen op de grote risico's. Daarna zijn we ze verder blijven aanpakken. Niet door de bevindingen te gebruiken als stok om mee te slaan, maar om informatiebeveiliging meer prioriteit en aandacht te geven. Dat betekent beheerst actie ondernemen om de risico's netjes op te lossen zonder andere problemen te veroorzaken.

We gebruiken de uitkomsten van het Passguard-onderzoek ook om het bewustzijn binnen de organisatie te vergroten. Dat geldt niet alleen voor ons managementteam en de Raad van Bestuur, maar ook voor awarenesscampagnes voor medewerkers.

"We gebruiken de uitkomsten van het Passguard-onderzoek ook om het bewustzijn binnen de organisatie te vergroten."

Was er een specifieke functie van Passguard die opviel? 

Het sorteren op accountniveau is fantastisch, omdat je dan direct een dwarsdoorsnede hebt. Dat werkt heel goed voor bewustwording.

Tot slot

En nu? 

Nu gaan we door. Dit was voor ons geen eenmalige stap. Daarom blijft Passguard meten en monitoren wat er gebeurt, zodat we deze risico's goed blijven volgen.

Zou je Passguard aanraden? 

Zeker, om drie redenen:

1. Vanwege de onafhankelijkheid, zoals ik al zei.

2. De snelheid waarmee de informatie wordt gepresenteerd.

3. De prettige samenwerking en de manier waarop dingen worden uitgelegd. Samen met collega's om tafel gaan viel bij ons goed. Niet met een opgeheven vingertje, maar om inzichten te delen en samen te brainstormen. Dat maakt het onderwerp toegankelijk.