Een integraal databeleid ter voorkoming van datalekken

De invoer van de meldplicht datalekken op 1 januari 2016 heeft een groot aantal artikelen geïnspireerd die waarschuwen voor hoge boetes, imago-risico’s en IT-leveranciers die data lekken. Veel artikelen richten zich hoofdzakelijk op technische oplossingen om datalekken te voorkomen, maar vergeten dat de manier waarop eindgebruikers met data omgaan evengoed veel risico’s met zich meebrengt. Een oplossing voor dit laatste is het opstellen en naleven van een integraal databeleid en om medewerkers te leren hoe verantwoordelijk met data om te gaan. Dit kan aan de hand van het Landscape Data Governance model.

Mitigeren

Een veelgebruikte methode om het risico op datalekken te mitigeren is het sluiten van ramen en deuren: het IT-departement zorgt ervoor dat interne gebruikers veel minder toegang tot data hebben en beschermt daarmee gebruikers tegen zichzelf. Veel IT’ers kiezen liever niet voor het opleiden van de eindgebruiker, omdat dat meer energie kost en het onzeker is of de gebruiker voldoende in staat is tot correcte omgang met data.

Breekijzer

Het zoveel mogelijk afgrendelen van data is een natuurlijk en begrijpelijk instinct, zeker als de IT-afdeling op enige afstand staat van de werkvloer. Dit proeven wij ook bij onze klanten. Het limiteren van datatoegang is echter onnodig restrictief en leert de gebruiker bovendien niet om verantwoordelijk met data om te gaan. Hiermee neemt het risico op datalekken mogelijk zelfs toe. Het is beter om een integraal databeleid op te stellen, waarin gebruikers precies de juiste hoeveelheid vrijheid krijgen en worden opgeleid. Dit verkleint de risico’s op datalekken. De meldplicht heeft datatoegang stevig op de agenda gezet in veel Raden van Bestuur en in menig directiekamer. Daarom is nu het moment om zo’n integraal databeleid op te stellen.

Integraal databeleid - Data Governance

Een integraal databeleid, in het Engels data governance, wordt gezamenlijk opgesteld door IT’ers, eindgebruikers, bestuurders en eventueel leveranciers. Als leidraad hiervoor kan het Landscape Data Governance model gebruikt worden, wat onder andere ingaat op de volgende aspecten:

  • Data assets
  • Data quality
  • Metadata
  • Data access
  • Data lifecycle
  • Responsibilities

Assets

Een goed overzicht van de beschikbare databronnen en de informatie die deze bronnen bevatten is noodzakelijk om ze te kunnen prioriteren: hoe belangrijk is de vertrouwelijkheid, integriteit en beschikbaarheid van de data (confidentiality, integrity en availability, de welbekende CIA triad). Met zo’n prioritering wordt duidelijk waar in de organisatie persoonsgegevens gebruikt worden, wat de basis vormt voor het voorkomen van lekken.

Quality

De mogelijkheden tot gebruik van de verschillende databronnen hangt grotendeels af van de datakwaliteit. Als de data van lage kwaliteit is, gaan gebruikers naar vervangende data op zoek, mogelijk buiten het bestaande toezicht om. Hiermee neemt het risico op datalekken toe. Data van afdoende kwaliteit bereik je onder andere door te definiëren hoe hoog de kwaliteit moet zijn (let wel: een hoge kwaliteit kost geld), hoe dat niveau bereikt wordt en hoe datakwaliteit gemeten moet worden.

Metadata

Metadata gaat onder andere over de betekenis van data. Als metadata goed is opgeslagen, bijvoorbeeld in een data dictionary, wordt de bruikbaarheid van data sterk vergroot en wordt daarmee de kans dat gebruikers buiten bestaande kaders data gaan zoeken verkleind.

Access

Een goed databeleid is niet compleet zonder een uitgebreid toegangsbeleid. Ook hier is prioritering belangrijk: alles beveiligen volgens de hoogste standaarden is bijna nooit wenselijk omdat dit erg duur en vaak onnodig restrictief is. Daarom is het van belang om voor elke dataset te bepalen hoeveel geld er ter beschikking is om een bepaald beveiligingsniveau te behalen.

Lifecycle

Het onder controle hebben van de gehele levenscyclus van data, van het aanmaken tot onderhoud tot het verwijderen of archiveren, is belangrijk om eventuele wettelijke bewaar- en verwijdertermijnen na te leven. Het zorgt er ook voor dat databases niet exploderen en onoverzichtelijk worden of dat analyses worden gebaseerd op verouderde gegevens.

Responsibilities

Het stellen van verantwoordelijkheden en het creëren van verantwoordelijkheidsgevoel dient onderdeel te zijn van elk databeleid. Dit kan onder andere door het in kaart brengen van het datalandschap: hoe is data van waarde voor het bedrijf? Vervolgens wordt elk individu geleerd wat diens rol is in het creëren van die waarde met behulp van data.

Meten is weten

De eerste stap in het opstellen van het integraal databeleid is meten hoe het er nu voor staat. Landscape heeft een Data Governance Scan ontwikkeld om hier snel en effectief inzicht in te krijgen. De meting wordt in een grafiek weergeven, waardoor eenvoudig hoge en lage scores kunnen worden gesignaleerd:

Data governance maturity

De autoriteit persoonsgegevens zei: “Iedereen heeft recht op […] een zorgvuldige omgang van zijn persoonsgegevens.” Het is van groot belang om ‘een zorgvuldige omgang met data’ niet te verbasteren tot ‘de toegang tot data beperken’, maar te interpreteren als ‘het opstellen en naleven van een integraal databeleid en medewerkers te leren om verantwoordelijk met data om te gaan’. Dit is zowel een sociale als technische uitdaging, waarmee de taak rust op de schouders van de gehele organisatie.