Samenvatting voor het management

Ons Sensitive Content Communications Privacy and Compliance Report biedt IT-, cybersecurity- en risico- en complianceleiders datagedreven inzichten van hun vakgenoten. Het doel is om u te helpen ervoor te zorgen dat de gevoelige inhoud die u verzendt en deelt via diverse communicatiekanalen, zoals e-mail, bestandsoverdracht, beheerde bestandsoverdracht, beveiligd bestandsoverdrachtprotocol (SFTP) en webformulieren, beschermd is. Tegelijkertijd helpt dit om te waarborgen dat uw gevoelige datadeling en verzending voldoen aan diverse wetgeving op het gebied van gegevensprivacy en dat uw communicatiesystemen voldoen aan strenge beveiligingsnormen en validaties.

De enquête van dit jaar is uitgevoerd door Centiment in de periode februari–maart 2024 en bestond uit 33 vragen over diverse onderwerpen met betrekking tot gegevensbeveiliging, privacy en compliance. Sommige vragen zijn “blasts from the past”—herhalingen van eerdere enquêtes uit een of beide voorgaande jaren—terwijl andere zijn toegevoegd om nieuwe trends in kaart te brengen. In totaal zijn er 572 onderzoeksresultaten ontvangen van IT-, cybersecurity- en risico- en complianceleiders uit Noord-Amerika, Europa, Midden-Oosten en Afrika (EMEA) en de regio Azië-Pacific.

Enkele van de vragen die we stelden om trends te identificeren en inzichten te faciliteren, waren onder andere:

• Hoe het aantal communicatietools risicobeheer beïnvloedt
• De aanhoudende impact van datalekken op proceskosten
• Welke gegevenstypen het grootste risico vormen en waarom
• Hoe naleving van regelgeving en beveiligingsnormen zorgen voor betere gegevensbescherming door het creëren van basisbeveiligingsnormen en meer uitgebreide regelgeving voor gegevensprivacy
• Hoe geavanceerde beveiligingsmogelijkheden in communicatietools leiden tot minder risico
• Waarom en hoe verouderde en ontoereikende benaderingen van gevoelige communicatie-onderwerpen zorgen voor inefficiënties en grotere privacy- en compliance risico’s veroorzaken

Introductie

Welkom bij het derde jaarlijkse Kiteworks Sensitive Content Communications Report! Hier voeren we een diepgaande enquête uit naar hoe goed organisaties erin slagen de privacy en beveiliging van hun gevoelige content te beschermen en te voldoen aan wet bescherming persoonsgegevens 2018 en beveiligingsstandaarden.

We gebruiken de term “gevoelige content” voor diverse soorten content die doelwit zijn van kwaadwillenden—en een aanzienlijk risico vormen voor een legitieme organisatie als deze kwaadwillenden ermee aan de haal gaan. Dit is wat wordt gecompromitteerd wanneer de al te frequente nieuwsberichten het woord “datalek” bevatten. Gevoelige content omvat de gegevens van klanten en medewerkers—persoonlijk identificeerbare informatie (PII), beschermde gezondheidsinformatie (PHI) en payment card industry (PCI) data. Het omvat ook het intellectueel eigendom (IP) van een organisatie, juridische communicatie en documenten, financiële gegevens, fusie- en overnamedata en andere soorten privé en vertrouwelijke informatie.

Beveiligingsrisico’s

Vanuit beveiligingsperspectief is het probleem met gevoelige content dat het zich niet op één plek bevindt. Tijdens dagelijkse werkzaamheden wordt het gedeeld tussen medewerkers, maar ook tussen medewerkers en partners, leveranciers, aannemers, juridisch adviseurs, accountants, auditors en meer. Om als organisatie vooruit te komen, moet deze informatie soepel kunnen bewegen tussen de organisatie en duizenden derde partijen. En zoals we zullen zien, gebeurt dit via meerdere communicatiekanalen.

Als gevolg hiervan moeten organisaties hun content beschermen—niet alleen waar deze is opgeslagen, maar ook wanneer deze via diverse communicatiekanalen naar derden reist. Helaas hebben cybercriminelen de afgelopen jaren kwetsbaarheden ontdekt in de software toeleveringsketen die hen toegang geven tot honderden of zelfs duizenden organisaties en miljoenen gevoelige databestanden. Het Data Breach Investigations Report (DBIR) van Verizon van dit jaar bevestigt deze trend, met een jaar-op-jaar stijging van 180% in het uitbuiten van softwarekwetsbaarheden en de constatering dat datalekken via de software supply chain met 68% zijn gestegen—en nu 15% van alle datalekken uitmaken.¹ De Clop ransomware-aanvallen van vorig jaar op Progress Software’s MOVEit² en Forta’s GoAnywhere³ managed file transfer (MFT) oplossingen illustreren het risico.

AI-cyberrisico’s

Naast het beschermen van communicatiekanalen voor content hebben ondernemingen en overheidsinstanties er een steeds urgenter wordende prioriteit bij gekregen in de afgelopen 18 maanden. Nu kunstmatige intelligentie (AI) zowel technisch als in gebruik enorm toeneemt, is het van cruciaal belang dat zij hun gevoelige content uit grote publieke taalmodellen (LLM’s) houden die nu mogelijk routinematig door hun medewerkers en partners worden gebruikt.

Volgens Gartner behoren de drie grootste risicogerelateerde zorgen rondom het gebruik van GenAI LLM’s tot toegang tot gevoelige data door derden (bijna de helft van de cybersecurityleiders), GenAI-applicatie- en datalekken (40% van de respondenten) en foutieve besluitvorming (meer dan een derde).⁴ De risico’s van medewerkers die gevoelige data in GenAI-tools plaatsen zijn reëel. Bijna een derde van de medewerkers in een enquête eind vorig jaar gaf toe gevoelige data in publieke GenAI-tools te hebben geplaatst. Niet verrassend noemde 39% van de respondenten in dezelfde studie het mogelijke lekken van gevoelige data als het grootste risico bij het gebruik van publieke GenAI-tools door hun organisatie.⁵

Tegelijkertijd hebben lagere toetredingsdrempels die AI bij het grote publiek hebben gebracht, ook minder complexe cybercriminelen in staat gesteld om steeds complexere aanvallen te lanceren.⁶ Dit versterkt het gevoel dat statelijke dreigingsactoren en cybercriminelen verwikkeld zijn in een escalerende “wapenwedloop” met legitieme organisaties—met mogelijk existentiële gevolgen.

Compliance-risico’s

Tenzij uw bedrijf slechts in één rechtsbevoegdheid actief is, is het lastige aan naleving van regelgeving rondom wet bescherming persoonsgegevens 2018 de lappendeken aan vereisten per locatie—wat de complexiteit en kosten van naleving én het documenteren daarvan vergroot. De toename van nieuwe regelgeving en evolutie van bestaande regels heeft ertoe geleid dat 93% van de organisaties het afgelopen jaar hun cyberbeveiligingsstrategie heeft heroverwogen.⁷ De General Data Protection Regulation van de Europese Unie (GDPR), ingevoerd in 2018, bracht de 27 lidstaten onder één standaard voor wet bescherming persoonsgegevens 2018.

Voor de rest van de wereld is het niet zo eenvoudig. Volgens gegevens van de Verenigde Naties hebben 137 van de 194 landen nu wet bescherming persoonsgegevens 2018—maar deze verschillen uiteraard sterk.⁸ In de Verenigde Staten is de strengste federale wetgeving de Health Insurance Portability and Accountability Act (HIPAA)—die PHI dekt, maar geen PII. Omdat het Congres er niet in slaagt een nationale standaard vast te stellen, zijn individuele staten in het gat gesprongen—beginnend met de invoering van de California Consumer Privacy Act (CCPA) in 2018. Sindsdien hebben nog eens 17 staten uitgebreide wet bescherming persoonsgegevens 2018 aangenomen—en is wetgeving in 10 andere staten in behandeling.⁹ Hoewel het goed is dat meer Amerikaanse burgers en inwoners worden beschermd door dergelijke wetten, vergroot het de lappendeken voor wie moet voldoen.

De verschillende instanties die deze wet bescherming persoonsgegevens 2018 beheren, blijven druk uitoefenen op organisaties om te voldoen. Boetes en sancties voor niet-naleving van de GDPR bedroegen in 2023 $2,269 miljard (€2,1 miljard)—meer dan de boetes en sancties in 2019, 2020 en 2021 samen.¹⁰ Ook het bedrag per boete en sanctie stijgt snel; $4,75 miljoen (€4,4 miljoen) per overtreding vorig jaar tegenover $540.000 (€500.000) per overtreding in 2019. Boetes en sancties voor HIPAA zijn minstens zo ontmoedigend en bedroegen vorig jaar $4,176 miljard.¹¹

Naast wet bescherming persoonsgegevens 2018 zijn cybersecurity-standaarden en regels een belangrijk aandachtsgebied voor overheden en toezichthouders. Enkele belangrijke nieuwe cybersecurity-regelgevingen van het afgelopen jaar zijn onder andere de SEC’s Risicobeheer cyberbeveiliging en meldingsregels voor incidenten voor beursgenoteerde bedrijven, Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA), de Cyber Resilience Act (CRA) en de Wet Digitale Operationele Weerbaarheid (DORA) in Europa, en het National Institute of Standards & Technology (NIST) Cybersecurity Framework (CSF) 2.0, en meer.

Menselijke risico’s

Het menselijke risicofactor in gegevensbeveiliging en compliance blijft een serieus probleem en is de oorzaak van veel datalekken met gevoelige data. De DBIR vond dat eindgebruikers verantwoordelijk zijn voor 68% van de fouten die tot datalekken leiden.¹² Dit gebeurt op diverse manieren, waaronder medewerkers en derden die gevoelige informatie naar de verkeerde ontvangers sturen, data niet goed beveiligen of slachtoffer worden van social engineering-aanvallen zoals business email compromise en phishing. Gebrek aan zichtbaarheid en governance rondom communicatie van gevoelige content is een belangrijke factor, naast gebrekkige beveiligingsinfrastructuur en -maatregelen.

Methodologie van dit onderzoek

Het Kiteworks Sensitive Content Communications Report van dit jaar is gebaseerd op een uitgebreide enquête onder 572 professionals die werkzaam zijn in IT, cyberbeveiliging en risicobeheer en compliance bij organisaties met meer dan 1.000 medewerkers. Onze analyse rapporteert de feedback van respondenten voor de gehele groep, vergelijkt deze met onze onderzoeksresultaten uit 2023 en 2022, en voert een kruis-analyse uit op basis van diverse demografische details.

Diverse groep respondenten

Respondenten komen uit acht landen wereldwijd, met vertegenwoordiging uit Noord-Amerika (34%), Azië-Pacific (18%) en Europa-Midden-Oosten-Afrika (48%) (figuren 1 en 2). Ze vertegenwoordigen een breed scala aan bedrijven op ondernemingsniveau, waarvan 54% tussen de 1.000 en 10.000 medewerkers heeft en 46% meer dan dat (figuur 3).

De groep komt uit diverse sectoren, met de hoogste vertegenwoordiging uit beveiliging en defensie (15%), producenten (12%), zorgprocessen (12%) en de financiële sector (12%) (figuur 4). Meer dan twee op de tien deelnemers (22%) werkt in de overheid of het onderwijs, terwijl een kwart werkzaam is in financiële, juridische en professionele sectoren en 10% in de energiesector.

Qua functie omvat de enquêtegroep professionals op verschillende niveaus binnen hun organisaties, met 31% in leidinggevende posities en 69% in middenmanagement (figuur 5). Ze zijn verdeeld over risicobeheer en compliance (26%), IT (42%) en beveiliging (31%).

Gegevenstypen en Classificatie

Inzicht: Niet in staat om al hun gegevensuitwisselingen te volgen en te controleren

Een al exponentiële groei van data is de afgelopen 18 maanden verder versneld door de adoptie van generatie AI (GenAI) large language models (LLM’s). Wanneer content een applicatie zoals e-mail, bestandsoverdracht, SFTP, beheerde bestandsoverdracht of webformulieren verlaat, is het belangrijk dat organisaties het kunnen volgen en de toegang tot die content kunnen controleren.

Organisaties moeten hun gegevenstypen begrijpen, weten waar deze zich bevinden en waar ze naartoe worden verzonden en gedeeld. Om te bepalen welke ongestructureerde data moet worden gecontroleerd, is het noodzakelijk dat er een classificatiesysteem aanwezig is. Op de vraag hoeveel van hun ongestructureerde data is getagd of geclassificeerd, beweert minder dan de helft van de respondenten (48%) dat dit het geval is voor 75% of meer van hun data (Figuur 14). Onder de sectoren heeft 65% dit niveau bereikt in de zorgprocessen, 56% in de financiële sector en 55% in de juridische sector (Figuur 15).

Toch gaven organisaties aan dat niet alle ongestructureerde data hoeft te worden getagd en geclassificeerd. 40% van de organisaties gaf aan dat 60% of meer van de ongestructureerde data moet worden getagd en geclassificeerd. En hoe groter een organisatie, hoe meer ongestructureerde data moet worden getagd en geclassificeerd. Zo gaven organisaties met meer dan 30.001 medewerkers het volgende aan: 15% gaf aan dat alle data moet worden getagd en geclassificeerd, en nog eens 20% zei dat meer dan 80% moet worden getagd en geclassificeerd (Figuur 16). Regionaal gaven meer Noord-Amerikaanse respondenten aan dat het getagd en geclassificeerd moet worden; 10% zei dat alle ongestructureerde data moet worden getagd en geclassificeerd en nog eens 16% merkte op dat 80% of meer moet worden getagd en geclassificeerd (Figuur 17). Respondenten van de federale overheid gaven het vaakst aan dat alle data moet worden getagd en geclassificeerd (24%), met nog eens 17% die zei dat 80% of meer moet worden getagd en geclassificeerd (Figuur 18).

Risico’s van Gegevenstypen Beoordelen

Zoals hierboven beschreven, bestaat gevoelige content in diverse vormen binnen organisaties. Elk type brengt niet hetzelfde niveau van datalekrisico met zich mee. Volgens het jaarlijkse onderzoek van IBM naar de kosten van een datalek is PII het duurste en meest voorkomende type record dat wordt gecompromitteerd. PII was ook het meest getroffen recordtype in 2023, goed voor 52% van alle datalekken, een positie die het ook de voorgaande twee jaar innam.¹⁵ De bevindingen van IBM komen overeen met die uit het laatste DBIR, waar 50% van alle datalekken terug te voeren was op PII.

Wanneer dit wordt vergeleken met de rangschikkingen van onze respondenten, zijn er verschillen. Op basis van de onderzoeksgegevens van IBM en Verizon zou men verwachten dat respondenten PII als hun grootste zorg qua contenttype zouden noemen. Maar dat was niet het geval. In plaats daarvan noemden zij financiële documenten (55%), intellectueel eigendom (44%) en juridische communicatie (44%) als hun top drie zorgen (Figuur 19).

Enige bevestiging van de IBM- en Verizon-data werd gevonden in onze kruis-analyse van PHI, waarbij degenen die dit als een van hun drie belangrijkste zorgen noemden, een hoger percentage kwaadaardige datalekken ervoeren dan degenen die andere gegevenstypen hoger inschatten. Zo gaf 43% van degenen die PHI in hun top drie van zorgen plaatsten aan dat zij meer dan zeven datalekken hadden meegemaakt (tegenover 32% van alle respondenten die zeven of meer lekken rapporteerden) (Figuur 20). Het tweede gegevenstype met het hoogste percentage datalekken was IP (35% gaf aan zeven of meer datalekken te hebben ervaren).

Opvallend is dat de helft van alle Noord-Amerikaanse respondenten GenAI LLM’s als een van hun top drie zorgen noemde, direct na financiële documenten (Figuur 21). Per sector zijn LLM’s vooral een grote zorg in olie en gas (62%), farmaceutische industrie (61%), federale overheid (61%) en deelstaatregeringen (58%) en advocatenkantoren (58%).

Er is aanzienlijke variatie tussen gegevenstypen en sectoren wat betreft welk type als het hoogste risico wordt beschouwd:

• GenAI LLM’s werden het vaakst geselecteerd door energie- en nutsbedrijven en bedrijven in de beveiligings- en defensiesector met 50%.
• PII werd het vaakst genoemd door organisaties in het hoger onderwijs met 50%.
• PHI werd het vaakst genoemd door de zorgprocessen met 58%.
• CUI en FCI werden het vaakst genoemd door producenten met 79%.
• Juridische communicatie werd het vaakst genoemd door olie- en gasbedrijven (62%) en federale overheidsinstanties (61%).
• Details over fusies en overnames werden het vaakst geïdentificeerd door farmaceutische en life sciences bedrijven (40%).

Cybersecurity en Risicobeheer

Inzicht: Het beschermen van gevoelige contentcommunicatie blijft een grote uitdaging

Voor het beveiligingsteam staat gevoelige content centraal in wat zij moeten beschermen binnen hun bedrijfs-IT-systemen. En de respondenten van onze enquête in 2024 zijn veel minder geneigd te beweren dat er geen verbetering nodig is in hun beheer van contentbeveiliging dan hun tegenhangers in 2023 (Figuur 40). Slechts 11% deed deze bewering dit jaar, maar het percentage dat aangaf dat aanzienlijke verbetering nodig is, daalde ook. Dit laat meer dan de helft (56%) over die zegt dat enige verbetering nodig is. We kunnen wellicht concluderen dat organisaties enige vooruitgang boeken—terwijl ze realistischer zijn over de noodzaak tot verdere verbetering.

Maar deze percentages waren niet uniform verdeeld over de diverse groepen. 30% of meer van de respondenten in Saoedi-Arabië, de Verenigde Arabische Emiraten, Noord-Amerika en Azië-Pacific gaven aan dat aanzienlijke verbeteringen nodig zijn (Figuur 41). Hetzelfde geldt voor professionele dienstverlening (47%), de financiële sector (43%), olie en gas (42%), federale overheid (41%), producenten (36%) en zorgprocessen (34%) (Figuur 42 en 43).

Vooruitgang richting Zero Trust

Zero trust binnen organisaties weerspiegelt een aanzienlijke adoptie en integratie over diverse beveiligingslagen. Zero-trustprincipes op het netwerklaag worden afgedwongen via microsegmentatie en strikte toegangscontroles om de laterale beweging van dreigingen te minimaliseren. Endpointbeveiliging onder zero trust omvat de inzet van advanced threat protection en detectie en reactie van eindpuntbedreigingen (EDR) om ervoor te zorgen dat alle apparaten die toegang hebben tot het netwerk continu worden geauthenticeerd en gemonitord. Voor identity & access management zijn multi-factor authentication (MFA) en privileged access management (PAM) essentiële componenten, zodat gebruikersrechten strikt worden beheerd en continu worden geverifieerd. Op het contentniveau implementeren organisaties dataencryptie en realtime monitoring om gevoelige informatie te beveiligen. Ondanks dat organisaties prioriteit geven aan zero trust, meldt bijna de helft (48%) moeilijkheden bij het integreren van zero trust over zowel on-premises als cloudomgevingen.¹⁹

Onze focus voor dit rapport ligt uiteraard op de contentbeveiligingslaag (Figuur 44). Onze eerste observatie is het betreurenswaardige feit dat 45% van de bedrijven nog geen zero trust heeft bereikt met contentbeveiliging. Ten tweede zijn er enkele demografische gebieden waar de prestaties nog slechter zijn. Slechts 35% van de Britse respondenten behaalde deze norm en 39% in zowel het Midden-Oosten als Azië-Pacific (Figuur 45). Per sector blijven de deelstaatregering (21%), olie en gas (33%) en farmaceutische en life sciences (39%) achter op zero trust-bescherming voor content (Figuur 46).

Beveiliging verbeteren om gevoelige content te beschermen

Voor organisaties die toegaven geen geavanceerde beveiligingsmogelijkheden te gebruiken voor gevoelige contentcommunicatie, gaf een veel hoger percentage (36%) aan niet te weten hoeveel datalekken hun organisatie hebben getroffen—vergeleken met degenen die aangaven geavanceerde beveiliging te gebruiken voor sommige of alle contentcommunicatie (beide 8%) (Figuur 47). Dit onthult een ernstig beveiligingsgat. Over de sectoren heen tonen de bevindingen de grootste uitdagingen in juridisch (55% gebruikt ze voor sommige of geen), lokale overheid (50%), federale overheid (48%) en zorgprocessen (44%). Dit steekt af tegen de 41% van de wereldwijde groep die dit doet. De sterkste presteerders zijn professionele dienstverlening (71% gebruikt ze voor alles), deelstaatregering (71%) en hoger onderwijs (65%) (Figuur 48).

Gevoelige contenttoegang volgen, classificeren en beheren

Wanneer content een applicatie zoals e-mail, bestandsoverdracht, SFTP, beheerde bestandsoverdracht of webformulieren verlaat, is het belangrijk dat organisaties toegang tot die content kunnen volgen en beheren. Slechts 16% van de respondenten kan dit altijd doen, terwijl 45% aangeeft dit ongeveer driekwart van de tijd te kunnen (Figuur 49). Dit percentage is beter voor bepaalde segmenten—70% voor Noord-Amerika, 79% voor producenten en 73% in zorgprocessen (Figuur 50 en 51). Daarentegen scoorden hoger onderwijs (31%) en olie en gas (34%) slechter.

Om te bepalen welke ongestructureerde gegevens beheerd moeten worden, is het noodzakelijk dat er een classificatiesysteem aanwezig is. Op de vraag hoeveel van hun ongestructureerde gegevens zijn getagd of geclassificeerd, beweert minder dan de helft van de respondenten (48%) dat dit geldt voor 75% of meer van hun gegevens (Figuur 14). In Noord-Amerika is dit iets beter, waar 56% dit heeft bereikt (Figuur 52). Onder de sectoren heeft 65% dit niveau bereikt in zorgprocessen, 56% in de financiële sector en 55% in juridisch (Figuur 53).

Beveiligingstools gebruiken voor gevoelige content

Alle ondernemingen beschikken over meerdere beveiligingstools die zij inzetten over hun netwerken, endpoints en cloudapplicaties. Of deze ook worden gebruikt om interne en externe gevoelige contentcommunicatie te beschermen, is een andere vraag.

Op de vraag of zij mogelijkheden zoals multi-factor authentication, encryptie en governance-tracking en -controles gebruiken voor dergelijke communicatie, zijn de resultaten gemengd (Figuur 54). Bijna zes op de tien (59%) zegt dat deze beveiligingen altijd aanwezig zijn voor externe gevoelige contentcommunicatie. Vrijwel alle anderen zeggen dat ze er soms zijn. Noord-Amerikaanse respondenten hebben de hoogste beveiligingsstatus, met 67% die aangeeft dit altijd te doen tegenover 57% voor Azië-Pacific en 53% voor EMEA-respondenten.

De volwassenheid van het meten en beheren van de beveiliging van gevoelige contentcommunicatie blijft een belangrijk aandachtsgebied voor organisaties: slechts 11% gaf aan dat geen verbetering nodig is, vergeleken met 26% in de enquête van vorig jaar (Figuur 55). Een hoger percentage organisaties gaf dit jaar aan dat enige verbetering nodig is (56% tegenover 37% in de enquête van vorig jaar).

Hoewel de cijfers voor de gehele groep hetzelfde waren, waren er interessante verschillen wanneer de vraag werd geanalyseerd per groep. Voor interne communicatie gaf 71% van zowel deelstaatregering als professionele dienstverlening aan deze tools altijd te gebruiken (Figuur 56). Twee derde (67%) van de Noord-Amerikaanse respondenten gaf hetzelfde aan, terwijl slechts 53% dit deed in EMEA (maar 63% in het VK) (Figuur 57). Opvallend genoeg presteerden advocatenkantoren (45%) het slechtst bij interne communicatie. Voor externe communicatie waren farmaceutische en life sciences (78%) en hoger onderwijs (72%) sterke presteerders, evenals Noord-Amerikaanse organisaties (69%) (Figuur 56).

Conclusie

De bevindingen uit het Sensitive Content Communications Privacy and Compliance Report van dit jaar benadrukken de kritieke noodzaak voor organisaties om proactieve maatregelen te nemen ter bescherming van hun gevoelige content. Een belangrijk inzicht is het consolideren van communicatietools op één platform. Door het aantal verschillende tools voor contentcommunicatie te verminderen, kunnen organisaties het risico op datalekken aanzienlijk verlagen en de operationele efficiëntie verbeteren. Organisaties met minder communicatietools ervaren namelijk minder datalekken, wat wijst op een verband tussen toolconsolidatie en verbeterde beveiliging.

Het rapport benadrukt ook de aanzienlijke risico’s die gepaard gaan met niet-gelabelde en niet-geclassificeerde data. Organisaties die geen robuuste systemen voor datatagging en classificatie implementeren, lopen een groter risico op datalekken doordat ze onvoldoende zicht en controle hebben over hun gevoelige content. De exponentiële groei van data, verder versneld door de adoptie van GenAI, maakt het voor organisaties noodzakelijk om dataclassificatie te prioriteren om deze risico’s effectief te beperken.

Het toepassen van zero-trust principes en geavanceerde beveiligingsmogelijkheden is essentieel voor het versterken van de beveiliging van gevoelige contentcommunicatie. De onderzoeksresultaten tonen aanzienlijke beveiligingsgaten aan en de noodzaak voor strikte contentgedefinieerde zero trust, inclusief op attributen gebaseerde toegangscontrole, uitgebreide encryptie, realtime monitoring en preventie van gegevensverlies. Zoals onze bevindingen laten zien, bestaan er in bepaalde sectoren, regio’s en landen grotere beveiligingsgaten dan in andere.

De data benadrukt ook aanzienlijke risico’s bij het uitwisselen van gevoelige content met derden: hoe meer derden waarmee respondenten gevoelige content versturen en delen, hoe meer datalekken en hogere proceskosten zij ervaren. Daarom moeten organisaties zorgen voor uitgebreide governance-tracking en -controles en geavanceerde beveiligingsmogelijkheden om risico’s van derden te beperken.

Tot slot is een laatste opmerking over de kosten van datalekken, met name die in verband met juridische procedures, op zijn plaats. Uit de enquête van dit jaar blijkt dat veel organisaties aanzienlijke juridische kosten maken die vaak niet worden meegenomen in traditionele schattingen van de kosten van datalekken. Een beschadigde merknaam, omzetverlies en verstoorde bedrijfsvoering zijn slechts één aspect van de gevolgen van datalekken. Boetes en sancties wegens niet-naleving en langdurige proceskosten hebben vaak een langdurig effect dat over langere perioden voelbaar is. Dit onderstreept het belang van het zorgvuldig selecteren van communicatietools voor gevoelige content die voldoen aan beveiligingsstandaarden zoals FedRAMP, ISO 27001, SOC 2 Type II, NIST CSF 2.0 en andere.