Dataresilience gaat een volgende fase in: van toepasbaarheid naar verklaarbaarheid
Van DORA (EU) en NIST (VS) tot PDPA (Singapore) en APP (Australië) - de regelgevingsdruk neemt wereldwijd toe. Toezichthouders, verzekeraars en klanten willen weten dat het bedrijf en de data waarmee ze werken, veilig zijn. Daar komt tegenwoordig steeds vaker een nieuwe dimensie bij: inzicht in welke beveiligingscontroles worden toegepast en hoe data zich bewegen.
De focus verschuift zodoende van toegepaste resilience naar verklaarbare resilience. Het gaat daarbij om de traceerbaarheid en audits die zijn ingebouwd in elke stap van het resilience-proces. Organisaties moeten resilience-strategieën zodanig uitstippelen dat de digitale voetafdrukken van hun databeheerprocessen gecontroleerd kunnen worden.
De weg naar verklaarbare resilience
Data-uitval en cyberaanvallen zijn onvermijdelijke bedrijfsrisico’s. Het Veeam Data Resilience Maturity Model (DRMM), dat is ontwikkeld in samenwerking met McKinsey en MIT, adviseert om de bedrijfsstrategie, medewerkers, processen en technologie te integreren om deze risico’s te verminderen, herstel te versnellen en veerkracht op lange termijn te versterken. Verklaarbare resilience kan organisaties helpen deze integratie te bereiken.
Uiteindelijk moet de integratie van deze elementen net zo gestandaardiseerd worden als het controleren van jaarrekeningen en moet het voldoen aan de meetvoorwaarden van belangrijke stakeholders, waaronder:
- Vertrouwen van investeerders: transparante en geteste herstelplannen verminderen operationele en financiële risico’s.
- Bescherming van de reputatie: snel en betrouwbaar herstel waarborgt de merksterkte.
- Verantwoordelijkheid van het management: verklaarbare verantwoording versterkt veerkracht.
- Lagere boetes en verzekeringskosten: duidelijke, controleerbare controles verminderen non-compliance en de premies voor (cyber)verzekeringen.
Organisaties hebben echter nog een lange weg te gaan voordat ze deze mate van verklaarbaarheid kunnen bereiken. Volgens het DRMM overschat 30% van de CIO’s hun dataresilience, en minder dan 10% zit boven het gemiddelde. 74% van de organisaties valt in de categorieën basis en gemiddeld. Dit wijst op aanzienlijke verbeterpunten. Bovendien had 13% van de respondenten in Veeam’s Enterprise Buyer’s Guide to Data Protection 2024 geen herstelplan of had dit nog nooit getest. 28% testte zijn herstelplannen slechts één keer per jaar. 27% testte zijn herstelplannen meer dan twee keer per jaar.
Het integreren van dataresilience met verklaarbaarheid
Dataresilience is als het ware de basis van de bedrijfsstructuur en verklaarbaarheid is het ingebouwde navigatiedashboard. Maar hoe bereiken organisaties deze realiteit? Deze vier stappen zijn de sleutel tot succes:
- Breng datastromen in kaart, label en traceer ze
De eerste stap is het in kaart brengen van welke data de organisatie heeft. Dit zou moeten leiden tot een uitgebreide inventarisatie van bedrijfskritische services en hun datastromen in fysieke, virtuele, cloud- en back-upomgevingen. Daarnaast moet er een gestandaardiseerd dataclassificatiebeleid worden bepaald, inclusief labeling op basis van de gevoeligheid van data, beheersmaatregelen en richtlijnen voor dataverwerking en herstelvolgorde.
- Ontwikkel een datacommandocentrum
Zodra een dataclassificatiebeleid is ontwikkeld, wordt een commandocentrum zoals Securiti AI aanbevolen. Door de beveiligingsstatus van data te integreren met een data-intelligenceplatform, kunnen teams de herkomst van data traceren en beleid valideren in alle omgevingen: van productie, SaaS, cloud en endpoints tot back-ups.
- Test regelmatig
Het regelmatig testen van dataresilience-strategieën versterkt de algehele weerbaarheid van organisaties. Dit houdt in dat er meerdere keren per jaar (geautomatiseerde) tests worden ingepland. Alleen dan worden het ontwikkelen van hersteldraaiboeken en het documenteren van resultaten voor een controleerbaar spoor standaardprotocollen.
- Toon bewijs
Maak besluitvorming makkelijk met één dashboard dat een volledig inzicht biedt in belangrijke statistieken, zoals de dekking van kritieke assets, de succespercentages van back-ups en onveranderlijkheid, de frequentie en het slagingspercentage van drilldowns, de herstelgereedheid en de compliance-status. Deze statistieken moeten vervolgens gekoppeld worden aan bewijsmateriaal.
Volgens het DRMM-framework scoren bedrijven die geïntegreerde, verklaarbare resilience hebben bereikt hoog op de volgende punten: 7x snellere hersteltijd, 3x minder downtime, 4x minder dataverlies en een gemiddeld omzetgroeipercentage dat ongeveer 10x hoger ligt.
Kijkend naar de toekomst
Het is essentieel dat teams elke kopie van kritieke data kunnen toelichten. Zijn er offline, air-gapped en onveranderlijke kopieën en kunnen we dat bewijzen? Wanneer was de laatste hersteltest voor elk van deze kopieën en hoe hebben we die uitgevoerd? Als we morgen toezichthouders moeten informeren, kunnen we dan duidelijk de dataflow, controles en een herstelplan laten zien? Als de antwoorden op deze vragen niet vanzelfsprekend zijn, dan is er een gebrek aan verklaarbaarheid. Dit is daarnaast een duidelijk signaal van toenemende risico’s, zowel operationeel en zakelijk als wat betreft reputatie en compliance.
Naast het implementeren van uitgebreide technologische oplossingen, moeten organisaties een mentaliteitsverandering ondergaan waarbij verklaarbaarheid, dataresilience en compliance als een basisfunctionaliteit worden geïntegreerd.
Door: Rick Vanover (foto), Vice President Product Strategy bij Veeam Software
