PwC: Advocaten laks met vertrouwelijke gegevens

Advocatenkantoren gaan laks om met gevoelige en vertrouwelijk gegevens. Uit onderzoek van PwC en Iron Mountain blijkt dat 42% van de Europese advocaten geen notie heeft of er de afgelopen drie jaar sprake is geweest van een datalek. Ook controleren partners onvoldoende of advocaten de benodigde informatie-veiligheidsmaatregelen toepassen, met als gevolg dat advocatenkantoren en indirect hun klanten zich blootstellen aan grote risico’s.

PwC heeft in opdracht van Iron Mountain de Information Risk Maturity Index opgesteld, een benchmark voor kantoren om te inventariseren hoe zij met hun informatierisico´s omgaan. Meer dan 600 leidinggevenden van toonaangevende Europese bedrijven hebben deelgenomen aan het onderzoek.

Risico's
Ruim de helft van de respondenten (56%) gaf aan de effectiviteit van het informatierisicobeleid niet te meten. Een vergelijkbaar aantal (59%) heeft de verantwoordelijkheid voor informatierisico´s neergelegd bij een medewerker of afdeling, maar controleert het resultaat niet. Ruim de helft van de ondervraagde leidinggevenden (54%) houdt niet bij of de richtlijnen voor het veilig vernietigen van informatie ook worden nagevolgd. Als sector scoort de juridische branche ondermaats: gemiddeld 33,3 op een schaal van 100 tegenover 40,6 als gemiddelde score onder Europese organisaties.



Gevolgen
Uit het onderzoek komt naar voren dat er voor advocatenkantoren drie grote risico’s zijn met ingrijpende gevolgen: reputatieschade, juridische aansprakelijkheid en negatieve publiciteit. Jeroen Strik, directeur van Iron Mountain zegt: “Onze studie naar informatierisico´s laat zien dat de Europese advocatuur, ook in België en Nederland, zich amper bewust is van, of gevolg geeft aan de veiligheidsrisico´s. De houding is dat het een technisch probleem is, maar het is zinloos te investeren in informatieveiligheid wanneer de betrokkenen er persoonlijk geen acht op slaan. Alle geld en technologie van de wereld kan gevoelige data niet beschermen, zolang medewerkers niet afdoende worden getraind, gecontroleerd en ondersteund om de informatieveiligheid voorop te plaatsen. Het bestuur zelf moet hiertoe op het hoogste niveau het voortouw nemen. Informatieveiligheid moet onderdeel zijn of worden van de bedrijfscultuur.”