ICT-beveiliging is en blijft complex

In de afgelopen tien jaar hebben wij de beveiligingsrisico’s in kaart gebracht in opeenvolgende edities van ons Data Breach Investigations Report. Hieruit bleek dat een groot percentage van alle beveiligingsincidenten kan worden teruggebracht tot negen aanvalspatronen die per sector variëren. Maar het viel ons ook op dat het mogelijk was om drie specifieke aanvalspatronen aan elke sector te koppelen en dat cybercriminelen consistent gebruik blijven maken van deze aanvalstechnieken.

Zonder in details te verzanden, wil ik de negen bedreigingspatronen hier graag noemen. Het gaat om:

‘overige fouten’ (zoals het verzenden van e-mailberichten naar de verkeerde persoon), crimeware (vormen van malware die zijn ontwikkeld om de controle over bedrijfssystemen over te nemen), misbruik door insiders/misbruik van speciale rechten, diefstal/verlies van apparatuur, aanvallen op internetapplicaties, denial-of-service (DoS)-aanvallen, cyperspionage, inbreuk op point of sale (POS)-systemen en skimming.

In elke verticale markt zijn drie specifieke aanvalspatronen aan te wijzen. In de detailhandel zijn drie patronen goed voor 90 procent van alle aanvallen (inbreuk op POS-systemen, DDoS-aanvallen, aanvallen op internetapplicaties). In de financiële dienstverlening vertegenwoordigen drie patronen 88 procent van alle aanvallen (Denial of service, aanvallen op internetapplicaties en crimeware). En ook in de productie-industrie kan 82 procent van alle aanvallen tot drie patronen worden herleid (DDoS-aanvallen, misbruik door insiders/misbruik van speciale rechten, cyberspionage).

Door informatie uit te wisselen over deze aanvalspatronen kunnen we organisaties helpen om gerichte beveiligingsmaatregelen te treffen, rekening houdend met de aanvalspatronen die het meest binnen hun sector voorkomen. Dit maakt het mogelijk om een actievere beveiligingsstrategie te hanteren in de strijd tegen cybercriminaliteit.

Vergeet nooit uw medewerkers

Een van de belangrijkste factoren bij het formuleren van deze bedrijfsbrede beveiligingsstrategie zijn de werknemers. Vaak wordt het personeel niet beschouwd als een kernonderdeel van de beveiliging. Dat is een kapitale fout, omdat werknemers voor opportunistische hackers vaak een makkelijk aanvalspunt vormen.

Het aantal beveiligingsrisico’s is de afgelopen jaren exponentieel gegroeid. De reden hiervoor is dat werknemers zich via steeds meer apparaten en toegangspunten aanmelden op het bedrijfsnetwerk. Organisaties worden hierdoor maar al te vaak blootgesteld aan risico’s. De categorie ‘overige fouten’ (onopzettelijke acties of fouten) resulteerde in meer incidenten dan om het even welke aanvalstechniek. Schokkend genoeg was er in 26 procent van deze gevallen sprake van werknemers die per ongeluk gevoelige informatie naar de verkeerde persoon mailden.

Dit jaar merkten we dat ‘mensgerichte’ tactieken de absolute voorkeur van cybercriminelen genoten. Zo was er ten opzichte van vorig jaar sprake van een drastische toename van phishing, een techniek waarbij cybercriminelen kwaadaardige e-mailberichten verzenden die van een legitieme afzender afkomstig lijken te zijn. Alarmerend genoeg werd 30 procent van alle phishing-berichten geopend, een stijging van 23 procent ten opzichte van 2015. Van alle ontvangers opende 13 procent een kwaadaardige bijdrage of link, zodat er malware werd geïnstalleerd en cybercriminelen toegang tot het bedrijfsnetwerk konden krijgen.

Als werknemers de risico’s rond hun digitale activiteiten kennen en begrijpen, kan een groot aantal van deze veel voorkomende beveiligingsincidenten worden voorkomen. Regelmatige training en voorlichting, het juiste beleid, de juiste oplossingen voor databescherming en het toekennen van zo min mogelijk toegangsrechten vormen in dit verband de sleutel tot succes. Als organisaties louter vertrouwen op technologie, zijn zij onvoldoende beschermd tegen cyberaanvallen. En uiteindelijk is de beveiliging de verantwoordelijkheid van iedereen.