Vertrouwen moet centraal staan in elke beveiligingsstrategie

U zou er bijna moedeloos van worden. Omzeggens elke spreker op de recente RSA Conference in San Francisco, de grootste security-conferentie ter wereld, kwam tot dezelfde vaststelling: het IT-landschap is verdomd gevaarlijk en het zal alleen maar erger worden. Maar als mens en machine (lees: computer) nauwer samenwerken, kunnen we daar tot op zekere hoogte wel een stokje voor steken.

Dat cybersecurity wel degelijk een thema is dat iedereen aanspreekt, bewees het aantal deelnemers aan die conferentie: ruim 42.000! beveiligingsexperten uit heel de wereld maakten er hun opwachting en ruim 700 bedrijven toonden wat ze in hun mars hadden op dat vlak (inclusief de overheid met de NCSA). Elk van die leveranciers bood wel een product aan dat een of ander beveiligingsaspect voor zijn rekening neemt, maar de algemene teneur van de conferentie was dat u met losse producten geen sluitende beveiliging kan bouwen.

“Alleen met een geïntegreerde aanpak kan je vermijden te verzanden in operationele silo’s die beveiligingsopeningen laten”, zegt Art Gilliland van Symantec. “Dat betekent echter niet dat je voor één enkele leverancier moet kiezen maar wel voor technologieën met open API’s die elkaars capaciteiten kunnen gebruiken en aanvullen.” Symantec heeft de daad bij het woord gevoegd en al meer dan 120 bedrijven verzameld voor zijn ICD-platform, Integrated Cyber Defense, om samen sterker te staan in cybersecurity (waaronder bekende namen als AWS, IBM, Microsoft, en Oracle).

Niet meer losstaand

En er is nog een ander soort integratie dat steeds meer aandacht krijgt: beveiliging die in elk facet van een organisatie verweven zit. Een recent onderzoek van Deloitte toont aan dat minder dan 20% van de bedrijven in hun business units ook aandacht hebben voor security. De consultant pleit er dan ook voor om security in elk proces ‘in te bakken’ om te vermijden dat het enkel beschouwd zou worden als een remmende factor in de productie. Komt daar nog bij dat de hoeveelheid data explosief blijft groeien – volgens IDC dit jaar wereldwijd met 61% tot 175 zettabytes – en dus stijgen ook de risico’s op misbruik. Uit het onderzoek van Deloitte blijkt nog dat 90% van de organisaties in het voorbije jaar problemen heeft gehad met het lekken van gevoelige productiegegevens.

Natuurlijk is het ICT-landschap er niet eenvoudiger op geworden, dat geeft iedereen grif toe. Zo is er de verdere doorbraak van de cloud die de manier waarop bedrijven hun data en applicaties beheren, opslaan en delen, totaal veranderd heeft. Check Point waarschuwt er in zijn 2019 Security Report dan ook terecht voor dat de cloudinfrastructuur naast al zijn voordelen ook een nieuwe, aantrekkelijke omgeving creëert voor criminelen die verlekkerd zijn op de enorme hoeveelheid computervermogen en gevoelige data die hier ter beschikking komen. Idem voor het mobiele dataverkeer dat exponentieel groeit en waar beveiliging vaak maar een na-gedachte is.

IoT

Waar bijna elke deelnemer aan de conferentie zich zorgen over maakte, is IoT, het Internet of Things. Trend Micro, bijvoorbeeld, publiceerde bij die gelegenheid een rapport waarin het waarschuwt dat complexe omgevingen zoals IoT met een mengeling van losse servers en cloudservers ideale voedingsbodems zijn voor risico’s in smart homes en smart buildings. Zij vormen immers een compleet automatiseringsplatform waarbinnen alle mogelijke toestellen met elkaar in verbinding staan en elkaar aansturen maar die, eenmaal dat ze gehackt worden, meteen ook de deur wagenwijd openzetten voor een waaier van malafide acties – beveiligde deuren openen, het alarm uitschakelen of zelfs virtuele assistenten als Siri of Alexa misbruiken om via spraakcommando’s allerlei ongewenste acties op te starten, thuis of in de wagen. En zeg niet: “Het zal mij niet overkomen.” Een babymonitor waarvan u het standaardpaswoord niet gewijzigd hebt, volstaat om het hele netwerk in uw woning te laten overnemen.

Maar ook op bedrijfsvlak spelen de beveiligingsrisico’s van IoT een belangrijke rol want in fabrieken worden IoT-apparaten steeds vaker onderling verbonden op de productievloer om gebeurtenissen, processen en toestellen beter te kunnen monitoren. De beveiliging van de supply chain moet dan meteen rekening houden met honderden of zelfs duizenden apparaten die elk potentieel door een hacker zouden kunnen benaderd worden. En één enkele zwakke plek kan dan een impact hebben op meerdere bedrijven uit die supply chain. Niet alleen IT maar ook OT, Operational Technology, wordt dan bedreigd – volgens onderzoek van Fortinet zou bijna 90% van alle organisaties met een genetwerkte OT-infrastructuur al te maken gehad hebben met een beveiligingslek.

Dodelijk voor kmo’s

Niet echt een verrassing: vooral kmo’s liggen wakker van beveiliging want doorgaans is hun security-infrastructuur minder gesofisticeerd en is hun personeel ook minder goed opgeleid om bedreigingen af te slaan. Uit de zopas gepubliceerde ‘AppRiver Cyberthreat Index for Business Survey’ blijkt dat 58% van de beveiligingsverantwoordelijken in kmo’s zich meer zorgen maakt over cyberaanvallen dan over een brand, overstroming, staking of zelfs ordinaire diefstallen. En bijna de helft is ervan overtuigd dat een dergelijke aanval het einde van hun bedrijf kan betekenen.

Opmerkelijk: de kmo’s vrezen dat die aanvallen vooral van ontevreden ex-werknemers kunnen komen, meer dan van hackers of concurrenten.Terecht, zo blijkt uit een rapport van OneLogin, de specialist van access management: zowat 20% van de bedrijven is al het slachtoffer geworden van datadiefstallen door voormalige werknemers. Het bedrijf raadt alle organisaties dan ook aan om werknemers de toegang tot de hele infrastructuur onmiddellijk te ontzeggen zodra ze het bedrijf verlaten. Ook beveiligingsspecialist Kaspersky heeft in die zin een lijst met tips voor kmo’s opgesteld (zie kadertje).

Trust

Vertrouwen: dat was misschien wel de term die het meest gebruikt werd op de RSA-conferentie. “Vertrouwen betekent voor mij op de eerste plaats dat een organisatie in staat is risico’s in te schatten en te beheren”, stelt RSA Security president Rohit Ghai. “Vandaar ook dat wij ons Integrated Risk Management platform RSA Archer nog verfijnd hebben om digitale risico’s beter te kunnen monitoren met behulp van AI en machine learning. En om maximale flexibiliteit te kunnen garanderen bij de implementatie van onze oplossing hebben wij ook een samenwerking met Amazon Web Services opgezet om onze Digital Risk Management diensten te kunnen ontplooien waar en wanneer onze klanten ze nodig hebben.”

Niet iedereen was nochtans even enthousiast over het inschakelen van AI. Steve Grobman, CTO van McAfee, zag in AI wel een nieuwe basis voor cyber-defense die ons in staat moet stellen sneller en beter bedreigingen te ontdekken, maar tegelijkertijd was hij ook realistisch genoeg om toe te geven dat dezelfde technologie kan ingezet worden voor een ransomware-aanval of voor het creëren van fake content. “Cybercriminelen kunnen AI gebruiken om meer gesofisticeerde aanvallen uit te voeren en samen met machine learning voor massieve chaos zorgen. AI kan uiteindelijk voor evenveel nieuwe uitdagingen zorgen als het kan oplossen.”

Voor Rohit Ghai is het nochtans simpel: mens en machine moeten een ‘vertrouwenspaar’ vormen (trustworthy twins) waarbij de mens de vragen stelt en de machine die probeert te beantwoorden. “Je kan het vergelijken met de eerste vormen van software engineering waarbij programmeurs in paren werkten om op die manier betere en betrouwbare code te genereren. Ik zie hier zelfs een rol weggelegd voor blockchain in een ‘chain of trust’. Maar één ding is duidelijk: enkel onze infrastructuur en applicaties proberen af te schermen zoals in het verleden, zal niet meer volstaan.”