Volgens onze Breach Level Index was er in 2014 wereldwijd sprake van 1.541 hacks of datalekken en werden er dit jaar meer dan 1,03 miljard gegevensbestanden verloren of gestolen. Een stijging van 78 procent in vergelijking met het jaar daarvoor. In Nederland was er in 2014 sprake van 1.102.705 hacks en datalekken. Hier is de stijging zelfs 96 procent. Forrester Research gaf in 2013 aan dat de uitgaven aan IT security 17,5 procent van de totale ICT-bestedingen vertegenwoordigden. Deze gegevens vatten de huidige realiteit op het gebied van IT security goed samen: hoewel de beveiliging een groter deel van het totale ICT-budget opslokt, verbetert de effectiviteit van de beveiliging tegen de epidemie van datalekken niet.
Incidenten zijn onvermijdelijk
De cijfers liegen er niet om, incidenten blijken niet te vermijden. Het zwaartepunt van elke beveiligingsstrategie moet daarom verschuiven van het voorkomen van incidenten naar het accepteren van de realiteit dat incidenten onvermijdelijk zijn. Zodra men de beveiliging op deze manier benadert, krijgt het beveiligen van bedrijfsgegevens, en niet de netwerkrand, de hoogste prioriteit. Dit is een omslag in de kijk op security.
Het is één ding om deze mentaliteit te veranderen, het is een ander ding om bedrijfsbreed deze nieuwe beveiligingsaanpak te implementeren. Hoewel er niet één aanpak bestaat die voor alle organisaties geschikt is om tot een ‘Secure Breach’-situatie te komen, waarbij sprake kan zijn van ‘veilige’ oftewel geneutraliseerde datalekken, zijn er drie stappen die elk bedrijf zou moeten nemen om de kosten en negatieve gevolgen van gegevensdiefstal terug te dringen. Versleutel al het dataverkeer en de gegevens, bewaar alle encryptiesleutels op een veilige locatie en bewaak de toegang en authenticatie van gebruikers. Met de toepassing van deze drie maatregelen bereidt u zich effectief voor op datalekken en kunt u voorkomen dat uw organisatie de dupe wordt.
Orkaan versus druilerige dag
Steeds meer bedrijven beginnen oog te krijgen voor de realiteit en deze kijk wordt langzaam maar zeker gemeengoed. Mensen zullen hun kijk op beveiligingsincidenten bijstellen en inzien dat ze onvermijdelijk zijn. Het feit dat er een incident is geweest, zal geen nieuws meer zijn. De nieuwswaarde zal schuilen in de vraag of het al dan niet een ‘veilig’ incident was. Het zal net zo gaan als bij het weer; grote orkanen met veel schade zullen de krantenkoppen halen, maar een orkaan op zee wordt minder in de spotlight gezet. IT-managers zullen dus moeten voorkomen dat de heilige huisjes binnen de organisatie worden aangetast.
In mijn volgende blog ga ik verder in op de drie genoemde stappen en licht ik de aanpak van de omslag naar een ‘Secure Breach’-organisatie verder toe. Voor meer informatie verwijs ik u naar de paper over ‘Secure the Breach’.
Dirk Geeraerts, regional sales director Gemalto.
