Pareto in de informatiebeveiliging

Onlangs verscheen het Verizon 2013 Data Breach Investigations Report, Verizon's jaarlijkse analyse van data breach incidenten. Hier valt te lezen, dat een beperkt aantal aanvallen verantwoordelijk zijn voor het merendeel van de gerapporteerde inbraken (breaches). Het Pareto principe dus. Het is vreemd dat het vaak maanden duurt, eer men in de gaten heeft dat systemen gecompromitteerd zijn.
 

Volgens Verizon is meer dan de helft van de geslaagde hacks te wijten aan het gebruik van  gestolen gebruikersinformatie, backdoors of een brute force aanval. Verizon merkt op, dat meer dan 80% (!) van deze hacks niet succesvol geweest waren, wanneer de getroffen organisaties voor authenticatie iets meer gebruikt hadden dan een single-factor gebruikersnaam password toegang. Een two-factor authenticatie toepassen, is een voorbeeld voor een zeer eenvoudige maatregel die bijzonder effectief is. Denk hierbij weer even aan het Pareto principe. Bedenk daarbij, dat dit type aanval geen gebruik maakt van malware en dientengevolge ook lang onopgemerkt kan blijven. Het wordt immers niet door detectiesystemen gesignaleerd. Dit geldt dus voor de dreiging maar ook voor een maatregel. Dat wil overigens niet zeggen, dat detectie systemen geen nut hebben, want in 40% van de gevallen is ook gebruik gemaakt van malware.


Gemiddeld duurt de eerste geslaagde hack een paar uur. Dat staat in schril contrast met de maanden die het duurt, alvorens men in de gaten heeft, dat er in geslaagde hack uitgevoerd is.


Buitenstaanders merken dit vaak als eerste op.


Helemaal ironisch om te bedenken, dat de meeste signalen over gecompromitteerde systemen van eindgebruikers komen, die zelf vaak als de zwakste schakel in de beveiligingsketen gezien wordt...


Is het dan onmogelijk om op een goede manier je informatiebeveiliging op orde te krijgen? Nee, zeker niet! Echter is de risicobewustheid van organisaties nog steeds niet op het gewenste niveau. Indien wij dit ook bij uw organisatie bemerken, selecteren wij daar speciaal op. Door onze werkwijze zijn wij in staat om voor vrijwel elk soort organisatie en probleem een specialist te vinden. Wilt u weten hoe, neem dan geheel vrijblijvend contact met ons op.