Volgens een onderzoek van CyberArk denkt 63 procent van de ondervraagde Duitse bedrijven dat aanvallers gemakkelijk hun netwerken kunnen binnendringen. Een van de redenen hiervoor is vaak het ontbreken van een end-to-end beveiligingsstrategie voor privileged access.
Uit het CyberArk Global Advanced Threat Landscape 2019 Report blijkt dat minder dan de helft van de Duitse bedrijven een beveiligingsstrategie voor privileged access heeft in de omgeving van DevOps, Internet of Things (IoT), Robotic Process Automation (RPA) of Cloud, en al helemaal geen end-to-end op alle gebieden. Als aanvallers in het bezit komen van de geprivilegieerde toegangsgegevens die in deze gebieden worden gebruikt, kunnen zij zich gemakkelijk zijwaarts in het netwerk bewegen en onopgemerkt hun doelen nastreven.
Hoewel uit het onderzoek blijkt dat beveiliging van geprivilegieerde toegang voor de respondenten een centraal onderdeel is van een efficiënte cyberbeveiligingsstrategie, worden fundamentele technologieën voor digitale transformatie niet beschermd. Zo verklaart 96 procent van de deelnemers aan de enquête dat de IT-infrastructuur en kritieke gegevens pas volledig zijn beschermd als bevoorrechte accounts en toegangsgegevens zijn beveiligd. Slechts 47 procent heeft een beveiligingsstrategie voor geprivilegieerde toegang voor bedrijfskritische applicaties en 42 procent voor cloudinfrastructuren. De cijfers zijn nog ontnuchterder voor DevOps (38%) en IoT (33%).
Bovendien heerst er wijdverbreide onwetendheid over de aanwezigheid van privileged accounts en credentials: slechts 22 procent wijst deze toe aan containers, 18 procent aan broncoderepository’s en 28 procent aan RPA. In feite worden zij echter in alle genoemde milieus aangetroffen. De ondervraagde bedrijven erkennen in ieder geval steeds meer het belang van de beveiliging van geprivilegieerde toegang. Zij zijn van plan om de komende twee jaar 27 procent van alle investeringen in IT-beveiliging op dit gebied te doen.
“Bedrijven onderschatten nog vaak de beveiligingsrisico’s die gepaard gaan met cloud, IoT, RPA of DevOps. Zonder betrouwbaar beheer, beveiliging en monitoring van administratieve, bevoorrechte menselijke en technische toegang blijven ze gemakkelijk kwetsbaar voor aanvallen”, zegt Michael Kleist, Regional Director DACH bij CyberArk. “Een proactieve cyberbeveiligingsstrategie moet altijd holistisch worden bekeken en dus alle moderne infrastructuren en toepassingen in het vizier hebben. Privileged Access Management speelt hierbij een doorslaggevende rol. Het is niet voor niets dat Gartner het voor het tweede jaar op rij heeft gerangschikt als het belangrijkste beveiligingsproject voor bedrijven.”
In de enquête werd ook ingegaan op de vraag wat momenteel de grootste bedreigingen zijn. Hier noemde 75 procent hackers, 61 procent georganiseerde misdaad, 47 procent hacktivisten en 30 procent bevoorrechte insiders. Eenenzestig procent van de respondenten noemde phishing als een van de grootste huidige bedreigingen voor de veiligheid, gevolgd door ransomware (46%) en schaduw-IT (42%).
Beleid inzake veiligheid belangrijker dan naleving
In de studie werd bovendien aandacht besteed aan “bereidheid tot naleving”. Daarbij kwam nog een ander verontrustend resultaat aan het licht: de helft van de bedrijven zou eerder bereid zijn boetes te betalen voor compliance-overtredingen dan hun eigen beveiligingsbeleid aan te passen – zelfs na een succesvolle cyberaanval. In Duitsland verklaart bovendien slechts 45 procent van de bedrijven voldoende voorbereid te zijn op de verplichting om beveiligingsincidenten binnen de voorgeschreven periode van 72 uur te melden op grond van de EU GDPR.
“Ook al zijn er in Duitsland nog geen boetes op grote schaal opgelegd, het negeren van de GDPR-vereisten is in onze ogen problematisch”, aldus Kleist. “Wij gaan ervan uit dat inbreuken op de beveiliging en bescherming van gegevens in de toekomst nog strenger zullen worden vervolgd en bestraft. De laatste boetes van meer dan 100 miljoen euro die in andere Europese landen zijn opgelegd, zijn een voorproefje van wat ook in Duitsland kan worden verwacht.”
Over het CyberArk Advanced Threat Landscape 2019 Report
CyberArk heeft voor de twaalfde keer zijn wereldwijde Advanced Threat Landscape-onderzoek uitgevoerd. In opdracht van CyberArk heeft het marktonderzoeksbedrijf Vanson Bourne 1.000 IT-beveiligingsbeslissers en C-level executives in Duitsland, Frankrijk, het Verenigd Koninkrijk, Israël, de VS, Australië en Singapore ondervraagd over cyberbeveiligingsonderwerpen.