Datagedreven inzicht is steeds meer het fundament waarop succesvolle bedrijven worden gebouwd. Door de juiste mensen op het juiste moment toegang te geven tot de juiste informatie, kan de productiviteit worden verhoogd, de bedrijfsvoering worden gestroomlijnd en de klantervaring worden verbeterd. Maar succes op dit gebied vereist eerst dat gegevens effectief worden beheerd en beveiligd. Recent onderzoek laat zien dat 57% meer organisaties beschouwen databeheer vandaag als een van hun initiatieven met de hoogste prioriteit vergeleken met vorig jaar.
De afgelopen jaren zijn deze inspanningen extra urgent geworden nu het risico op informatiebeveiliging is toegenomen. Om meer te begrijpen, de nieuwste Verizon Onderzoek naar gegevensinbreuk (DBIR) is een geweldige plek om te keren.
Wat is er nieuw in 2023?
De DBIR is een lang en gedetailleerd boek, maar dat komt omdat het een van de meest grondige jaarverslagen is over de toestand van het huidige dreigingslandschap. Het inzicht van dit jaar is gebaseerd op een analyse van 16,312 incidenten, waarvan 5,199 (32%) bevestigde datalekken. Enkele van de belangrijkste bevindingen van dit jaar zijn:
Financieel gemotiveerde aanvallen van kwaadwillende derde partijen domineren: Bij 83% van de inbreuken zijn externe actoren aanwezig, en in 95% van de gevallen is financieel gewin verantwoordelijk. Dat is vooral te danken aan de invloed van georganiseerde misdaadbendes, die verantwoordelijk zijn voor de meeste aanslagen. Natiestatelijke agenten zijn relatief zeldzaam, en zelfs minder vaak voorkomend dan de dreiging van binnenuit.
Gestolen inloggegevens zijn het belangrijkste toegangspunt voor inbreuken: Bijna de helft (49%) van geanalyseerde inbreuken gestolen logins, terwijl phishing aanwezig was bij 12% van de aanvallen en misbruik van kwetsbaarheden bij 5%.
Werknemers blijven een ernstig risico: Bij driekwart (74%) van de inbreuken speelt het menselijke element een rol. Dat blijkt uit het grote aantal inbreuken dat mogelijk wordt gemaakt door gestolen inloggegevens en phishing. Maar het geeft ook aan dat medewerkers systemen verkeerd kunnen configureren of per ongeluk gevoelige gegevens naar de verkeerde persoon kunnen sturen.
Zakelijke e-mailcompromis (BEC) verdubbelt: BEC of 'pretexting' is vaak geen directe bedreiging voor bedrijfsgegevens, omdat het einddoel meestal is om een werknemer te misleiden om grote sommen geld over te maken naar een door de aanvaller gecontroleerde account. Maar het is relevant voor de discussie als een cruciale vorm van social engineering en een bedreigingstype waarbij bij de meest geavanceerde aanvallen eerst gestolen inloggegevens en/of phishing kunnen worden gebruikt om e-mailaccounts te kapen. BEC is verantwoordelijk voor meer dan 50% van de social engineering-incidenten – meer dan phishing – en het aantal gevallen verdubbelt in een jaar tijd.
Ransomware is nog steeds een grote bedreiging: Bij een kwart (24%) van de inbreuken is ransomware aanwezig. Dat komt omdat aanvallen nu gebruik maken van “dubbele afpersingstechnieken”, waarbij gegevens worden gestolen voordat ze worden gecodeerd om betaling af te dwingen. Hoewel het aandeel ransomware bij inbreuken vrijwel onveranderd is ten opzichte van vorig jaar, blijft de dreiging uitgesproken voor organisaties van elke omvang en in alle branches. De gemiddelde kosten als gevolg van deze aanvallen zijn meer dan verdubbeld tot 26,000 dollar, hoewel het werkelijke cijfer waarschijnlijk veel hoger ligt.
Waarom databeheer van cruciaal belang is
Het komt erop neer: het verhaal op hoog niveau van bedreigingen is niet veel veranderd ten opzichte van vorig jaar. Bedreigingsactoren blijven een hardnekkige groep, en menselijke fouten, inloggegevens en kwetsbaarheden in software blijven een van de belangrijkste manieren waarop ze gegevens in gevaar brengen. Naarmate organisaties hun digitale transformatie blijven verdubbelen, zullen de mogelijkheden om gegevens te stelen en/of te versleutelen alleen maar toenemen.
Dit is waar gegevensbeheer, en de subcategorie data governance, wordt steeds belangrijker. Waarom? Want het gaat onder meer om consistent samenstellen beleid en processen veilig te stellen beheer gegevens gedurende de hele levenscyclus, waar deze zich ook in de organisatie bevinden. Daarbij is het een cruciaal onderdeel van elke compliancestrategie.
ISACA Chief Global Security Officer, Chris Dimitriadis, vertelt ISMS.online dat data governance effectief een “complex beschermingssysteem rond opgeslagen gegevens” opbouwt, waardoor het voor bedreigingsactoren moeilijker wordt om compromissen te sluiten.
“Het komt er op neer dat je geen cyberbeveiliging kunt realiseren in digitale ecosystemen waarin de datakwaliteit laag is, de datalocatie onzeker is, data niet geclassificeerd zijn op basis van kriticiteit of huidige datakopieën niet worden onderhouden met het oog op herstel”, voegt hij eraan toe. “Data governance pakt al deze aspecten aan.”
Volgens Chris Royles, CTO van Cloudera EMEA Field, heeft governance voor veel organisaties steeds meer een mondiale dimensie.
“De afgelopen jaren regelgeving zoals GDPR en Schrems II hebben de gegevens veranderd eisen op het gebied van bestuur, soevereiniteit en privacy. Tegenwoordig moeten dataleiders ervoor zorgen dat het bestuur 'altijd aan en overal' is”, vertelt hij aan ISMS.online.
“Dit betekent dat er een reeks wereldwijd gedefinieerde databeleidslijnen moeten zijn ingevoerd, zodat bedrijven eenvoudig standaarden in al hun omgevingen kunnen repliceren. Dit zal de consistentie bevorderen, wat de risico’s verkleint, tijd bespaart en de kans op menselijke fouten beperkt.”
Goede data governance-initiatieven hebben ook de buy-in van senioren nodig, zegt Dimitradis van ISACA. “Ondersteuning van het senior management is van cruciaal belang voor het definiëren van beleid, procedures en verbeteringsmethodologieën, voor het verstrekken van de nodige financiering, middelen en training en voor het identificeren van gegevens- en informatiegerelateerde behoeften en controles”, legt hij uit.
“Het regelmatig meten van de volwassenheid en mogelijkheden van het data governance-programma is ook de sleutel tot succes, waardoor bedrijven de onzekerheid in het digitale ecosysteem voortdurend kunnen verbeteren en verminderen.”
Wat moeten data governance-programma's bevatten?
Er bestaat geen one-size-fits-all voor data governance. Maar als we naar de DBIR van dit jaar kijken, worden een aantal specifieke aandachtsgebieden vanuit cybersecurityperspectief duidelijk. Hier volgen de drie populairste methoden waarmee hackers bedrijfsgegevens kunnen compromitteren en aanbevolen Center for Internet Security (CIS)-controles om te overwegen.
Systeeminbraak (inclusief ransomware):
- Configureer bedrijfsmiddelen en software veilig.
- Implementeer anti-malware en e-mail- en browserbescherming.
- Opzetten en onderhouden van continue kwetsbaarheidsbeheer- en gegevensherstelprocessen.
- Bescherm accounts met strikte toegangscontroles.
- Voer initiatieven voor beveiligingsbewustzijn en vaardigheidstrainingen uit.
Social engineering:
- Beschermen accounts met toegangscontrole en accountbeheer (inclusief accountinventarisatie en snelle uitschrijving van gebruikers).
- Voer beveiligingsbewustzijnsprogramma's uit met de nadruk op BEC.
- Processen opzetten voor het melden en beheren van incidenten.
Basisaanvallen op webapplicaties:
Concentreer de inspanningen op het beschermen van accounts (bijvoorbeeld via toegangscontrolebeheer), waarbij multi-factor authenticatie (MFA) vereist is voor externe netwerktoegang en extern blootgestelde applicaties. Beperk de exploitatie van kwetsbaarheden door continu kwetsbaarheidsbeheer: inclusief geautomatiseerde patching en herstel.
Als u wilt weten hoe ISMS.online uw initiatieven op het gebied van databeheer en -beheer kan helpen, spreek vandaag nog met een van onze experts.
