In april meldde de overheid dat de helft van de Britse bedrijven in de voorgaande twaalf maanden te maken had gehad met een datalek. Dit percentage lag nog hoger voor middelgrote (70%) en grote bedrijven (74%). Uit onderzoek bleek dat basisprincipes van cyberbeveiliging, risico- en supply chain management en incidentrespons nog steeds tekortschieten bij een zorgwekkend groot deel van deze organisaties.

Maar hoe zit het met de afgelopen zes maanden? We zijn nog maar halverwege het jaar, maar er zijn al enkele belangrijke thema’s naar voren gekomen die waarschijnlijk het veiligheids- en compliance-verhaal van 2024 zullen domineren. Onze top vijf is:

De NVD verkeert in crisis

Het misbruiken van kwetsbaarheden is weer helemaal in de mode. Mandiant beweert dat 38% van de inbraken in 2023 op deze manier begon, een stijging van zes procentpunten op jaarbasis. Dit is slecht nieuws voor netwerkbeveiligers, omdat de National Vulnerability Database (NVD) van NIST, wellicht de belangrijkste bron van informatie over kwetsbaarheden ter wereld, al enkele maanden vrijwel onbruikbaar is . Als gestandaardiseerde opslagplaats van uitgebreide CVE-gegevens is de NVD een cruciaal onderdeel geworden van de geautomatiseerde patch- en kwetsbaarheidsbeheerprocessen van veel bedrijven, evenals van hun beveiligingstools. Door de plotselinge vertraging in de verwerking van CVE's sinds februari moeten beveiligingsteams nu op zoek naar alternatieve informatiebronnen.

Verizon beweert dat het aantal detecties van misbruik van kwetsbaarheden als initiële toegangsmethode voor datalekken in 2023 met 180% is gestegen ten opzichte van hetzelfde tijdvak vorig jaar. Dit is nu verantwoordelijk voor 14% van alle datalekken, wat betekent dat beveiligingsteams dringend moeten nadenken over aanvullende bronnen van CVE-informatie, zoals het CVE-programma , naast verbeterde dreigingsinformatie en andere tactieken.

Ransomware gaat van kwaad tot erger

In januari waarschuwde het National Cyber ​​Security Centre (NCSC) dat ransomware "het volume en de impact van cyberaanvallen in de komende twee jaar vrijwel zeker zal vergroten". Het NCSC wees ransomware specifiek aan als een bedreiging en stelde dat AI aanvallers een "boost" zal geven op het gebied van social engineering en verkenning. Met andere woorden, AI-technologie zal worden ingezet om zeer overtuigende phishingcontent te creëren die moeilijk te herkennen is, en om bekende kwetsbaarheden in doelorganisaties op te sporen. Het ISMS State of Information Security Report 2024 onthulde dat 29% van de organisaties het afgelopen jaar slachtoffer is geworden van een ransomware-aanval.

Het is onduidelijk of AI al op deze manier wordt gebruikt. Desondanks hebben ransomwaregroepen dit jaar vooral offensief gevoerd, ondanks enkele successen van de wetshandhaving bij het uitschakelen van LockBit en het ontbinden van BlackCat/ALPHV . Zorginstellingen zijn opnieuw het slachtoffer geworden. Eerst waren het de Amerikaanse zorgaanbieders Change Healthcare en Ascension – Change Healthcare zal naar verwachting meer dan 1 miljard dollar aan kosten moeten boeken in verband met de aanval. De Britse NHS werd zwaar getroffen nadat de Qilin-ransomware een leverancier uitschakelde. Dit leidde aanvankelijk tot de annulering van meer dan 800 geplande operaties en 700 poliklinische afspraken.

Gezien het feit dat ransomware-actoren hun doelen meestal nog steeds bereiken via relatief eenvoudige aanvalsvectoren (RDP-compromis, phishing, misbruik van kwetsbaarheden), lijkt het erop dat organisaties zich moeten blijven concentreren op het verkrijgen van de juiste basisprincipes om veilig te blijven.

Edge-apparaten krijgen het zwaar te verduren

De rand van het netwerk lijkt de nieuwe grens te zijn voor door de staat gesponsorde cyberaanvallen. Het NCSC was een van de eersten die dit jaar waarschuwde en stelde dat cybercriminelen zich steeds vaker richten op producten aan de netwerkrand (zoals bestandsoverdrachtstoepassingen, firewalls, VPN's en loadbalancers) na verbeteringen in het ontwerp van clientsoftware. Deze producten vormen een perfect doelwit, omdat code doorgaans minder goed beveiligd is dan clientsoftware, waardoor het makkelijker is om beveiligingslekken te misbruiken. Bovendien ontbreekt effectieve logging op apparaten aan de rand van het netwerk, aldus het NCSC.

We hebben de afgelopen zes maanden een tsunami aan ransomware- en cyberaanvallen gezien, waaronder massale exploitatie van Ivanti Connect Secure- en Policy Secure- gateways, FortiGate-apparaten en een verouderd F5 BIG-IP-apparaat . Een recent rapport van Action1 onthulde een recordaantal exploits voor loadbalancers tussen 2021 en 2023, terwijl een andere leverancier beweerde dat het aantal CVE's dat verband houdt met edge-services en -infrastructuur met 22% is gestegen tussen 23 en begin 2024.

Het NCSC dringt er bij organisaties op aan om over te stappen van on-premise naar in de cloud gehoste perimeterproducten en firewalls te gebruiken om ongebruikte “interfaces, portalen of diensten van internetgerichte software” te blokkeren.

Open source-risico's sneeuwbal

De risico's van het gebruik van open-source software zijn al langer bekend. Kwaadwillenden verbergen steeds vaker malware in componenten van derden en plaatsen deze in officiële repositories in de hoop dat een ontwikkelaar met weinig tijd ze downloadt. In april werd echter een nog verraderlijker dreiging ontdekt na een toevallige vondst: een geavanceerde, jarenlange poging om backdoor-malware te infiltreren in een populaire open-source component genaamd xz Utils en deze te implanteren. De groep achter dit plan deed er alles aan om hun kwaadaardige activiteiten te verbergen en manipuleerde de oorspronkelijke beheerder, Lasse Collin, via social engineering om hun ontwikkelaarsidentiteit als 'vertrouwde' bijdrager aan boord te krijgen.

Het slechte nieuws voor beveiligingsteams is dat er sindsdien meerdere navolgingen zijn ontdekt , wat mogelijk wijst op een groeiende crisis voor open source. Zo'n 79% van de respondenten die ISMS.online sprak, geeft aan dat hun bedrijf het afgelopen jaar is getroffen door een beveiligingsincident veroorzaakt door een externe leverancier of partner in de toeleveringsketen. In de toekomst zal een grondige controle van softwaretoeleveringsketens, inclusief stuklijsten (SBOM's), regelmatige kwetsbaarheidsscans en strengere governance-richtlijnen, noodzakelijk zijn.

De uitdagingen op het gebied van compliance nemen toe

Om Benjamin Franklin vrij te citeren: niets in deze wereld is zeker, behalve de dood, belastingen en nieuwe compliance-verplichtingen. Dat heeft 2024 wel bewezen, met de lancering van de EU AI Act , een nieuwe wet inzake IoT-beveiliging in het VK , voorstellen voor nieuwe beveiligingsregels voor datacenters in het VK , een EU-certificeringsschema voor cyberbeveiliging en nog veel meer. Organisaties zagen bovendien de deadline voor PCI DSS 4.0 in maart verstrijken en zijn momenteel druk bezig met de voorbereiding op NIS 2.

Velen hebben moeite om de werkdruk aan te kunnen. Onderzoek van ISACA wijst uit dat met name privacyprogramma's ondergefinancierd en onderbezet zijn. Verouderde tools en processen helpen ook niet mee.

Naleving van best practices uit de sector kan een sterke basis vormen voor het leveren van programma's voor naleving van regelgeving op gebieden als informatiebeveiliging (ISO 27001) en AI (ISO 42001). Maar hoewel ISMS.online constateert dat 59% van de organisaties van plan is de uitgaven voor dergelijke programma’s het komende jaar te verhogen, zegt bijna de helft (46%) dat het zes tot twaalf maanden duurt om aan ISO 6 te voldoen. Nog eens 12% beweert dat dit nodig is. -27001 maanden. Met de juiste set intuïtieve en vooraf geconfigureerde tools zou het niet zo moeilijk moeten zijn.