Volgens het Oracle & KPMG Annual Cloud Threat Report 2019 nam vorig jaar bij 7 van de 10 organisaties het gebruik van cloud services toe. Niet alleen was er een toename van het gebruik van de cloud, ook de waardering voor het hosten van data en applicaties in de cloud steeg. Hoewel bedrijven al jaren cloud services gebruiken, is pas sinds kort de groei van bedrijfskritische data en services in de cloud te zien. Deze shift is vooral toe te schrijven aan organisaties die hun kosten willen verlagen en de mogelijkheden voor werknemers willen vergroten. Aan het groeiende cloud-gebruik gaan echter risico’s gepaard die om aandacht vragen. Onderstaande voorspellingen lichten dit toe.
Voorspelling #1: De toename van cyber-aanvallen zorgt voor andere rollen management
Volgens onderzoek van PricewaterhouseCoopers is momenteel minder dan de helft van de bedrijven wereldwijd voorbereid op een cyberaanval. Gelukkig zijn steeds meer CEO’s betrokken bij het verbeteren van de security en spelen zij een centrale rol in het verlagen van risico’s en het veiligstellen van data- en privacybescherming. Security is daardoor niet langer alleen de verantwoordelijkheid van de CISO of de IT-afdeling. Sterker nog, steeds meer bedrijven creëren de rol van BISO (Business Information Security Officer) die een specifieke verantwoordelijkheid heeft voor security en privacy.
Voorspelling #2: Branches met hoog veiligheidsrisico ondervinden disproportionele toename in cyber-aanvallen
Sectoren die over hoogwaardige data beschikken zijn gevoeliger voor cyberaanvallen dan andere branches. Toch zijn niet al deze sectoren voorbereid op zo’n aanval. De gezondheidszorg staat bovenaan deze lijst, gevolgd door de productie en financiële branche, overheden en nutsbedrijven. De verwachting is dat het aantal ransomware-aanvallen op de gezondheidszorgsector de komende jaren zal verviervoudigen. De financiële sector zal te maken krijgen met meer financiële fraude en diefstal. Nutsbedrijven investeren momenteel minder dan 0,2 procent van hun omzet in cyberveiligheid terwijl de gevaren omvangrijk kunnen zijn; aanvallen richten zich vooral op uitval van infrastructuur. Sommige industrieën en landen vechten terug door verhoogde investeringen te doen in programma’s voor cyberbestendigheid. De VS bijvoorbeeld, geeft nu meer uit aan cybersecurity-activiteiten (US$ 15 miljard) dan de totale defensie-uitgaven van Noorwegen en Noord-Korea samen.
Voorspelling #3: Het wordt steeds moeilijker gekwalificeerd personeel te vinden voor security functies
Er is een veranderende dynamiek in de technologiesector, waaronder toename van kansen voor vrouwen en de groei van buitenlandse functies. De uitdaging voor de cybersecurity-sector is echter niet zozeer de beschikbaarheid van posities maar de beperkte mogelijkheden om deze in te vullen met gekwalificeerd personeel. Dat zegt ook Monster.com. Ook Oracle voorspelt dat er in 2020 wereldwijd bijna 3 miljoen niet te vullen security vacatures zullen zijn en dit aantal zal alleen maar verder stijgen.
Voorspelling #4: Persoonlijke cyber-aanvallen op werknemers om bedrijfsdata te stelen
In 2019 rapporteerde FireEye dat 91% van de cyberaanvallen plaatsvindt via een phishing-aanval aan de voorkant van de aanvalsketen. Dit duidt op de de groeiende trend dat cyber-aanvallen zich richten op werknemers. Cybercriminelen zoeken in dit soort situaties via carrièrepagina’s van de bedrijfswebsite eerst uit op wie ze zich willen richten en voeren vervolgens gerichte phishing-aanvallen (zogeheten ‘spear-phishing’) uit. Aanvallers gebruiken talloze tools om data te pakken te krijgen via werknemers. Bedrijven die hier slim op anticiperen trainen hun werknemers om te voorkomen dat ze bewust of onbewust bedrijfsdata vrijgeven.
Voorspelling #5: Invoering nieuwe security richtlijnen om risico’s af te dekken
In tijden van oorlog kun je het luchtruim niet goed verdedigen met grondtroepen. Hetzelfde geldt in de IT-wereld: Cloud Defense heeft een andere aanpak nodig dan andere onderdelen van bedrijfsbeveiliging. De meeste bedrijven die zijn overgestapt naar de Cloud werken echter nog steeds met enkel basis-beveiligingscontroles, zoals identiteitsbeheer en nog niet met de extra beveiligingslagen die nodig zijn om veilig in de Cloud te werken. Volgens het eerder genoemde Oracle en KPMG Cloud Threat Report kan slechts 10% van de organisaties het grootste deel van hun telemetrie over beveiligingsgebeurtenissen verzamelen, analyseren en erop reageren. 93% van de bedrijven die cloud-applicaties gebruiken, heeft geen specifieke cloud-security richtlijnen. Terwijl security teams wel te dealen hebben met onder andere de vele cloud-services die werknemers gratis of via een creditcard verkrijgen. Deze services zijn in gebruik zonder dat beveiligings- en risicoteams hiervan op de hoogte zijn, maar bevatten wél bedrijfskritische data. Organisaties die veilig in de cloud willen werken, zullen beveiligings- en risicoprogramma’s moeten implementeren om de hierboven genoemde én andere risico’s af te dekken.
