CISO Insider: Editie 1

COVID-19 heeft van organisaties vereist om meer vertrouwen te hebben in flexibele werkplekken en de digitale transformatie te versnellen. Deze wijzigingen hebben uiteraard ook enkele wijzigingen vereist in de beveiligingstactieken. De perimeter is uitgebreid en is toenemend hybride omdat deze meerdere clouds en platformen betrekt. Hoewel nieuwe technologieën voor veel organisaties een zegen zijn omdat ze zelfs in uitdagende tijden productiviteit en groei mogelijk maken, bieden de veranderingen ook een mogelijkheid voor cybercriminelen. Zij willen gebruikmaken van de beveiligingsproblemen die ze vinden in toenemend complexe digitale omgevingen.

De beveiligingsprofessionals die ik spreek, denken veel aan het toegenomen aantal phishingaanvallen die zijn gerelateerd aan extern werk. We zien dat ook terug in ons onderzoek. In 2020 heeft Microsoft een enquête uitgevoerd onder beveiligingsleiders. 55% gaf aan dat hun organisaties sinds het begin van de pandemie een toename van het aantal phishingaanvallen hebben gedetecteerd. 88% gaf aan dat phishingaanvallen hun organisaties hebben beïnvloed. Ik hoor ook regelmatig dat het aantal ransomware-aanvallen toeneemt, dat malware een constante bedreiging blijft en dat identiteitsfraude nog steeds een grote uitdaging is die beveiligingsteams zorgen geeft.

Daarnaast weten we dat aanvallen door natiestaten agressiever en aanhoudender zijn. De aanval op de toeleveringsketen door NOBELIUM, gebruikmakend van het SolarWinds-platform, was één van de vele nieuwe aanvallen die in het afgelopen jaar het nieuws haalden. Terwijl meestal opvallende technieken de aandacht van het nieuws krijgen, vertellen CISO's me steeds dat zelfs deze geavanceerde bedreigingsactoren zich net als de meeste cybercriminelen focussen op hoogwaardige maar goedkope aanvalspogingen.

Om dit punt verder te illustreren: we hebben een toename gezien in nation-state aanvallers die aanvallen met wachtwoordspray uitvoeren. Als beveiligingsleider ben je bezig met het beheren van risico's en met prioriteren. Veel leiders vertellen me dat het versterken van hun cyberhygiëne hun hoogste prioriteit is om de meeste aanvallen te kunnen voorkomen, vooral die in hun groeiende digitale voetafdruk. Onze gegevens en onderzoeken ondersteunen dit gevoel. We schatten dat basis beveiligingshygiëne nog steeds beschermt tegen 98 procent van de aanvallen (zie pagina 124 in het Microsoft Digital Defense Report, oktober 2021).

Je denkt misschien dat het eenvoudig is om te praten over fundamentele beveiligingsstappen, maar dat het moeilijker is om ze daadwerkelijk te implementeren, vooral wanneer een team overwerkt en onderbezet is. Ik wil echter stellen dat je als beveiligingsleider bezig bent met het beheren van risico's en met prioritering. Dat maakt het focussen op fundamenten een vaste pragmatische benadering. Te vaak zijn beveiligingsincidenten een kwestie van WANNEER in plaats van ALS. Er zijn honderden alarmerende cyberbeveiligingsstatistieken, bijvoorbeeld: elke dag worden er in de Verenigde Staten 4000 aanvallen door cybercriminelen gepleegd; dagelijks worden er wereldwijd meer dan 30.000 websites gehackt.

De beste verdedigingslinie is volgens mij een gebalanceerde benadering en een investering in incidentdetectie, -reactie en -preventie.

Hoewel het moeilijk kan lijken om te investeren in nieuwe niveaus van preventie terwijl je de toenemende eisen van detectie en reactie probeert bij te houden, is het vinden van de juiste balans tussen de twee inspanningen essentieel en gunstig. Een onderzoek van het Ponemon Institute en IBM Security uit 2021 toont aan dat organisaties zonder een incidentreactieteam of -plan de gemiddelde kosten door gegevenslekken met 55% zien stijgen. Beveiligingsteams die de vaste preventie kunnen balanceren met een strategie die incidentreactie en investeringen in hulpmiddelen voor detectie en herstel bevat, bevinden zich in een goede uitgangspositie om het onvoorkoombare te doorstaan.

We hebben allemaal gehoord over 'het grote ontslag'. Meer dan 40 procent van het personeel wereldwijd overweegt dit jaar de werkgever te verlaten. Beveiligingsleiders en hun teams zijn nu al onderbezet. Ik spreek vaak met CISO's over hoe de zaken in het algemeen gaan. Het kunnen betalen, vinden en vasthouden van toptalent is één van hun grootste zorgen. Als een toptalent alsnog vertrekt, staan ze voor de keuze tussen het zoeken naar een nieuw toptalent of het bijscholen van de vaardigheden van de blijvende werknemers. Efficiëntere, beter geïntegreerde en geautomatiseerde technologie kan helpen, maar dat is nog lang niet genoeg.

Nu cyberaanvallen regelmatig in het nieuws verschijnen, zijn modewoorden in beveiliging onderdeel geworden van het alledaagse taalgebruik. Deze aanvallen (en het nieuws erover) kunnen een grote impact hebben op een bedrijf. Maar weet je wat? Dat is niet alleen maar slecht nieuws. Cyberbeveiliging is een bekend onderwerp geworden in alle gebieden van een organisatie. We horen dat het concept 'Beveiliging is een taak van iedereen' zijn weerklank vindt in organisaties. Beveiligingsleiders gebruiken steeds vaker innovatieve manieren om iedereen veilig te houden, zelfs als ze te maken hebben met een tekort aan talenten en vaardigheden. Deze innovatieve manieren zijn vooral nieuwe hybride werkmodellen en beveiligingsperimeters die op allerlei nieuwe manieren worden uitgedaagd. 'Meer doen met minder' is verleden tijd. Voor innovatieve beveiligingsleiders draait het tegenwoordig allemaal om 'Meer doen, anders'.

Terwijl het tekort aan talent en vaardigheden zeker niet iets positiefs is, is er wel een sprankje hoop: het maken van een beveiligingscultuur wordt realiteit. Veel CISO's vertellen ons dat ze effectieve manieren hebben gevonden om hun beveiligingsuitdagingen aan te pakken tijdens de personeelsuitdagingen. Een van de meest effectieve manieren is het bouwen van een cultuur waarin beveiliging de taak is van iedereen. CISO's bepleiten steeds vaker de opvatting dat de hele organisatie de verantwoordelijkheid voor beveiliging op zich kan nemen, vooral als ze worden geconfronteerd met personeelstekorten of financieringsuitdagingen.

Ontwikkelingsteams, systeembeheerders en ook eindgebruikers moeten het toepasselijke beveiligingsbeleid begrijpen. Informatie delen is fundamenteel en beveiligingsteams vinden steeds meer nieuwe manieren om samen te werken met ontwikkelaars, beheerders en eigenaren van bedrijfsprocessen om risico's te begrijpen en beleid en procedures te ontwikkelen waarvan de hele organisatie kan profiteren.

Door het tekort aan talent en vaardigheden (vooral in het steeds veranderende veld van cyberbeveiliging) zijn CISO's op zoek naar nieuwe en innovatieve manieren om de voorsprong te behouden. Eén strategie waarover we steeds horen, is een ontwikkelende afvaardiging van werknemers naar het beveiligingsteam. CISO's proberen gebruik te maken van de hele organisatie, vooral met focus op het trainen van eindgebruikers als onderdeel van de oplossing en het opbouwen van ondersteuning vanuit aansluitende teams.

Het beveiligingsteam heeft veel baat bij verbeterde en verhoogde kennis van eindgebruikers over beveiligingsbedreigingen, bijvoorbeeld wanneer ze phishing begrijpen en de signalen van subtiele aanvallen herkennen. Eindgebruikers zijn vaak het startpunt van een aanval, dus dit is vooral een strategie met aandacht voor en door de meest kwetsbaren. Ik beweer niet dat eindgebruikers zomaar getraind kunnen worden om alles te begrijpen en te herkennen, maar voorbereide en gewaarschuwde gebruikers kunnen de druk op beveiligingsteams drastisch verlagen.

Een andere strategie is IT af te vaardigen naar de beveiliging. Door het IT-team dicht verbonden met het beveiligingsteam te houden en ervoor te zorgen dat IT is ingelicht over beveiligingsstrategieën, zijn veel beveiligingsleiders geholpen in het uitbreiden van hun missie naar alle gebieden van de organisatie.

Het bieden van richtlijnen en hulp bij automatisering en andere proactieve werkstroom- en taakbeheerstrategieën, is een fundamentele manier waarop CISO's hun teams uitbreiden en gebruikmaken van IT om te helpen zorgen voor een solide beveiligingspostuur.

Alle aangehaalde Microsoft-onderzoeken maken gebruik van onafhankelijke onderzoeksbureaus om contact op te nemen met beveiligingsprofessionals voor zowel kwantitatieve als kwalitatieve onderzoeken, waardoor privacybescherming en analytische nauwkeurigheid zijn gegarandeerd. Citaten en bevindingen in dit document zijn het resultaat van Microsoft-onderzoeken, tenzij anders aangegeven.