15 oktober 2015 – Het
Ponemon instituut en
Venafi, leverancier van het immuunsysteem voor het Internet, hebben een onderzoek gepubliceerd over de businessimpact van niet beveiligde digitale sleutels en certificaten. De resultaten daarvan geven inzicht in het potentiële verlies van klanten, de financiële gevolgen van niet beschikbare online services, mislukte audits en het risico op inbraken. Het onder 2.300 IT-securityprofessionals in de wereld uitgevoerde onderzoek is gepubliceerd in het 2015 Cost of Failed Trust Report, dat
hier te downloaden is.
Aanvallen op sleutels en certificaten
Eerder dit jaar publiceerden het Ponemon instituut en Venafi al over de risico’s die bedrijven lopen door aanvallen op hun encryptiesleutels en digitale certificaten. De belangrijkste conclusie uit het nieuwe rapport is dat online vertrouwen momenteel op een breekpunt staat. Als organisaties niet meer worden vertrouwd, verliezen zij klanten en kan zelfs de continuïteit gevaar lopen:
- Verlies van klanten als online vertrouwen wegvalt: 59% van alle respondenten hebben al klanten verloren door onvoldoende beveiliging van sleutels en certificaten die de basis vormen voor online vertrouwen, voor een gemiddelde waarde van $ 15 miljoen per incident.
- Uitval van kritische bedrijfssystemen: de afgelopen twee jaar zijn kritische systemen van de ondervraagde organisaties gemiddeld ruim 2 keer uitgevallen door certificaatproblemen.
- Gemiste audits: de afgelopen twee jaar is er bij de ondervraagde organisaties minstens één SSL/TLS-audit en één SSH-audit mislukt.
Internet-beveiliging gefundeerd op sleutels en certificaten
Alle IP-toepassingen, variërend van online bankieren en mobiele apps, tot en met het Internet of Things, worden beveiligd met digitale sleutels en certificaten. De afhankelijkheid daarvan neemt de komende jaren verder toe door het snelgroeiende gebruik van SSL/TLS en Internetten via mobiele netwerken, WiFi en VPN’s. Daardoor worden tevens de beschikbaarheid-, compliance- en beveiligingsrisico’s groter. Alleen niet in dezelfde verhouding. De veiligheidsrisico’s bedragen bij de ondervraagde organisaties de komende twee jaar $ 53 miljoen en de compliance- en beschikbaarheidsrisico’s zo’n $ 7,2 miljoen, Oftewel een verhouding van 7:1.
Uitdagingen beveiliging en beheer
De 2.300 IT-securityprofessionals zijn tevens gevraagd naar hun uitdagingen bij het beveiligen en beheren van alle sleutels en certificaten. Daaruit blijkt dat 54% niet weet hoeveel sleutels ze in gebruik hebben en waar deze worden bewaard. Dit percentage ligt hoger dan de 50% uit hetzelfde onderzoek twee jaar geleden. Security-analisten zijn van mening dat het aantal wordt onderschat. Dezelfde 54% gaf toe dat zij geen policybeleid hebben voor alle sleutels en certificaten. Daarom wordt het tijd dat organisaties meer aandacht gaan besteden aan de uitdagingen die ten grondslag liggen aan de risico’s op het gebied van beveiliging, beschikbaarheid en compliance, veroorzaakt door onvoldoende beveiligde sleutels en certificaten.
Audits en beleid
“Als bedrijven er onvoldoende in slagen om hun digitale sleutels en certificaten te beveiligen en te beheren, is de kans groot dat zij klanten en omzet verliezen”, zegt Kevin Bocek, Vice President Security Strategy & Threath Intelligence bij Venafi. “Elke organisatie vertrouwt tegenwoordig op het vertrouwen dat sleutels en certificaten dagelijks bieden, ook al is men zich daar niet van bewust. Daarom zouden IT-beveiligers verplicht moeten worden om regelmatige audits uit te voeren naar alle gebruikte certificaten en sleutels en hun expiratiedata. Maar ook beleid te ontwikkelen om informatiediefstal, ongeplande systeemstoringen en mislukte audits te voorkomen.”
Bewuster van risico’s
“Hopelijk maakt dit rapport IT-securityprofessionals en managementteams bewuster van de risico’s die zij lopen als encryptiesleutels en digitale certificaten onvoldoende worden beschermd”, zegt Larry Ponemon, voorzitter en oprichter van het Ponemon instituut. “Sleutels en certificaten worden namelijk steeds breder toegepast en zijn onmisbaar voor het creëren van vertrouwde verbindingen en het beveiligen van online business. Het is duidelijk dat de data een groter beveiligingsprobleem onthult. Als men niet weet waar alle sleutels en certificaten worden gebruikt en beheerd, zijn ze uiteraard niet continu te monitoren en te beschermen. Organisaties die nalaten om ze tijdens de hele levenscyclus geautomatiseerd te beveiligen, verliezen vroeg of laat het online vertrouwen.”
Over Venafi
Venafi is de leverancier van het
Immune System for the Internet™, voor het beveiligen van encryptiesleutels en digitale certificaten, die de fundering vormen van cybersecurity. Daarmee is te voorkomen dat deze door criminelen worden gestolen en gebruikt voor aanvallen. In de huidige digitale wereld willen criminelen graag sleutels en certificaten stelen om daarmee een vertrouwde status te creëren en zo lang mogelijk niet ontdekt te worden. De meeste securitysystemen vertrouwen blindelings sleutels en certificaten, waardoor criminelen deze kunnen gebruiken om zich te verbergen in versleuteld verkeer, websites om te leiden, malware te installeren en informatie te stelen. Met het immuunsysteem voor het Internet patrouilleert Venafi in het netwerk van organisaties, op apparatuur, achter de firewall en het gehele Internet, om te bewaken welke SSL/TLS, SSH, WiFi, VPN en mobiele sleutels en certificaten te vertrouwen zijn. Deze worden automatisch beschermd of gerepareerd, terwijl ze niet-vertrouwde certificaten blokkeren.
NOOT VOOR DE REDACTIE
Voor meer informatie kunt u contact opnemen met:
AddIT Benelux
Peter Gloudemans
Telefoon: 06-53471777
E-mail:
peter.gloudemans@addit-benelux.nl