Cybersecurity in de financiële sector moet beter
Cijfers en feiten
Wist je dat de meeste vertrouwelijke informatie in Office-documenten worden bewaard? Kraakt een hacker een O365-beheerdersaccount, dan krijgt hij toegang tot de volledige tenant. Office 365 is met meer dan 200 miljoen gebruikers een magneet voor cybercriminaliteit. Traditionele beveiligingstools bieden geen bescherming tegen kwetsbaarheden van en aanvallen op O365.
Financiële dienstverleners zijn verleidelijke doelwitten, hacks volgen elkaar in rap tempo op en brengen enorme schade toe. Vraag maar aan het Amerikaanse Capital One, waar de gegevens van 100 miljoen klanten openbaar gemaakt werden. Bij JPMorgan Chase werden de gegevens van 76 miljoen huishoudens en 7 miljoen bedrijven gestolen. En bij verzekeraar First American Financial Corp kon iedereen bij de gegevens van 885 miljoen klanten.
Financiële dienstverleners zijn aantrekkelijke en kwetsbare doelwitten
Forbes becijfert dat 35% van alle datalekken de financiële dienstensector treft. Dat komt omdat financiële gegevens waardevol zijn voor hackers en financiële IT-systemen zijn zo complex en onderling verbonden dat er oneindig veel manieren zijn om in te breken. Hackers nemen daarom de financiële sector continu onder vuur.
Cybersecurity groot probleem in financiële sector
Uit een enquête onder zo’n 100 managers van Britse financiële dienstverleners blijkt dat 70% van hen het afgelopen jaar slachtoffer werd van een beveiligingsincident. Volgens de onderzoekers werden de meeste hiervan veroorzaakt doordat werknemers het veiligheidsprotocol of gegevensbeschermingsbeleid niet volgden. In 32% van de gevallen namen collega’s malware en virussen mee via USB-sticks en eigen computers. Een kwart van de incidenten kwam door het downloaden van frauduleuze bestanden en afbeeldingen en 24% van de gevallen kwam doordat werknemers gegevens per ongeluk naar verkeerde ontvangers stuurden.
Financials hebben hoogste kosten door cybercrime
Dat klinkt al eng, maar het wordt nog veel erger. Financiële dienstverleners hebben namelijk 300 keer zoveel kans op cyberaanvallen als andere bedrijven, aldus de Boston Consulting Group. Die aanvallen en de nasleep daarvan leveren voor banken en vermogensbeheerders hogere kosten op dan voor welke andere sector ook.
Tsunami aan meldingen en beveiligingstools
De meeste financiële instellingen hebben allerlei tools voor beveiligingsbeheer en bewaking. Is er iets verdachts aan de hand? Dan krijgt de IT-afdeling automatisch een melding. Omdat er zoveel gebeurt, leidt dit al snel tot een stortvloed aan meldingen. Beveiligingsmedewerkers van MasterCard krijgen op een gemiddelde dag 460.000 inbraakpogingen voor hun kiezen. Dat is een stijging van 70 procent ten opzichte van een jaar eerder.
Uit een onderzoek van Ovum onder banken blijkt dat ongeveer 40% van banken elke dag 160.000 onterechte, overbodige of irrelevante meldingen ontvangt. Eén oorzaak van deze stortvloed aan meldingen is een overdaad aan beveiligingsprogramma’s. In dit geval werkte 73% van de onderzochte banken met minimaal 25 verschillende beveiligingsprogramma’s.
Bestuurders nemen cybergevaar niet serieus
De IT-afdeling is zich bewust van het gevaar van hackers, maar de mensen die over de financiën gaan meestal een stuk minder. Dit leidt tot minimale beveiligingsbudgetten en daarmee tot meer kansen voor cybercriminelen. Security Magazine stelt dat cyberbeveiliging minder prioriteit krijgt dan het naleven van regelgeving of het bevorderen van de klanttevredenheid. Het topmanangement van kleinere bedrijven denkt vaak dat hun bedrijf niet interessant is voor aanvallers. Vanwege een verkeerde inschatting wordt een bedrijf onvoldoende beschermd.
Wanted: een volwassen IT
Accountantskantoor Deloitte heeft een rangschikking gemaakt met vier niveaus van IT-volwassenheid als het gaat om het beveiligingsprofiel van financiële instellingen:
- Gedeeltelijk: Bij deze organisaties is het beheer van cyberbeveiligingsrisico’s niet geformaliseerd en wordt het risico ad hoc (en soms reactief) beheerd.
- Onderbouwd: Deze instellingen hebben processen voor risicobeheer, maar deze zijn niet door de hele organisatie ingevoerd.
- Herhaalbaar: De organisatie hanteert op het gebied van risicobeheer formeel goedgekeurde processen en heeft deze in het beleid vastgelegd.
- Adaptief: Op dit hoogste volwassenheidsniveau passen organisaties hun processen op het gebied van risicobeheer aan. Dat doen ze op basis van huidige ontwikkelingen en op basis van historische data waarmee ze de toekomst van cybergevaar voorspellen.
Ontdek 26 pijnpunten in de beveiliging van Office 365 en hoe je ze oplost
Gegevensbescherming en datalekken
Ontdek gratis jouw beveiligingsproblemen
Ontvang gratis jouw- O365-beveiligingsprofiel met onze nieuwe oplossing CoreDiscovery. Vraag de software nu gratis aan op de CoreDiscovery-aanmeldpagina: https://www.coreview.com/core-discovery-sign-up/.
Doug Barney is de oprichter van Redmond Magazine, Redmond Channel Partner, Redmond Developer News en Virtualization Review. Hij was ook hoofdredacteur van Network World, AmigaWorld en Network Computing.