In 2013 zagen we een groeiende complexiteit in de evolutie van de belangrijkste technologieën zoals cloud , big data en mobile computing. Net als een toegenomen bezorgdheid over de impact van geavanceerde malware, social media hacking en 'afluisteren' (PRISM) op operaties en business-continuïteit wereldwijd. Er heerst dus vertwijfeling over de traditionele opvattingen met betrekking tot security en dan met name over waar de bedreigingen vandaan komen en plaatsvinden. Dit was dan ook één van de drukste jaren voor enterprise security. De vraag is nu: wat heeft 2014 voor ons in petto?
Het huidige snelle tempo waarin technologieën zich ontwikkelen, creëren uitdagingen voor bedrijven en voor hun security officers die de strategie uitzetten voor 2014. Ik voorzie hierdoor een aantal interessante ontwikkelingen.
Cloud. Cloud security gaat naar mijn mening verschuiven van 'mystery and hype' naar 'secure and move-on'. Service providers nemen security nog serieuzer, gemotiveerd door klanten die betere en veiligere services verwachten. Voor zowel de publieke als private cloud maken we bovendien technologische vooruitgang in federatie, encryptie, virtualisatie security en monitoring. Reden tot voorzichtig optimisme dus.
Mobile security. Ondanks alle negatieve berichtgeving, ben ik optimistisch over de beveiliging van mobiele apparatuur. Eind 2014 zijn mobiele apparaten veiliger dan laptops vandaag de dag zijn. Fabrikanten van mobiele apparatuur en dienstverleners zullen de inspanningen op security-gebied opvoeren. Momenteel zijn technologieën al verder in ontwikkeling voor een veilig beheer, het encrypten van data, spraak en de virtualisatie van business-omgevingen. Dit gebeurt allemaal terwijl de privéomgeving gewoon gebruikt kan worden voor persoonlijke zaken, zoals social media. Daarnaast verwacht ik dat bedrijven het gebruik van hun mobiele apparatuur in 2014 goed bewaken en inzichtelijk maken. Een voorbeeld van deze ontwikkeling is de SimKo3-telefoon, ook wel de 'Merkel'-telefoon genoemd. Deze telefoon voldoet aan alle veiligheidsaspecten die gesteld zijn door de Duitse overheid.
Compliance. Het naleven van regelgeving blijft een verrassend krachtige drijfveer: gedreven door schendingen van bijvoorbeeld de Wet Bescherming Persoonsgegevens. De toevloed en complexiteit van geavanceerde bedreigingen zet naleving ervan veelal op een laag pitje. Tevens dreigt er nieuwe aangescherpte Europese regelgeving door de vele inbraken en schendingen en groeit de behoefte aan controle en automatische rapportage aan instanties. Het type data dat bedrijven verzamelen en controleren om geavanceerde bedreigingen te detecteren zal 'exploderen' in zowel de variatie als het volume. Dit brengt ook de nodige veranderingen met zich mee.
Intelligence. Security-intelligentie is een belangrijke factor in het helpen van bedrijven over wat er daadwerkelijk gebeurt op hun systemen. Traditionele beveiligingsoplossingen zijn niet afdoende als klanten meer gevarieerde en omvangrijke gegevensstromen willen (laten) inspecteren.
Analyse. De vraag naar data scientists neemt exponentieel toe. Data scientists analyseren de explosief toegenomen stroom aan security-data en ongestructureerde business-data. Daarnaast correleren zij de data, om de spreekwoordelijke beveiligingsrisico-naald in de zakelijke hooiberg te vinden.
Social. Ook verwacht ik dat het delen van gegevens over bedreigingen toeneemt. Organisaties, zowel overheidsinstanties en bedrijven in de privésector, realiseren zich steeds meer dat ze elkaar nodig hebben om veiligheidsrisico’s in kaart te brengen en bedreigingen voor te blijven. Hier ligt een kans voor de overheid, zoals het 'Amber-Alert', om het Nederlandse digitale grondgebied beter te beveiligen.
Bedrijven beginnen daarnaast met toezicht op informatie die gedeeld wordt op sociale netwerken (bijvoorbeeld Facebook, Twitter). Organisaties zijn dan ook van mening dat sociale netwerken en hacker communities kunnen worden ontgonnen voor data-aanwijzingen. Die aanwijzingen tonen welke bedrijven mogelijke doelwitten zijn. De informatie kan zowel intern worden geanalyseerd, of via een dienst en/of de overheid worden verkregen.
Andere rol security officers.
Rapporteerden security officers in 2013 nog aan de cio, vanaf 2014 zie ik dat veranderen. De security officer is niet meer de 'politieagent', maar denkt mee met de bedrijfsvoering. Hij denkt na over hoe risico’s in de hand kunnen worden gehouden, zonder direct de 'business' te raken. Security afdelingen worden daarom zelfstandiger, en gaan meer een rol als adviesorgaan vervullen naar de ceo, cfo en cio.
Tot slot
De beste verdediging is vaak een goede aanval. Om dreigingen voor te zijn, is het belangrijk om nu plannen te maken voor de komende jaren. Zo kunnen zij ict-landschappen nog beter beveiligen en gegevens effectiever beschermen. Net als het afgelopen jaar wordt 2014 naar mijn mening een zeer actief en spannend jaar op het gebied van security.
Lees ook