Jaarlijks analyseren in december vrijwel alle bedrijven het afgelopen jaar en worden plannen en verwachtingen voor de komende periode uitgesproken. Zo ook in de beveiligingsbranche. Een rondgang langs diverse beveiligingsgerelateerde bedrijven leverde de volgende security trends op voor 2011.
Het nieuwe werken
Uit internationaal onderzoek van Cisco blijkt dat de behoefte van werknemers naar altijd en overal toegang hebben tot data en applicaties blijft groeien. Die 24-uurs beschikbaarheid, maar ook het toenemende zakelijke gebruik van social media, maken dat er steeds meer wordt gevraagd van de netwerkinfrastructuur. Het beveiligen van netwerken wordt hierdoor complexer, met steeds meer beleid en regels, die voor medewerkers niet altijd duidelijk of eenvoudig uitvoerbaar zijn. Het onderzoek wijst uit dat gemiddeld twee van de vijf werknemers zich niet meer houden aan het IT-beleid als het niet voldoet aan hun behoeftes.
"Meer flexibiliteit in werken hoeft niet ten koste te gaan van de veiligheid", zegt Michel Schaalje, technisch directeur van Cisco Nederland. "Mobiel werken brengt nieuwe risico’s met zich mee, maar een belangrijk deel van die risico’s zijn te ondervangen door het bewustzijn hiervoor te vergroten. De overheid heeft hierin een belangrijke taak. Maar ook bedrijven moeten hun verantwoordelijkheid nemen door hun medewerkers op te leiden. Tot slot kan IT ook een bijdrage leveren. Met een self defending network-architectuur, een complete beveiliging vanuit het netwerk, kunnen organisaties bedreigingen vroegtijdig identificeren en op tijd isoleren en verwijderen, zodat de risico’s tot een minimum worden beperkt."
Mobile security
Mobieltjes zijn tegenwoordig ultra-krachtig in vergelijking met een paar jaar geleden. Zowel SURFnet, Check Point als Insight verwachten dat er de komende jaren meer en meer mobieltjes aangevallen en geïnfecteerd gaan worden. Vooral het update- en patch-managementmodel van mobieltjes baart zorgen.
Check Point onderschrijft deze trend en ziet een toenemende ‘consumerization of IT’. Steeds meer persoonlijke apparatuur (laptops, smartphones, tablets) worden zakelijk ingezet, waarbij de beveiliging vaak te wensen over laat.
Erik Leerkes, technisch directeur bij Mobillion, verwacht een toenemend aantal mobiele spam-berichten en maatregelen daartegen: "Het Bel-me-niet register werkt goed en zorgt voor behoorlijke forse indamming ongevraagde telefonische spam. Ook de SMS gedragscode is onder druk van consumentenorganisaties verder aangescherpt, waardoor operators ook in 2011 steeds sneller en harder ingrijpen bij spam en overtreding van regels."
Pinewood ziet ook mobility als trend. Mensen willen, ongeacht locatie of tijd, toegang hebben tot de organisatie en bedrijfsinformatie. Hoewel dit technisch mogelijk is, ontbreekt nog wel voldoende aandacht voor security op mobiele devices.
Trend Micro voorziet eveneens een toename van aanvallen op mobiele apparaten, maar ze zullen volgens de beveiligingsspecialist nog niet mainstream zijn.
Privacy
"Steeds meer bedrijven hebben op de een of andere manier te maken vertrouwelijke data. Privacy blijft een hot issue", volgens Alex Bik Technisch Directeur bij BIT, Internet Service Provider en Datacenter in Ede. "Ze verwachten van hun ISP en datacenter dat deze voldoet aan de hoogste eisen en normen, zodat ook zij voldoen aan de voorwaarden van hun klanten en leveranciers."
Eurocommissaris Neelie Kroes benadrukte onlangs nog dat privacybescherming een fundamenteel Europees grondrecht is. Kroes zet zich in voor een cloudvriendelijk Europa, maar alleen met nieuwe, strenge en grensoverschrijdende regels voor databescherming, -opslag en -bewerking. Dit zal in 2011 een belangrijk gegeven zijn voor de ISP- en datacenterbranche. De internationale standaard voor informatiebeveiliging is ISO 27001 en volgens Alex Bik zijn er behalve BIT nog maar weinig datacenters en internet service providers die daadwerkelijk aan deze norm voldoen.
Data Loss Prevention (DLP) blijft volgens Pinewood ook in 2011 een hype. Hoewel veel bedrijven hier technische oplossingen voor bieden, blijft de mens, naast beleid en techniek een belangrijke pijler van informatiebeveiliging. Het blijft de zwakste schakel. Volgens Pinewood blijven technische DLP-oplossingen heel lastig te implementeren. Daarom is aandacht voor beveiligingsbewustzijn op de eerste plaats dus uitermate belangrijk en zou als gewenste trend voor het komende jaar op de agenda moeten staan.
Privacy was in 2010 tijdens de SURFcert & SURFibo conferentie het primaire onderwerp en SURFnet verwacht dat privacy de komende jaren hot blijft.
Nieuwe aanvalsvormen
Trend Micro ziet voor 2011 trends die met name betrekking hebben op aanvalstactieken en -strategieën van cybercriminelen. Om hiertegen op te treden worden allereerst strengere beveiligingseisen gesteld aan cloud service providers. Verder komen er experimentele (proof of concept) aanvallen tegen de cloud-infrastructuur en gevirtualiseerde systemen. De diversiteit van besturingssystemen dwingt cybercriminelen zich sterker te richten op kritische cloud diensten en infrastructuren van servers.
Verschillende beveiligingsbedrijven gaan samenwerken, maar Trend Micro verwacht dat deze consolidatie zich vooral ook aan de andere kant zal voltrekken. Cybercriminelen gaan vaker samenwerken om de krachten te bundelen.
Verder wordt in 2010 social engineering steeds meer ingezet om persoonlijke data en informatie te verzamelen. Bovendien gebruiken cybercriminelen in toenemende mate gestolen of legale digitale certificaten bij malware-aanvallen om detectie te voorkomen.
Insight ziet meer en meer vraag naar oplossingen voor security in de cloud waarbij het met name gaat om beveiliging van applicaties en data in de cloud. Daarnaast zal er meer aandacht zijn voor beveiliging van verkeer tussen virtuele omgevingen onderling, een beweging die al sinds enige tijd goed zichtbaar is. Verder verwacht het bedrijf een verdere professionalisering van bestaande beveiligingsoplossingen, dankzij de voortdurende groei van data en de toenemende gevaren van indringers en kennis daarover.
Volgens Nienke Ryan van SpicyLemon zullen Botnets een groot probleem blijven, maar realiseren mensen zich dat kleinere, low-profile botnets een minstens zo grote bedreiging vormen als ’the big name’ botnets, die heel nauw gemonitord worden door security experts. Dit zou de makers ervan wellicht doen overwegen te stoppen met het verder ontwikkelen, hoewel zij die kans toch heel klein acht.
Facebook en Google zullen gebruikt blijven worden voor ‘social engineering attacks’. "Facebook blijft maar proberen de symptomen tegen te gaan, in plaats van de oorzaak aan te pakken. Ze blijven bovendien het social media privacy probleem afschuiven op de gebruikers die hierin hun eigen verantwoordelijkheid moeten nemen volgens Facebook", aldus Ryan. "Als Facebook meer maatregelen treft om deze aanvallen te stoppen, zal het voor cybercriminelen ook minder aantrekkelijk worden om deze te gebruiken voor hun aanvallen. De kosten zullen namelijk ook omhoog gaan door deze maatregelen en dit kan er voor zorgen dat de focus wordt verlegd naar de kleinere partijen zoals LinkedIn."
IPv6
SURFnet waarschuwt organisaties die nog niet met IPv6 aan de slag zijn gegaan. IPv6 wordt in steeds meer besturingssystemen en applicaties gebruikt, maar er zijn nog altijd veel organisaties die niets op IPv6-vlak doen of zelfs ervan bewust zijn dat het langzaam via de achterdeur toch naar binnen is gekomen. Dit kan leiden tot serieuze beveiligingsincidenten omdat het beveilingsbeleid en de controlerende systemen hier nog geen rekening mee houden. SURFnet brengt in december een paper uit dat tot doel heeft om organisaties te ondersteunen bij het opzetten en uitrollen van IPv6.