Virksomhedsdata er i stigende grad i fare: Det er tid til at forbedre ledelsen

Datadrevet indsigt er i stigende grad grundlaget for succesrige virksomheder. At give de rigtige personer adgang til den rigtige information på det rigtige tidspunkt kan øge produktiviteten, strømline driften og forbedre kundeoplevelsen. Men succes på dette område kræver først, at data administreres og sikres effektivt. Nyere forskning afslører det 57 % flere organisationer vurderer datahåndtering som et af deres højest prioriterede initiativer i dag sammenlignet med sidste år.

I de senere år er disse bestræbelser blevet ekstra presserende, efterhånden som risikoen for informationssikkerhed er steget. For at forstå mere, den seneste Verizon Rapport om dataovertrædelse (DBIR) er et godt sted at henvende sig.

Hvad er nyt for 2023?

DBIR er en lang og detaljeret læsning, men det er fordi det er en af ​​de mest grundige årlige rapporter derude om tilstanden af ​​det aktuelle trusselslandskab. Dette års indsigt er baseret på en analyse af 16,312 hændelser, hvoraf 5,199 (32%) var bekræftede databrud. Nogle af overskrifterne i år er:

Økonomisk motiverede angreb fra ondsindede tredjeparter dominerer: Eksterne aktører er til stede i 83 % af overtrædelserne, og økonomisk gevinst står for 95 % af sagerne. Det skyldes primært indflydelsen fra organiserede kriminelle bander, som er ansvarlige for de fleste angreb. Nationalstatsagenter er relativt ualmindelige, mindre almindelige i virkeligheden end den indre trussel.

Stjålne legitimationsoplysninger er det øverste indgangspunkt for brud: Næsten halvdelen (49 %) af analyserede brud involveret stjålne logins, mens phishing var til stede i 12 % af angrebene og sårbarhedsudnyttelse i 5 %. 

Medarbejdere er fortsat en alvorlig risiko: I tre fjerdedele (74%) af overtrædelserne er det menneskelige element en faktor. Det fremgår af den store andel af brud, der er muliggjort af stjålne legitimationsoplysninger og phishing. Men det indikerer også, at personalet kan fejlkonfigurere systemer eller ved et uheld sende følsomme data til den forkerte person. 

Business email compromise (BEC) fordobles: BEC eller "påskud" er ikke ofte en direkte trussel mod virksomhedens data, da slutmålet normalt er at narre en medarbejder til at overføre store summer til en hacker-kontrolleret konto. Men det er relevant for diskussionen som en kritisk form for social engineering og en trusseltype, hvor de mest sofistikerede angreb kan involvere stjålne legitimationsoplysninger og/eller phishing først for at kapre e-mail-konti. BEC tegner sig for over 50 % af social engineering-hændelser – mere end phishing – med tilfælde, der fordobles på et år.

Ransomware er stadig en stor trussel: Ransomware er til stede i en fjerdedel (24%) af brudene. Det skyldes, at angreb nu bruger "dobbelt afpresning"-teknikker, hvor data stjæles, før de krypteres for at tvinge til betaling. Selvom andelen af ​​ransomware i brud er stort set uændret i forhold til sidste år, er truslen fortsat udtalt for organisationer af alle størrelser og på tværs af alle vertikaler. Medianomkostningerne som følge af disse angreb blev mere end fordoblet til $26,000, selvom det faktiske tal sandsynligvis vil være meget højere.  

Hvorfor datastyring er kritisk

Den nederste linje: historien om trusler på højt niveau er ikke meget ændret i forhold til sidste år. Trusselsaktører er stadig en vedvarende flok, og menneskelige fejl, legitimationsoplysninger og softwaresårbarheder er fortsat blandt de vigtigste måder, hvorpå de kompromitterer data. Efterhånden som organisationer fortsætter med at fordoble den digitale transformation, vil mulighederne for at stjæle og/eller kryptere data kun stige.   

Det er her datastyring, og underkategorien af ​​datastyring, er stadig vigtigere. Hvorfor? For det handler blandt andet om at sammensætte konsekvente politikker og processer for at sikre administrere data gennem hele dets livscyklus, uanset hvor det er i organisationen. I den forbindelse er det en kritisk komponent i enhver overholdelsesstrategi.

ISACA Chief Global Security Officer, Chris Dimitriadis, siger til ISMS.online, at datastyring effektivt bygger et "komplekst beskyttelsessystem omkring lagrede data", som gør det sværere for trusselsaktører at gå på kompromis.

"Bundlinjen er, at du ikke kan etablere cybersikkerhed i digitale økosystemer, hvor datakvaliteten er lav, dataplacering er usikker, data ikke er klassificeret baseret på kritikalitet eller nuværende datakopier ikke vedligeholdes til gendannelse," tilføjer han. "Datastyring tackler alle disse aspekter."

Der er i stigende grad også en global dimension til styring for mange organisationer, ifølge Cloudera EMEA Field CTO Chris Royles.

"I løbet af de sidste par år har regler som GDPR og Schrems II har ændret data krav til regeringsførelse, suverænitet og privatliv. I dag skal dataledere sikre, at styring er 'altid på og overalt',” siger han til ISMS.online. 

"Det betyder at have et sæt globalt definerede datapolitikker på plads, så virksomheder nemt kan replikere standarder på tværs af alle deres miljøer. Dette vil skabe sammenhæng, hvilket reducerer risikoen, sparer tid og begrænser muligheden for menneskelige fejl."

Gode ​​datastyringsinitiativer har også brug for senior buy-in, siger ISACAs Dimitradis. "Senior ledelsesstøtte er nøglen til at definere politikker, procedurer og forbedringsmetoder, for at tilvejebringe den nødvendige finansiering, ressourcer og uddannelse og for at identificere data- og informationsrelaterede behov og kontroller," forklarer han.

"Regelmæssig måling af modenheden og kapaciteten af ​​datastyringsprogrammet er også nøglen til succes - hvilket giver virksomheder mulighed for løbende at forbedre og reducere usikkerheden i det digitale økosystem."

Hvad skal datastyringsprogrammer indeholde?

Der er ikke en enhed, der passer til alle til datastyring. Men ser man på dette års DBIR, bliver nogle få specifikke fokusområder fra et cybersikkerhedsperspektiv tydelige. Her er de tre mest populære metoder for hackere til at kompromittere virksomhedsdata og anbefalede Center for Internet Security-kontroller (CIS) at overveje.   

Systemindtrængen (herunder ransomware):

1. Konfigurer virksomhedens aktiver og software sikkert.
2. Implementer anti-malware og e-mail- og browserbeskyttelse.
3. Etablere og vedligeholde løbende sårbarhedsstyring og datagendannelsesprocesser.
4. Beskyt konti med streng adgangskontrol.
5. Kør initiativer til sikkerhedsbevidsthed og færdighedstræning.

Social teknik:

1. Beskyt konti med adgangskontrol og kontostyring (inklusive kontobeholdning og prompt de-provisionering af brugere).
2. Kør sikkerhedsbevidsthedsprogrammer med fokus på BEC.
3. Etablere processer vedr rapportering og håndtering af hændelser.

Grundlæggende webapplikationsangreb: 

Fokusér indsatsen på at beskytte konti (dvs. via adgangskontrolstyring), hvilket kræver multifaktorautentificering (MFA) for fjernnetværksadgang og eksternt eksponerede applikationer. Afbød udnyttelse af sårbarheder gennem kontinuerlig sårbarhedsstyring: inklusive automatiseret patching og afhjælpning.

For at finde ud af, hvordan ISMS.online kan hjælpe dine datastyrings- og ledelsesinitiativer, tal med en af ​​vores eksperter i dag.