No "One size fits all"

Verizons rapport har flere interessante funn. Her er en oppsummering fra Darkreading:

http://www.darkreading.com/attacks-breaches/no-one-size-fits-all-in-data-breaches-ne/240153379

Det virker kanskje logisk at en "One size fits all" tankegang ikke vil fungere i praksis. Det er naturligvis forskjell på Statoil og en liten virksomhet med fem ansatte. Men hvordan står det egentlig til i realiteten? Selv om mange (større) virksomheter har solide strategier for sitt sikkerhetsarbeide og egne responsteams, er det langt flere som ikke har det. Hvem er det som ivaretar deres sikkerhetsbehov? Jeg antar at dette i stor grad blir overlatt til leverandøren av IT-tjenestene. Kan de tilby en skreddersydd pakke til hver kunde? Neppe. "One size fits all".

Det er også interessant at hele 60% av alle angrep rammer små virksomheter. I Norge har vi ca 500.000 små og mellomstore bedrifter. 400.000 har mindre enn 10 ansatte. Under Cyberkonferansen hørte vi Beitland i Næringslivets sikkerhetsorganisasjon fortelle om utfordringene denne delen av norsk næringsliv står over for. Kjetil Nilsen i NSM innrømmet at de ikke har klart å finne samarbeidsformer som ivaretar disse virksomhetene, og Tore Orderløkken i NorSIS fortalte at trusselaktørene nå rammer større virksomheter gjennom nettopp disse små virksomhetene. Hvorfor? Fordi de ikke evner å håndtere egen risiko, og ingen andre gjør det for dem heller.

Verizon sine funn viser også at 92% av angrepene kom fra utsiden. Dette er faktisk høyere enn det de rapporterte i 2010 (hvor ca 80% kom fra utsiden). Det er på tide av myten om at de fleste angrep kommer fra innsiden blir avlivet!

Rapporten sier videre at det tar lang tid før cyberangrep blir oppdaget, og at en stor andel faktisk ikke finner dette ut selv, men får det rapportert fra andre. Dette er kanskje ikke så overraskende, for tradisjonell forebyggende sikkerhet (og compliance-basert sikkerhet) har lite forkus på overvåking, deteksjon og analyse. For å redusere tiden det tar fra angrep til deteksjon, må det bygges opp solide team som har dette som primæroppgave.

Med tanke på at BYOD har blitt forklart som det neste store risikoelementet, var det kanskje overraskende at rapporten ikke har funnet at mobile enheter har spilt en vesentlig rolle. Det er jo noe å tenke på.

Rapporten finner du her:

http://www.verizonenterprise.com/resources/reports/rp_data-breach-investigations-report-2013_en_xg.pdf

2012 rapporten:
http://www.verizonenterprise.com/resources/reports/rp_data-breach-investigations-report-2012-press_en_xg.pdf