Bedrijven verliezen klanten door onbetrouwbare sleutels en certificaten
16 oktober 2015 -
Het Ponemon instituut en Venafi hebben een onderzoek gepubliceerd over de businessimpact van niet beveiligde digitale sleutels en certificaten.
De resultaten daarvan geven inzicht in het potentiële verlies van klanten, de financiële gevolgen van niet beschikbare online services, mislukte audits en het risico op inbraken. Het onder 2.300 IT-securityprofessionals in de wereld uitgevoerde onderzoek is gepubliceerd in het 2015 Cost of Failed Trust Report, dat hier te downloaden is.
Aanvallen op sleutels en certificaten
Eerder dit jaar publiceerden het Ponemon instituut en Venafi al over de risico’s die bedrijven lopen door aanvallen op hun encryptiesleutels en digitale certificaten. De belangrijkste conclusie uit het nieuwe rapport is dat online vertrouwen momenteel op een breekpunt staat. Als organisaties niet meer worden vertrouwd, verliezen zij klanten en kan zelfs de continuïteit gevaar lopen:
Verlies van klanten als online vertrouwen wegvalt: 59 procent van alle respondenten hebben al klanten verloren door onvoldoende beveiliging van sleutels en certificaten die de basis vormen voor online vertrouwen, voor een gemiddelde waarde van $ 15 miljoen per incident.
Uitval van kritische bedrijfssystemen: de afgelopen twee jaar zijn kritische systemen van de ondervraagde organisaties gemiddeld ruim 2 keer uitgevallen door certificaatproblemen.
Gemiste audits: de afgelopen twee jaar is er bij de ondervraagde organisaties minstens één SSL/TLS-audit en één SSH-audit mislukt.
Internet-beveiliging gefundeerd op sleutels en certificaten
Alle IP-toepassingen, variërend van online bankieren en mobiele apps, tot en met het Internet of Things, worden beveiligd met digitale sleutels en certificaten. De afhankelijkheid daarvan neemt de komende jaren verder toe door het snelgroeiende gebruik van SSL/TLS en Internetten via mobiele netwerken, WiFi en VPN’s. Daardoor worden tevens de beschikbaarheid-, compliance- en beveiligingsrisico’s groter. Alleen niet in dezelfde verhouding. De veiligheidsrisico’s bedragen bij de ondervraagde organisaties de komende twee jaar 53 miljoen dollar en de compliance- en beschikbaarheidsrisico’s zo’n 7,2 miljoen dollar, Oftewel een verhouding van 7:1.
Uitdagingen beveiliging en beheer
De 2.300 IT-securityprofessionals zijn tevens gevraagd naar hun uitdagingen bij het beveiligen en beheren van alle sleutels en certificaten. Daaruit blijkt dat 54 procent niet weet hoeveel sleutels ze in gebruik hebben en waar deze worden bewaard. Dit percentage ligt hoger dan de 50 procent uit hetzelfde onderzoek twee jaar geleden. Security-analisten zijn van mening dat het aantal wordt onderschat. Dezelfde 54 procent gaf toe dat zij geen policybeleid hebben voor alle sleutels en certificaten. Daarom wordt het tijd dat organisaties meer aandacht gaan besteden aan de uitdagingen die ten grondslag liggen aan de risico’s op het gebied van beveiliging, beschikbaarheid en compliance, veroorzaakt door onvoldoende beveiligde sleutels en certificaten.
Audits en beleid
"Als bedrijven er onvoldoende in slagen om hun digitale sleutels en certificaten te beveiligen en te beheren, is de kans groot dat zij klanten en omzet verliezen," zegt Kevin Bocek, Vice President Security Strategy & Threath Intelligence bij Venafi. "Elke organisatie vertrouwt tegenwoordig op het vertrouwen dat sleutels en certificaten dagelijks bieden, ook al is men zich daar niet van bewust. Daarom zouden IT-beveiligers verplicht moeten worden om regelmatige audits uit te voeren naar alle gebruikte certificaten en sleutels en hun expiratiedata. Maar ook beleid te ontwikkelen om informatiediefstal, ongeplande systeemstoringen en mislukte audits te voorkomen."
Bewuster van risico’s
"Hopelijk maakt dit rapport IT-securityprofessionals en managementteams bewuster van de risico’s die zij lopen als encryptiesleutels en digitale certificaten onvoldoende worden beschermd," zegt Larry Ponemon, voorzitter en oprichter van het Ponemon instituut. "Sleutels en certificaten worden namelijk steeds breder toegepast en zijn onmisbaar voor het creëren van vertrouwde verbindingen en het beveiligen van online business. Het is duidelijk dat de data een groter beveiligingsprobleem onthult. Als men niet weet waar alle sleutels en certificaten worden gebruikt en beheerd, zijn ze uiteraard niet continu te monitoren en te beschermen. Organisaties die nalaten om ze tijdens de hele levenscyclus geautomatiseerd te beveiligen, verliezen vroeg of laat het online vertrouwen."
