Om je gegevens goed te beveiligen, moet je een beetje paranoïde zijn

Alleen al in de afgelopen week meldden Amerikaanse organisaties het verliesvan bijna een kwart miljoen gegevens aan bij de overheid. Daartoe zijn ze verplicht. Daarbij ging het om socialeverzekeringsnummers, medische gegevens, namen en adressen. Voor zover bekend zijn in de VS zeker 215 miljoen gegevens verloren gegaan danwel gestolen sinds januari 2005. Hoeveel het er zijn in Europa is minder duidelijk, omdat hier nog geen vergelijkbare meldplicht is als in de VS.
Grondige encryptie van deze gegevens, zien veel beveiligers als de belangrijkste mogelijkheid om misbruik van gestolen gegevens tegen te gaan, zo blijkt uit een vooruitblik die circa twintig leveranciers van IT-beveiliging gaven op de Infosecurity Europe-beurs die volgende week in Londen wordt georganiseerd. Wasim Ahmad van Voltage Security stelt dat het beveiligen van de infrastructuur niet genoeg is. “Er worden nu eenmaal menselijke fouten gemaakt en criminelen gaan makkelijk door dergelijke beveiliging heen. De informatie zelf moet beveiligd zijn. Zouden bijvoorbeeld creditcardnummers niet met gebruikersinformatie daarover zijn verbonden, dan zou er heel wat minder schade zijn bij diefstal. Encrypt de database”, is zijn advies.
“Ponskaarten werden niet gestolen”, verzucht Bo Sorensen, directeur van het Finse SSH. Hij wijst op de zo onberekenbare menselijke factor. “Je kunt niet alles automatiseren dus is er altijd de menselijke factor waarmee je rekening moet houden. Als industrie moeten we daarom meer opvoeden en voorlichten. Zeker in het verleden had men weinig interesse in beveiliging. Daar komt bij dat er een tekort is aan beveiligingskennis binnen organisaties. Veel bedrijven doen daarom niets of kiezen een goedkope oplossing. En ja, er is veel overhyped in deze industrie en er worden veel horrorverhalen verteld. Maar met een simpel horrorverhaal snappen ze het wél.” En horrorverhalen zijn er genoeg. Zo verwacht Creative Strategies dat er dit jaar 5 miljoen smartphones gestolen of verloren worden, alleen al in de VS. In 2010 gaat het al om 14 miljoen stuks. De gegevens hierop maken 14 en 21 procent uit van de totale financiële verliezen die worden geleden als gevolg van aanvallen op de IT-resources. “Steeds meer mensen hebben gegevens op mobiele apparatuur en dat is vaak slecht beveiligd. Encryptie van die data is hard nodig”, zegt Alexei Lesnykh van SmartLine.
Richard Moulds van NCipher wijst in dit verband op het belang van goed sleutelbeheer. “Dat is een must. En de sleutel moet steeds complexer, want systemen om ze te breken worden steeds krachtiger.” Volgens hem moet je als bedrijf vijf dingen doen om je te beschermen. Een firewall en antimalwaresoftware installeren, beveiligingsupdates trouw uitvoeren, encryptie en sleutelbeheer verzorgen en paranoïde zijn.”
Een probleem is echter dat bedrijven vaak niet eens weten dat hun data verdwijnen; dat is immers geen fysieke verdwijning. Ze weten dan al helemaal niet waar die data naartoe zijn, meent Simon Earl van Guardian Edge. “Je moet de volgende vragen kunnen beantwoorden: Wie heeft mijn data? Wie heeft ze nu echt? Wie hebben die data nodig en zijn ze encrypted? In de VS is dat verplicht om te weten, maar in de EU niet.” Een simpele rekensom zou klanten toch over de brug moeten krijgen om de beveiliging goed aan te pakken. “Beveiliging van een databestand kost gemiddeld 16 dollar, maar het verlies ervan kost gemiddeld 200 dollar per bestand.” Die cijfers variëren overigens nogal. Zo berekent Forrester dataverlies op 300 dollar per bestand, maar het verschil blijft groot.
Juist dergelijke duidelijke berekeningen kunnen tot een verbetering van de beveiliging leiden. “Beveiliging wordt nog altijd puur als een kostenpost gezien. Daarom is het belangrijk in de taal van de business te spreken: die is er vooral in geïnteresseerd wat hij ermee kan besparen”, zegt Sorensen van SSH. Maar dan moeten de IT-beveiligers er wel voor zorgen dat ze de businesstaal spreken, zegt Ray Stanton, van BT Global Services. En dat is niet vanzelfsprekend. “Er is een fundamenteel probleem tussen de talen die IT’ers spreken en die van de businessmedewerkers. Zég gewoon wat je wilt en wat de risico’s zijn.”
/t.vrede@sdu.nl