'94% organisaties heeft securityproblemen bij ontwikkeling API's'

De meeste respondenten beheren een groot aantal API's: 6 op de 10 beheert er nu ruim 100. "Digitalisering heeft ervoor gezorgd dat organisaties steeds meer afhankelijk zijn van API's om nieuwe diensten te leveren en beter te kunnen concurreren. Deze focus op digitale innovatie heeft organisaties ook een interessant doelwit gemaakt voor cybercriminelen", zegt Roey Eliyahu, medeoprichter en CEO van Salt Security.

Het kwaadaardige API-verkeer is de afgelopen 12 maanden dan ook verdubbeld, stelt het rapport. Klanten van Salt Security zagen een toename van 117% in hun API-aanvalsverkeer. Het totale API-verkeer groeide ook, namelijk met 168%. Kwaadaardig API-verkeer neemt daarmee nu 2,1% van het totale verkeer voor zijn rekening. Gemiddeld zijn er nu 24,46 miljoen pogingen tot API-aanvallen per maand wereldwijd. 

Vertraging door securityzorgen

Veel respondenten hebben dan ook zorgen rondom hun API-strategie en API-beveiliging. Zo maakt 20% zich zorgen dat er niet genoeg geïnvesteerd wordt in pre-production security en is 18% bang dat de runtimebeveiliging niet adequaat aangepakt wordt. Het meest relevante API-securityrisico bestaat volgens 42% echter uit verouderde API's. 

De zorgen over API-security hebben bovendien best wat gevolgen. Zo geeft 54% aan dat ze daardoor vertraging hebben opgelopen bij de uitrol van nieuwe applicaties. En dat kan best terecht zijn: bijna een derde geeft toe dat het afgelopen jaar gevoelige gegevens werden blootgesteld of dat ze een privacy-incident hadden binnen hun API-productie. 

Securitystrategie belangrijk, maar niet aanwezig

Risico's kunnen volgens Salt Security onder meer ontstaan door een enorme focus op shift-left-strategieën. "Organisaties die alleen shift-left testen toepassen, blijven hun API's blootstellen", aldus het rapport. 94% van de respondenten die alleen tijdens het testen op zoek gingen naar API-problemen heeft namelijk nog steeds met API-security-incidenten te maken. Volgens het rapport moeten organisaties zich dan ook meer gaan richten op runtime-bescherming. 

Verder valt op dat een grote meerderheid (61%) geen of slechts een basis-API-beveiligingsstrategie heeft. Dat terwijl alle respondenten API's in productie hebben. De belangrijkste reden dat er geen of geen geavanceerde API-strategie is, is budget, aldus 24%. Daarnaast worden expertise (20%), middelen (19%) en tijd (11%) als redenen genoemd.