Cisco 2019 CISO Benchmark Study ziet steeds meer consolidatie van leveranciers

Cisco publiceert zijn vijfde jaarlijkse 2019 CISO Benchmark Study. Het onderzoek is gehouden onder meer dan 3.000 securitymanagers in 18 landen en is een jaarlijks overzicht van de stand van zaken rond de CISO (chief information security officer). De resultaten van dit jaar laten zien dat security professionals meer prioriteit geven aan de consolidatie van leveranciers, samenwerking tussen netwerk- en security-teams en aan training om het securitybewustzijn te verhogen. Om de complexiteit het hoofd te bieden, geven veel CISOs aan dat migratie naar de cloud de beveiliging zal verbeteren. Tegelijk vertrouwen zij minder op technologieën die zich nog niet goed bewezen hebben, zoals artificial intelligence.

Complexe security-omgevingen die zijn opgebouwd uit oplossingen van 10 of meer securityleveranciers kunnen securityprofessionals het zicht op hun omgeving in de weg staan. Bijna twee derde van de respondenten vindt het niet gemakkelijk om te bepalen wat de omvang is van een incident en om er grip op te krijgen - en om exploits aan te pakken. De onbekende externe dreigingen rond gebruikers, data, apparaten en apps vormen eveneens een belangrijke zorg van CISOs. Voor het aanpakken van deze uitdagingen geven de respondenten het volgende aan:

• 64 procent investeert meer in verdedigingstechnologieën
• 39 procent traint werknemers om het securitybewustzijn te verhogen
• 39 procent richt zich op technieken om risico’s te verminderen

Respondenten geven daarnaast aan dat de financiële impact van een securitydoorbraak hoog blijft, Voor 45 procent bedroeg de financiële impact meer dan $500.000. Het goede nieuws is dat 50 procent deze kosten wist te beperken tot minder dan een half miljoen dollar. Maar een hardnekkige 8 procent heeft te maken met een torenhoge schade van meer dan $5 miljoen voor hun belangrijkste securitydoorbraak vorig jaar.

“Meer dan voorheen geven CISOs dit jaar aan dat zij veel proactiever zijn om hun kwetsbaarheden te verminderen. Zij doen dat door consolidatie, training en investeringen in technologieën voor cyberverdediging en impactbeperking van doorbraken. Meer er is nog meer te doen”, zegt Michel Schaalje,  Directeur Security Cisco Nederland. “Je kunt niet beschermen wat je niet kunt zien. Securityverantwoordelijken worstelen nog steeds om meer zicht te krijgen op hun organisatie en op dreigingen. Cisco helpt organisaties om dit aan te pakken en nieuwe technieken en technologieën te implementeren om kwaadwillenden en dreigingen een stap voor te blijven.”

Positieve ontwikkelingen

• Trends: minder puntoplossingen en meer consolidatie van leveranciers:
  • 54 procent van de respondenten geeft aan dat er 10 of minder leveranciers voor hun omgeving waren. Dat percentage is gestegen tot 63 procent.
  • In veel omgevingen zijn oplossingen van verschillende leveranciers niet geïntegreerd en kunnen geen alarmeringen en prioriteiten uitwisselen. Het onderzoek wijst uit dat CISOs met minder puntoplossingen hun alarmeringen beter konden managen.
• Teams die het beste samenwerken verliezen het minste geld. Eliminatie van silo’s levert tastbaar financieel voordeel op:
  • 59 procent geeft aan dat hun netwerk- en securityteams nauw of zeer nauw samenwerken. Hiervan geeft nog eens 59 procent aan dat de financiële impact van hun belangrijkste securitydoorbraak minder was dan $100.000 – de laagste kosten die in het onderzoek zijn genoemd.
• Er is meer vertrouwen in security-uit-de-cloud:
  • 93 procent van de CISOs zegt dat migratie naar de cloud de efficiency en effectiviteit van hun teams heeft verbeterd.
• De perceptie dat het beveiligen van de cloudinfrastructuur moeilijk is, is iets afgenomen:
  • 52 procent in 2019 vergeleken met 55 procent in 2017.
• Gebruik van risico-inventarisatie en risicometingen die de gehele business omvatten – deels gedreven door afgesloten cyberverzekeringen – speelt een toenemende rol bij het selectie van technologie en helpt CISO met een focus op operationele zaken:
  • 40 procent van de respondenten maakt gebruik van een cyberverzekering om, op zijn minst ten dele, hun budget vast te stellen.
• ‘Cybervermoeidheid’ - gedefinieerd als het virtueel opgeven om dreigingen en kwaadwillenden vóór te blijven: 30 procent zegt last te hebben van deze vermoeidheid, in 2017 was dat nog 46 procent.

CISOs zien de volgende uitdagingen en kansen voor verbetering

• AI en machine learing zijn, indien juist toegepast, essentieel voor de beginfase van prioritering en management van meldingen. Niettemin is het gebruik van deze technologieën afgenomen, waarschijnlijk omdat de respondenten nu vinden dat deze tools nog in de kinderschoenen staan.
  • Vertrouwen op machine learning is afgenomen tot 67 procent, vergeleken met 77 procent in 2018.
  • Gebruik van AI is afgenomen tot 66 procent, vergeleken met 74 procent in 2018.
  • Automatisering is afgenomen tot 75 procent, vergeleken met 83 procent in 2018.
• Werknemers en gebruikers blijven de grootste beveiligingsuitdaging voor veel CISOs. Een organisatorisch proces om vanaf dag één securitybewustzijnstraining te volgen is essentieel.
  • Slechts 51 procent zegt zelf een excellente job te doen als het gaat om de securitytraining voor nieuwe werknemers en processen voor werknemers die worden overgeplaatst of de organisatie verlaten.
• E-mail blijft de belangrijkste dreiging vormen:
  • Phishing en riskant gedrag van gebruikers (zoals het klikken op kwaadaardige links in e-mail of op websites) komt nog steeds vaak voor en is een grote zorg voor CISOs. Dit risico is de afgelopen drie jaar voor 56 tot 57 procent de belangrijkste zorg. Samen met achterblijvende securitybewustzijnsprogramma’s kan dit een belangrijke lacune zijn die de securitysector kan helpen wegnemen.
• Beheer van meldingen en herstel blijft een uitdaging. Een gerapporteerde daling van het herstel na legitieme meldingen (50,5 procent in 2018 en 42,7 procent dit jaar) is zorgelijk gegeven dat veel respondenten herstel zien als een belangrijke indicator voor de effectiviteit van security.
  • Securitymetingen veranderen. Het aantal respondenten dat de gemiddelde tijd tot detectie gebruikt als maatstaf voor de effectiviteit van security is afgenomen van 61 procent in 2018 tot 51 procent in 2019. Tijd tot herstel wordt steeds meer gebruikt als maatstaf voor succes: 48 procent van de respondenten gebruikt deze maatstaf, vergeleken met 30 procent in 2018.

Aanbevelingen voor CISOs

• Baseer het securitybudget op meetbare uitkomsten en een praktische aanpak, samen met een cyberverzekering en risico-inventarisatie voor het bepalen van het inkoopbeleid, de strategie en de managementbeslissingen.
• Organisaties kunnen processen inzetten die zich in de praktijk bewezen hebben om blootstelling aan dreigingen te verminderen. Bereid deze voor met oefeningen, zet rigoureuze onderzoeksmethoden in en wees op de hoogte van de meest doelmatige herstelmethoden.
• De enige manier om te begrijpen wat de onderliggende securitybehoeften van een business case zijn, is samenwerking tussen de afdelingen die zich bezig houden met IT, het netwerk, security en risico/compliance.
• De orkestratie van respons op incidenten met verschillende tools beweegt zich sneller van detectie naar respons en met minder handmatige coördinatie.
• Combineer dreigingsdetectie met toegangscontrole om interne dreigingen aan te pakken en stem dit af op een programma zoals Zero Trust.
• Adresseer de belangrijkste dreiging met anti-phishingtraining, multi-factor authenticatie, geavanceerde spamfiltering en DMARC (Domain-based Message Authentication, Reporting, and Conformance) voor bescherming tegen e-mail phishing.

Het volledige onderzoek is hier te vinden.