In 2013 zagen we een groeiende complexiteit in de evolutie van de belangrijkste technologieën zoals cloud, big data en mobile computing. Net als een toegenomen bezorgdheid over de impact van geavanceerde malware, social media hacking en “afluisteren” (PRISM) op operaties en business-continuïteit wereldwijd. Er heerst dus twijfeling over de traditionele opvattingen met betrekking tot security en dan met name over waar de bedreigingen vandaan komen en plaatsvinden. 2013 was dan ook één van de drukste jaren voor enterprise security. De vraag is nu: wat heeft 2014 voor ons in petto?
Het huidige snelle tempo waarin technologieën zich ontwikkelen, creërt uitdagingen voor bedrijven en voor hun security officers die de strategie uitzetten voor 2014. Ik voorzie hierdoor een aantal interessante ontwikkelingen:
1. Cloud
Volgend jaar zal cloud security naar mijn mening verschuiven van “mystery and hype” naar “secure and move-on.” Service providers nemen security nog serieuzer, afgedwongen door klanten die betere en veiligere services verwachten. Voor zowel de publieke als private cloud maken we bovendien technologische vooruitgang in federatie, encryptie, virtualisatie security en monitoring. Reden tot voorzichtig optimisme dus.
2. Mobile security
Ondanks alle negatieve berichtgeving, ben ik optimistisch over de beveiliging van mobiele apparatuur. Eind 2014 zijn mobiele apparaten veiliger dan laptops vandaag de dag zijn. Fabrikanten van mobiele apparatuur en dienstverleners zullen de inspanningen op het gebied van enterprise security opvoeren. Momenteel zijn technologieën in ontwikkeling voor een veilig(er) beheer, het encrypten van data, spraak en de virtualisatie van business-omgevingen. Dit gebeurt allemaal terwijl de privéomgeving gewoon gebruikt kan worden voor persoonlijke zaken, zoals social media. Daarnaast verwacht ik, dat bedrijven het gebruik van hun mobiele apparatuur in 2014 goed bewaken en inzichtelijk maken. Een voorbeeld van deze ontwikkeling is de SimKo3-telefoon, ook wel de “Merkel” telefoon genoemd. Deze telefoon voldoet aan alle veiligheidsaspecten die gesteld zijn door de Duitse overheid.
3. Compliance
Het naleven van regelgeving blijft een verrassend krachtige drijfveer: gedreven door schendingen van bijvoorbeeld de Wet Bescherming Persoonsgegevens. De toevloed en complexiteit van geavanceerde bedreigingen zet naleving ervan veelal op een laag pitje. Tevens dreigt er nieuwe aangescherpte Europese regelgeving door de vele inbraken en schendingen en groeit de behoefte aan controle en automatische rapportage aan instanties.
Het type data dat bedrijven verzamelen en controleren om geavanceerde bedreigingen te detecteren zal “exploderen” in zowel de variatie als het volume. Dit brengt ook de nodige veranderingen met zich mee.
4. Intelligence
Security-intelligentie is een belangrijke factor in het geven van inzicht aan bedrijven over wat er daadwerkelijk gebeurt op hun systemen. Traditionele beveiligingsoplossingen zijn niet afdoende als klanten meer gevarieerde en omvangrijke gegevensstromen willen (laten) inspecteren.
5. Analyse
De vraag naar Data Scientists neemt exponentieel toe. Data Scientists analyseren de explosief toegenomen stroom aan security-data en ongestructureerde business-data. Daarnaast correleren zij de data, om de spreekwoordelijke beveiligingsrisico-naald in de zakelijke hooiberg te vinden.
6. Social
Ook verwacht ik, dat het delen van gegevens over bedreigingen toeneemt. Organisaties, zowel overheidsinstanties en bedrijven in de privésector, realiseren zich steeds vaker dat ze elkaar nodig hebben om veiligheidsrisico’s in kaart te brengen en bedreigingen voor te blijven. Hier ligt een kans voor de overheid, zoals het “Amber-Alert”, om het Nederlandse digitale grondgebied beter te beveiligen.
Bedrijven beginnen daarnaast met toezicht op informatie die gedeeld wordt op sociale netwerken (bijvoorbeeld Facebook, Twitter). Organisaties zijn dan ook van mening dat sociale netwerken en hackercommunities kunnen worden ontgonnen voor data-aanwijzingen. Die aanwijzingen tonen welke bedrijven mogelijke doelwitten zijn. Deze informatie kan zowel intern worden geanalyseerd, als via een dienst en/of de overheid worden verkregen.
7. Andere rol security officers
Rapporteren Security Officers in 2013 nog aan de CIO, vanaf 2014 zie ik dat veranderen. Op het gebied van enterprise security is de Security Officer is niet meer de “politieagent”, maar denkt mee met de bedrijfsvoering. Hij denkt na over hoe risico’s in de hand kunnen worden gehouden, zonder direct de “business” te raken. Security-afdelingen worden daarom zelfstandiger, en gaan meer een rol als adviesorgaan vervullen naar de CEO, CFO en CIO.
De beste verdediging is vaak een goede aanval. Om dreigingen voor te zijn, is het belangrijk om nu plannen te maken voor de komende jaren. Zo kunnen zij ICT-landschappen nog beter beveiligen en gegevens effectiever beschermen. Net als het afgelopen jaar wordt 2014 naar mijn mening een zeer actief en spannend jaar op het gebied van enterprise security.
Patrick de Goede van Eijk, Solution Expert Security & Enterprise Architect T-Systems
