Focussen digitale retailers zich op de verkeerde beveiliging?
Retailers werden dit jaar geplaagd door enkele opvallende gegevenslekken, denk maar aan de Amerikaanse winkelketen Target waarvan 40 miljoen kredietkaartgegevens en persoonlijke gegevens van 70 miljoen klanten gestolen werden.
Heel wat van die gegevenslekken gebeuren door SQL-injecties, meent Larry Ponemon, oprichter van het Ponemon Institute. Het instituut ondervroeg bijna zeshonderd IT- en IT-beveiligingsspecialisten over SQL-injecties. Maar liefst 65% van de ondervraagde organisaties heeft in de laatste 12 maanden te maken gehad met een SQL-injectieaanval die de verdediging van hun perimeter voorbij raakte en 49% zegt dat de bedreiging van SQL-injecties voor hun organisatie significant is.
De meerderheid van de ondervraagde experts gelooft dat de beste verdediging tegen SQL-injecties bestaat uit het continu monitoren van het netwerk, gevolgd door geavanceerde vormen van monitoren van de database-activiteit en het versleutelen van de database. Wanneer dezelfde experts dan gevraagd wordt hoe de IT-beveiligingsbudgetten in hun organisatie verdeeld zijn, blijkt dat het leeuwendeel (40%) naar netwerkbeveiliging gaat, 23% naar beveiliging van de webserver en slechts 19% naar beveiliging van de database. En dat terwijl de meerderheid wel vertrouwd blijkt te zijn met intrusion detection systems (IDS) die kwaadaardige SQL-opdrachten kunnen detecteren.
Volg de database
Die mismatch is volgens Ponemon onder andere te wijten aan de oudere generatie beveiligingsprofessionals: “De oudere beveiligingsprofessionals hebben het meeste van hun opleiding over netwerkbeveiliging en de perimeter gekregen. Dat is wat ze kennen.” Zijn advies is dan ook om meer te focussen op de beveiliging van de database. Slechts een derde van de respondenten in de studie van Ponemon geeft aan dat ze continu of dagelijks de database-activiteit monitoren, terwijl 22% dat nooit doet.
Slechts 48% van de respondenten zegt dat ze third-party software test of valideert om zich ervan te verzekeren dat ze niet kwetsbaar zijn voor SQL-injecties. En terwijl 44% professionele penetration testers gebruikt om kwetsbaarheden in hun IT-systemen te identificeren, zegt 65% van die groep dat hun penetration testers niet op SQL-injecties testen.
In samenwerking met CIO.com.
