Ons almal weet dat baie organisasies beter kan doen met databeskerming. Die Britse regering se Kubersekuriteitsoortredingsopname 2025 beklemtoon 'n hele lys tekortkominge – van bewustheidsopleiding tot voorvalreaksie – wat hulle indirek blootstel aan kuberrisiko. Selfs die bestaan ​​van 'n streng databeskermingsraamwerk (GDPR/Data Protection Act 2018) vir die afgelope sewe jaar het nie gehelp om die gety te stuit nie. Die regering beweer dat meer as twee vyfdes (43%) van Britse besighede die afgelope 12 maande 'n aanval of oortreding ervaar het.

Daar is egter genoeg geleenthede vir vinnige oorwinnings, iets wat uitgelig word deur 'n nuwe verslag van Huntsman Security . Dit wys daarop dat 30% van die voorvalle wat verlede jaar by die Britse en Australiese databeskermingsreguleerders aangemeld is, verantwoordelik was vir 90% van die slagoffers van die databreuk. As sodanig kan die verslag se bevindinge 'n nuttige plek bied vir kontantarm organisasies om hul onmiddellike pogings te fokus.

Hoe die Verenigde Koninkryk en Australië verskil

Huntsman Security het 'n versoek om vryheid van inligting (FOI) by beide die Britse Inligtingskommissaris se Kantoor (ICO) en die Australiese Inligtingskommissaris (OAIC) ingedien. Die resultate bied 'n effens verskillende prentjie van die regulatoriese en korporatiewe sekuriteitslandskap in elke land.

VK: Van die 9 654 datasekuriteitsvoorvalle wat verlede jaar deur Britse firmas aan die ICO aangemeld is, was 2 817 (29%) gekoppel aan brute-force-aanvalle, wanware, phishing, ransomware en stelselwankonfigurasies. Tog het hierdie voorvalle byna 80% van die slagoffers van databreuke uitgemaak: 13.9 miljoen uit 17.6 miljoen.

Huntsman Security het beweer dat hierdie ook 90% van kuberverwante datasekuriteitsvoorvalle verteenwoordig, wat beteken dat 'n fokus op sekuriteitsbeheermaatreëls 'n effektiewe manier kan wees om dit te verminder. Baie was blykbaar hoogs geteiken en dus ontwerp om te lei tot die diefstal van waardevolle data soos gesondheidsrekords, finansiële inligting en identiteitsdokumente.

Australië: 'n Totaal van 1 188 voorvalle (32% van die totaal wat tussen 2022/24 aangemeld is) het brute-force-aanvalle, wanware, phishing, ransomware, hacking en ongemagtigde toegang behels. Hierdie was verantwoordelik vir 77% van alle gekompromitteerde rekords. Die verslag toon ook dat kriminele aanvalle (in teenstelling met toevallige oortredings) 62% van alle oortredings uitgemaak het, maar 98% van alle slagoffers.

Die verslag beklemtoon ook dat dit organisasies in Australië 48 dae geneem het om hierdie oortredings te identifiseer en 86 dae voordat hulle dit aan die OAIC gerapporteer het. Dit word eenvoudig nie toegelaat onder die GDPR nie, waar kennisgewing in die meeste gevalle binne 72 uur moet plaasvind.

Waar die VK misluk

Hierdie bevindinge stem ietwat ooreen met die Britse regering se verslag oor data-oortredings. Soos voorheen deur ISMS.online berig, beklemtoon dit 'n lang lys van kwessies wat bydra tot 'n toename in voorkombare data-oortredings, insluitend 'n algemene gebrek aan:

  • Personeelopleidingsprogramme, waar opname nie verskuif het van die vorige jaar se verslag nie
  • Derdepartyverskaffersrisikobeoordelings, wat deur slegs 32% van mediumgrootte en 45% van groot firmas uitgevoer is
  • Voorvalreaksieplanne, wat slegs deur die helfte (53%) van mediumgrootte besighede en driekwart (75%) van groot besighede gebruik is
  • Kubersekuriteitstrategie: slegs 57% van middelgrote maatskappye en 70% van groter firmas het selfs een gehad
  • Raadsaalverteenwoordiging vir kuber: slegs die helfte (951%) van mediumgrootte en twee derdes (66%) van groot firmas het iemand aan die boonste tafel gehad wat verantwoordelik was vir kuberstrategie – 'n syfer wat feitlik onveranderd was vir drie jaar
  • Maandelikse kuberopdaterings vir sakeleiers, wat slegs 39% van middelgrote en 55% van groot firmas doen

Beste praktyk in lyn bring met standaarde

Daar is een voorbehoud met die Huntsman Security-syfers. Dit tel slegs voorvalle waar 'n oorsaak vir elke oortreding geïdentifiseer kon word. Baie meer het dalk nie een toegeken nie as gevolg van swak forensiese ondersoeke of voorvalreaksie. Dit beklemtoon egter steeds 'n belangrike boodskap. Deur te fokus op die bogenoemde voorvaltipes en bedreigings, sowel as beste praktyk-kuberveiligheidsprosesse wat bekend is om hierdie risiko's te verminder, kan sekuriteitspanne 'n paar nuttige vinnige oorwinnings behaal.

Morten Mjels, uitvoerende hoof van die konsultantfirma Green Raven , voer aan dat kultuur die sleutel is om te verseker dat beste praktyke gevolg word.

“Die verandering moet wel van bo af kom, en jy kan die kultuur verander deur eenvoudig verskeie praktyke gelyktydig te implementeer,” sê hy vir ISMS.online. “As jy geen idee het van jou potensiële blootstelling nie, kry 'n risikobepaling professioneel gedoen. Hulle sal die gate in jou mure kan vind en jou kan help om dit reg te maak. Moenie op jou IT-mense staatmaak om alles reg te maak nie; hulle is nie alwetende wonderwerkers nie.”

Huntsman se hoof van produkbestuur, Piers Wilson, vertel aan ISMS.online dat standaarde en raamwerke soos ISO 27001 en ISO 27701 “’n belangrike deel kan vorm van die vermindering van kuberrisiko’s deur te verseker dat organisasies hul risiko’s verstaan, beste praktyke volg en toepaslike beheermaatreëls definieer.”

Hy voeg by: “Die belangrike deel is om te kies watter raamwerk jy toepas: of dit nou ISO, NIST, of kleiner, meer gefokusde standaarde en skemas soos Cyber Essentials of Australië se Essential Eight is.”

Die doelwit deurgaans moet wees om 'n stel beheermaatreëls te vestig wat wyd verstaan en erken word en dan universeel toegepas word, voeg hy by.

“In die meeste gevalle is die bedoeling of die beleid nie die probleem nie; dis die uitvoering. Standaarde-nakoming kan die risiko loop om 'n afmerkblokkie-oefening te word, en die kadens van ouditering en verslagdoening is dalk nie gereeld genoeg vir moderne, veranderende kuberbedreigings nie,” voer Wilson aan.

“’n Jaarlikse oudit of kwartaallikse verslag sal nie die intydse sigbaarheid en begrip van kwesbaarhede gee wat die moderne bedreigingslandskap vereis nie. Tussen hierdie oudits kan die organisasie se houding dryf en grootliks onseker wees.”

Daarom vereis ISO 27001 dat organisasies gereelde interne oudits en deurlopende monitering moet uitvoer om voortdurende verbetering te bevorder.

Wilson merk op dat effektiewe kommunikasie noodsaaklik is om nakoming te bereik.

“Elke belanghebbende in ’n organisasie, van sekuriteitsontleders tot risikobestuurspanne en bestuurders, moet met een oogopslag verstaan of goeie, ooreengekome praktyke gevolg word, watter staatsbeheermaatreëls eintlik in werking is, en wie verantwoordelik is vir die oplos van probleme,” sluit hy af.

“Dit is noodsaaklik om hierdie deurlopende sigbaarheid en kommunikasie te verseker sodat hierdie standaarde die gewenste effek kan hê.”