Ons almal weet dat baie organisasies beter kan doen met databeskerming. Die Britse regering se Opname oor kuberveiligheidsoortredings 2025 beklemtoon 'n hele lys tekortkominge – van bewustheidsopleiding tot voorvalreaksie – wat hulle indirek blootstel aan kuberrisiko. Selfs die bestaan van 'n streng databeskermingsraamwerk (GDPR/Data Protection Act 2018) vir die afgelope sewe jaar het nie gehelp om die gety te stuit nie. regeringseise meer as twee vyfdes (43%) van Britse besighede het die afgelope 12 maande 'n aanval of databreuk ervaar.

Daar is egter genoeg geleenthede vir vinnige oorwinnings, iets wat uitgelig word deur 'n nuwe verslag van Huntsman SekuriteitDit wys daarop dat 30% van die voorvalle wat verlede jaar by die Britse en Australiese databeskermingsreguleerders aangemeld is, verantwoordelik was vir 90% van die slagoffers van databreuke. As sodanig kan die verslag se bevindinge 'n nuttige plek bied vir kontantarm organisasies om hul onmiddellike pogings te fokus.

Hoe die Verenigde Koninkryk en Australië verskil

Huntsman Security het 'n versoek om vryheid van inligting (FOI) by beide die Britse Inligtingskommissaris se Kantoor (ICO) en die Australiese Inligtingskommissaris (OAIC) ingedien. Die resultate bied 'n effens verskillende prentjie van die regulatoriese en korporatiewe sekuriteitslandskap in elke land.

Verenigde Koninkryk: Uit die 9,654 2,817 datasekuriteitsvoorvalle wat verlede jaar deur Britse firmas aan die ICO aangemeld is, was 29 80 (13.9%) gekoppel aan brute-force-aanvalle, wanware, phishing, ransomware en stelselwankonfigurasies. Tog het hierdie voorvalle byna 17.6% van die slagoffers van die oortreding uitgemaak: XNUMX miljoen uit XNUMX miljoen.

Huntsman Security het beweer dat hierdie ook 90% van kuberverwante datasekuriteitsvoorvalle verteenwoordig, wat beteken dat 'n fokus op sekuriteitsbeheermaatreëls 'n effektiewe manier kan wees om dit te verminder. Baie was blykbaar hoogs geteiken en dus ontwerp om te lei tot die diefstal van waardevolle data soos gesondheidsrekords, finansiële inligting en identiteitsdokumente.

Australië: 'n Totaal van 1,188 32 voorvalle (2022% van die totaal wat tussen 24/77 aangemeld is) het brute-force-aanvalle, wanware, phishing, ransomware, hacking en ongemagtigde toegang behels. Hierdie was verantwoordelik vir 62% van alle gekompromitteerde rekords. Die verslag toon ook dat kriminele aanvalle (in teenstelling met toevallige oortredings) 98% van alle oortredings uitgemaak het, maar XNUMX% van alle slagoffers.

Die verslag beklemtoon ook dat dit organisasies in Australië 48 dae geneem het om hierdie oortredings te identifiseer en 86 dae voordat hulle dit aan die OAIC gerapporteer het. Dit word eenvoudig nie toegelaat onder die GDPR nie, waar kennisgewing in die meeste gevalle binne 72 uur moet plaasvind.

Waar die VK misluk

Hierdie bevindinge stem ietwat ooreen met die Britse regering se verslag oor oortredings. Soos voorheen berig deur ISMS.aanlyn, dit beklemtoon 'n lang lys van kwessies wat bydra tot 'n toename in voorkombare data-oortredings, insluitend 'n algemene gebrek aan:

  • Personeelopleidingsprogramme, waar opname nie verskuif het van die vorige jaar se verslag nie
  • Derdepartyverskaffersrisikobeoordelings, wat deur slegs 32% van mediumgrootte en 45% van groot firmas uitgevoer is
  • Voorvalreaksieplanne, wat slegs deur die helfte (53%) van mediumgrootte besighede en driekwart (75%) van groot besighede gebruik is
  • Kubersekuriteitstrategie: slegs 57% van middelgrote maatskappye en 70% van groter firmas het selfs een gehad
  • Raadsaalverteenwoordiging vir kuber: slegs die helfte (951%) van mediumgrootte en twee derdes (66%) van groot firmas het iemand aan die boonste tafel gehad wat verantwoordelik was vir kuberstrategie – 'n syfer wat feitlik onveranderd was vir drie jaar
  • Maandelikse kuberopdaterings vir sakeleiers, wat slegs 39% van middelgrote en 55% van groot firmas doen

Beste praktyk in lyn bring met standaarde

Daar is een voorbehoud met die Huntsman Security-syfers. Dit tel slegs voorvalle waar 'n oorsaak vir elke oortreding geïdentifiseer kon word. Baie meer het dalk nie een toegeken nie as gevolg van swak forensiese ondersoeke of voorvalreaksie. Dit beklemtoon egter steeds 'n belangrike boodskap. Deur te fokus op die bogenoemde voorvaltipes en bedreigings, sowel as beste praktyk-kuberveiligheidsprosesse wat bekend is om hierdie risiko's te verminder, kan sekuriteitspanne 'n paar nuttige vinnige oorwinnings behaal.

Morten Mjels, uitvoerende hoof van konsultasie Groen Raaf, voer aan dat kultuur die sleutel is om te verseker dat beste praktyke gevolg word.

“Die verandering moet wel van bo af kom, en jy kan die kultuur verander deur eenvoudig verskeie praktyke gelyktydig te implementeer,” sê hy vir ISMS.online. “As jy geen idee het van jou potensiële blootstelling nie, kry 'n risikobepaling professioneel gedoen. Hulle sal die gate in jou mure kan vind en jou kan help om dit reg te maak. Moenie op jou IT-mense staatmaak om alles reg te maak nie; hulle is nie alwetende wonderwerkers nie.”

Huntsman se hoof van produkbestuur, Piers Wilson, vertel aan ISMS.online dat standaarde en raamwerke soos ISO 27001 en ISO 27701 “’n belangrike deel kan vorm van die vermindering van kuberrisiko’s deur te verseker dat organisasies hul risiko’s verstaan, beste praktyke volg en toepaslike beheermaatreëls definieer.”

Hy voeg by: “Die belangrike deel is om te kies watter raamwerk jy toepas: of dit nou ISO, NIST, of kleiner, meer gefokusde standaarde en skemas soos Cyber Essentials of Australië se Essential Eight is.”

Die doelwit deurgaans moet wees om 'n stel beheermaatreëls te vestig wat wyd verstaan en erken word en dan universeel toegepas word, voeg hy by.

“In die meeste gevalle is die bedoeling of die beleid nie die probleem nie; dis die uitvoering. Standaarde-nakoming kan die risiko loop om 'n afmerkblokkie-oefening te word, en die kadens van ouditering en verslagdoening is dalk nie gereeld genoeg vir moderne, veranderende kuberbedreigings nie,” voer Wilson aan.

“’n Jaarlikse oudit of kwartaallikse verslag sal nie die intydse sigbaarheid en begrip van kwesbaarhede gee wat die moderne bedreigingslandskap vereis nie. Tussen hierdie oudits kan die organisasie se houding dryf en grootliks onseker wees.”

Daarom vereis ISO 27001 dat organisasies gereelde interne oudits en deurlopende monitering moet uitvoer om voortdurende verbetering te bevorder.

Wilson merk op dat effektiewe kommunikasie noodsaaklik is om nakoming te bereik.

“Elke belanghebbende in ’n organisasie, van sekuriteitsontleders tot risikobestuurspanne en bestuurders, moet met een oogopslag verstaan of goeie, ooreengekome praktyke gevolg word, watter staatsbeheermaatreëls eintlik in werking is, en wie verantwoordelik is vir die oplos van probleme,” sluit hy af.

“Dit is noodsaaklik om hierdie deurlopende sigbaarheid en kommunikasie te verseker sodat hierdie standaarde die gewenste effek kan hê.”