Als het beheren van de beveiliging van meerdere cloudproviders nog niet moeilijk genoeg is, falen ze allemaal op een andere manier. Voor de Cloud Security Index van 2026 analyseerde Intruder foutieve configuratiegegevens van 3.000 organisaties in AWS, Azure en Google Cloud en ontdekte dat risicoprofielen bij verschillende providers vrijwel niets met elkaar gemeen hebben. Zo zien de gegevens eruit.
Hoe risico verschilt tussen cloudproviders
Indringer groepeerde elke verkeerde configuratie in een van de zes categorieën: zwak identiteits- en toegangsbeheer (IAM), ontbrekende logboekregistratie, verkeerd geconfigureerde services, tolerante firewalls, blootgestelde services en zwakke codering. Voor elke categorie vergeleken ze hoeveel accounts bij de drie providers ten minste één probleem vertoonden.
Zwakke IAM-controles en ontbrekende logboekregistratie zijn vrijwel universeel en beïnvloeden tussen 80% en 98% van de accounts, ongeacht de provider. In de andere vier categorieën lopen de zaken uiteen:
- Blootgestelde services: AWS (76%)Azuur (64%)GoogleCloud (8%)
- Permissieve firewalls: AWS (83%)Azuur (45%)GoogleCloud (34%)
- Zwakke encryptie: AWS (49%)Azuur (35%)GoogleCloud (8%)
- Verkeerd geconfigureerde services: AWS (68%)Azuur (80%)GoogleCloud (37%)
De grootste kloof betreft de blootgestelde services, met 76% op AWS versus 8% op Google Cloud. Toegeeflijke firewalls en zwakke codering volgen hetzelfde patroon, waarbij AWS het hoogst is en Google Cloud het laagst. Verkeerd geconfigureerde services vormen de uitzondering op dat patroon: Azure leidt met 80%, terwijl Google Cloud met 37% het laagst is.
Eén verklaring voor het feit dat AWS in vijf van de zes categorieën toonaangevend is qua prevalentie, is dat het qua dienstenaanbod de grootste aanbieder is. Meer services betekent meer configuratieopties en meer kans op verkeerde configuratie.
Google Cloud heeft de laagste prevalentie in vijf categorieën en biedt ook de minste services. De lagere prevalentie zou ook kunnen worden verklaard door de andere benadering van gedeelde verantwoordelijkheid, met een Shared Fate-model dat kant-en-klare veiligere standaardinstellingen biedt, met name op het gebied van netwerkblootstelling en encryptie.
Hier ziet u hoe deze categorieën eruit zien als feitelijke verkeerde configuraties op elk platform.
AWS: firewalls en encryptie
Waar AWS-accounts het vaakst fout gaan:
- S3 dwingt HTTPS niet af – 87%
- Permissieve toegang tot gevoelige poorten (via ACL) — 84%
- Overmatig toegeeflijke netwerk-ACL — 83%
- IAM-beleid staat escalatie van bevoegdheden toe – 83%
- VPC-eindpunt niet ingeschakeld voor EC2 — 82%
S3-buckets die HTTPS niet afdwingen, zijn het probleem dat de meeste AWS-accounts treft. S3 is een van de meest gebruikte cloudopslagdiensten, en hoewel man-in-the-middle-aanvallen hiertegen zeldzaam zijn, is er weinig reden om eenvoudige HTTP beschikbaar te laten.
IAM-beleid dat escalatie van bevoegdheden mogelijk maakt, is van invloed op 83% van de accounts. AWS IAM is notoir complex en een beheerd beleid dat er veilig uitziet, kan nog steeds bredere machtigingen verlenen dan bedoeld. Bij een recent incident ging een aanvaller in minder dan 10 minuten van openbaar gemaakte inloggegevens naar beheerdersrechten, waarbij 19 AWS-principals in gevaar kwamen.
Azure: opslag en identiteit
De meest voorkomende verkeerde configuraties op Azure-accounts:
- Sleutelrotatie opslagaccount niet ingeschakeld: 67%
- Toegangssleutels voor opslagaccount ingeschakeld: 66%
- Opslagaccount Openbare netwerktoegang ingeschakeld — 61%
- Entra-gebruiker zonder MFA — 55%
- Vertrouwd starten niet ingeschakeld — 45%
De drie belangrijkste problemen hebben allemaal betrekking op Azure Storage-accounts, die vaak gevoelige gegevens bevatten, zoals persoonlijk identificeerbare informatie (PII). Alle drie hebben invloed op een vergelijkbaar aandeel accounts, wat erop wijst dat als opslagaccounts niet zijn verscherpt, er vaak meerdere besturingselementen tegelijk ontbreken.
Ruim de helft van de accounts heeft ook Entra ID-gebruikers zonder multi-factor authenticatie (MFA). Dat is het vermelden waard omdat Entra ID de toegang regelt die verder gaat dan alleen cloudbronnen: het omvat Microsoft 365, SaaS-apps van derden en on-premise systemen. De Midnight Blizzard-inbreuk in 2024 op het eigen netwerk van Microsoft begon met een wachtwoordspray-aanval op een verouderd testaccount zonder MFA.
Google Cloud: IAM
Bijna elk topprobleem op Google Cloud komt neer op identiteits- en toegangsbeheer:
- OS Login MFA niet ingeschakeld — 77%
- OS-aanmelding niet ingeschakeld — 76%
- Ongebruikt serviceaccount — 75%
- Overmatig toegeeflijk serviceaccount — 53%
- Permissieve toegang tot gevoelige poorten — 34%
Meer dan driekwart van de accounts mist OS Login-controles, die een veiliger alternatief bieden voor traditionele SSH.
Hoe de omvang van de organisatie het beeld verandert
Voor de meeste categorieën daalt de prevalentie naarmate organisaties groeien. Bij grotere ondernemingen is de kans kleiner dat ze over soepele firewalls, blootgestelde services of zwakke encryptie beschikken.
De uitzondering is IAM. Zwakke IAM-controles treffen 87% van het MKB (minder dan 250 werknemers), 95% van de middelgrote organisaties (251-10.000 werknemers) en 98% van de grote ondernemingen (10.000 tot 100.000 werknemers). Dit is van groot belang omdat één enkele, overbevoorrechte identiteit vaak voldoende is om controles te omzeilen die elders zijn verscherpt.
Organisaties in het middensegment doen er ook het langst over om cloudproblemen op te lossen, gemiddeld 35 dagen, vergeleken met 8 tot 16 dagen voor kleinere bedrijven en 10 dagen voor grote ondernemingen. Het suggereert dat teams uit het middensegment de complexiteit van de cloud op ondernemingsniveau beheren zonder de bijbehorende specifieke middelen.
Wat dit betekent voor beveiligingsteams
Voor teams die meerdere providers beheren, is het moeilijk om te begrijpen welke risico’s het belangrijkst zijn voor het hele bedrijf, zodat de beperkte tijd en middelen naar de juiste plaatsen gaan. Beveiligingsteams hebben een consistente manier nodig om de status van alle providers te beoordelen, terwijl ze de platformspecifieke details behouden die nodig zijn om dingen daadwerkelijk op te lossen.
Het volledige rapport, inclusief de top 10 misconfiguraties per platform en cloudbeveiliging per organisatiegrootte, staat in Intruder’s 2026 Cloud Security Index.
