Identiteitsbeveiliging staat centraal, gezien alle recente inbreuken op Microsoft, Okta, Cloudflare en Snowflake, om er maar een paar te noemen. Organisaties beginnen zich te realiseren dat er een opschudding nodig is in de manier waarop we identiteitsbeveiliging benaderen, zowel vanuit strategisch als vanuit technologisch perspectief.
Identiteitsbeveiliging is meer dan alleen het verlenen van toegang
De conventionele visie om identiteitsbeveiliging primair te zien als een kwestie van het verschaffen en ontnemen van toegang voor applicaties en diensten, vaak op een stukje bij beetje, is niet langer voldoende. Deze visie werd als breed thema weerspiegeld in het Permiso Security State of Identity Security Report (2024), waarin wordt vastgesteld dat ondanks het groeiende vertrouwen in het vermogen om veiligheidsrisico’s te identificeren, bijna de helft van de organisaties (45%) ‘bezorgd’ blijft of “uiterst bezorgd” over het feit dat hun huidige tools in staat zijn om aanvallen op de identiteitsbeveiliging te detecteren en daartegen te beschermen.
Voor het door Permiso opdracht gegeven onderzoek dat deze zomer werd uitgevoerd, zijn meer dan 500 IT-beveiligings- en risicoprofessionals geïnterviewd, met directe controle of invloed op de besluitvorming over beveiliging en risico’s. De bevindingen weerspiegelen dat organisaties, ondanks de groeiende investeringen, volwassenheid en vertrouwen in de controles op het gebied van cyberrisicobeperking, zich nog steeds zorgen maken over de oprukkende identiteitsbedreigingen.
De belangrijkste inzichten zijn onder meer:
- SaaS wordt gezien als de meest risicovolle omgeving.
- 93% van de organisaties geeft aan dat ze identiteiten in alle omgevingen kunnen inventariseren en sleutels, tokens, certificaten en eventuele wijzigingen in welke omgeving dan ook kunnen volgen.
- 85% kan bepalen ‘wie wat doet’ over gefragmenteerde authenticatiegrenzen heen.
- 45% blijft “bezorgd” of “extreem bezorgd” over het feit dat hun huidige tools in staat zijn om aanvallen op de identiteitsbeveiliging te detecteren en zich daartegen te beschermen.
- 45% heeft het afgelopen jaar te maken gehad met een identiteitsbeveiligingsincident, waarbij nabootsing van identiteit de belangrijkste bedreigingsvector is.
Kun jij malafide identiteiten detecteren?
Ondanks dat 86% van de organisaties beweert dat zij hun meest risicovolle identiteiten (menselijk en niet-menselijk) kunnen identificeren, heeft bijna de helft (45%) het afgelopen jaar te maken gehad met een identiteitsbeveiligingsincident, waarbij nabootsing van identiteit de belangrijkste bedreigingsvector is. Hieruit blijkt dat social engineering -gebaseerde aanvallen blijven een wijdverbreide bedreiging voor organisaties.
Als het ging om de gevolgen voor degenen die werden gehackt, stond het richten op gevoelige gegevens, waaronder persoonlijk identificeerbare informatie (PII) en intellectueel eigendom (IP), bovenaan de lijst voor 54% van degenen die werden gehackt. 46% van de organisaties verklaarde dat de dreigingsactoren ook privileges escaleerden en achter hun toeleveringsketens aan gingen (45%), zowel aan de kant van de leverancier als aan de kant van de klant.
Menselijke identiteiten blijven een zacht doelwit
Een andere interessante bevinding was dat menselijke identiteiten als het meest riskant worden gezien, waarbij werknemers bovenaan de lijst staan. In tegenstelling tot veel van de markthype worden niet-menselijke identiteiten (API-sleutels, OAuth-tokens, serviceaccounts) als minder riskant gezien dan hun menselijke tegenhangers.
Identiteitsbeveiliging is in silo’s
Het is niet duidelijk of organisaties begrijpen wat de verantwoordelijkheid voor identiteitsbeveiliging inhoudt voor de hybride en multi-cloud realiteit. Ondanks dat de meeste organisaties gemiddeld 2,5 openbare clouds gebruiken, werd het IT-team (56%) genoemd als primair verantwoordelijk voor het waarborgen van de identiteitsbeveiliging van de organisatie in meerdere omgevingen. Dit kan een weerspiegeling zijn van het feit dat identiteit nog steeds wordt gezien als beperkt tot het inrichten en ongedaan maken van de inrichting van toegang. Volgens Jason Martin, mede-CEO en mede-oprichter van Permiso, zou deze bevinding kunnen worden verklaard doordat “identiteitsbeveiliging traditioneel onder de algemene verantwoordelijkheden voor IT viel, die worden gezien als beheerders van IT-systemen, waaronder het verlenen van toegang en het beveiligen van identiteiten.” in een minderheid van de organisaties zien we de beveiligingsafdeling als de voornaamste belanghebbende bij het beveiligen van identiteiten.”
Ook de beveiligingsbudgetten lijken in silo’s te zijn ondergebracht, waarbij SaaS- (87%) en IaaS-omgevingen (81%) het grootste deel van de beveiligingsuitgaven voor hun rekening nemen, vergeleken met alle omgevingen (46%). Vanuit toolingperspectief lijkt het erop dat de IaaS-laag (66%) het grootste deel van de aandacht heeft gekregen, waarbij een combinatie van cloud-native beveiligingstools zoals AWS GuardDuty en CNAPP-oplossingen wordt gebruikt.
Hoewel het erop lijkt dat de meeste organisaties ‘risicobewust’ zijn met de cyberdreigingen waarmee ze worden geconfronteerd, is het duidelijk dat we nog een weg te gaan hebben als het gaat om het vermogen om identiteitsbedreigingen te detecteren en erop te reageren zodra deze zich voordoen. Het kunnen detecteren en voorkomen van inbreuk op de inloggegevens, het overnemen van accounts en bedreigingen van binnenuit werden zelfs genoemd als de grootste zorg voor organisaties.
Op weg naar universele identiteitsveiligheid
Het is aan ons allemaal, de leveranciers, organisaties en de bredere beveiligingsgemeenschap om opnieuw te bedenken wat er nodig is vanuit het oogpunt van mensen, processen en technologie om de nieuwe realiteit van menselijke en niet-menselijke identiteit als belangrijkste bedreigingsvector veilig te stellen. In dit opzicht moeten we identiteitsbeveiliging herschikken van het louter aanbieden of ontnemen van toegang tot applicaties en diensten, naar het beschouwen ervan als een strategische zakelijke facilitator.
Permiso Security is geboren om deze uitdaging aan te gaan en uniforme identiteitsbeveiliging voor alle identiteiten, in alle omgevingen, werkelijkheid te maken.
U kunt het volledige rapport hier raadplegen: https://hero.permiso.io/state-of-identity-security-survey-report-2024
Lees meer over hoe Permiso u kan helpen deze strategie naar uw organisatie te brengen.
