Versnipperde beveiligingsmaatregelen staat compliance met AVG in de weg

Als bedrijven blijven vertrouwen op versnipperde beveiligingsmaatregelen wordt het lastig om aan de nieuwe richtlijnen van de Algemene Verordening Gegevensbescherming (AVG) te voldoen. De huidige verdedigingslinies van bedrijven zijn vooral gericht op het vergelijken van patronen om risico's te traceren. Bedrijven zijn heirdoor echter niet in staat de nieuwste aanvallen op te sporen, zoals aanvallen die legitieme gebruikersgegevens inzetten voor toegang tot vertrouwelijke informatie.

Dit blijkt uit de nieuwe security whitepaper van Aruba, onderdeel van Hewlett Packard Enterprise. Doordat bedrijven vertrouwen op versnipperde beveiligingsmaatregelen lopen zij het risico datalekken niet binnen 72 uur te detecteren en rapporteren. Deze termijn is voorgeschreven in de AVG. Indien dit termijn wordt overschreden kan de Autoriteit Persoonsgegevens boetes opleggen die kunnen oplopen tot 20 miljoen euro of vier procent van de jaaromzet.

Extra monitoringslaag

In zijn nieuwe whitepaper stelt Aruba dat deze systemen niet per se vervangen hoeven worden, omdat ze nog steeds een essentieel onderdeel van een effectieve AVG-strategie vormen. Het is eerder zaak om deze verdediging aan te vullen met een extra monitoringslaag die nieuwe vormen van detectie zoals machine learning benut voor de analyse van het gehele netwerk. Machine learning maakt het mogelijk om kleine afwijkingen te ontdekken die kunnen wijzen op een aanval.

“Persoonlijke informatie is voor aanvallers goud waard, omdat ze deze data eenvoudig op het Dark Web kunnen verkopen”, zegt Morten Illum, VP EMEA bij Aruba. “Het is vrijwel onvermijdelijk dat de persoonlijke data die bedrijven opgeslagen hebben in de toekomst wordt aangevallen. Tijdens deze activiteiten zullen aanvallers zich voor doen als betrouwbare gebruikers. Zonder geautomatiseerde tools die afwijkend gedrag herkennen, kan het maanden duren om te ontdekken wat er precies aan de hand is. Dat is slecht nieuws voor klantrelaties en voor de AVG-strategie.”

Steeds geavanceerder en langduriger

Hackpogingen worden steeds geavanceerder en worden steeds vaker over een periode van meerdere maanden uitgevoerd. Dit maakt het voor beveiligingsteams erg lastig om kleine afwijkingen in hoe een apparaat data in een applicatie benadert, te identificeren. Aruba 360° Secure Fabric biedt functionaliteit voor netwerktoegangscontrole van miljoenen apparaten die toegang tot een netwerk hebben. Daarnaast biedt deze oplossing op beleid gebaseerd, apparaat specifieke toegang die de kwetsbaarheid van persoonlijke data van gebruikers significant vermindert.

De oplossing bevat ook het nieuwe Aruba IntroSpect, dat machine learning inzet om te bepalen waar persoonlijke data staat. Bovendien zoekt deze oplossing het gehele netwerk af naar afwijkende activiteiten die kunnen wijzen op een mogelijk datalek. IntroSpect gebruikt deze kennis om risicoscores voor iedere verbonden gebruiker, apparaat, systeem en database te genereren. Zo wordt de aandacht van IT- en beveiligingsteam doelgericht gestuurd en blijven toekomstige aanvallen niet onopgemerkt. Uit rapporten van IntroSpect-gebruikers blijkt dat onderzoek naar nieuwe aanvallen dankzij de inzet van deze technologie 30 uur sneller afgerond is, in vergelijking met traditionele systemen. Deze tijdswinst is van groot belang om te voldoen aan de deadline voor het melden van lekken volgens de AVG. Die periode bedraagt 72 uur.

Bestaande oplossingen bundelen

“Er is geen beveiligingsoplossing of een combinatie van oplossingen die AVG-compliance kan garanderen”, vervolgt Illum. “Het is dus de hoogste tijd dat we de bestaande oplossingen bundelen. Een holistische AVG-aanpak is alleen mogelijk als beveiligingsteams over de juiste middelen beschikken. Dat vraagt één overzicht van het netwerk en de mogelijkheid om automatisch nieuw beleid te bepalen aan de hand van activiteiten die binnenkomen. Zo’n aanpak biedt de beste mogelijkheid om voorop te blijven lopen.”