Londen, 24 april 2007 – Uit onderzoek, dat onder 370 Britse bedrijven is uitgevoerd, blijkt dat 65% van de bedrijven zichzelf onnodig in gevaar brengt, omdat zij het gevaar onderschatten van USB-sticks, flash drives, iPod’s en PDA’s, die een bedreiging vormen voor de veiligheid van hun netwerk.

De resultaten van het onderzoek, dat door een onafhankelijk mediabedrijf werd uitgevoerd, werden vandaag door GFI Software, een internationale ontwikkelaar van software voor netwerkbeveiliging, inhoudsbeveiliging en messaging, op Infosecurity Europe 2007 bekend gemaakt.

Hoewel 49% van de onderzochte Britse bedrijven zich zorgen maakt over gegevensdiefstal, ziet 65% het gebruik van deze apparaten op hun netwerk niet als een veiligheidsbedreiging in. In tegendeel, 71% is van mening dat het gebruik van draagbare opslagmedia belangrijk of zéér belangrijk is voor het bedrijf.

Bijna de helft van de respondenten zegt dat zij geen idee hebben hoeveel werknemers eigenlijk USB-sticks of iPod’s op het werk gebruiken. En terwijl 37% aangeeft dat het bedrijfsbeleid zich op de monitoring van draagbare opslagmedia moet richten, heeft slechts 22% een of andere vorm van controle over het gebruik van deze opslagmedia in het bedrijf.

“Het ongecontroleerde gebruik van draagbare opslagmedia door werknemers is een zéér groot gevaar voor de veiligheid en stabiliteit van elk bedrijf. Helaas zijn veel bedrijven onbewust van of negeren zij het gevaar totdat het noodlot toeslaat,” zegt Andre Muscat, Director, Network Security Products, GFI Software.

Sinds lange tijd waarschuwen veiligheidsbedrijven over de gevaren van endpoint-apparaten, maar recente inbreuken tonen aan dat ondernemingen hun les nog niet geleerd hebben en dat zij zichzelf steeds meer in gevaar brengen door dergelijke apparaten aan werknemers te verstrekken en hun aanmoedigen deze te gebruiken.

Uit een GFI-onderzoek blijkt dat 83% van de onderzochte Britse bedrijven hun werknemers van USB-sticks of PDA’s voorziet, dat draagbare opslagmedia draadloos werken (76%) mogelijk maakt en dat het delen van gegevens hiermee véél gemakkelijker wordt gemaakt (61%).

Het gebruik van draagbare opslagmedia is een grote bedreiging als bedrijven geen record hebben van de bestanden die van het netwerk naar het medium worden overgebracht en vice versa. Slechts 29% van de bedrijven registreert daadwerkelijk welke gegevens naar en van het netwerk worden overgebracht. Dit wil dus zeggen dat bedrijven een zéér naïeve benadering kiezen met betrekking tot deze bedreiging voor de veiligheid van het netwerk. Dit werd in februari jl. bevestigd toen IT-consultancy, NCC, naar financiële directeuren van 500 genoteerde ondernemingen een anonieme uitnodiging verstuurde met als onderwerp ‘For Your Chance to Attend the Party of a Lifetime’ en daarbij USB-sticks toevoegde. Bijna de helft van de financiële directeuren en tweederde van de mediabedrijven staken, volgens NCC, de ongeïdentificeerde memory stick in hun computers. Hoewel dit een onschadelijk incident was, bewijst dit wel dat één USB-stick een virus naar een systeem kan uploaden en dat slechts een 4GB USB-stick de meest gevoelige commerciële gegevens van het bedrijf kan kopiëren.

“Dit is een groeiend probleem voor ondernemingen en ons onderzoek toont duidelijk aan dat ondanks bedrijven bezorgd zijn over gegevensdiefstal, moeten zij bewust gemaakt worden van de werkelijke gevaren en waar deze vandaan komen,” voegt dhr. Muscat toe.

Terwijl 99% van de Britse ondernemingen zegt dat zij antivirus, antispam en firewalls geïnstalleerd hebben, doet 78% niets om het gebruik van draagbare opslagmedia te controleren en slechts 9% zegt dat zij andere geschikte veiligheidsmaatregelen of producten hebben.

“Insider threats komen steeds vaker voor en bedrijven dienen meer bewust te zijn van deze bedreigingen, omdat deze ernstige gevolgen met zich mee kunnen brengen,” zegt dhr. Muscat.

De Financial Services Authority heeft in februari jl. Nationwide Building Society een boete van 1,5 miljoen euro opgelegd nadat bijna 11 miljoen klanten door een werknemer die de gegevens van het bedrijfsnetwerk kopieerde, in gevaar gebracht waren. De FSA zegt dat het falen van de bank om downloads van zeer grote hoeveelheden gegevens te beheren of te monitoren op draagbare opslagmedia, betekent dat Nationwide weinig controle heeft over de informatie en hoe die gebruikt wordt.

In veel gevallen blijven inbreuken op de veiligheid onopgemerkt of beheerders zijn hiervan niet bewust. Uit een onderzoek van GFI blijkt dat 28%, door het ongecontroleerde gebruik van draagbare media, geen idee heeft van mogelijke inbreuken op de veiligheid/gegevensdiefstal in hun bedrijf.

Terwijl er enkele interne tegenmaatregelen bestaan, die bedrijven kunnen toepassen om ongeautoriseerd gebruik van draagbare media te voorkomen, zijn deze niet de beste oplossing. Zoals uit het onderzoek van GFI blijkt, zijn het verbod op draagbare opslagmedia in bedrijfsgebouwen, de blokkering van toegangspoorten van de computer of het gebruik van Windows Groepsbeleid gebruikelijk, maar deze maatregelen beperken ook het werk van degene die van deze media afhankelijk is. “De enige effectieve oplossing om zich tegen de gevaren van draagbare media te beschermen, is een softwareoplossing, waarmee u legaal en illegaal gebruik van media kunt onderscheiden, in overeenstemming met het gebruikelijke veiligheidsbeleid dat door het bedrijf is opgesteld. Zelfs als toegang wordt verleend, moet de oplossing ervoor zorgen dat u alle activiteiten kunt registreren, zodat u kunt backtracken als en wanneer een inbreuk op de veiligheid gepleegd wordt,” legt dhr. Muscat uit.

Wat beheerders ook moeten realiseren is dat risicobeheer altijd rendabeler is dan wanneer men op inbreuken of op incidenten moet reageren. In een steeds groeiende netwerkomgeving waar risico zéér belangrijk is, moeten beheerders inbreuken voor zijn en niet passief op de incidenten reageren. Behalve directe financiële gevolgen, zoals bedrijfsverlies, is er tevens een blijvend onbehaaglijk gevoel en verlies van geloofwaardigheid. Voor een bedrijf dat héél trots is op de bescherming van gegevens van zijn klanten, kan één enkele inbreuk tot onomkeerbare gevolgen leiden.

En dit is het feit dat de meerderheid van de door het GFI onderzochte Britse bedrijven dit gemakkelijk schijnt te negeren.

Meer informatie over endpoint security en iPod slurping is te vinden op: http://www.gfi.nl/nl/whitepapers/pod-slurping-an-easy-technique-for-stealing-data.pdf en http://www.gfi.nl/nl/whitepapers/threat-posed-by-portable-storage-devices.pdf.