Symantec maakt de resultaten bekend van zijn 2010 Critical Information Infrastructure Protection (CIP) Survey. Dit onderzoek toont aan dat 53% van de aanbieders van kritieke infrastructuren heeft ervaren dat hun netwerken te maken hebben gehad met wat zij zien als politiekgedreven cyberaanvallen. Deelnemers aan het onderzoek beweren een dergelijke aanval de afgelopen vijf jaar gemiddeld 10 keer te hebben meegemaakt. Dit heeft geleid tot gemiddelde kosten van EUR 850.000.

Deelnemers aan het onderzoek afkomstig uit de energie-industrie geven aan het best voorbereid te zijn op een mogelijke cyberaanval, waar deelnemers uit de communicatiebranche zich het minst voorbereid wanen. Aanbieders van kritieke infrastructuren vertegenwoordigen industrieën die van groot belang zijn voor een land zijn economie of inwoners. Wanneer hun cybernetwerk succesvol aangevallen en beschadigd zou worden, zou dit uiteindelijk de nationale veiligheid bedreigen.

"Beveiliging van de kritieke infrastructuur is niet slechts een overheidsaangelegenheid. In sommige landen is de meerderheid van de kritieke infrastructuur eigendom van grote private ondernemingen. In die landen bevinden zich echter ook veel kleine en middelgrote ondernemingen", aldus Tom Welling, Senior Technical Account Manager bij Symantec. "Veiligheidsoplossingen alleen zijn niet voldoende voor aanbieders van kritieke infrastructuur om bedrijven van iedere grootte te beschermen tegen de cyberaanvallen van vandaag de dag. De Stuxnet-worm die zich richt op energiebedrijven wereldwijd, is een zeer geavanceerde soort bedreiging. Security-, storage- en back-up-oplossingen, samen met authenticatie- en toegangscontroleprocessen, moeten zorgen voor een gedegen, veerkrachtig netwerk."

Highlights uit het onderzoek:


- Aanbieders van kritieke infrastructuren worden aangevallen. 53% van de ondervraagde bedrijven vermoedt te maken te hebben gehad met een aanval met daarbij een specifiek doel in gedachten. De getroffen bedrijven geven aan in de afgelopen vijf jaar tien keer te zijn aangevallen. 48% van de ondervraagden verwacht in het komende jaar aangevallen te worden en 80% is van mening dat de frequentie van dergelijke aanvallen toeneemt.


- Aanvallen zijn effectief en kostbaar. Respondenten schatten dat drie van de vijf aanvallen tamelijk tot extreem effectief zijn. De gemiddelde kosten van deze aanvallen over de afgelopen vijf jaar zijn EUR 850.000.


- Industrie bereid tot samenwerking met overheid rond CIP. Bijna alle ondervraagde ondernemingen (90%) geven aan zich bezig te houden met het CIP-programma van hun overheid, waarvan 56% zegt hier aanzienlijk of volledig bij betrokken te zijn. Bovendien geeft twee derde aan een positieve houding te hebben ten opzichte van programma's en bereid te zijn samen met hun overheid te werken aan CIP.


- Ruimte voor bereidheid tot verandering. Slechts een derde van de aanbieders van kritieke infrastructuren voelt zich volledig voorbereid op ieder type aanval en 31% voelt zich slecht voorbereid. Kleine ondernemingen geven aan het meest onvoorbereid te zijn. Respondenten noemen security training, awareness en inzicht in bedreigingen door het uitvoerend management, endpoint security-maatregelen, security response en security audits als de peilers voor veiligheid die de meeste verbetering nodig hebben.


Aanbevelingen voor bescherming tegen kritieke infrastructurele cyberaanvallen:

- Ontwikkel en verstevig IT-beleid en automatiseer compliance-processen
- Beveilig informatie op een pro-actieve manier door informatie centraal te stellen
- Authenticeer identiteiten door het inzetten van oplossingen die ervoor zorgen dat alleen daartoe geautoriseerd personeel toegang heeft tot bepaalde systemen
- Beheer systemen door het implementeren van veilige operating-omgevingen, het distribueren en versterken van patch levels, het automatiseren van processen voor het stroomlijnen van efficiency en het monitoren en rapporteren over de status van het systeem
- Bescherm de infrastructuur door het beveiligen van endpoints, messaging en webomgevingen
- Garandeer 24x7 beschikbaarheid
- Ontwikkel een informatiebeheerstrategie die een informatiebehoudplan en -beleid omvat

Aanbevelingen voor overheden om kritieke infrastructuurbeveiliging te bevorderen:

- Overheden zouden resources beschikbaar moeten blijven stellen om CIP-programma's in te kunnen richten
- Overheden zouden moeten samenwerken met associaties binnen de industrie voor het ontwikkelen en verspreiden van informatie om het bewustzijn rond CIP-organisaties en -plannen te vergoten
- Overheden zouden moeten benadrukken dat security alleen niet voldoende is om bestand te zijn tegen cyberaanvallen

Dit onderzoek is uitgevoerd in augustus 2010 en is gebaseerd op antwoorden van 1.580 respondenten uit 15 landen binnen zes industrieën die zijn gecategoriseerd als aanbieder van kritieke infrastructuren.