Uitgaven cybersecurity banken drie keer hoger dan andere bedrijven

Financiële instellingen investeren wereldwijd gemiddeld drie keer zo veel in cybersecurity en IT-beveiliging dan bedrijven uit andere sectoren. Dat blijkt uit onderzoek van IT-beveiliger Kaspersky Lab. Toch schieten de cybersecurity inspanningen op sommige vlakken nog te kort. 

De IT-infrastructuur van banken en andere financiële dienstverleners staat onder steeds meer druk van cyberaanvallen. Mede door het toenemende gebruik van mobiel bankieren, nemen de risico’s steeds verder toe. De financiële sector bevindt zich wat cyberdreigingen betreft bovendien op een unieke positie. Niet alleen de bank of instelling zelf zijn het doelwit van aanvallen, maar ook hun klanten. 

Om meer inzicht te krijgen in de opvattingen van banken en financiële dienstverleners als het op cybersecurity aankomt en om in kaart te brengen met welke uitdagingen zij zoal op dit gebied te maken hebben, heeft Kaspersky Lab, een IT-beveiliger uit Rusland, samen met B2B International onderzoek gedaan onder 841 financiële professionals uit 15 verschillende landen.

Uitgaven drie keer zo hoog

Uit het onderzoek blijkt dat de uitgaven van banken aan IT-beveiliging drie keer zo hoog zijn als de uitgaven van niet-financiële instellingen van vergelijkbare omvang. Dat deze uitgaven zoveel hoger zijn kan worden verklaard aan de hand van twee factoren. De eerste is dat banken niet alleen in moeten staan voor hun eigen veiligheid op IT-gebied, maar ook die van hun klanten. Klanten spelen zelf steeds vaker een rol in het ontdekken van beveiligingsincidenten – 24% van de banken in het onderzoek geeft aan dat klanten in 2016 dreigingen hebben geïdentificeerd en gemeld. 

Het verbeteren van de cybersecurity aan de kant van klanten is dan ook een van de belangrijkste prioriteiten van banken, tonen de onderzoekers aan. 61% van de banken wil de beveiliging van zijn apps en websites verbeteren en 52% gaat onderzoek of de login-processen om klanten te identificeren veiliger kunnen. Andere maatregelen die banken willen nemen is klanten meer bewust maken van frauderisico’s en hen aanraden om security software te gebruiken op de apparaten waarmee zij bankieren.

Daarnaast worden banken door aangescherpte wet- en regelgeving verplicht om aan bepaald niveau van cybersecurity te voldoen. De groeiende vraag naar betere IT-beveiliging komt zowel vanuit de overheid als vanuit financiële toezichthouders en banken investeren veel om aan deze vraag te kunnen blijven voldoen. Zelfs als deze investeringen hen niet direct geld opleveren, blijkt uit het onderzoek. 64% van de banken geeft aan dat zij ongeacht de ROI blijven investeren in betere beveiliging van hun IT-systemen.

Verschil in zorgen

Het IT-landschap van een financiële dienstverlener is divers een wijdverspreid. Banken hebben namelijk niet alleen interne IT-systemen en websites die zij veilig moeten houden, maar ook duizenden apparaten die zich veelal buiten de bankkantoren bevinden, zoals geldautomaten en betaalterminals.

Hoeveel zorgen banken zich om veiligheid van de onderdelen van het IT-landschap maken verschilt echter aanzienlijk. Banken maken zich de meeste zorgen om aanvallen op het online en digitale landschap, terwijl dit volgens de onderzoekers niet het onderdeel is dat het meest kwetsbaar is hiervoor. De kwetsbaarheid is het hoogst op het gebied van phishing en social engineering aanvallen op klanten, een onderdeel waar banken zelf ook relatief veel aandacht aan besteden. 46% van de banken in het onderzoek geeft aan dat hun klanten last hebben van aanvallen via phishing of social engineering. 70% van deze banken heeft het afgelopen jaar melding gemaakt van financiële fraude-incidenten met monetair verlies als gevolg van dergelijke aanvallen.

Een ander onderdeel dat kwetsbaarder is dan gemiddeld, maar waar banken zich relatief weinig zorgen om maken zijn de cyberaanvallen op geldautomaten. Aanvallen op geldautomaten leiden vaak tot direct financieel verlies voor de financiële instelling, maar ondanks de dreiging besteden banken weinig aandacht aan de cybersecurity van hun geldautomaten. Een onderdeel waar zowel weinig zorgen over zijn als waarvan de kwetsbaarheid als laag wordt ervaren zijn aanvallen op lokale kantoren of filialen van de bank. De onderzoekers markeren dit onderdeel als mogelijk toekomstig probleem. 

Kennisdeling

De onderzoekers geven aan dat banken erbij gebaat zijn om dreigingsinformatie met elkaar te delen. Door gebruik te maken van externe inlichtingen kunnen banken zich beter voorbereiden op nieuwe en opkomende dreigingen. 59% maakt nu nog geen gebruik van externe dreigingsinlichtingen, terwijl deze wel kunnen helpen bij het beter beveiligen tegen en detecteren van gerichte aanvallen op de systemen van de bank.