Geen enkel bedrijf zal perfecte security implementeren, omdat de onderneming dan niet kan bestaan, zo liet Andy Ellis Chief Security Officer van Akamai tijdens de Hack in the Box conferentie in Amsterdam vandaag weten. Ondernemingen die perfecte security implementeren nemen geen risico, en ondernemen draait juist om het nemen van risico. "Bedrijven willen risico nemen, het zit in hun DNA", aldus Ellis.

De Akamai CSO sprak over de 'security armoedegrens'. Bedrijven die zelfs de meest basale beveiliging missen, zoals anti-virussoftware, firewalls, ids en het bekijken van hun logs. Ondernemingen die onder de 'security armoedegrens' krijgen met het Securtiy Subsistence Syndrome te maken. Aangezien bedrijven niet het meest basale kunnen doen om hun 'ass te coveren', doen ze helemaal niets om zich te beschermen. "Een mentaliteit dat als je denkt dat je niet genoeg kunt doen, je niets anders durft te doen. Maar security heeft juist verandering nodig", aldus Ellis.

Risico
Het is echter de vraag hoeveel beveiliging een bedrijf moet implementeren. Daarbij zijn er volgens Ellis verschillende niveaus, zoals perfecte security, goede security en de security armoedegrens daaronder. "Als je als bedrijf aanvallen door landen kunt weerstaan, geef je waarschijnlijk teveel aan security uit." Ellis waarschuwde dat het wegnemen van risico geen doel moet zijn. "Als je risico wegneemt, nemen mensen meer risico."

Bedrijven moeten daarnaast stilstaan dat het risico dat zij waarnemen, niet het echte risico is dat ze lopen. "Het is zo eenvoudig om een aanvaller te worden, dat ze steeds beter worden en nu eenvoudig over wapens beschikken die aanvallers 6 jaar geleden nog niet hadden."

Ellis wijst bijvoorbeeld naar een security-tool als Metasploit. Akamai gebruikt het programma om de eigen infrastructuur te testen. "Op het Metasploit forum gaat echter de helft van de vragen over hoe je op een systeem moet inbreken. Het probleem is dat aanvallers deze tool meer gebruiken dan de verdedigers."