In alle testrapporten over Anti-Virus rapporten van de laatste tijd wordt pijnlijk duidelijk hoe ernstig Anti-Virus oplossingen structureel achterlopen op virusschrijvers. Het meest recente rapport van AV-Test.org (http://security.nl/artikel/35024/1/Microsoft_en_McAfee_falen_anti-virustest.html) geeft slechts 2 anti-virus bedrijven een 5.5 detectiegraad op een schaal van 0 tot 6. Dat is een gat van een kleine 10%. Dat is op dagelijkse basis, gerekend met het Q2 Malware Rapport (http://www.mcafee.com/us/local_content/reports/q22010_threats_report_en.pdf) van McAfee een collectie van een kleine 6500 virusvarianten die ongestoord het netwerk over kunnen wandelen. Mijn conclusies is dan niet zozeer dat 1 van de AV fabrikanten beter is dan de rest, maar dat AV als technologie in de breedte een dikke onvoldoende verdient. Zelfs de FBI luidt de noodklok: "Ook waarschuwt de opsporingsdienst dat virusscanners geen garantie tegen een computerinfectie zijn." (http://security.nl/artikel/34985/1/Webcam-hacker_begluurde_200_vrouwen.html)

Beleidsbepalers bij organisaties in Nederland gaan er vaak nog steeds van uit dat systemen veilig zijn wanneer zij een up-to-date Anti-Virus programma draaien. Wanneer dat geregeld is, dan zit het wel goed met de security. Vervolgens blijkt in de praktijk dat helemaal niet dagelijks wordt gecontroleerd of alle systemen wel up-to-date zijn. Even voor de duidelijkheid: als je 1 dag achterloopt met je update dan ben je vatbaar voor 70000 virus-varianten. Voor dat aantal kon je 5 jaar geleden ongeveer een heel jaar achterlopen!

Updates in Windows worden mondjesmaat toegepast, maar Adobe wordt al helemaal niet bijgewerkt. Gebruikers worden vervolgens met hun lekke PDF-reader of Flash-player ongelimiteerd het internet opgestuurd. USB-poorten worden volledig open gezet, en beheerders werken met hun Domain Admin account op hun werkplek terwijl ze serials downloaden via een torrentclient. Herkenbaar?

ICT Nederland staat wagenwijd open en de mensen die er iets aan kunnen doen hebben geen idee of nemen het desondanks niet serieus genoeg. Security blijft een incident-driven business, maar mijn voorspelling is dat 2011 een zeer incident-rijk jaar gaat worden. Als je niet tot de probleemgevallen wilt horen, zorg dan dat je organisatie eindelijk eens de keuze maakt om het gebruik van je computersystemen te reguleren. Dat is niet gebruikertje pesten, dat is werkelijk de continuiteit van je bedrijf veilig stellen. En als de mensen die beslissingen moeten nemen dit niet willen doen, zorg dan dat je voor je eigen gemoedstoestand je persoonlijke straatje alvast preventief even schoonveegt.

Met vriendelijke groet,

Erik Remmelzwaal