Finanzsektor auf dem vorletzten Platz bei Anwendungssicherheit

Banken und andere Finanz­institutionen haben den Ruf, aufgrund der sensiblen Finanz­informationen, die sie verarbeiten, über ausgereifte Sicherheits­maßnahmen zu verfügen. Allerdings zeigt der jüngste “State of Software Security Report” von Veracode, dass der Finanzsektor ebenso mit Sicherheit zu kämpfen hat, wie andere Branchen. Schlimmer noch, in mancher Hinsicht, tun sich Finanzinstitute mit der Anwendungssicherheit deutlich schwerer als andere Sektoren.

Veracode hat acht Branchen untersucht – und die Ohrfeige ist: Der Finanzsektor schneidet auf dem vorletzten Platz der 8 untersuchten Branchen ab, wenn es um die Geschwindigkeit geht, die es braucht, um Schwachstellen zu beheben.

Anwendungssicherheit: 67 Prozent sind potenziell gefährlich

Mehr als 70.000 Anwendungs-Scans über einen Zeitraum von 12 Monaten brachten die Erkenntnis, dass es durchschnittlich 29 Tage dauert, um etwa ein Viertel aller Code-Schwachstellen zu bereinigen. Bis auch die letzte behoben ist, vergeht sogar mehr als ein Jahr, nämlich 574 Tage im Durchschnitt.

Von al­len An­wen­dun­gen, die von Ban­ken in Ge­brauch sind, stel­len 67 Pro­zent ein Ri­si­ko dar, um sen­si­ble In­for­ma­tio­nen zu ver­lie­ren, wo­durch sich ex­ter­ne An­grei­fer aus­rei­chend Sys­tem­wis­sen an­eig­nen kön­nen, um Zu­griff auf das Netz­werk zu er­hal­ten. Knapp da­hin­ter lan­den mit 63 Pro­zent kryp­to­gra­phi­sche Pro­ble­me und sol­che, die die Anwendungssicherheit durch schlech­te Code-Qua­li­tät riskieren (51 Prozent).

Finanzinstitutionen ver­fü­gen über hoch­sen­si­ble In­for­ma­tio­nen, da­her sind sie ein hoch­at­trak­ti­ves Ziel für Cy­ber-Kri­mi­nel­le. Die gu­te Nach­richt ist, dass der Fi­nanz­sek­tor nicht das Pro­blem hat, Schwach­stel­len nicht zu er­ken­nen. Das Pro­blem ist viel­mehr, dass sie auf­grund der gro­ßen Men­ge an Da­ten nicht in der La­ge sind, ih­re Schwach­stel­len rich­tig zu prio­ri­sie­ren und schnellst­mög­lich zu be­he­ben. Da­her müs­sen die be­tref­fen­den Un­ter­neh­men dar­an ar­bei­ten, die Fix-Ra­te zu ver­kür­zen. Wenn sie selbst in der La­ge sind, Feh­ler zu be­mer­ken, kön­nen Ha­cker das auch. Ein mög­lichst kur­zes Fens­ter zwi­schen Fin­den und Be­he­ben von Schwach­stel­len in An­wen­dun­gen muss da­her obers­te Prio­ri­tät für Si­cher­heits­ver­ant­wort­li­che haben.“

Julian Totzek-Hallhuber, Solution Architekt bei Veracode

Nach Angabe der Kontaktdaten wird ein Link zum Download des Reports per E-Mail zugesendet.aj