Waarom élke organisatie op cyberveiligheid moet inzetten

Een cyberaanval kan voor elke kleine of grote organisatie desastreuze gevolgen hebben. Intellectueel eigendom dat op straat komt te liggen, reputatieschade, diensten die uitvallen en miljoenen euro’s aan misgelopen of verdwenen inkomsten. Dan zou je denken dat die organisaties zich secuur bewapenen en goed voorbereid zijn op een hackingoperatie. Het tegendeel blijkt echter waar, want naar schatting 50 procent van de organisaties is niet voorbereid op cyberaanvallen.

“Cyberaanvallen worden vaak nog geassocieerd met grote bedrijven”, legt Peter Beyls uit, “maar dat is niet terecht want vandaag is ook – en misschien zelfs vooral – de middle markt een doelwit. Die kleinere bedrijven beschikken dan misschien niet over de hoeveelheden data van de corporates waar cybercriminelen vaak op uit zijn. Ze zijn wel kwetsbaar voor ransomware-aanvallen, waarbij gegevens worden gestolen en pas teruggegeven worden tegen betaling.

Door en tijdens de coronapandemie hebben veel kmo’s sterk ingezet op digitalisering en op de cloud, en dat heeft hen blootgesteld aan nieuwe beveiligingsuitdagingen. Zeker omdat veel van die kleinere organisaties vaak nog een klassieke IT-aanpak hanteren, waarbij de medewerkers niet altijd mee zijn met de laatste trends – niet alleen op vlak van cybersecurity, maar ook op vlak van IT in het algemeen. Bovendien hebben zaakvoerders vaak niet de tijd om zich met die nieuwigheden bezig te houden of weten ze niet hoe die security-incidenten aan te pakken. Vroeger zette je bij wijze van spreken een grote firewall en een antivirussysteem op en dat loste dan de helft van je problemen op – of zelfs 75 procent daarvan. Nu werkt dat gewoon niet meer.”

Risicovolle aanmeldingen

“Wij gaan dat in vraag stellen: niets mis met een firewall of antivirussysteem, maar die traditionele perimeterbeveiliging voldoet eigenlijk niet meer. Wat met de move naar de cloud? Hoe gaat je om met authenticatie? Zijn er risicovolle aanmeldingen geweest? We willen daarmee vooral duidelijk maken dat je als bedrijf – in welke sector dan ook – je de risico’s moet kennen, omdat je alleen van daaruit een goede cybersecuritystrategie kunt bouwen. Die vertrekt vanuit een zero-trust-strategie. Omdat bedrijven in heel specifieke sectoren actief zijn, is een aanpak op maat een must: zo zal een productiebedrijf zich wellicht focussen op de bescherming van productieprocessen en IP, terwijl een ziekenhuis de bescherming van medische en andere privacygevoelige gegevens als absolute prioriteit zal zien.”

‘Vuiligheid’ binnenhalen

Maar alle technologie en software ten spijt blijft cyberveiligheid in de eerste plaats een zaak van mensen. In die zin is de grootste bedreiging voor een bedrijf vaak niet extern, maar intern. “Veel organisaties hebben hun dagelijkse operationele processen gedigitaliseerd. Daarbij maken ze steeds meer gebruik van nieuwe technologieën die ook toegankelijk zijn voor medewerkers, partners en klanten. Dat zorgt ook voor een verhoogd risico naar cyberveiligheid toe. Daarom moet je als bedrijf een globaal securitybeleid uitwerken en daar vooral je medewerkers in betrekken. Die medewerkers zijn immers de zwakste schakel in de veiligheidsketen: ze openen een phishingmail, klikken op een attachment dat er op het eerste gezicht onschuldig uitziet maar wel een breach kan veroorzaken… Je kunt voor honderdduizenden of miljoenen euro’s aan technologie aanschaffen, maar als je medewerkers zich niet of te weinig bewust zijn van een aantal risico’s heeft dat geen zin. Want via hen haal je dan sowieso ‘vuiligheid’ binnen.”

“Bij cyberveiligheid moet je op meerdere fronten werken, maar het is zaak om de awareness in je eerste filter zo sterk mogelijk te maken. En die eerste filter, dat is altijd de menselijke factor.”

Cloud als veiligheidsrisico

Naast de medewerker an sich is vooral de move naar de cloud een veiligheidsrisico. “De identiteit van de gebruiker die zich aanmeldt, is de belangrijkste schakel om security op te bouwen”, licht Beyls toe. “Als je geen multifactor authentication hebt, kan een hacker via een eenvoudige phishingaanval de credentials – username en het paswoord – van die medewerker achterhalen. En dat is nog maar het startpunt van een hacker. Van daaruit kan hij verder doordringen in je organisatie, meer rechten bekomen en zo een echte ransomware-aanval lanceren.”

Marktonderzoek van cybercriminelen

“Je moet ook weten dat cybercriminelen steeds professioneler worden. Ze doen aan marktsegmentatie, voeren marktonderzoek uit, bestuderen jaarverslagen en zetten echte marketingcampagnes op. Daarnaast beschikken ze over steeds meer nieuwe tools om data – het nieuwe goud – en (crypto)geld te stelen. Wat die tools betreft, spreken we over beproefde technieken als spoofing en DDoS-aanvallen. Ook minder bekende methoden als keylogging, UI Redress en valse draadloze toegangspunten. Het is zaak om daar als bedrijf op voorbereid te zijn. Met als extra motivator dat verzekeringsbedrijven steeds strenger worden. Als zij oordelen dat je niet of niet voldoende met cyberveiligheid bezig bent, of dat je niet in een bepaald groeitraject wil stappen, dan bestaat het risico dat je geen verzekering krijgt. Daar staat tegenover dat hoe beter je je beschermt, hoe interessanter je premies kunnen zijn.”

Conclusie? Organisaties moeten met cyberveiligheid bezig zijn en beseffen dat dit een continu proces is dat moet worden gevoerd op maat van je organisatie, op maat van de risico’s die je als organisatie hebt. Ook op maat van het budget van de organisatie. “Zorg dat je de basis op orde hebt en probeer van daaruit verder te groeien”, besluit Beyls. “Als je een stevig fundament hebt, ben je beter gewapend tegen de bedreigingen die op je organisatie afkomen. Zoals gezegd vormen je medewerkers je eerste filter. Daarna volgt identiteit in de cloud. Probeer die zo goed mogelijk te beschermen. Het laatste stukje is dan eigenlijk de werkplek en de systemen: weet wat daarin gebeurt, wat de zwakke plekken zijn… Honderd procent veilig en beschermd zijn is een illusie. Als je de zaken op een proactieve manier aanpakt, kun je het hackers een pak lastiger maken.”