Van stadsomwallingen tot firewalls

Hoewel cybersecurity op zich geen novelty is, veranderen de dreigingen wel voortdurend. Terwijl men vroeger kastelen bouwde met stevige omwallingen en sloten rond, spreken we nu over firewalls en encrypties.

Uitdagingen en oplossingen in het b2b-landschap

Tijdens de Fokus Podcast van Smart Media Agency praten we met experten over uitdagingen én oplossingen over cybersecurity in het b2b-landschap. Vandaag zetten Vaisha Bernard, Lot Goris en Stijn Meeuws cybersecurity (hoog) op de agenda. In een boeiend gesprek werpen ze niet alleen een licht op de gevaren van cyberaanvallen maar reiken ze ook suggesties aan om het fort -of het bedrijf in dit geval- ertegen te wapenen.

Vaisha Bernard is Chief Hacker en mede-eigenaar van EYE, een bedrijf dat naast cybersecurity ook cyberverzekeringen aanbiedt. Vaisha begon zijn carrière bij de Nederlandse overheid, waar hij de veiligheid van de digitale systemen optimaliseerde door ze aan te vallen. De kennis die hij vergaarde door te denken als een hacker, zet hij nu in ten dienste van cyberbeveiliging van kmo’s.

Lot Goris is Senior Manager Financial Lines en Practice Leader Financial Institutions bij Aon Belgium, een wereldwijde verzekeringsadviseur en makelaar. Lot werkt ruim zestien jaar bij Aon. Met het departement Financial Lines, biedt Aon klanten verzekeringsopties voor financiële risico’s en schade, waaronder en voornamelijk ook cybersecurity.

Stijn Meeuws is Chief Information Security Officer, Data Protection Officer and Enterprise Risk Manager bij Isabel Group, een fintech bedrijf voor zowel grote financiële instellingen als kmo’s, met meer dan 25 jaar ervaring in de beveiliging van digitale transacties. Voor Stijn vier jaar geleden startte bij Isabel Group, bouwde hij meer dan zeventien jaar ervaring op in de financiële wereld. Hij hielp onder andere bij de digitalisering van transacties en specialiseerde zich in fraude en cybersecurity. Deze knowhow zet hij vandaag ook in bij Isabel Group.

Cybersecurity is al lang geen new kid on the block meer. Maar maatschappelijke veranderingen en technologische evoluties, zetten de deur open voor ongekende dreigingen. Daarom is het als bedrijf belangrijk om alert te blijven. Bovendien botst het grensoverschrijdend karakter van cyberaanvallen vaak met lokale wetgeving, wat extra uitdagingen met zich meebrengt.

De vele gezichten van cybercrime

Kort gezegd omvat cybersecurity de beveiliging van het digitale domein en de systemen waar we dagelijks mee werken. Daarnaast heeft het ook een humane dimensie omdat het natuurlijk ook om de mensen gaat die deze systemen gebruiken.

We zien cyberaanvallen vaak als grote externe en kwaadwillige dreigingen, maar de meeste incidenten gebeuren intern en onbewust. Zo zijn plichtsbewuste medewerkers vaak het slachtoffer van CEO-fraude, waarbij criminelen zich voordoen als een leidinggevende figuur binnen het bedrijf. Door zich te beroepen op tactieken als urgentie, geheimhouding en autoriteit, trappen medewerkers genadeloos in de val. Naast die getargette aanvallen gebruiken criminele organisaties ook de zogenaamde spray and pray-methode, waarbij ze in groten getale een aanval uitsturen in de hoop zoveel mogelijk onoplettende personen data of geld afhandig te kunnen maken. Denk hierbij aan phishing, waarbij een onschuldige klik op een frauduleuze link verstrekkende gevolgen kan hebben.

Ransomeware aanvallen, waarbij criminelen data versleutelen en vervolgens losgeld eisen, zijn in tegenstelling tot die massa-acties vaak heel doelbewust en specifiek. Vanaf het moment dat hackers een gaatje in de beveiliging geprikt hebben, kunnen ze binnen enkele uren tijd de volledige rechten binnen het netwerk overnemen, back-ups targetten en een encriptieslag uitvoeren.

Georganiseerde misdaad

Het beeld van de eenzame hacker die in een zwarte hoody op een zolderkamer simultaan meerdere schermen bedient, leeft enkel in de filmwereld. In de realiteit ontmoeten criminelen met verschillende competenties elkaar op het darkweb, waar ze anoniem hun diensten verhandelen. Ze steken virtueel de koppen bij mekaar om een aanval te beramen en kunnen bijvoorbeeld op een paar uur tijd een kwetsbare server of VPN binnendringen. Daarnaast zijn er ook professionele en goed gestructureerde organisaties die overheden, bedrijven of particulieren willen destabiliseren of beroven.

Naast hackers, IT- en encryptie-experten, hebben ze ook hr-, en marketingmedewerkers in dienst, die -al dan niet bewust- meewerken aan frauduleuze praktijken. Sommigen hebben zelfs een (vals) arbeidscontract, en raffelen in een callcenter een afgelijnd script af om nietsvermoedende slachtoffers te manipuleren. Daarnaast zijn er ook geldezels die helpen om geld op ontraceerbare wijze te versluizen van de slachtoffers naar de criminele netwerken. De omkadering en enscenering is vaak levensecht waardoor sommige pogingen tot phising zelfs bij de meest oplettende personen geen argwaan opwekken. Denk bijvoorbeeld aan de fake leveringsberichten van Bpost tijdens de lockdown.

De val omzeilen

Cyberaanvallen komen steeds vaker voor. Het is niet langer de vraag of je gehackt zult worden, dan wel wanneer. Hoewel er vaak gespot wordt met de zogenaamde happy clickers (mensen die vaak zonder twee keer na te denken op frauduleuze links klikken), kan iedereen ten prooi vallen. Het is echt geen ver-van-mijn-bedshow meer.

De zwakste schakel verstevigen

Toch is er geen reden tot wanhoop. Mits een goede aanpak in cybersecurity kun je het risico aanzienlijk beperken. De sleutel tot succes schuilt daarbij in meerlagige maatregelen. Lot vergelijkt het met een ajuin. “Door de verschillende lagen wordt het telkens moeilijker voor hackers om dieper in het systeem binnen te dringen. Bovendien heb je zo meer kansen om een aanval te stoppen”. 

Net als de vroegere stadsomwallingen en sloten is het logisch dat je firewalls en antivirusbescherming installeert. Maar training en opleiding zijn minstens even belangrijk. Mensen zijn immers vaak de zwakste schakel. Je moet snel kunnen handelen wanneer een crimineel een tunnel onder je muur graaft. Het wordt pas echt problematisch wanneer je niet weet hoe je moet reageren op het moment dat je geconfronteerd wordt met incident. Als je gegevens versleuteld zijn, ligt alles stil en kun je niets meer doen. Wees dus voorbereid. 

Niet volledig beschermd

Ook Vaisha benadrukt de combinatie van maatregelen en vergelijkt het met een auto. “Om te verhinderen dat die gestolen wordt, koop je een slot en een alarm. Maar je gaat hem niet volledig bepantseren. Er blijft dus nog steeds een risico over, dat kun je vervolgens afdekken met een verzekering. Wij geloven in de tachtig-twintigregel. Door een goede cybersecurity kun je tachtig procent van de risico’s wegnemen en je tegen de overige twintig procent verzekeren.”

We zien dat ondanks duidelijke indicaties, een derde van de ongetrainde mensen op verdachte links klikt. Na training en door enkele eenvoudige handvaten te gebruiken, kan dat percentage dalen tot tien en soms zelfs vijf procent. Het moet een gewoonte worden om twijfelgevallen steeds te checken. Door het four eyes principle komen verdachte berichten sneller aan het licht. Laat transacties boven een bedrag bijvoorbeeld steeds door twee kanalen verifiëren, bijvoorbeeld door de CFO of iemand van de boekhouding.

Laat je adviseren door experten zodat je bedrijfsspecifieke accenten kunt leggen en het beschikbare budget op een intelligente manier kunt inzetten.

Verdere emancipatie is nodig, benadrukt Stijn. “We moeten een automatische waakzaamheid creëren. Wanneer we de straat oversteken, kijken we toch ook eerst even of er geen auto aankomt?”

Van protection naar resilience

Vroeger werd er veelal ingezet op software en omkadering. Nu wordt er ook veel meer aandacht besteed aan detectie. Er zijn dagelijks potentiële dreigingen. Resilience of weerbaarheid, betekent anticiperen op die dreigingen. In een SOC (Security Operations Center) analyseren we continu binnenkomende meldingen en signalen zodat we indien nodig snel en gepast kunnen reageren. 

De kans is groot dat je vroeg of laat gehackt wordt. Zorg daarom voor een emergency response plan met duidelijke stappen en contactgegevens, dat je in geval van nood kunt uitrollen. Het threat landscape verandert voortdurend en de risico’s worden groter. Je kunt je beroepen op de expertise van cybersecurity deskundigen, maar bouw daarnaast ook aan je eigen capabiliteiten. Schuif cybersecurity niet aan de kant, de gezondheid van je bedrijf en veiligheid van je medewerkers staat immers op het spel. Verstevig je systemen en vergroot je weerbaarheid en reactiesnelheid. Slaat het noodlot toch toe, trek er dan lessen uit. En leg hoe dan ook klacht neer, bewustwording op alle niveaus is nodig zodat de overheid, als land, ook extra maatregelen kan nemen.