Bedrijven en overheden zullen veel meer aandacht aan cyberresilience moeten besteden om serieuze schade in de toekomst te voorkomen.
De stand van zaken
Vijf jaar geleden was cybersecurity een onderwerp voor technische specialisten, tegenwoordig is het een onderwerp dat aan de bestuurstafel wordt besproken. We zien regelmatig in het nieuws dat informatie wordt gestolen of in gijzeling wordt genomen en dat organisaties hierdoor serieus in de problemen komen.
Bij VDL hebben we bijvoorbeeld gezien dat een cybersecurity incident de reputatie van een organisatie flink kan schaden.
In de praktijk zagen we vorig jaar de volgende drie cybersecurity incidenten het vaakst voorkomen:
- Insider threat, waarbij een ontevreden medeweker bijvoorbeeld gegevens steelt en doorverkoopt,of vernietigt;
- Ransomware, waarbij al uw data onleesbaar worden gemaakt totdat u een losgeld betaalt; en
- CEO-fraude, waarbij een bestuurder wordt overgehaald om een frauduleuze rekening te betalen.
Phishing komt niet in dit rijtje voor maar verdient wel speciale aandacht. We spreken van Phishing wanneer kwaadwillende een mail sturen naar één of meerdere medewerkers om ze te verleiden om op een onveilige link te drukken of een onveilige bijlage te openen. Phishing heeft vaak als doel om een digitaal gat te creeren in de cyberveiligheid van uw organisatie. Wij zien Phishing niet als separate dreiging , maar als een methode om andere aanvallen te realiseren. Ransomware bijvoor- beeld, of CEO-fraude.
Hoe werken deze cyberaanvallen?
Niet alle medewerkers hebben altijd het beste met de organisatie voor. De insider threat houdt in dat een medewerker bedoeld of onbedoeld schade aanricht aan de organisatie. Een kwaadwillende insider maakt misbruik van de rechten die diegene heeft omwille van financieel gewin of uit wraak. Hieronder vallen bijvoorbeeld diefstal of de sabotage van informatiesystemen, maar ook bedrijfs- spionage.
Onbedoelde schade door een insider vind vooral plaats indien medewerkers niet goed (genoeg) ge- kwalificeerd zijn om hun functie te vervullen, waardoor ze fouten maken met potentieel desastreuze gevolgen. Ook medewerkers die slordig omgaan met beleidsregels vallen hieronder.
Ransomware komt met enige regelmaat in het nieuws. Een medewerker ontvangt een phishing mail, klikt op een link in de mail en plotseling zijn alle bestanden op één of meerdere systemen versleuteld
en ontoegankelijk voor de gebruiker. Alleen als de organisatie betaalt – bij voorkeur in bitcoin – haalt de dader het slot weer van de bestanden af. Zo niet krijg je geen toegang meer tot de bestanden
of wordt het systeem permanent onbruikbaar gemaakt, aldus de dader. En als je ongeluk hebt is de onversleutelde data eerst nog gestolen en wordt deze gepubliceerd op een publieke website. De AP rapporteerde recent over een schrikbarende toename van dit soort incidenten.
Bij CEO-fraude krijgt een medewerker van de financiële afdeling een phishing mail die zogenaamd van de CEO afkomstig is. Deze mail bevat een urgent verzoek om een rekening van een leverancier te betalen, inclusief de betaalgegevens. Na betaling bleek de mail vervalst te zijn en is het geld verdwenen.
Wat kan ik nu doen om mijn cyberkwetsbaarheid te beperken?
Cyberaanvallen zijn dusdanig veelvoorkomend dat het van belang is om je organisatie zo goed mogelijk te beschermen. Om het risico zo veel mogelijk te beperken hebben wij een vijftal maatregelen geselecteerd die je minimaal moet nemen je cyberweerbaarheid te vergroten.
- Voer regelmatig patches uit en hou alle software up-to-date. Hiermee voorkom je dat er van bekende kwetsbaarheden misbruik gemaakt wordt door een aanvaller.
- Zorg voor een passend beveiligingsbewustzijn bij de medewerkers, zodat er niet op vreemde links gedrukt wordt. Clean desk, clear screen is hierbij ook van belang. Laat geen papieren slingeren met mogelijk gevoelige informatie, en vergrendel je werkplek als je deze verlaat.
- Maak gebruik van back-ups. Hierbij is het 3-2-1 principe een goed uitgangspunt: drie back-ups, op twee verschillende media, waarvan één op een externe locatie.
- Implementeer tweefactor authenticatie, bijvoorbeeld door een wachtwoord te combineren met een token op de telefoon.
- Monitoring en controle zijn essentieel om te weten wat er op je eigen netwerk gebeurt. Verdacht verkeer kan hiermee gestopt worden, voordat er een daadwerkelijk incident kan optreden.
Belangrijk is dus dat u als bestuurder de vraag stelt op welke wijze uw organisatie haar cyberweer- baarheid op orde heeft gebracht en wat de status is van deze vijf maatregelen. Zorg er daarnaast voor dat u weet hoe u moet handelen wanneer er onverhoopt een cyberincident optreedt. Een geoefend cybernoodscenario is hiervoor essentieel.
Hoe kan VKA u helpen uw cyberresilience te vergroten?
Wij kunnen u hier op verschillende manieren bij ondersteunen. Regelmatig organiseren wij bij onze klanten een cybercrisis oefening, waarin we een cybercrisis simuleren en het crisisteam van onze klant helpen met het oplossen van deze crisis. De eerste stap in een simulatie is een intakegesprek bij
onze klant, om een goed inzicht te krijgen in de belangrijkste ICT systemen en dreigsinsscenarios. Vervolgens ontwikkelen we een maatwerk oefening en voeren we de simulatie uit. Direct na de simulatie doen we een „hot“ evaluatie met het crisisteam welke we in een kort rapport verder uitwerken. Twee weken na de simulatie voeren we een meer uitgebreide „cold“ evaluatie uit en bespreken we de belangrijkste punten waarop de klant haar cyberresilience kan verbeteren.
Daarnaast kunnen wij voor u een nulmeting cybersecurity uitvoeren. Na de kick-off analyseren wij de huisge status van uw cybersecurity op basis van interviews, documentanalyses en workshops om antwoord te krijgen op vragen als: Kent u uw cyberrisiciprofiel ? Hoe heeft u de besturing van cybersecurity ingericht? Kunt u cyberincidenten detecteren? Hoe adequaat kan uw organisatie op cyberincidenten reageren? Onze nulmeting resulteert in een concrete roadmap die u kunt gebruiken om uw cybersecurity te optimaliseren en die wij in uw managementteam bespreken.
Voor meer informatie kunt u met mij contact opnemen via: steven.debets@vka.nl