Van de set aan maatregelen die bedrijven kunnen nemen om hun cyberweerbaarheid te vergroten, krijgen de maatregelen gericht op menselijke kwetsbaarheden steeds meer aandacht. Daarnaast zijn met name ondernemers in het grootbedrijf geneigd om steeds meer budget uit te trekken voor cybersecurity, voornamelijk gedreven door de toegenomen dreiging, zo schrijft ABN AMRO.
Uit een enquête van ABN AMRO en onderzoeksbureau MWM2 onder 895 organisaties blijkt dat het gros van de ondervraagden maatregelen tegen cybercriminaliteit treft. Onder zzp'ers is dit percentage echter een stuk lager (82 procent) dan onder de respondenten uit het midden- en kleinbedrijf (mkb) en grootbedrijf (respectievelijk 95 en 97 procent). Preventieve maatregelen op technologische kwetsbaarheden zijn, in lijn met de resultaten uit eerdere jaren, onder alle bedrijfsgroottes het meest populair. Voorbeelden hiervan zijn de installatie van virusscanners, het versleutelen van gegevens en het toepassen van firewalls.
Vinger aan de pols blijft noodzakelijk
Ook als dergelijke maatregelen worden toegepast, blijft een vinger aan de pols noodzakelijk. Hackers wisten praktisch gelijktijdig binnen te komen bij 22 Deense energiebedrijven via een kritieke kwetsbaarheid in de firewalls van Zyxel, apparaten die juist zijn bedoeld om kwaadaardig verkeer uit het bedrijfsnetwerk te weren. Als de indringers niet eerder waren ontdekt, hadden zij via deze gecoördineerde cyberaanval controle kunnen krijgen over een deel van de vitale infrastructuur van Denemarken.
Hoewel relatief vroeg in het aanvalsproces kon worden ingegrepen, hadden diverse energiebedrijven duidelijke steken laten vallen in hun beveiliging. Volgens een rapport van het Deense cybersecuritycentrum voor vitale infrastructuur hadden diverse bedrijven nagelaten beveiligingsupdates van de firewalls te installeren. Zij waren bijvoorbeeld in de onterechte veronderstelling dat hun IT-leverancier de updates zou installeren, of hadden updates afgehouden omdat de leverancier installatiekosten in rekening zou brengen. Andere bedrijven wisten simpelweg niet dat zij het Zyxel-apparaat in hun netwerk hadden.
Toenemende aandacht voor menselijke kwetsbaarheden
Menselijke kwetsbaarheden krijgen meer aandacht; het percentage bedrijven dat op dit vlak maatregelen neemt, steeg van 40 procent in 2022 naar 53 procent vorig jaar. Voorbeelden zijn trainingen om medewerkers de basishygiëne op het gebied van cybersecurity bij te brengen, of het simuleren van phishing-aanvallen om de alertheid op dergelijke mails te vergroten. "Zulke oefeningen moet je dan wel maandelijks laten terugkeren", adviseert Arwi van der Sluijs, algemeen directeur van cybersecuritydienstverlener NFIR. "Koppel er ook een toets aan om de kennis omtrent cyberveiligheid te monitoren, en laat HR de resultaten bijhouden."
Het vooraf inregelen van hulp op het moment dat zich een cyberincident voordoet is met 35 procent van de respondenten een minder wijdverbreide maatregel. Hetzelfde geldt voor het afsluiten van verzekeringen tegen de schade (32 procent).
Mix aan maatregelen
Maarten Roerink van cybersecuritydienstverlener MMOX onderstreept het belang van een mix aan maatregelen. "De cybersecuritymarkt is van oudsher gedreven vanuit IT en technologische maatregelen", vertelt de CEO. "Maar als je een risico gestuurde aanpak hanteert, merk je al gauw dat er ook ingrepen nodig zijn op procesniveau en menselijk vlak. Welke bedrijfsdata zijn bijvoorbeeld gevoelig of waardevol, en welke medewerkers hebben toegang tot die data? De betreffende medewerkers moeten dan extra opleidings- en beveiligingsmaatregelen ontvangen, of hun toegang tot een bepaald systeem moet worden ingetrokken."
Een brede aanpak om cyberrisco's op orde te krijgen kan in drie relatief eenvoudige stappen. De eerste is het maken van een risicoanalyse waarmee in kaart gebracht wordt welke zaken cruciaal zijn voor het blijven functioneren van de onderneming en het op orde houden van de dienstverlening. De tweede stap is het nemen van maatregelen, zoals veilig gedrag onder werknemers stimuleren, vastleggen wie de eigenaar is van bepaalde gegevens en cyberrisico's met partners en leveranciers bespreken. Ten slotte is het essentieel om procedures te ontwikkelen waarmee de cyberincidenten kunnen worden gedetecteerd en afgehandeld.
Bron: ABN AMRO