‘Cybersecurity is een cruciale bouwsteen voor elke onderneming’
Een veranderende wereld
Opportunistische cybercriminelen
De coronacrisis veroorzaakte een grote verschuiving in het digitale landschap. Thuiswerk werd de norm, terwijl digitale tools vaak de oplossing waren voor ondernemers om hun bedrijf draaiende te houden. ‘Helaas blijkt dat cybercriminelen eeuwig opportunistisch zijn en van die crisis en onzekerheid gebruik hebben gemaakt om organisaties nog doelgerichter aan te vallen’, zegt Yannick Scheelen, Senior Manager Cybersecurity and Privacy bij EY Consulting. Zo was 2020 een recordjaar voor digitale gijzelingsacties, waarbij hackers bedrijven of organisaties lamleggen en vervolgens losgeld eisen. Het voorbije jaar was er ook een opvallende stijging van het aantal phishingaanvallen. ‘De meeste mensen zijn nu eenmaal minder waakzaam als ze thuis werken en niet in de beveiligde bedrijfsomgeving. Cybercriminelen spelen daar handig op in.’ Bovendien lag voor veel bedrijven in eerste instantie de prioriteit niet bij cybersecurity. Koen Machilsen, Executive Director bij EY Consulting: ‘Veel ondernemers waren vooral bezig met hun business draaiende houden. Cybersecurity was niet het eerste waar ze aan dachten.’
‘Cybercriminelen zijn eeuwig opportunistisch en gebruikten de coronacrisis om organisaties nog doelgerichter aan te vallen’
van de organisaties was het voorbije jaar het slachtoffer van een cyberincident (EY Global Information Security Survey)
van de organisaties verhoogde dit jaar het budget voor cyberbeveiliging (EY Global Information Security Survey)
ondernemers houdt de IT-beveiliging in eigen huis. Eigen expertise en de overtuiging dat de kosten van uitbesteding zwaarder wegen dan de baten zijn redenen om niet naar een externe IT-partner te stappen. (UNIZO Limburg, onderzoeksrapport 2020)
Impact
Duizenden aanvallen per dag
Intussen zijn cyberaanvallen schering en inslag en moet cybersecurity wél hoog op het prioriteitenlijstje staan. ‘De IT-systemen van grote ondernemingen en organisaties krijgen soms duizenden aanvallen per dag te verduren. Ze moeten continu aanvallen afwenden’, zegt Scheelen. Die aanvallen komen van over de hele wereld en worden ook steeds doelgerichter. Terwijl cybercriminelen vroeger vooral hele brede aanvallen lanceerden - in de hoop dat er toch iemand in de val zou lopen - richten ze zich nu vaak op specifieke personen, zoals bijvoorbeeld de financieel verantwoordelijke van een onderneming. Dergelijke doelgerichte aanvallen komen steeds vaker voor en ze blijken veel gevaarlijker. Scheelen: ‘De complexiteit van de cyberdreigingen maakt dat organisaties zich op meerdere vlakken moeten wapenen: zowel technisch als organisatorisch, met een goed begrip van wat hun cruciale data is, wat hun prioritaire business processen zijn en hoe ze die maatregelen moeten toepassen om die optimaal te beveiligen.’
Zowat tien jaar geleden had een cyberaanval meestal niet echt veel operationele impact. Hoogstens lag de IT-omgeving een dag of twee plat. De operationele activiteiten liepen gewoon verder, weliswaar minder efficiënt. Vandaag legt een gerichte cyberaanval hele bedrijven en organisaties volledig lam. Technologie maakt immers meer en meer een fundamenteel onderdeel uit van de kernbedrijfsprocessen en dienstverlening. Automatisering connecteert integraal productieomgevingen met digitale tools om machines en installaties vanop afstand aan te sturen. Dat is ook cybercriminelen niet ontgaan. ‘Cybersecurity niet in de operationele activiteiten integreren, betekent zoveel als wachten tot een hacker de stekker uittrekt’, zegt Scheelen.
Cyberveilig ondernemen
Niet alleen voor multinationals
Niet alleen grote bedrijven en organisaties komen in het vizier van cybercriminelen. Een op de vijf Belgische kmo’s was al het slachtoffer van een cyberaanval, zo blijkt uit een recent onderzoek van Unizo. ‘Voor cybercriminelen maakt het niet uit welke onderneming ze platleggen en wie losgeld betaalt. Bovendien zijn kmo’s vaak ook toeleveranciers van veel grotere ondernemingen, waardoor een cyberaanval op een kmo de toegangspoort kan zijn tot de multinationals waarvoor die werkt’, zegt Machilsen. Kmo’s maken nu eenmaal dikwijls deel uit van een bredere supply chain. ‘Het is daarom belangrijk dat ze aan hun klanten kunnen aantonen dat hun dienstverlening cyberproof opereert, bijvoorbeeld om de bedrijfscontinuïteit en leveringen naar de klanten te verzekeren’, zegt Scheelen.
Een continuïteits- versus een herstelplan
Het cybercontinuïteitsplan treedt in werking zodra een onderneming of organisatie getroffen is door een impactvolle cyberaanval. Het is een back-upplan om de essentiële dienstverlening overeind te houden, na bijvoorbeeld een ransomware-aanval. Het herstelplan bevat de verschillende stappen die nodig zijn om de normale activiteiten weer te hernemen na een incident. Machilsen: ‘Daarover moet een bedrijf of organisatie op voorhand nadenken. Op het moment van een aanval is het te laat.’
Cyberveiligheid als hoeksteen van digitaliseringstraject
‘De prioriteit van kmo’s is groei, maar ze beseffen niet altijd dat cyberveiligheid een cruciale factor is om dat te garanderen’
Toch zijn veel kmo’s zich nog niet bewust van de gevaren. ‘Hun prioriteit ligt bij groei, maar ze beseffen niet altijd dat cyberveiligheid een cruciale factor is om groei te garanderen’, zegt Machilsen. Net daarom zette het Vlaams Agentschap Innovatie en Ondernemen (VLAIO) een begeleidingstraject op voor kmo’s. Ze kunnen zo extern advies en begeleiding krijgen om hun maturiteit omtrent cybersecurity te verhogen. De Vlaamse overheid selecteerde daarvoor negen dienstverleners (waaronder ook EY) die elk een specifiek traject uitwerkten. De trajecten kosten tussen de 25.000 en 50.000 euro, waarvan 45 procent wordt gesubsidieerd door de Vlaamse overheid. Machilsen: ‘Om competitief te blijven zetten veel kmo’s in op digitalisering, zowel intern als voor de dienstverlening die ze aanbieden. Maar wie digitaliseert wordt kwetsbaar voor cyberaanvallen en moet cybersecurity meenemen als bouwsteen van de onderneming.’
Waar starten?
Analyseer de zwakke plekken
Ondernemingen die hun cybersecurity willen verhogen, moeten eerst een goed zicht krijgen op hun eigen zwakke plekken. Die analyse vormt de basis voor een strategisch stappenplan dat alle prioriteiten bevat, en de stappen, tools en financiële middelen die nodig zijn om het beoogde niveau van cybersecurity te bereiken. Scheelen: ‘Het komt er vooral op aan te prioriteren op basis van het risico, de kostprijs en de impact van een ingreep.’
Het specifieke plan van aanpak verschilt van de ene onderneming tot de andere. Toch zijn er enkele concrete prioriteiten die vaak terugkeren.
- Het bewustzijn omtrent de risico’s verhogen bij medewerkers en specifiek ook bij medewerkers van de financiële dienst (bijvoorbeeld om factuurfraude te voorkomen)
- Pak het gebruik van zwakke wachtwoorden aan en zet in op sterke authenticatie
- Bepaal van welke IT-systemen en technologieën uw kernactiviteiten het sterkst afhankelijk zijn, zodat daaraan prioriteit kan worden gegeven.
- Maak gebruik van ethical hacking of red teaming om de robuustheid van uw IT en technologie-omgeving te testen
- Bouw Computer Security Incident Response (CSIRT)-capaciteit uit om aanvallen te detecteren en deze tijdig te stoppen voordat er grote impact wordt veroorzaakt.
- Train het management in het omgaan met een cybercrisis en het opstellen van een degelijk continuïteitsplan.
- Zorg dat cybersecurity een integraal onderdeel vormt in nieuwe projecten en initiatieven
Vier vormen van cybercriminaliteit
Phishing
slachtoffers worden meestal via een mail naar een valse website gelokt, die een kopie is van de echte website. Daar loggen ze nietsvermoedend in en zo geven ze hun inlog- en vaak ook bankgegevens.
Spear phishing
een hele gerichte phishingaanval op een individu, een bedrijf of een organisatie.
Ransomware-aanval
hackers installeren gijzelsoftware in de IT-systemen van de onderneming en leggen zo alle bedrijfs- en productieprocessen plat. De cybercriminelen vragen vervolgens losgeld om alles te deblokkeren.
CXO-fraude
een vorm van factuurfraude waarbij geprobeerd wordt om mensen geld te laten overmaken naar de bankrekening van de oplichter. Die doet zich voor als een CEO of andere hooggeplaatste directeur van een bedrijf.
Contact