Actueler dan ooit: Cybersecurity Awareness Month

In oktober wordt al jaren extra aandacht gevraagd voor cybersecurity. Tijdens de Cybersecurity Awareness Month staat BDO stil bij de meest gestelde vragen. Lees in dit artikel over actuele dreigingen, trends, opvallende incidenten en antwoord op de vraag welke maatregelen organisaties kunnen nemen om schade te voorkomen.

Waarom blijft het nodig om aandacht te vragen voor cybersecurity? 

De samenleving digitaliseert harder dan ooit. Ondanks dat IT, applicaties, Infrastructuur en IT-dienstverleners al veel veiliger en zorgvuldiger zijn dan ooit, zorgen het toenemende volume van digitalisering en robotisering in alle sectoren van de samenleving, waaronder kritieke onderdelen zoals energievoorziening, telecommunicatie, zorg, financiële diensteverlening en transport voor steeds grotere cyberrisico’s. Ook de toenemende integratie en koppelingen van verschillende systemen en toepassingen en de steeds verder gaande internationalisering zorgen voor een significante vergroting van het zogenaamde aanvalsoppervlak: het aantal manieren of ingangen die aanvallers kunnen gebruiken om een systeem ongeoorloofd binnen te komen. Het aantal gerapporteerde kwetsbaarheden die misbruikt kunnen worden door bijvoorbeeld hackers steeg in het afgelopen jaar harder dan ooit te voren.

Wat zijn de meest urgente cyberdreigingen waarmee organisaties worden geconfronteerd?

De meest urgente bedreigingen worden geanalyseerd en bijgehouden door verschillende cybersecurity-dienstverleners en gepubliceerd in rapporten zoals het jaarlijkse Microsoft Digital Defense Report of het Verizon Data Breach Investigation Report, of dichter bij huis door het Nationaal Cyber Security Centrum (NCSC) en Digital Trust Center (DTC). Daaruit komt een eenduidig beeld naar voren. De belangrijkste oorzaken van succesvolle hacks en datadiefstallen zijn sociaal gerelateerd. Denk aan phising of het gebruik maken van gestolen inloggegevens. 

Hoe evolueren cyberaanvallen?

Waar op geld beluste hackers met name putten uit een arsenaal eenvoudige aanvalstechnieken, zoals hierboven genoemd, maken vijandige overheden veel eerder gebruik van complexe technieken. De zogenoemde Business Email Compromise, waarbij een aanvaller zich bijvoorbeeld voordoet als een leverancier die nog geld tegoed heeft en dat direct wil incasseren blijft een van de pijnlijkste om te zien. Vooral omdat hierbij ook personen direct om de tuin worden geleidt.  

Recent gaf de Nederlandse voetbalbond aan geld te hebben betaald aan hackers. Zijn er meer voorbeelden waaruit lessen kunnen worden getrokken? 

Uit ieder incident is lering te trekken. BDO roept daarom op om open te zijn over incidenten. Er zijn verschillende kennisdelingsplatformen en ook het NCSC en DTC delen veelvuldig informatie om cyberincidenten tegen te verhelpen of beter nog te voorkomen. In dat kader is een incident bij de gemeente Hof van Twente interessant. Daar ging de gemeente er (uiteindelijk ook volgens de rechter ) onterecht van uit dat hun IT-leverancier ook verantwoordelijk was voor de cybersecurity. Ondanks dat er mogelijk op de dienstverlening wel wat was af te dingen inzake zorgvuldigheid en pro-activiteit, is de gemeente en daarmee te allen tijde de organisatie verantwoordelijk, ook als er geen goede cybersecuritymaatregelen zijn ingericht. Omdat de kennis hiervoor specialistisch en niet makkelijk voorhanden is, is het aan te bevelen het onderwerp cybersecurity altijd door een onafhankelijke derde partij te laten controleren. 

Wat zijn enkele fundamentele maatregelen die organisaties kunnen nemen om hun netwerken en gegevens te beschermen tegen cyberaanvallen?

Alles begint bij een helder inzicht. Een goed begrip van de mogelijke risico’s die een organisatie loopt en welke dreigingen daarbij echt relevant zijn, geeft een helder beeld van waar de organisatie zich tegen moet beschermen. Omdat er verschillende typen aanvallers zijn met verschillende motieven en aanvalsmogelijkheden die ook per bedrijfssector kunnen variëren, is dit relevant om te begrijpen. Vervolgens moet dit inzicht worden gekoppeld aan een actueel inzicht in het niveau van cybersecurity in de eigen organisatie. Hierbij moet goed naar de gehele scope van de organisatie worden gekeken. Immers, zoals hierboven ook beschreven, er verschillende vormen van cyber criminaliteit die zowel op de factoren mens, techniek, proces en fysiek kunnen ingrijpen en welke dus ook mogelijk versterkt moeten worden.

Daarnaast is vaak niet het gehele aanvalsoppervlak in beeld. Verschillende vestigingen en organisatieonderdelen hebben vaak diverse IT-applicaties, servers en dienstenleveranciers die niet altijd volledig in beeld zijn. Denk dus ook aan hoe de cybersecurity van leveranciers is ingeregeld in de keten, welke afspraken hiervoor zijn gemaakt en welke mogelijke servicelevels hiervoor gelden. Een derde partij kan helpen deze zaken helder te krijgen. Wees, tot slot, voorbereid dat het een keer mis kan gaan en zorg dat er op dat moment een up-to-date business continuity-plan is, waarvan ook incident respons onderdeel uitmaakt.

Test uw eigen cyberveiligheid