De cybersecurity van Nederlandse organisaties kan nog beter

Zo kwam deze week naar buiten dat de bandenfabrikant Apollo Vredestein gehackt werd met behulp van publiek bekende softwareproblemen (ook wel exploits genoemd). Dagenlang lagen de systemen van het bedrijf plat. Volgens experts geen uitzondering. Bij veel Nederlandse organisaties laat de cybersecurity te wensen over. Maar waarom?  

Onveiligheid ontstaat vaak uit misverstanden

Geen enkele ondernemer kiest er bewust voor om onveilig te werken, maar onbewust laten ze toch steken vallen. Uit ons recente onderzoek naar Cybersecurity in het Nederlandse mkb blijkt bijvoorbeeld dat de meerderheid van de IT-leveranciers signaleert dat ondernemers te weinig met cybersecurity bezig zijn. Teveel ondernemers gaan ervan uit dat zijn IT-leverancier alle risico’s onder controle heeft. Klaarblijkelijk is in veel van deze klant-leverancier-relaties niet duidelijk wie wat doet.

Inzicht belangrijk om hacks te voorkomen

De sleutel tot het voorkomen van dit soort misverstanden is inzicht. Wat zijn nu precies de risico’s die jouw bedrijf loopt en wie is hier verantwoordelijk voor? Dat inzicht verkrijgen is makkelijker dan je denkt. Naar aanleiding van de Apollo Vredestein-hack constateerden diverse externe experts dat de organisatie verouderde systemen gebruikte. Dit deden ze met een simpele, van buitenaf uitgevoerde scan, waarbij diverse exploits ontdekt werden. Volgens Apollo Vredestein waren dit overigens niet de exploits die tot de hack leiden.

Grote verschillen binnen sectoren en branches

Situaties als bij Apollo Vredestein vind je bij veel bedrijven in Nederland. In alle sectoren en in alle branches. Gelukkig zijn er steeds meer bedrijven die het wel goed op orde hebben en dat aantal groeit. Een belangrijke oorzaak van die onderlinge verschillen is dat cybersecurity-incidenten vaak buiten de publiciteit blijven. Als het naar buiten komt, zijn het vaak spectaculaire gevallen bij grote organisaties in kritieke sectoren (bijvoorbeeld banken). Bij veel mkb’ers leidt dit tot een vals gevoel van veiligheid: wij zijn niet groot en zitten niet in de financiële dienstverlening, dus zijn wij geen aantrekkelijk doelwit.

Cybercriminaliteit ontwikkelt zich

De ontwikkelingen in cybercriminaliteit staan niet stil. Cybercriminelen kijken tegenwoordig met een andere bril naar potentiële slachtoffers. Ze zoeken online geautomatiseerd naar systemen met bekende kwetsbaarheden of naar menselijke factoren die ze kunnen beïnvloeden. Daarbij is het maar beperkt interessant om welke branche het gaat en zijn ook relatief kleine bedrijven een aantrekkelijk doelwit.

Reactie op incidenten vaak beperkt

Wij opereren wij los van branches, sectoren en bedrijfstakken en zien de gevolgen van deze trend ook. Het valt ons al jaren op dat incidenten bij een specifiek bedrijf vaak zorgen voor onrust en een sense of urgency bij bedrijven in de directe nabijheid van dat bedrijf, maar dat het effect daarbuiten snel afneemt. Zo leidde de ransomware-affaire bij de Universiteit Maastricht tot een sterke sense of urgency bij grote onderwijsinstellingen en is te verwachten dat de hack bij Vredestein concurrenten, leveranciers en buren van het bedrijf wakker zal schudden.

Investeer in inzicht

Buiten de directe kring van de getroffene neemt het effect snel af en veel hacks bereiken de buitenwereld nooit. Daardoor blijft er een groep mkb-bedrijven bestaan die zich ten onrechte veilig wanen. Voor die bedrijven adviseren wij: investeer in inzicht. Zorg dat je weet waar je kwetsbaarheden liggen, zodat je goede afspraken met je leverancier kunt maken. Dit kan bijvoorbeeld met CyberSterk.