‘We hebben af te rekenen met een perfecte cyberstorm’, zegt Jeroen Hulshof. ‘Er komt immers heel wat op ons af als het over IT, data en cyberveiligheid gaat. Denk bijvoorbeeld aan de steeds toenemende interconnectiviteit en de explosie van data en informatie waarmee we geconfronteerd worden. Nauw verweven daarmee is het groeiend belang van de bescherming van persoonsgegevens en privacy. Er wordt, en dan hebben we het niet alleen over GDPR, heel veel nieuwe regelgeving gelanceerd vanuit Europa, waarna het aan de EU-lidstaten is om die nieuwe regels te integreren in hun eigen wetgeving. Het doel van deze cyberwetgeving is om verschillende sectoren te dwingen om meer te doen aan cyberveiligheid en de cyberweerbaarheid te vergroten. We merken ook dat nieuwe ontwikkelingen op digitaal en IT-vlak alsmaar sneller gebeuren, waardoor er minder aandacht en tijd is om alle risico’s van A tot Z te bestuderen. Met soms erg zware gevolgen. Het aantal cyberaanvallen zit in de lift, zowel qua frequentie en schaal en worden steeds geavanceerder. Ten slotte kun je er niet omheen dat het voor veel mensen lastig is om mee te zijn met de digitalisering. Ook voor bedrijven is dat niet evident, onder andere omdat het een hele klus is om de juiste IT-profielen te kunnen aantrekken. Al die elementen samen bezorgen ons, en dan bedoel ik bedrijven en de man in de straat, heel wat kopzorgen.’
Cyberaanvallen zijn meer dan ooit een concrete bedreiging voor bedrijven. ‘Ik zeg wel eens dat we in ‘hacktic times’ leven. Cyberaanvallen zijn echt aan de orde van de dag. Niet enkel grote ondernemingen worden hiermee geconfronteerd, ook kmo’s zijn potentiële slachtoffers. Maar dat betekent niet dat een kmo bij voorbaat kansloos is. Ook al hebben kleinere bedrijven minder capaciteit of beperktere budgetten dan multinationals, toch kunnen zij zich tegen cyberrisico’s beschermen. Aanvullend kunnen ze een cyberverzekering onderschrijven, al ontslaat dat hen zeker niet van de plicht om te investeren in preventie en beveiliging.’
Iedereen heeft via de media kunnen vernemen dat MediaMarkt eind 2021 geconfronteerd werd met een ransomwareaanval: zeer professionele cybercriminelen hackten de IT-omgeving van de winkelketen en eisten aanvankelijk 240 miljoen dollar in bitcoins om de gegijzelde data en systemen vrij te geven. Diezelfde hackers hadden enkele maanden voordien drie Amerikaanse ziekenhuizen aangevallen, waardoor chirurgische ingrepen en onderzoeken uitgesteld moesten worden. Jeroen Hulshof: ‘91 % van cyberaanvallen zoals ransomware begint vaak met een geslaagde phishingmail. In een phishingmail of op een phishingwebsite hengelen vaak zogezegd officiële instellingen naar je persoonlijke informatie. Bankgegevens, wachtwoorden, ... Alles wat cybercriminelen maar kunnen gebruiken om je geld afhandig te maken. Andere vormen van phishing zijn mails van zogezegde collega’s, oude vrienden of leveranciers met een verdachte attachment die je computer infecteert als je ‘m opent. Zodra dat gebeurd is, krijgen de cybercriminelen vrije toegang tot de systemen. Zodra de cybercriminelen in de IT-systemen van bedrijven kunnen, is het voor hen een koud kunstje om bepaalde data te gijzelen, te stelen of de boel lam te leggen. In ruil voor losgeld beloven ze dan alles terug vrij te geven en/of gestolen (persoons)gegevens niet openbaar te maken. Dergelijke scenario’s wil een bedrijf echt niet meemaken.’
De vraag is uiteraard hoe een onderneming zich hiertegen kan wapenen. Vaak wordt in de eerste plaats gekeken naar hard- en software, maar volgens Jeroen Hulshof gaat het veel verder. ‘De beste verdedigingstactiek is een samenspel van technologie, de medewerkers en de processen waarin mensen met elkaar samenwerken. Uiteraard is technologische bescherming belangrijk, bijvoorbeeld via beveiliging tegen virussen en malware, maar het is nog veel essentiëler om de juiste reflexen in de bedrijfscultuur te integreren. Elke medewerker heeft immers zijn rol te spelen als het over cyberveiligheid gaat. Iedereen moet goed weten wat er toegelaten is en hoe hij moet reageren in bepaalde situaties. En uiteraard houden bepaalde diensten of medewerkers een extra oogje in het zeil.’
• Houd uw digitale voetafdruk zo klein mogelijk, want zo beperkt u ook de aanvalsoppervlakte voor cybercriminelen.
• Verzorg uw patch management: voer alle veiligheidsupdates van systemen meteen uit (vaak lopen bedrijven achter met updates en zijn ze daardoor extra kwetsbaar).
• Zorg dat de toegang tot uw onlinesystemen vanuit internet alleen mogelijk is via multifactorauthenticatie. Cybercriminelen proberen in te breken in onlineaccounts, webportals en apps, en ze zijn alleen maar in aantal gegroeid sinds het uitbreken van de Covid-19-pandemie.
• Maak uw volledige team bewust van de cyberrisico’s en verhoog hun waakzaamheid. Zorg voor de nodige training en focus vooral op phishing zodat ze niet beetgenomen worden.
Zorg voor regelmatige back-ups, zowel online als offline. Zorg dat je altijd kunt terugvallen op een ‘gouden back-up’ zodat u bepaalde data veiligstelt tegen cybercriminelen. Hebt u geen back-ups die u kunt gebruiken, dan hebt u ook geen verhaal tegen ransomware.
100 % bescherming bestaat natuurlijk niet. U kunt het risico zo klein mogelijk houden, maar er blijven altijd restrisico’s over. Bepaalde overblijvende risico’s kunt u verzekeren, bijvoorbeeld via een cyberverzekering. Maar dat betekent vanzelfsprekend niet dat preventie en back-ups plots niet meer nodig zijn.
‘Everybody has a plan until he gets hit in the face’, zei Mike Tyson ooit. Dat geldt ook voor veiligheid. Je kunt er dus ook een andere versie van maken ‘Everybody has an incident response plan until he gets hit by ransomware’. Als u af te rekenen krijgt met ransomware, dan moeten uw security incident response plan en continuïteitsplan ook geschikt zijn om hierop snel en adequaat te kunnen reageren. Bereid dat dus voor en test het regelmatig. Je wilt er immers niet tijdens een gijzeling pas achter komen wat je in welke situaties had moeten doen! Zorg ook hier voor een offlinekopie door het te printen en in een gesloten kast te bewaren of op een goed beveiligde USB-stick. Hoe gaat u anders kunnen terugvallen op uw plan als uw systemen niet beschikbaar zijn?
Bron: Baloise Magazine nr. 26