Bestuurders van KMO's onderschatten nog steeds de risico's van een cyberaanval.
Ontdek de resultaten van nieuw onderzoek...en wat Nederland daarmee gaat doen !
Bedrijfsleiders nog altijd naïef over cyber-gevaren
Het is een gekend & hardnekkig probleem : bedrijfsleiders onderschatten cyberrisico's.
Helaas brengen ze daarmee niet enkel hun eigen onderneming in (groot) gevaar, maar ook andere bedrijven. Dat zegt ons nog maar eens- een onderzoek uitgevoerd door Dialogic :
“[...] Daardoor worden er structureel te weinig middelen worden vrijgemaakt voor het weren van ransomware-aanvallen. Ondernemers hebben vaak niet eens oog voor het implementeren van basale veiligheidsmaatregelen. Uit interviews blijkt dat veel bedrijven en organisaties uit het MKB (nvdr : dit zijn KMO's ) onvoldoende aandacht besteden aan bijvoorbeeld het up-to-date houden van software, het opzetten van een goede back-upstrategie en het monitoren van netwerkactiviteiten."
Dialogic richtte haar onderzoek op 7 kernvragen :
- Welke risico’s brengen ransomware-aanvallen met zich mee?
- Hoe zien ransomware-aanvallen er tegenwoordig uit en welke instrumenten worden hierbij ingezet?
- Welke soorten partijen zijn bij deze aanvallen betrokken?
- Welke interne en externe factoren dragen bij aan ransomware-risico’s voor een organisatie?
- In hoeverre zijn deze factoren kwantificeerbaar?
- Met welk instrument kunnen beleidsmakers in middelgrote en kleine organisaties bewust worden gemaakt maken van de risico’s van ransomware?
- Wat zijn belangrijke factoren voor bedrijven en organisaties om met het instrument aan de slag te gaan?
Het volledige onderzoekrapport kan je downloaden op de website van Cybercrimeinfo.nl, maar hieronder zoomen we in op enkele interessante vaststellingen en conclusies.
De gevolgen van een cyberincident zijn groot & 'bedrijfsbreed'
Nemen we als voorbeeld : een ransomware -aanval.
In tegenstelling tot wat ondernemers soms denken, maak je je er niet zomaar vanaf door wat cryptomunten te betalen (wat op zich al een dodelijke kost kan zijn, gemiddeld tussen de $50K en $500K!). Ervaring leert dat het volledig herstel van je bedrijfscontinuïteit nog véél meer geld kost, zeker indien het een prioductiebedrijf betreft.
Want ook je klanten en leveranciers moeten geïnformeerd worden. Ervaring leert dat zij steeds vaker heel wat extra informatie wensen alvorens de samenwerking te hervatten. Immers, de angst om -via jouw bedrijf- zelf ook getroffen te zijn of worden is erg groot. En indien zou blijken dat er in jouw bedrijf sprake is van naïef beleid & onderinvestering in veiligheid, dan is het goed mogelijk dat de samenwerking met partners zelfs nooit weer wordt herstart. En dat klanten afhaken.
Wanneer je getroffen wordt door een cyberincident loopt de kost dus fors op : er is (liever niet ) het losgeld zelf + de kosten van de bedrijfsstilstand & heropstart + reupatieschade. Maar in heel wat gevallen is een (maandenlange) systeem-opkuis en screening nodig om te vermijden dat het incident zich herhaalt...of dat niet alle malware werd opgekuist. En vergeet ook de overheid niet, die via de toezichthouder steeds strikter toekijkt op een correcte naleving van de GDPR en in dat kader zelf ook bijkomend onderzoek kan gelasten en/of zal beboeten indien zij dat gepast acht.
In het onderzoeksrapport dat Dialogic publiceerde worden heel wat concrete cases genoemd ter illustratie : zo betaalde de Universiteit van Maastricht €197K aan losgeld nadat ransomware haar systemen & data (oa de gegevens van 13.000 studenten) compromitteerde. En maakten cybercriminelen zowat alle bedrijfsgegevens (HR, finance, ...) buit van game-bouwer CD Project Red , evenals de broncode van enkele games. Het softwarebedrijf weigerde het geëiste losgeld te betalen, waarna de criminelen de bedrijfsdata doorverkochten voor meer dan $7 miljoen !
In de studie worden meest voorkomende kosten van een cyberincident mooi visueel samengevat :
De Ransomware KILL CHAIN
Cybercriminelen lanceren ransomware -aanvallen veelal met 1 doel : snel & veel geld verdienen. Bijgevolg wordt er 'breed geschoten'....kleine organisatie worden er heus niet uitgefilterd ! Een ransomware aanval verloopt doorgaans volgens een vast aantal stappen. Dat 'patroon' heet in het vakjargon 'the cyber kill chain'. In de studie vind je deze heldere visual :
Elk incident begint logischerwijs met het verkrijgen van toegang tot de bedrijfssystemen. Veelgebruikte techniek daarvoor is natuurlijk 'phishing', maar wanneer systemen niet tijdig up-to-date worden gehouden & nieuwe beveiligingspatches niet snel genoeg worden geïnstalleerd, dan staan ook heel wat digitale bedrijfsdeuren bij wijze van spreken wagenwijd open !
Een bedrijfsleider heeft best véél impact het beperken van de kans dat cybercriminelen zich toegang verschaffen tot het bedrijfsnetwerk. Via volgehouden en een gericht cyberveiligheidsbeleid met (onder meer) een duidelijk aanspreekpunt voor werknemers die hieromtrent vragen hebben. Bijvoorbeeld wanneer ze twijfelen over een bepaalde mail. Zo'n beleid moet uiteindelijk resulteren in een heus Business Continuity Plan (BCP), maar de weg daarnaartoe is hobbelig en gaat niet over 1 nacht ijs.
"The best way tot achieve goals is to start" , dus geven we ondernemers hieronder enkele concrete tips :
- Kies een IT-partner die zelf ook belang hecht aan cyberveiligheid, laat hem alle administrator-accounts in je bedrijfsnetwerk concreet oplijsten. Probeer vervolgens deze lijst fors in te beperken
- Beslis vandaag nog om te starten met 2-factor Authenticatie
- Kies één van de talrijke, goeie en ook erg betaalbare tools die jouw werknemers uitdaagt om phishing-mails te herkennen. Zo hou je hen alert en wordt je 'human capital' ook je 'first line of defense'
- Inventariseer je systemen en stel backup-procedures op die een juist evenwicht bevatten tussen de gewenste 'Recovery Time Objective' (hoe lang duurt het om een backup terug te kunnen zetten?) en 'Recovery Point Objective' (welke situatie kan worden gerestored ?)
Eenvoudige acties die je snel kan nemen en die een wereld van verschil maken.
Preventie is stap 1, maar het maakt je niet onkwetsbaar.
Daarom voorzien wij bij CyberContract in al onze verzekeringsformules ook een 24/7 hotline die directe toegang verschaft tot zeer gespecialiseerde IT- en Legal diensten. U belt onze hotline bij een vermoed incident....onze specialisten bekijken direct wat er aan de hand is, en dit steeds in nauw overleg met de eigen IT- en logal partners van je bedrijf. Blijkt uit ons onderzoek dat het toch géén incident is? Dan sturen we je toch géén factuur voor de gepresteerde onderzoeksuren ! Zo houden we de drempel laag, want dat is nodig...dat weten we uit ervaring. We willen graag dat u ons zo snel mogelijk opbelt, want tijd blijkt een sleutelfactor om een incident klein te houden...
Nederlandse overheid lanceert bewustwordingscampagne
Het probleem benoemen is een goed begin. Maar hoe verhogen we het bewustzijn omtrent cyberrisico's bij ondernemers ?
In Nederland wordt een grote bewustwordingscampagne opgezet richting bestuurders van KMO's. Doel van de campagne is een gedragsverandering te veroorzaken, en dat wil men -net als in de anti-tabac reklame en de BOB campagnes- in eerste instantie bereiken via het delen van confronterende feiten. Denk aan harde cijfers & testimonials. De ontvanger moet zich 'ongemakkelijk' voelen en daardoor beter reflecteren over z'n eigen situatie.
Daarnaast moet de campagne ook duidelijke 'acties' voorstellen die een ondernemer kan doen om z'n bedrijf cyberveiliger te maken.
Laat ons hopen dat deze campagne effectief aanslaat, en een voorbeeld mag zijn voor andere landen (zoals België)
Nuttige info en links
CyberContract blijft ijveren voor een betere risico-inschatting door bedrijfsleiders en management.
Ook in het recente verleden pikten we relevant onderzoek op en vatten de essentie samen in glasheldere blogs die ook vandaag nog actueel zijn :
Zoekt u een snelle & interactieve manier om uw bedrijf zelf eens een spiegel voor te houden ? Investeer dan 15 minuten van uw tijd in onze gratis online cybertest. U krijgt aan het einde van de test direct een bijzonder volledige eindrapport waarmee u concreet aan de slag kan. En uw privacy is 100% gewaarborgd...wij kunnen en zullen uw antwoorden dus niet gebruiken voor commerciële doeleinden.
Ontdek de concrete engagementen van onze hotline-bijstand !
Bereken hier hoeveel onze cyberverzekering zou kosten voor uw bedrijf.
Heeft u vragen over onze verzekeringsoplossingen? Bekijk dan onze site of neem contact op met een van onze gespecialiseerde partnermakelaars !
