Blog
Cybersecurity: eerst managementvraagstuk en dan pas techneutenkwestie
Cybersecurity is geen technisch vraagstuk meer. Nee, élke manager moet aan de slag met digitale veiligheid. Voorkomen lukt niet, genezen vaak wel.Diginotar is in Nederland waarschijnlijk het bekendste voorbeeld. Het bedrijf, dat onder meer meehielp aan de veiligheid van de DigiD, werd in 2011 gehackt nadat het 30 updates van de software had laten lopen. Nog hetzelfde jaar ging het bedrijf failliet, maar de nasleep van het debacle sleept zich nog steeds voort.
Cybercrime wordt een steeds groter probleem voor het bedrijfsleven. Hack-aanvallen kunnen zomaar hele bedrijven lamleggen. Diefstal van gegevens en niet te vergeten de daaropvolgende reputatieschade kunnen vele tientallen, zo niet honderden miljoenen kosten.
De jaarlijkse economische schade als gevolg van cybercriminaliteit schat Intel Security wereldwijd op ruim 325 miljard dollar. Voor West-Europa zou de schade 53 miljard euro zijn, voor Nederland 8,8 miljard. TNO berekende de Nederlandse schade in een eerder onderzoek zelfs op ruim 10 miljard.
Van hinderlijk naar schadelijk
De gevaren zijn groot. Want waren computervirussen voorheen vooral hinderlijk, tegenwoordig zijn ze ronduit schadelijk. Criminelen dringen gericht een bedrijf binnen met slim opgestelde mailtjes aan specifieke ontvangers (spearphishing) en versleutelen data met behulp van kwaadaardige software (cryptoware), tot aan de harde schijven en servers aan toe. Of ze chanteren bedrijven door ‘losgeld’ te vragen in ruil voor het weer vrijgeven van de data (ransomware).Criminelen worden bovendien steeds vindingrijker. Ze sturen mails die bedrieglijk echt de huisstijl van bijvoorbeeld een bank weerspiegelen. Of ze wachten tot een bedrijf of kwestie in het nieuws is en sturen dan mails over datzelfde onderwerp, zodat mensen door de actualiteit denken dat ze er iets mee moeten, waarna ze al snel klikken op een besmette bijlage of foute link.
Niet over de schutting
Rampspoed en ellende alom dus. En ook allang niet meer een probleem dat over de schutting bij de ICT-afdeling kan worden gegooid. Sterker nog: de techniek komt eigenlijk pas op de laatste plaats, zegt Wim van Campen, vp Noord & Oost-Europa van Intel Security. Het gaat volgens hem in de eerste plaats juist om een managementvraagstuk. ‘De menselijke factor is cruciaal’, zegt hij. ‘Je moet mensen ervan bewust maken hoe je erin trapt. Dit bewustzijn is essentieel en kan voorkomen dat grotere problemen optreden.’Voorheen was computerbeveiliging vooral een vorm van tegenhouden met firewalls en virusscanners. Tegenwoordig gaat het erom om hoe je het best kunt handelen als het toch gebeurt. Want je houdt het toch niet in alle gevallen tegen, is nu de algemene gedachte.
En als het dan toch komt, dan kun je het beter meteen aanpakken, aldus Van Campen: ‘We zien een verschuiving van protectie naar detectie. Mensen moeten alert zijn op wat er gebeurt. De zogeheten indicator of compromise: een teken dat er iets mis is. Soms kan het een jaar of zelfs langer duren voordat een bedrijf opmerkt dat er iets niet in orde is.’ De gemiddelde tijd tussen besmetting en ontdekking is veel te lang, zegt Van Campen. ‘Je moet afwijkend gedrag binnen je systeem zo snel mogelijk opsporen.’
Managementvraagstuk
En ook hier geldt weer: dat is geen technisch, maar een managementvraagstuk, benadrukt hij. ‘Het is aan managers om te beslissen of ze de ruimte scheppen voor hun medewerkers om de juiste tools, de juiste trainingen en de juiste hulp bij bewustwording van cyberproblematiek te krijgen.’Draag dus uit naar je mensen dat ze tijdig aan de bel trekken, drukt Van Campen managend Nederland op het hart. ‘Je moet een atmosfeer creëren waarin mensen niet terughoudend zijn om dingen te melden die ze verdacht vinden.’
Lees ook:
Bron: Management Team - Robert van den Oever
