CYBERSECURITY  
New Security Magazine 154 – april 2020

Cybersecurity moet op maat van elk bedrijf

De actualiteit leert ons dat het aantal hackings van bedrijven en organisaties aan een steile opgang bezig is. Begin dit jaar werden onder meer Picanol en de stad Willebroek het slachtoffer, maar dat is slechts het topje van de ijsberg. In realiteit wordt een cyberinbraakpoging vaak niet opgemerkt of toegedekt om reputatieschade te voorkomen. Iedereen moet zich dus beschermen, maar hoe gaat u daar het best bij te werk?

‘Mijn bedrijf is niet interessant voor hackers’, dat is meteen dé dooddoener waarmee sommige bedrijven maatregelen afschepen of op de lange baan schuiven. Helaas klopt die stelling niet langer. Daar waar hackers oorspronkelijk voornamelijk onder de noemer industriële spionage konden ondergebracht worden, gaat die vlieger niet langer op. De reden? Bij industriële hackers is de inhoud van de data van belang, bij de meeste ransomware speelt dat niet. Met andere woorden: elk bedrijf is vandaag interessant voor hackers. Bovendien stijgen dankzij de grotere connectiviteit en digitalisering de risico’s, zowel in aantal als in diversiteit. Daarom beginnen we met de evoluties van de hacktechnieken.

Ransomware en phishing

Phishing is bijvoorbeeld ook een vaak gebruikte techniek. Vroeger gebeurde dat op een relatief eenvoudige manier, waarbij een Nigeriaanse prins die uw hulp nodig heeft om zijn fortuin te cashen het best bekende voorbeeld in. Vandaag trappen daar nog weinig mensen in, dus ook hackers worden inventiever. Spear phishing is de volgende trap in de evolutie, waarbij men zeer gericht op zoek gaat naar mogelijke slachtoffers. Dat kan zeer gesofisticeerd gebeuren: ze brengen uw onderneming in kaart, weten wie er op welke post zit en welke (financiële) verantwoordelijkheden die heeft. Door vervolgens in te breken in een mailbox, kan men zeer vlug op de hoogte zijn van bepaalde financiële transacties en die onderscheppen.

Ransomware dan. Hackers banen zich een weg naar uw data en zorgen dat u er niet meer aan kunt vooraleer er losgeld betaald wordt. De manieren waarop men zich toegang verschaft tot uw data zijn even divers als intensief. Ook hier zien we een andere benadering: daar waar men vroeger malware ‘op goed geluk’ lanceerde, zien we nu ook zeer gericht ransomware opduiken. Die is dan bedoeld belangrijke systemen van een specifiek bedrijf te gijzelen, zoals men bij Picanol deed eerder dit jaar. Een bijkomend probleem is dat bedrijven vaak geneigd zijn om in te gaan op de dwangsom, omdat ze zo minder geld verliezen dan door hun stilliggende productie. Er gaan evenwel stemmen op om dat wettelijk te verbieden, om zo de businesscase van die malafide bedrijven te stoppen.

Maatregelen

Wat kan een bedrijf nu doen om zich te beschermen? Daarvoor gingen we te rade bij de experts van Tereon. Siebe De Roovere, senior consultant bij Toreon: “Wij hechten veel belang aan de eigenheid van elke onderneming. Elk bedrijf heeft een ander veiligheidsprofiel. Daarom is het belangrijk dat een onderneming start met een eigen assessment, om zo de eigen risico’s en de startsituatie in kaart te brengen. Dat laat toe om meteen ook zwakke operationele punten aan te duiden, zoals een niet goed uitgekiend toegangsrechtenbeleid. Zonder die absolute basis is de effectiviteit van andere maatregelen veel minder. Ook op het vlak van informatieveiligheid zijn er grote verschillen tussen bedrijven. Bij een ziekenhuis is confidentialiteit belangrijk, maar beschikbaarheid nog veel belangrijker. Bij een probleem rond confidentialiteit heb je ‘slechts’ een datalek, bij een probleem met het tweede staan er misschien mensenlevens op het spel. Bij technologische organisaties met intellectuele eigendommen ligt data-integriteit dan weer in de bovenste schuif. Toch kunnen we globaal gezien acht quick wins (zie kaderstuk) opstellen.”

“Voor elk bedrijf een aangepast plan”

Ook bij IT-dienstenleverancier Cheops Technology beamen ze de noodzaak aan betere bescherming. “Wij lieten een studie uitvoeren bij een 50-tal Belgische ondernemingen en beschikken ook over de resultaten van andere vergelijkbare marktbevragingen”, zegt Kenny Dierickx, operationsdirector bij Cheops Technology. “Daar komen een aantal verontrustende resultaten uit. Zo geeft 33% aan dat ze geloven dat hun sector niet interessant is voor hackers. 82% van de respondenten meldt dat ze in 2019 minstens één cyberveiligheidsincident – cryptolock, datalek,… – kenden. Een ander markant cijfer: van het totale IT-budget gaat gemiddeld 11% naar security. Dat is weinig.”

“Als we de toekomstige maatregelen bekijken die bedrijven aangeven te zullen nemen, dan zien we dat bewustmaking van medewerkers hoog op de agenda staat, net zoals het managen van de netwerktoegang en gebruiksrechten. Tegelijk willen ze ook zekerheid. IT-diensten moeten ervoor zorgen dat bedrijven zich op hun corebusiness kunnen richten, maar tegelijk zijn ze ook op zoek naar de geschikte maatregelen. Daarom pleiten wij voor een aangepaste werkwijze op maat van elk bedrijf. Risico’s zijn anders voor elk type bedrijf. Ze hangen af van de grootte, van de sector en van de aard van de activiteiten. We werken daarvoor op basis van een framework (zie afbeelding). Na een eerste assessment geven we aan elke maatregel een prioriteit. Bepaalde maatregelen zijn de absolute basis, zoals een firewall of een antivirusprogramma. Andere maatregelen gaan een stuk verder. Het is echt belangrijk om een op maat gemaakte beveiliging te creëren.”

Door Sammy Soetaert

www.toreon.com

www.cheops.com