Solimas-directeur Gerard de Weerd is gepassioneerd door cybersecurity- en informatiebeveiliging. Hij is daarnaast ook lid van het Platform voor Informatiebeveiliging. Het zal je dan ook niet verbazen dat het bij Gerard ieder jaar al aan het eind van de zomer begint te kriebelen: oktober is namelijk Cybersecurity Maand. Naast de aandacht die we bij Solimas hieraan gegeven hebben, heeft Gerard een bijdrage geleverd aan de SIDN Podcast door samen met CyberSterk Business Developer Daisy Rasing en Chris van ’t Hof te praten over informatiebeveiliging voor het MKB. De hamvraag: hoe maak je je als organisatie cyberweerbaar?
In de podcast worden verschillende cybersecurity- en informatiebeveiligingsscenario's behandeld aan de hand van een fictief MKB-bedrijf. Dit familiebedrijf zit in de bouw en de website is 16 jaar geleden eens gemaakt door een handig neefje. Dat dit niet helemaal veilig en verantwoord is snapt men ook wel, dus de meest belangrijke applicaties zijn uitbesteed aan SaaS-leveranciers. Daar draaien de loonadministratie, de facturatie en de inventaris en men vertrouwt erop dat dat allemaal goed zit. Binnen het familiebedrijf is er een hoop onderling vertrouwen waarbij iedereen een beetje zijn eigen manier van werken heeft. De onderneming bestaat uit 50 medewerkers en heeft nog eens 50 freelancers tot haar beschikking. Men heeft een hoop kennis van fysieke risico’s in de bouw en maakt daarover uitgebreide risk assessments, maar weet niet veel van IT-security. Waarom zouden ze ook? Dat hebben ze immers allemaal uitbesteed aan een goede SaaS-leverancier.
Dit is deel 4 van onze blogserie over informatiebeveiliging. Wil je de rest ook teruglezen? Kijk dan hier:
- Deel 1: Hoe stel je de juiste vragen en creëer je overzicht?
- Deel 2: Wie geeft het goede voorbeeld?
- Deel 3: De menselijke maat
Ransomware: betalen of niet?
Ransomware aanvallen zijn de laatste tijd veel in het nieuws. Bij dit soort aanvallen worden alle systemen van een organisatie versleuteld – ‘gegijzeld’ – tot het slachtoffer losgeld heeft overgemaakt aan de cybercrimineel. Een goede manier om te voorkomen dat je hele organisatie hierdoor uren of misschien wel dagen stilligt, is het maken van een back-up. Dat is volgens Rasing echter maar de helft van de oplossing. Want heb je eigenlijk wel eens getest of zo’n back-up wel goed terug te zetten is bij een incident? ‘Er kan net zo goed een virus mee geback-upt worden en dan zit je nog steeds met een probleem’, aldus Gerard.
Maar wat is er eigenlijk mis met dat losgeld gewoon betalen zodat je weer door kunt werken? Daisy snapt dat dit vanuit zakelijk perspectief een overweging kan zijn, maar raadt het toch af: ‘Mijn visie is om nooit te betalen want je gaat dan toch mee in wat zo’n crimineel wil. En je bent er ook nooit 100 procent zeker van dat hetgeen waardoor zij je hebben kunnen gijzelen uit jouw systeem is verwijderd. Dus het kan zo nog een keer gebeuren.’ Er zijn wel verzekeringen tegen cyberaanvallen maar ook dat is geen wondermiddel, vertelt Gerard: ‘Een verzekeraar verzekert geen brandend huis. Dus die verzekering kun je wel afsluiten, maar dat ontslaat je niet van je verantwoordelijkheid.’ Vooral preventief maatregelen nemen is van belang: ‘Een keer betalen omdat het dan een keer 100 euro is en je gaat door, dat kan een overweging zijn. Maar dat is wel een onderwerp wat je met elkaar afspreekt.’ Vervolgens is het dan wel belangrijk om te bepalen hoe je een aanval in de toekomst voorkomt, ‘want een inbreker weet, bij wijze van spreken, ook dat er de volgende morgen weer een nieuwe televisie in huis staat als ‘ie hem heeft gestolen en dan komt hij terug. Dus het is van belang om ook digitaal te zorgen dat je dan wel de juiste maatregelen neemt.’
Steeds afhankelijker van digitaal verkeer
Waar moeten ondernemers nog meer rekening mee houden, willen ze hun cyberweerbaarheid vergroten? Steeds meer bedrijfsprocessen gaan digitaal en daarmee worden MKB’ers almaar afhankelijker van hun digitale verkeer. Gerard benoemt vervolgens nog een belangrijke blinde vlek: ‘Het zijn hele kleine dingen waarvan je soms denkt van: het zal bij mij wel meevallen. Maar als jij fysiek in een pand ook niet rekening houdt dat mensen naar binnen kunnen komen… Leuk voorbeeld is natuurlijk wifi. In hoeverre kunnen mensen dicht bij jouw pand komen? Je hebt 's avonds een parkeerplaats en op jouw bureau of op je werktafel waar overleg plaats vindt staat een gastenwifi-account, met alle gegevens erop hoe je in kunt loggen. Hackers, gemiddeld genomen, kunnen relatief eenvoudig vanaf een parkeerplaats even zorgen dat ze verder gaan dan alleen het gastaccount.’
Machines, deursloten, sluizen… steeds meer fysieke middelen integreren met ICT. Dat al die zaken integraal aan elkaar worden is zeker een risico. ‘Je kunt heel veel dingen bedenken waar wij niet bij stil staan in eerste instantie, maar waar een hacker vanuit zijn bril wel doorheen kan kijken en zegt: “Hé, dat is een mooi bruggetje waarmee ik binnen kan komen”.’ Dit soort kleine stepping stones kunnen uiteindelijk enorme gevolgen hebben voor een organisatie.
Als voorbeeld noemt Gerard kleine, specialistische MKB-bedrijven die een belangrijke schakel zijn binnen de keten van een grote multinational. Als een hacker bij zo’n grote multinational binnen probeert te komen, kan hij daar eventuele achterdeurtjes bij kleinere, minder goed beveiligde leveranciers voor gebruiken. Dan kan jij als MKB’er wel totaal niet interessant zijn – je grote klanten zijn dat wel. ‘En zij hebben over het algemeen iets meer geld om jou te claimen en dan heb je misschien voor de rest alles goed voor elkaar, maar als zij jou een claim sturen omdat jij degene bent geweest, na een forensisch traject, die dat deurtje heeft opengezet, dan kan dat enorme impact op de continuïteit van je bedrijf hebben.’
Informatiebeveiliging voor het MKB: laatste tips om je cyberweerbaarheid te vergroten
Gerard geeft nog een paar laatste tips: ‘Begin met het realiseren dat het je een keer overkomt. Dat is gewoon stap 1. En niet uitsluiten, “ik ben geen bank” enzovoort. Ga daar nu eens vanuit en pak bijvoorbeeld een eerstvolgende vergadering eens mee met een aantal mensen van, wat zijn nou onze kroonjuwelen? En als daar wat mee gebeurt, wat betekent dat dan voor ons?
Dan maak je eigenlijk voor jezelf een soort risico-inventarisatie, en op basis daarvan kun je bepalen waar je maatregelen op gaat nemen want als de impact hoog is dan moeten ondernemers daar iets mee gaan doen. Gerard vervolgt: ‘En trek desnoods dan daarin wel even een specialist die je daarover goed kan adviseren. Maar realiseer je dat het je overkomt en begin daar gewoon eens met over die punten na te denken. En een paar technische zaken zijn heel eenvoudig al toe te voegen door op de juiste wijze 2FA toe te passen: toon aan dat je bent wie je zegt dat je bent.’
En dan nog een laatste punt over de endpoints – je werkplekken als tablets en laptops: ‘Zorg dat dat goed encrypted is, dat als er data op staat en die ontvreemd wordt of je vergeet hem, dan is er niet meteen sprake van een datalek. En zorg dat die devices goed beveiligd zijn met een goede endpoint oplossing.’
