Thuiswerken vergroot cyberrisico voor bedrijven
13 jul 2020
5 minuten
Risicomanagement
Ronald Blom is Key Accountmanager Schade Zakelijk & Inkomen bij Avéro Achmea. We stelden hem 5 vragen over het managen van cyberrisico’s.
Hoe realistisch is een cyberaanval voor bedrijven?
Zo’n 50 à 60 procent van het MKB in ons land heeft al te maken gehad met 1 of andere vorm van cybercriminaliteit. Veel ondernemers onderschatten het risico. Ze denken: bij mij valt toch niets te halen, ik ben niet interessant voor een cybercrimineel. Maar daar denken hackers heel anders over. Mijn ervaring is dat elk bedrijf even interessant is voor cybercriminelen. Bedrijven worden namelijk niet doelbewust geselecteerd als slachtoffer. Cybercriminelen schieten in het wilde weg met hagel, en kijken dan of er ergens iets uit de lucht valt. Want elke geslaagde hack levert wel iets op: wachtwoorden, adresbestanden, bankgegevens, losgeld noem maar op.
Zijn alle bedrijven even vatbaar? Wat zijn mogelijke grote risicofactoren?
MKB-bedrijven zijn een aantrekkelijk doelwit. Hackers weten namelijk dat er in deze organisaties vaak minder aandacht voor cybersecurity is. En ook de budgetten voor goede beveiliging zijn kleiner. Dat komt volgens onderzoek van Ipsos* doordat 1 op de 3 mkb’ers denkt dat hun bedrijf niet interessant is voor cybercriminelen. Grotere bedrijven zijn zich meer bewust van de risico’s en handelen daar ook naar. De grootste risico’s voor het MKB zijn het eigen IT-beleid en het gedrag van medewerkers. Om daar wat aan te doen is alleen een antivirusprogramma lang niet genoeg. Wachtwoordbeleid, toegang tot systemen en data, updaten van programma’s en systemen, back-ups maken, veilige verbindingen en duidelijke instructies voor gebruikers – ze zijn allemaal van groot belang voor de veiligheid van een bedrijf.
De 3 belangrijkste tips van Ronald
- Wees je bewust van je kwetsbaarheid
- Zorg voor een solide en veilig IT-beleid
- Bespreek de mogelijkheid van een cyberverzekering
Hoe kun je je als bedrijf wapenen tegen cybercriminelen?
Mijn stelregel is altijd: besef eerst goed dat ieder bedrijf een doelwit is voor cybercriminelen. Met zogenaamde ransomware, ofwel gijzelsoftware, kunnen criminelen met 1 e-mailtje een heel bedrijf platleggen. Voor een x-bedrag kun je dan als ondernemer een digitale sleutel van ze ‘kopen’, waardoor je weer toegang krijgt tot je eigen systemen. Het kost ze geen enkele moeite, de pakkans is nagenoeg nul, en de verdiensten zijn uitstekend. Hoezo, niet interessant voor cybercriminelen? Het maakt dus echt niet uit wat voor type bedrijf het is of welke omvang het heeft. Adviseer uw relaties dus nadrukkelijk te zorgen voor een degelijk IT-beleid. Liefst door daar een professionele IT-leverancier bij te betrekken. Er zal altijd een zogenaamd restrisico overblijven, vooral ook omdat de meeste problemen ontstaan door bijvoorbeeld medewerkers die zich vergissen in een phishing e-mail. Om ook dat risico af te dekken is er een cyberverzekering.
"Het kost hackers geen enkele moeite, de pakkans is nagenoeg nul, en de verdiensten zijn uitstekend. Hoezo, niet interessant voor cybercriminelen?"
Lopen bedrijven met het vele thuiswerken door corona meer risico?
Ja.Criminelen zijn immers ook een soort ondernemers en die ruiken kansen waar ze zitten. We zien op dit moment een verschuiving van ‘gewone’ criminaliteit – zoals inbraak in woningen en bedrijven – naar online criminaliteit. Zo zijn er nu al meer meldingen van cybercriminaliteit dan in heel 2019. * Hackers maken misbruik van de zorgen die mensen (en dus ook de medewerkers van uw relatie) hebben over corona. Ze sturen bijvoorbeeld e-mails naar duizenden adressen tegelijk, met ogenschijnlijk nuttige info over corona. De meeste mensen zijn nog niet bekend met deze nieuwe vorm van phishing. Daardoor klikken ze sneller op een foute link.
Maar dat is niet de enige reden dat bedrijven in deze tijd van corona kwetsbaarder zijn voor cybercrime. Lang niet alle bedrijven waren voorbereid op het massale thuiswerken. Ineens loggen medewerkers allemaal vanuit huis in op het bedrijfsnetwerk. Dat doen ze lang niet allemaal via een goed beveiligde wifi. En lang niet elk apparaat waarmee ze inloggen is veilig. Daar kunnen virussen op staan, die zich over het hele netwerk kunnen verspreiden. En dan zijn er nog security policy’s. Welke werknemer mag welke bestanden inzien, gebruiken, wissen en kopiëren? Is dat wel goed geregeld als werknemers op afstand inloggen? En tenslotte is de beruchte CEO-fraude flink toegenomen. Een kwaadaardig ‘persoonlijk’ mailtje van de baas om geld over te maken is in een thuiswerksituatie eerder geloofwaardig dan wanneer je samen op kantoor werkt. Adviseer uw relaties dus ook hierom te zorgen voor een deugdelijk IT-bedrijf, en te investeren in veilige verbinding, zoals een VPN voor elke thuiswerker.
Wat kun je als bedrijf doen wanneer je bent aangevallen?
Belangrijk is om niet in paniek te raken. Er kan altijd iets misgaan, en wiens schuld dat is, is op dat moment totaal onbelangrijk. Medewerkers moeten dus het gevoel hebben dat ze zonder angst voor verwijten of erger, eerlijk kunnen zijn over wat er is gebeurd. Het verzwijgen van een cyberincident leidt namelijk altijd tot nog meer schade. Het beste is om in zo’n geval te kunnen terugvallen op een goede cyberverzekering met directe hulp op locatie. In elk ander geval adviseer ik getroffen bedrijven zo snel mogelijk alle systemen uit te schakelen en het netwerk los te koppelen. Daarna kunnen ze een gespecialiseerde IT leverancier inschakelen. Met of zonder verzekering: het is sowieso altijd raadzaam om continue back-ups te maken. En niet vergeten regelmatig te testen of het terugzetten lukt.
* Bronnen:
ABN Amro – Cybersecurity onderzoek – juni 2020
Avéro Achmea – Infographic risicomanagement – oktober 2019
Alianz/ Ipsos – Onderzoek cybercriminaliteit – december 2019
Politie - artikel nu.nl Geregistreerde misdrijven en aangiften; soort misdrijf, gemeente – 2019/2020