Jaarlijks publiceert de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) in nauwe samenwerking met het Nationaal Cyber Security Center (NCSC) de staat van Nederland op het gebied van cybersecurity. In dit CSBN 2020 wordt teruggekeken op de periode sinds het vorige beeld, er worden trends gesignaleerd en vooruit gekeken naar toekomstige ontwikkelingen.
De belangrijkste boodschappen uit het CSBN 2020 zijn de volgende:
- De digitale risico’s zijn onverminderd groot en niet fundamenteel veranderd;
- Digitale risico’s staan niet los van andere risico’s;
- Vergroting weerbaarheid is het belangrijkste instrument maar nog niet overal op orde.
(Bron: Infographic CSBN 2020, 29 juni)
Relevantie voor ondernemers in Nederland
Zoals de NCTV zelf al aangeeft, is het CSBN een rapport dat vooral kijkt naar de nationale veiligheid, maar daar houdt het zeker niet mee op. De aandachtspunten die het CSBN noemt, zoals hierboven genoemd, zijn ook buitengewoon relevant voor ondernemend Nederland. Deze relevantie staat los van de omvang of aard van het bedrijf, de sector of branche waarin men werkzaam is, of de locatie. Hier volgt een korte nadere beschouwing van de punten van het CSBN en de consequenties voor ondernemers in de praktijk.
1. Digitale risico’s zijn groot en veranderen niet fundamenteel
Het CSBN haalt hierin o.a. het gevaar van ransomware aan. In het afgelopen jaar zijn er diverse incidenten geweest waarbij kleine of grote organisaties slachtoffer zijn geworden van ransomware. Bekende voorbeelden zijn de Universiteit Maastricht en de gemeente Lochem. Maar er zijn ook tientallen of honderden onbekende gevallen.
Als ondernemer is het goed om te beseffen dat je niet een doelwit hoeft te zijn om toch slachtoffer te worden. Cybercriminelen gebruiken inmiddels generieke kwaadaardige software en schieten met hagel in de hoop dat iemand klikt. Die éne klik van een medewerker op een phishing bericht is dan vaak al voldoende om problemen te veroorzaken. Het CSBN signaleert in ieder geval dat cybercriminelen vaker gebruik maken van ransomware omdat dit als een business model lijkt te werken. De kans dat jij als ondernemer hier mee te maken krijgt stijgt daarmee. Als je als ondernemer onvoldoende maatregelen hebt genomen, kan de schade groot zijn. Daarom is het van belang om de basis van je digitale weerbaarheid op orde te hebben. Kijk hiervoor naar de 5 basisprincipes van digitaal weerbaar ondernemen.
2. Digitale risico’s staan niet los van andere risico’s
De digitale risico’s kunnen inmiddels niet meer los worden gezien van andere risico’s. Veel ondernemers hebben sinds het begin van de Covid-19-uitbraak enorme uitdagingen voor de kiezen gekregen. Sluitingen, thuiswerken, andere (online) klantbediening zijn enkele voorbeelden. Digitale risico’s vloeien hier direct uit voort.
Het gebruik van thuiswerk faciliteiten werkt voor veel mensen prima. Maar zijn die altijd veilig? De gemeente Lochem is slachtoffer geworden door een kwetsbaarheid in een dergelijke thuiswerk faciliteit. Ook gebruiken criminelen de Covid-19-crisis om bijvoorbeeld door phishing e-mails ondernemers te verleiden om snel aankopen of betalingen te doen, of te klikken op links naar malware. In dat kader heeft het DTC samen met TNO een factsheet gemaakt waarin je voorbeelden en maatregelen vindt tegen Covid-19-misbruik.
Een ander voorbeeld zit in de ketenafhankelijkheden in systemen of tussen bedrijven. De uitval van 112, de kwetsbaarheden in Citrix AD en gateway severs en Fortigate en Pulse VPN software, tonen aan dat bedrijven en systemen zover digitaal zijn geïntegreerd, dat een incident bij de één zorgt voor een probleem bij de ander. Het is daarom verstandig om na te denken over de continuïteit van je bedrijf en bijvoorbeeld een uitwijk- en herstelplan op te stellen en daar speciaal aandacht te hebben voor jouw digitale connecties.
3. Vergroting weerbaarheid is het belangrijkste instrument maar nog niet overal op orde
Uit grote incidenten zoals de kwetsbaarheden in eerdervermelde servers en software, blijkt dat digitale risico’s relevant zijn voor bedrijven ongeacht de omvang van het bedrijf. Goed en tijdig ICT-beheer, patchmanagement en het installeren van noodzakelijke updates, blijven processen die aandacht behoeven. De NCTV concludeert, op basis van rapporten van de Onderzoeksraad voor Veiligheid (OVV), de Wetenschappelijke Raad voor het Regeringsbeleid (WRR) en de Algemene Rekenkamer, dat organisaties nog niet zijn voorbereid tot het niveau dat wenselijk is. Risico’s worden vaak nog onderschat, maatregelen niet of te laat geïmplementeerd en het onderwerp wordt nog steeds niet met voldoende kracht besproken op directieniveau. Gevolg hiervan is dat de noodzakelijke investeringen in weerbaarheid achterblijven.
Voor ondernemers die zelf hun ICT-beheer doen, is het van belang enkele basisprincipes te volgen en hier het bedrijf op in te richten. Voor ondernemers die deze diensten van ICT-leveranciers afnemen, is het van belang in gesprek te zijn met deze leveranciers en goede afspraken over deze onderwerpen te maken. Bedrijven die digitaal weerbaar zijn, hebben zich voorbereid op mogelijke incidenten en hebben robuuste (digitale) werkprocessen die uiteindelijk bijdragen aan de winstgevendheid van een onderneming.
Conclusies voor ondernemend Nederland
De belangrijkste punten uit het CSBN 2020 zijn dus dat digitale risico’s groot zijn, ze geïntegreerd zijn met andere (bedrijf)risico’s en dat investeringen in digitale weerbaarheid achter blijven.
Wat kun je doen als ondernemer? Zorg dat je een basisniveau haalt qua digitale weerbaarheid. De 5 basisprincipes van digitaal weerbaar ondernemen zijn daarbij een goed startpunt. Je kunt natuurlijk ook eerst checken hoe je ervoor staat door de Basisscan Cyberweerbaarheid te doen.
Wees je ervan bewust dat je risico’s loopt. Iedereen kan doelwit worden van cybercriminelen, klein of groot. Geef daarom digitale weerbaarheid de aandacht die het verdient. Denk na over wát je wilt beschermen, maak digitale risico’s een integraal onderdeel van je risicoanalyse en zorg ervoor dat jij je bewust ben van de afhankelijkheid van digitale diensten en ketens.
Als laatste zijn concreet ransomware en phishing groeiende vormen van cybercriminaliteit. Het is verstandig maatregelen te nemen tegen deze vormen van criminaliteit en er zijn 3 aandachtsgebieden die hierbij relevant zijn:
- Technisch maatregelen:
Denk bijvoorbeeld aan het aanzetten of inkopen van spamfilters, virusscanners, firewalls en back-up faciliteiten; - Procesmatige maatregelen:
Maak bijvoorbeeld afspraken hoe (spoed)betalingen worden verricht om CEO-fraude te voorkomen of hoe je phishing-berichten meldt; - De mens:
Zorg ervoor dat jij en jouw medewerkers alert zijn en in staat zijn om digitale risico’s te onderkennen, de kenmerken van bijvoorbeeld phishing te herkennen en voorbereid te zijn om een cyberincident het hoofd te bieden.
Bronnen:
NCTV: Cyberincidenten kunnen onze maatschappij verlammen (29-06-2020)
NCTV: Cybersecuritybeeld 2020 (29-06-2020)