Veiligheidsincident: beter voorkomen dan genezen

ICT-beveiliging is één van de grote vraagstukken van het moment. Nieuwsberichten over gehackte klantenbestanden, gekaapte websites en chantage met ransomware zijn schering en inslag. De kosten van een incident kunnen snel hoog oplopen. En in het kader van de GDPR komt daar straks nog een fikse boete bovenop.

Veiligheidsincident: beter voorkomen dan genezen

Beveiliging staat al langer dan vandaag hoog op de agenda van de CIO. En terecht. Cybercriminaliteit is uitgegroeid tot een heuse industrie. Net als in de 'gewone' economie, draait ook in de wereld van de cybercriminaliteit alles om data. Er bestaat een criminele markt waar allerlei tools te koop zijn: complete aanvalspakketten, maar ook allerhande clouddiensten, zoals phishing as a service, ransomware as a service, enzovoort.

Diefstal en afpersing

In de huidige digitale wereld nemen de datavolumes heel snel toe. Naarmate we meer en meer bedrijfsprocessen digitaliseren, komen er data bij. Er zijn onder andere almaar meer apps, en dus meer mensen en toestellen die zo van data gebruik maken. De gelegenheid maakt de dief, zo luidt het spreekwoord. Meer data betekenen dus meer gelegenheid voor criminaliteit. Anders gezegd: het ziet er niet naar uit dat we op korte termijn van het fenomeen cybercriminaliteit verlost raken. Trouwens, ook in de cyberwereld maken criminelen gebruik van de twee klassieke 'businessmodellen': ofwel stelen ze data, met de bedoeling die te verkopen, ofwel kiezen ze voor afpersing, waarbij het bedrijf zijn data terugkrijgt na betaling van losgeld.

Delen

Een rapport van Trustwave stelt dat het in 81% van de gevallen niet het bedrijf zelf is dat het incident opmerkt, maar dat de melding van buiten de onderneming komt.

Typerend voor cybercriminaliteit is dat bedrijven er nauwelijks in slagen de digitale inbrekers op heterdaad te betrappen. Vaak komt een hacking pas later aan het licht, wanneer de dieven de gestolen data aan de man proberen te brengen of een systeem blokkeren in ruil voor losgeld. Laat de hacker niet van zich horen, dan duurt het volgens een studie van FireEye wereldwijd gemiddeld 146 dagen voor iemand de inbraak opmerkt. In Europa zou het gemiddelde op liefst 469 dagen liggen. Hackers kunnen dan gemiddeld meer dan een jaar hun gang gaan. Een rapport van Trustwave stelt dan weer dat het in 81% van de gevallen niet het bedrijf zelf is dat het incident opmerkt, maar dat de melding van buiten de onderneming komt. In het minst elegante geval duikt een bericht op in de pers, nog voor het bedrijf zelf op de hoogte is van de hacking.

Kosten en boetes

Aan een beveiligingsincident zijn kosten verbonden. In de eerste plaats gaat het om directe kosten. Een aanval met een cryptolockervirus, bijvoorbeeld, versleutelt de data van het bedrijf en maakt ze zo onklaar. Het gevolg is meteen zichtbaar: het bedrijf kan zijn werk niet meer doen, mist omzet. Sommige bedrijven weigeren met criminelen te onderhandelen. Dat kan uiteraard alleen maar wanneer ze over een back-up van de data beschikken. Maar dan nog, het terugzetten van de data kost in ieder geval tijd. Gaat de onderneming wel op de eisen van de criminelen in, dan betaalt ze cash.

Welke keuze het bedrijf ook maakt, bijna altijd is er niet alleen een financiële impact, maar ook reputatieschade. Het incident zaait twijfel over de betrouwbaarheid van het bedrijf, waardoor klanten mogelijk afhaken. Zijn er privacygevoelige data bij het incident betrokken, dan moet de onderneming - volgens de richtlijnen van de GDPR (General Data Protection Regulation) die eind mei in werking treedt - het datalek melden. Doet ze dat niet, dan hangt het bedrijf zware boetes boven het hoofd. Bovendien stelt de GDPR de bedrijfsleider persoonlijk aansprakelijk. Dus ja, in het geval van ICT-incidenten is voorkomen duidelijk te verkiezen boven genezen.

Ingebakken beveiliging

De vraag is natuurlijk hoe de onderneming haar medewerkers een veilige ICT-omgeving kan aanbieden. Ze doet dat in de eerste plaats door beveiliging niet te zien als iets dat je bovenop je infrastructuur kunt vastschroeven, maar als iets dat overal ingebakken zit. Tegelijk moet het bedrijf toezien op het juiste evenwicht tussen veiligheid en werkbaarheid. Perfecte beveiliging bestaat niet. Het komt er dus op aan een oplossing te vinden die veilig is, maar tegelijk ook vlot werk toelaat.

Delen

Via gezichts-, iris- en vingerafdrukherkenning krijgt alleen de rechtmatige gebruiker toegang tot het toestel.

Een leverancier als HP doet dat onder meer door de beveiliging voor een groot stuk naar het toestel te verschuiven. De business convertible EliteBook x360, bijvoorbeeld, is voorzien van HP SureStart. Merkt die toepassing dat een hacker het toestel probeert binnen te dringen, dan voert het automatisch een reset van het BIOS uit. Uiteraard mag een gestolen of verloren laptop niet zomaar toegang tot de aanwezige data bieden. HP gebruikt daarvoor multi-factor authentication. Via gezichts-, iris- en vingerafdrukherkenning krijgt alleen de rechtmatige gebruiker toegang tot het toestel. Het zijn functies die inspelen op een eenvoudige, maar efficiënte strategie. Hoe beter de tools die de ICT-afdeling van een bedrijf aanbiedt, hoe kleiner dan de kans dat medewerkers hun eigen apparaten meebrengen naar het werk en daardoor extra veiligheidsproblemen veroorzaken...

Onze partners