“Ook een kleine kmo is een mogelijk doelwit”

De nood aan cybersecurity is voor veel bedrijven een heel complex fenomeen. “Mijn advies is in dat verband altijd om de best practice te gebruiken”, zegt Xavier Mertens van SANS Institute. “Security hangt nu eenmaal van meer af dan van technologie alleen.”

Hebben we het over cybersecurity, dan kunnen we onmogelijk om de menselijke factor heen. “Shadow IT is in die context echt een probleem”, zegt Xavier Mertens, freelance securityconsultant en verbonden aan het security-opleidingscentrum SANS Institute. Shadow IT is de verzamelnaam voor IT-toepassingen die medewerkers van een organisatie in gebruik nemen zonder dat de IT-afdeling daarvan op de hoogte is.

“Shadow IT is vooral een cultureel probleem”, stelt Xavier Mertens. “Mensen willen vlot kunnen werken. Jonge medewerkers geven daarbij graag de voorkeur aan hun eigen, vaak krachtigere toestellen. Krijgen ze van hun IT-afdeling niet snel genoeg de oplossing die ze nodig hebben, dan zoeken ze er zelf een.” Zo komen er IT-oplossingen in omloop waar de IT-afdeling geen zicht op heeft – en dus ook niet de juiste beveiliging bij kan voorzien.

Eerst de basis

“De nood aan cybersecurity is een complex fenomeen. Natuurlijk is awareness belangrijk. Mensen moeten zich bewust zijn van de mogelijke gevaren. Maar tegelijk zien we de praktijk. Een kmo beschouwt IT als een tool: een instrument om mee te werken, maar waarvoor geen tijd of middelen zijn om de beveiliging ervan te verbeteren.” En dan kan het gebeuren dat de servers van een bedrijf zomaar via het internet aan te spreken zijn: niet alleen door de medewerkers die van thuis uit werken, maar ook door de eerste de beste cybercrimineel.

“De oorzaak van een incident met ransomware is bijna altijd iets banaals”, zegt Xavier Mertens. “Heel vaak is het een slechte configuratie, iets dat fout is afgesteld. Daarom blijft les één in cybersecurity altijd dezelfde: breng eerst je basis in orde.” En zo komen we toch ook weer bij bewustmaking terecht. Xavier Mertens: “De gebruiker blijft de zwakke schakel. Ook al heeft je spamfilter 95% van het gevaar onderschept, het was een maat voor niets wanneer een medewerker toch op één van de overblijvende berichten klikt.”

Veilige configuratie

Cloud en security: in de context van digitalisering zijn beide termen onlosmakelijk met elkaar verbonden. “De stap naar de cloud is nog te vaak een beslissing van de CFO”, zegt Xavier Mertens, “genomen vanuit een financieel perspectief. De CFO houdt van de cloud omdat die voor voorspelbaarheid zorgt: iedere maand dezelfde vaste kosten.”

Tot daar in principe nog altijd geen bezwaar, op voorwaarde uiteraard dat de configuratie van de gekozen cloudoplossing correct gebeurt. “Cybercriminelen blijven immers op zoek naar geld”, vervolgt Xavier Mertens. “Waar dat geld te vinden is, zal cybersecurity nodig zijn.” Toch mogen kleine ondernemingen niet denken dat ze daarom geen interessant doelwit zijn voor cybercriminelen.

Doorheen de hele keten

“Het risico situeert zich namelijk ook in de supply chain”, vervolgt Xavier Mertens, “waar de systemen van bedrijven almaar meer data met elkaar uitwisselen, maar dat niet altijd op een veilige manier gebeurt.” En dat levert mogelijk een gevaar op voor de hele keten. “Via een zwak beveiligde kmo kunnen cybercriminelen misschien toch binnenraken bij een ander, groter bedrijf uit diezelfde supply chain. Daarom is ook de beveiliging van die kleine kmo wel degelijk belangrijk.”

“Mijn advies op het vlak van cybersecurity is altijd om de best practice te gebruiken”, besluit Xavier Mertens. “Security hangt nu eenmaal van meer af dan van technologie alleen. Want zelfs de beste technologie kan je niet helpen wanneer je netwerk slecht is ingericht of wanneer een gebruiker beslist om toch op een verdachte link te klikken.”