De CEO heeft de sleutel in handen om ransomware te stoppen

Alleen de CEO of bedrijfsleider van een onderneming is in staat om ransomware te stoppen. Dit vereist een duidelijke boodschap naar iedereen in het bedrijf, zegt securityexpert Erwin Geirnaert. cybersecurity moet de top-prioriteit zijn op alle niveau’s. Alleen door voldoende budget hiervoor vrij te maken is dit mogelijk.

20 jaar geleden werden bijna alle bedrijven in België getroffen door het eerste massaverspreidingsvirus genaamd “I love you” dat zich verspreidde door een kopie te versturen van het virus naar alle contactgegevens van een medewerker. Achteraf bekeken was het een onschuldig virus: de enige impact ervan was dat mailservers effectief crashten door de grote hoeveelheid aan mails. De oplossing was heel eenvoudig: mails met applicatiecode in bijlage filteren op de mail gateway.

Nu, twintig jaar later gebruiken de criminelen dezelfde technieken om geld te verdienen met hun ransomware. Ransomware is een soort virus dat het bedrijf gijzelt door de gegevens te versleutelen zodat die niet meer bruikbaar zijn en dus systemen niet meer kunnen opstarten. Ransomware verspreidt zich door het misbruiken van kwetsbaarheden die bijna elk bedrijf heeft en dit heeft voornamelijk te maken met budgettaire kwesties. IT is de dag van vandaag een heel complexe en budgettaire uitdaging, maar het is de kern van het bedrijf. Zonder IT kan een bedrijf niet meer efficiënt functioneren. Maar nog altijd gaat men stiefmoederlijk om met IT security. Men koopt niet zomaar een security oplossing waarmee alles is opgelost, security moet onderdeel worden van het DNA van het bedrijf en dit kan alleen maar degelijk worden opgezet als men gespecialiseerde en externe bedrijven inschakelt om de kwetsbaarheden van het bedrijf bloot te leggen. Een permanente monitoring om het security niveau op peil te houden is geen overbodige luxe maar een absolute noodzaak.

Er moet actie worden ondernomen ter bescherming tegen cyber attacks. Elk bedrijf heeft een IT omgeving, dit maakt dat elk bedrijf een potentieel doelwit is van cybercriminelen.

Met Industry 4.0, Internet of Things, smart devices … wordt de afhankelijkheid van Internet en IT nog groter. Bedrijven zijn volop bezig met hun digitale transformatie, maar toch blijven investeringen in IT security achterlopen. Vandaag de dag moet een bedrijf prioritair naar security of beveiliging van zijn applicaties kijken en dan pas kan men beginnen met implementeren van het project. Hierdoor mag men de criminelen geen kans geven om in te breken. De CEO moet zijn bedrijf leiden als een bonus pater familias, een goede huisvader laat ramen en deuren van zijn eigen huis ook niet openstaan. Spijtig genoeg primeert de Go-To-Market vandaag de dag nog meer dan het beveiligen van de IT systemen. Er moeten andere keuzes worden gemaakt en de security awareness moet worden verhoogd.

Omdat de meerderheid van de bedrijven geen eigen IT experts heeft, laat staan security specialisten, kunnen de IT mensen niet met de vinger worden gewezen in deze ransomware attacks. Ook spenderen bedrijven geen tijd en budget in het opleiden van hun mensen om hen bewust te maken van de risico’s van cybercrime.

Eveneens wordt de evolutie van de gevaren niet door deze bedrijven niet gevolgd. De technieken en technologie die vijf jaar geleden nog voldoende was om cyberaanvallen tegen te houden werken nu niet mere..

De perimeter die werd beschermd door de firewall bestaat niet meer. Alle systemen zijn geconnecteerd, altijd online 24/24 en ook met cloud verbonden.

Als CEO zou men de volgende vragen moeten stellen om te weten hoe kwetsbaar het bedrijf is tegen cyberaanvallen:

• Vraag 1: Hoeveel pogingen hebben we afgelopen week gedetecteerd?
• Vraag 2: Als iemand van boekhouding een virus binnenkrijgt, kan dit een impact hebben op ons datacenter en netwerk?
• Vraag 3: Zijn al onze mensen voldoende opgeleid om phishing mails te detecteren en weten ze hoe ze dit moeten rapporteren?
• Vraag 4: Wat zijn onze kwetsbaarheden en hoe snel worden die opgelost?
• Vraag 5: Zijn al onze systemen up-to-date?

In een bedrijf worden meestal financiële experts ingehuurd om de CEO te ondersteunen met de financiële kant van de zaak, misschien geen slecht idee om dit ook te doen voor IT security. Laat het security werk over aan die experts, werk samen met andere bedrijven en overheden om dergelijke aanvallen in kaart te brengen en communiceer transparant met de buitenwereld. Zoals een CEO beschikt over een financieel dashboard waarin hij de financiële situatie kan zien van zijn onderneming, is hij misschien ook wel geholpen met een dashboard voor het huidig beveiligingsniveau, mogelijke tekortkomingen en waar bijkomende investeringen nodig zijn?

Een CEO moet investeren in People, Process & Technology:

People: de mensen moeten voortdurend worden opgeleid en gechallenged over cybersecurity;

Process: security moet altijd worden betrokken, van in het begin. In het Engels is er een mooie uitdrukking: “Shift Security Left” om pro-actief security in te bouwen zoals een architect ook een plan tekent alvorens er wordt gemetst;

Technology: er zijn zoveel mooie technologische oplossingen die veel problemen kunnen verhelpen, zelfs door gewoon verschillende beveiligingslagen op te zetten waar elke laag een kwetsbaarheid in een andere laag kan verhelpen.

Dus beste CEO, laat uw goed voornemen voor 2020 vooral een investering in cybersecurity zijn en kom met uw project op een positieve manier in de media!