De zwakste schakel in security zal altijd blijven bestaan

Weet u nog, die tijd voor COVID-19? Een tijd zonder mondmaskers, social distancing, kleurcodes en persoonlijke beperkingen. Een tijd zonder massaal thuiswerken ook. In heel wat bedrijven en sectoren was veilig werken vanop afstand de voorbije maanden een nieuwe of alvast dringende uitdaging.

CIO’s zagen een nooit geziene golf van phishing-aanvallen die hun bedrijven overspoelde tijdens de eerste lockdownperiode. En af en toe was het ook raak: één verkeerde klik is in veel gevallen al voldoende om een eigen pc tot zelfs het volledige netwerk virtueel uit handen te geven. Het noopte sommige bedrijven om nog meer in te zetten op ‘security awareness’ trainingen. Denk dan aan een valse phishingmail die door het bedrijf zelf uitgestuurd wordt om na te gaan wie van de werknemers zich laat vangen. Zoek zelf de zwakste link voor een aanvaller het doet, dat idee.

De cybersecurity-uitdagingen in het bedrijfsleven zijn nu groter dan ooit. Een brede, holistische aanpak en architectuur met constante waakzaamheid en klare inzichten is waar we allen naartoe moeten evolueren. Daar kan je niet meer buiten in tijden waarin fysieke locatie van werknemers, data en software variabelen zijn geworden. Tijdens een virtuele rondetafel met CIO’s hoorden we bovendien dat de lockdown samenvalt met meer shadow IT. U weet wel, het gebruik van software, apps, of allerlei diensten zonder dat de IT-afdeling daar goedkeuring voor gaf of zelfs weet van heeft. Ook hier met alle mogelijke securityrisico’s van dien. Al waren die risico’s er altijd in meer of mindere mate.

Weet u nog, die tijd vlak voor COVID-19? Tot voor de eerste lockdown was ‘ransomware’ vlotjes op weg om het tot Woord van het Jaar te schoppen. In versneld tempo zagen we een reeks besmettingen in zowel grote ondernemingen als kmo’s uit alle mogelijke sectoren en bij overheden – ook in ons land. Denk maar aan Asco, Picanol en SPIE ICS.

Sinds de actualiteit gedomineerd wordt door COVID-19 lijkt ransomware wat meer van het voorplan verdwenen maar dat betekent dus niet dat de storm gaan liggen is. Het maakt nog steeds slachtoffers, in binnen- en buitenland. Niet van de minste trouwens: Canon, X-Fab, Garmin, en dichter bij huis: HLB Belgium, MAN Belgium. Misschien heeft COVID-19 wel voor een perfecte storm gezorgd die alle cyberrisico’s uitvergroot en samenbrengt en zo sommige bedrijven helemaal op de knieën dwingt.

Kijk, het probleem bij ransomware en phishing is dat de grootste uitdagingen eigenlijk niet van technische aard zijn. Ja, open achterdeuren moeten gesloten en gapende gaten gedicht. Maar overtuig een mens om op de verkeerde knoppen te duwen, en je verzamelt in geen tijd bijzonder veel data, of bemachtigt voldoende rechten om toch een ransomware-bom te droppen in een bedrijf. De mens is het grootste risico, niet de software op zich.

Nee, van die ransomware en gerichte phishing zijn we nog niet meteen verlost. Raken we daar überhaupt ooit nog van af? De securitysoftware past zich aan en mensen leren bij, maar de creativiteit van aanvallers kent ook geen grenzen: dat heeft de nieuwste golf van phishing wel bewezen. Naar een coronavaccin kunnen we gelukkig stilaan reikhalzend uitkijken. Maar een prikje tegen menselijke securityfouten, dat zit er toch echt niet in.