ICT Beveiliging in het MKB

ICT Beveiliging in het MKB – Beveiliging tegen hackers en andere cyberdreigingen

ICT beveiliging staat zelden hoog of zelfs helemaal niet op de agenda van het MKB. Vaak is de reden tweeledig, ten eerste ontbreekt het besef bij de ondernemer wat de waarde is van zijn bezit, ten tweede ontbreekt het binnen het MKB met regelmaat aan de juiste apparatuur en kennis om een inbraak of een poging daartoe überhaupt te kunnen vaststellen.

“Over het algemeen wordt nog steeds aangenomen dat het voor internet criminelen nauwelijks interessant zou zijn om zich op het MKB te richten. “Wat valt er bij mij als MKB-er nu te halen?”, is een vaak gehoord argument.”

Cybersecurity begint bij risicobesef.

De eerste stap bij Cybersecurity is risicobesef, het besef dat iedere onderneming in het bezit is van waardevolle en vaak onvervangbare gegevens. Over het algemeen wordt nog steeds aangenomen dat het voor internet criminelen nauwelijks interessant zou zijn om zich op het MKB te richten. “Wat valt er bij mij als MKB-er nu te halen?”, is een vaak gehoord argument.

Een voorbeeld: Ondernemers verzamelen in de loop der jaren veel digitale gegevens van klanten, maar ook van het eigen personeel. Met regelmaat treffen we identiteitspapieren zoals een kopie Paspoort of ID kaart digitaal aan op de centrale server. Dit zijn documenten die voor internetcriminelen goud waard zijn, de documenten worden vervalst en vormen de makkelijkste manier van identiteitsfraude met grote gevolgen voor de wettige eigenaar.

“Het kan burgers veel geld kosten wanneer zij slachtoffer worden van identiteitsfraude. Criminelen maken dan illegaal gebruik van persoonsgegevens om bijvoorbeeld producten te kopen of een bankrekening te openen. Bovendien kan het lang duren voordat de identiteitsfraude is aangetoond, waardoor het voor de betrokkenen emotioneel zwaar kan zijn. Naast persoonlijke (financiële) gevolgen veroorzaakt cybercrime grote financiële schade voor overheid en bedrijfsleven, doet het afbreuk aan het vertrouwen in het internet en dienstverlening in het algemeen, en vormt het een bedreiging voor de nationale veiligheid en economie. “ – Ivo Opstelten 2014

Het risico dat een inbraak binnen het MKB wordt ontdekt is klein, de waarde van de buit is vaak groot. Kortom, er is alle reden om alert te zijn in plaats van naïef.

Cybercrime – De onzichtbare inbreker

We leven in een fantastische tijd waarbij we via internet vaak 24/7 toegang hebben tot onze belangrijkste bedrijfsgegevens. Waar we ook zijn, we zijn online en productief. Dat geldt ook voor cybercriminelen. Cybercriminelen kunnen praktisch ongezien pogen om ongeoorloofd toegang te krijgen tot uw systemen. Zijn uw systemen voorbereid? Heeft u goed in kaart wat er zoal online beschikbaar is? En voor wie?

Cybersecurity is veel meer mensenwerk

Cybercriminelen gaan steeds geraffineerder te werk en enkel het toepassen van technische beveiligingsmaatregelen is onvoldoende. Steeds vaker wordt gebruik gemaakt van Social Engineering en richt de cybercrimineel zich op de zwakste schakel in het systeem…..namelijk de gebruiker. Social Engineering wordt in veel vormen door cybercriminelen toegepast. Zo kan een brutale cybercrimineel zich via de telefoon voordoen als ICT medewerker van het uw bedrijf, of zich voordoen als securitybeveiliger (scamming) om zich op die manier toegang tot systemen te verschaffen. Ook kan een cybercrimineel gericht een email sturen met malware om op die manier toegang te verschaffen tot een netwerk of om bankgegevens te achterhalen.

Cybersecurity is niet alleen technisch van aard, het is vooral mensenwerk. Er valt veel winst te behalen wanneer een bedrijf zich bewust wordt van de risico’s en awareness creëert bij hun medewerkers.

In veel gevallen is een cyberaanval of is cyber criminaliteit verre van genuanceerd of gericht op een vooraf gekozen doelwit. Nederland wordt de laatste maanden overspoelt met Ransomware. Ransomeware is een chantagemethode waarbij cyber criminelen at random op het oog echt lijkende emails verspreiden met een malware bijlage, vaak vermomt als factuur of brief. Wanneer de bijlage door een onoplettende gebruiker wordt geopend zal de Ransomware starten met het versleutelen van alle bestanden waar de desbetreffende gebruiker toegang toe heeft. Door het versleutelen heeft de gebruiker geen toegang meer tot de bestanden totdat losgeld wordt betaald aan de criminelen. Vaak is een backup de enige weg terug naar herstel.

Wet Meldplicht Datalekken

Sinds 2016 is de wet ‘Wet Meldplicht Datalekken’ in werking getreden. Dat betekent dat alle bedrijven en overheden die persoongegevens verwerken op grond van deze wet een meldplicht hebben wanneer er sprak is van inbreuk op de beveiliging waardoor persoonsgegevens zijn blootgesteld aan verlies of onrechtmatige verwerking. Wanneer een bedrijf of overheid een datalek ten onrechte niet meldt kan dit leiden tot zeer hoge boetes. Iedere ondernemer, zo ook het MKB, dient zich aan deze wet te houden.

Bijna dagelijks verschijnt er in de media een artikel dat een bedrijf of instelling is getroffen door cybercrime. Veelal zijn het alleen de grote bedrijfsnamen die bij een cyberaanval de aandacht van de media krijgen, maar zelfs dan is de frequentie van de berichtgeving opvallend. Voor veel bedrijven kan een succesvolle aanval van cybercriminelen leiden tot pijnlijke imagoschade, waardoor waarschijnlijk niet alle problemen met ICT security de voorpagina halen. ICT Security is voor criminelen big business, omdat criminelen bendes vaak vanuit het buitenland opereren is de pakkans klein maar zijn de gevolgen voor een organisatie verstrekkend.

Cybercrime – De bedreiging van binnenuit

ICT beveiliging richt zich over het algemeen op bedreigingen van buitenaf, het richt zich in de kern op de mogelijke bedreigingen vanaf het internet. Uit cijfers blijkt echter dat het risico soms ook van binnenuit de organisatie kan ontstaan.

Een medewerker bijvoorbeeld die op zijn zakelijke computer een besmette USB stick aansluit kan al leiden tot verdere besmetting, ondanks dat de medewerker zich niet bewust is van het gevaar. Maar het kan ook geraffineerder, wanneer een medewerker, of een zojuist ontslagen ex-medewerker,  documenten met gevoelige informatie doorstuurt naar een concurrent. Bestaan er binnen uw organisatie zowel technische als beleidsmatige afspraken op dit vlak? Wie heeft hierin de verantwoording en zorgt voor de controle? En wie controleert de controleur?

Zijn uw systemen technisch optimaal beschermt tegen bovenstaande bedreigingen? Zijn uw mensen getraind om deze gevaren te herkennen? Heeft u beleid opgesteld om dergelijke bedreigingen effectief aan te pakken? Zijn de risico’s helder in kaart gebracht rond potentiële ICT risico’s?

Dan gaan we graag met u in gesprek over de mogelijkheden.