April 2020
Onderschat gevaren en gevolgen cybercrime niet!
Cybersecurity kost geld, een geslaagde cyberaanval nog veel meer
Het boevengilde bedient zich steeds vaker van cybercriminaliteit. Want voor wie het morele kompas niet richtinggevend is, kan de activiteit goed renderen. Grote bedrijven hebben hun cybersecurity doorgaans beter op orde dan kleinere. Een op de drie mkb’ers denkt dat zijn bedrijf niet interessant is als doelwit voor een cyberaanval. Dat kan ze duur komen te staan.
Denk niet dat uw installatiebedrijf met drie monteurs op de loonlijst oninteressant is voor cybercriminelen. Volgens Allianz is elk bedrijf, ongeacht de omvang, een aantrekkelijk doelwit. De verzekeraar liet Ipsos onderzoek verrichten onder 745 ondernemers in het midden- en kleinbedrijf. Een opvallende conclusie: meer dan de helft (55 procent) van de mkb’ers maakt zich geen zorgen over de veiligheid van klant- en bedrijfsdata. Het overgrote deel van de Nederlandse mkb’ers, 92 procent, heeft geen cyberverzekering afgesloten voor hun onderneming. Die naïviteit kan ze duur komen te staan. Zoals bleek bij een bedrijf dat onderdelen voor pompen produceert. Een werknemer van het bedrijf klikte op een kwaadaardige link in een e-mail. Hierdoor werd malware gedownload met als gevolg dat alle gegevens op de server werden versleuteld. Er moest 10.000 euro worden betaald in ruil voor een decryptie-sleutel. Er werd een ict-expert ingeschakeld die de validiteit van de bedreiging beoordeelde en bepaalde of de betaling van het losgeld voorkomen kon worden. De kosten om alles op te lossen, liepen uiteindelijk op tot 69.000 euro.
Vele vormen
Cyberaanvallen komen voor in verschillende vormen en ook de omvang verschilt. Ruim 60 procent van ondernemend Nederland heeft inmiddels te maken gehad met cybercrime en het aantal aanvallen neemt nog steeds sterk toe. De meest voorkomende cyberaanval bij het mkb is phishing (43 procent). Mensen worden naar een schijnbaar echte (bank)website gelokt om hen daar vervolgens nietsvermoedend te laten inloggen met hun inlognaam, wachtwoord of creditcardnummer. Hacking, het zonder toestemming binnendringen in een computernetwerk door de beveiliging te doorbreken, staat met 37 procent op de tweede plaats. Op de derde plaats met 27 procent staat DDoS, een aanval waarbij een netwerk wordt platgelegd door er ongekend veel data op af te vuren. Meestal worden hiervoor computers van anderen gehackt, die zich daar zelf niet van bewust zijn. Soms ook worden bedrijven slachtoffer van botnets. Cybercriminelen gebruiken dan de computer voor hun activiteiten, zonder dat de eigenaar het in de gaten heeft. Veel lager in de rangschikking, maar voor de getroffen bedrijven niet minder ernstig, staat afpersing, waarbij iemand van buitenaf binnendringt in het kantoornetwerk met als doel financieel nadeel toe te brengen. Dat kan door een virus te verspreiden, waardoor het netwerk geheel wordt geblokkeerd. Het bedrijf ontvangt vervolgens een ‘ransom-mail’ met de mededeling dat het netwerk weer zal worden vrijgegeven na betaling van een fors bedrag. Een recent slachtoffer is de Universiteit van Maastricht. De hackers sloegen toe met Clop-gijzelsoftware. Clop richt zich op volledige computernetwerken, en dus niet zozeer op individuele computers. Zodra het virus is binnengedrongen in een netwerk, versleutelt het zoveel mogelijk bestanden. Wanneer de encryptie succesvol is, plaatst de ransomware een readme-bestand met de betaalinstructie.
Losgeld
Cyberverzekeraars en specialisten op het gebied van cybersecurity raden het betalen van losgeld na een cyberaanval af. Want als je wel betaalt, houd je het verdienmodel van de onderwereld in stand. Bovendien weet je als instelling of bedrijf nooit zeker dat je na betaling daadwerkelijk de sleutel in handen krijgt die de weigerende computersystemen weer vlot moet trekken. Desondanks gaat ongeveer een derde van alle getroffen bedrijven over tot het betalen van losgeld. Want soms zijn de gevolgen zo ernstig, dat er niets anders op zit dan te betalen. Ook de universiteit van Maastricht betaalde; naar verluidt zou het gaan om een bedrag tussen de 200 en 300 duizend euro. Menselijk handelen blijkt de grootste risicofactor. Door medewerkers onvoldoende in te lichten over de gevolgen van cyberaanvallen, wordt de organisatie kwetsbaar voor een aanval. Van de bedrijven die het afgelopen jaar doelwit zijn geweest van een cyberaanval, heeft 37 procent hierna toch maar een externe partij ingeschakeld om het bedrijf te beschermen.
Verzekering
‘Als ondernemer kun je het je eigenlijk niet veroorloven niet bewust om te gaan met dreigende cybergevaren’, zegt Hans Stolwijk van Techniek Nederland Verzekeringen. ‘Ik zou ondernemers een verzekering tegen een cyberaanval sterk in overweging willen geven. Bedrijven kunnen zich met een cyberverzekering indekken tegen schade door digitale inbraken. En dat kan om forse bedragen gaan. Veel bedrijven hebben geen volledig beeld van de kosten die gepaard gaan met cyberincidenten. Hierbij moet je onder andere denken aan kosten voor systeemherstel of kosten die gemaakt moeten worden voor het melden van een lek bij de betreffende toezichthouder. Vaak komt er dan ook nog een bestuurlijke boete overheen. Niet ondenkbaar is dat er na een cyberaanval een intensieve crisiscommunicatie moet worden opgestart en wellicht komen er nog advocaat- en proceskosten. En kosten voor forensisch onderzoek zijn onvermijdelijk om na te kunnen gaan wat de hacker allemaal heeft kunnen doen en inzien.’ De hoogte van de schade door een cyberaanval laat zich moeilijk voorspellen, temeer ook omdat de schade nog lang kan na-ijlen. Mogelijk kan er langere tijd niet worden gewerkt na een cyberaanval. Ook is het risico van omzetderving groot, omdat klanten geen orders kunnen plaatsen en misschien wel blijvend uitwijken naar de concurrent. Er kan een behoorlijke reputatieschade optreden en mogelijk zijn de cybercriminelen er met bedrijfsgeheimen vandoor. ‘Techniek Nederland Verzekeringen biedt haar leden een verzekering aan die vrijwel alle schade als gevolg van een cyberincident dekt,’ vertelt Stolwijk. ‘Het is een betaalbare verzekering, waarvan de premie afhankelijk is van de gerealiseerde omzet. Kleinere bedrijven kunnen zich voor 500 euro al prima wapenen tegen cybercriminelen. Aan onze verzekering is een
zogeheten ‘incident response’ gekoppeld. Dat is een alarmteam bestaande uit computerspecialisten en advocaten die de getroffen onderneming bijstaan in het geval er toch iets mocht gebeuren. We werken hierbij samen met Fox IT, een team dat dag en nacht bereikbaar is. In het geval van een cyberaanval is het belangrijk om snel, kalm en gecoördineerd te reageren. Het team onderzoekt grondig de datalekken, beveiligingsinbreuken en andere ernstige incidenten met als doel dat het getroffen bedrijf zo snel mogelijk weer aan de slag kan, met zo min mogelijk technische, juridische en administratieve problemen.’
In vijf stappen op weg naar een cyberveilige omgeving
1
Vergroot actief uw kennis over cybercriminaliteit. Cybercriminaliteit kan uit onverwachte hoeken komen – phishing-mails en onbeveiligde usb-sticks zijn slechts het topje van de ijsberg. Dus, investeer wat tijd in een goed rondje online research en houd de media goed in de gaten. Hiermee vergroot u op laagdrempelige wijze uw kennis over cybercriminaliteit.
2
Maak de urgentie voelbaar: cyberbeveiliging is geen bijzaak, maar hoofdzaak. Een cyberaanval klinkt voor veel ondernemers als een ver-van-mijn-bed-show. Toch is het zeker niet ondenkbaar dat een kleine onderneming wordt getroffen door een cyberaanval – juist omdat de urgentie daar niet altijd voelbaar is en de beveiliging vaak niet zo’n hoge prioriteit heeft als bij grotere bedrijven.
3
Maak het risico voor uw eigen onderneming inzichtelijk. Er zijn ontelbare gevaren op te noemen, maar welke vormen nu het grootste risico voor uw eigen organisatie? Inventariseer hoe kwetsbaar uw eigen bedrijf is voor cyberdreigingen. Vele verzekeringsmaatschappijen bieden een gratis Cyber Risicoscan aan. Binnen tien minuten weet u welke risico’s uw bedrijf mogelijk loopt.
4
Besteed uit waar u zelf niet genoeg kennis van heeft. Dat geldt zeker voor IT en cyberbeveiliging. Wilt u testen of de beveiliging van uw netwerk wel op orde is? Huur eens een ethisch hacker in en laat deze specialist naar gaten in uw beveiliging zoeken. Wees er wel zeker van dat u te maken heeft met een CEH-hacker (certified ethical hacker).
5
Gebruik uw gezonde verstand. Ondernemers zijn doorgaan goed in het gebruiken van hun gezonde verstand. En juist dat gezonde verstand is essentieel bij het voorkomen van cybercriminaliteit. Want iedere ondernemer weet heel goed dat hij moet kiezen voor veilige apparatuur, niet iedereen zomaar toegang moet geven tot zijn data en dat het laten rondslingeren van gevoelige informatie niet heel handig is. Blijf dus vertrouwen op dat onderbuikgevoel en luister naar uw verstand – dat is al het halve werk.
En verder:
- Installeer een betrouwbaar anti-malwareproduct.
- Download alleen apps van legitieme platforms en aanbieders die zelf controleren op apps met malware.
- Zorg dat uw besturingssysteem altijd up-to-date is.
- Vermijd bezoeken aan onveilige websites, downloadt nooit niet-gecontroleerde bijlagen en klikt nooit op koppelingen in niet-vertrouwde e-mails.
- Ververs regelmatig álle wachtwoorden.