door Mo Ballari - 1 augustus 2022
Ze zijn de laatste tijd bijna dagelijks in het nieuws. Datalekken: persoonsgegevens die op straat belanden en daardoor vaak in handen van onbevoegden. Steeds vaker is een datalek het gevolg van een cyberaanval. Het aantal bij de Autoriteit Persoonsgegevens gemelde datalekken als gevolg van een cyberaanval nam in 2021 met 88% toe, tot 2210. Wat je noemt een explosieve stijging!
Is het dan zo makkelijk om een succesvolle cyberaanval uit te voeren, of nemen organisaties onvoldoende maatregelen om een datalek te voorkomen? Waarschijnlijk is beide een beetje waar. Cybercriminelen worden zeker steeds bedrevener, maar tegelijkertijd hebben nog te weinig organisaties hun basisbeveiliging op orde.
Laat ik vooropstellen dat er geen wondermiddel bestaat om te voorkomen dat u getroffen wordt door een ransomware-aanval. Maar u kunt het cybercriminelen wel lastiger maken. Bijvoorbeeld met een goed beveiligingsplan, dat gebaseerd is op een risicoanalyse. In dit beveiligingsplan definieert u een set maatregelen uitgesplitst naar de factoren mens, techniek en organisatie. Maar let op: om een bepaald niveau van cyberveiligheid te bereiken, moet u een gelaagde verdediging opbouwen. Daarom is het van belang aandacht te besteden aan alledrie de factoren, niet alleen aan de techniek. Ik licht dit hieronder toe.
Techniek
Velen van u hebben het mij eerder horen zeggen: ‘Cybersecurity bestaat bij de gratie van een goede beveiliging van de ICT systemen’. Dit begint allemaal bij een veilige configuratie, goed patchen en tijdig updaten. Maar ook multifactor authenticatie, encryptie en een goed autorisatiemodel in combinatie met monitoringsoftware zijn van groot belang. Net als de mogelijkheid om digitaal forensisch onderzoek te kunnen doen als er iets misgaat. Nog te veel organisaties bewaren hun loggegevens kort, vaak uit kostenoverwegingen. Maar daardoor zijn zij niet forensic ready en is er te weinig of helemaal geen onderzoeksmateriaal beschikbaar op het moment dat zich een datalek voordoet.
Organisatie
Daarnaast is een aantal organisatorische aspecten van belang voor een goede informatiebeveiliging. Weet u bijvoorbeeld aan welke wet- en regelgeving uw organisatie moet voldoen? Heeft u een informatiebeveiligheidsbeleid? Is er een plan voor het geval de organisatie te maken krijgt met een security-incident? Heeft u in- en uitdiensttredingsprocedures, waarin is beschreven welke rechten medewerkers krijgen en wanneer zij deze weer inleveren? Worden verleende rechten regelmatig gecontroleerd en herbeoordeeld? Laat u nieuwe medewerkers screenen, zeker als zij toegang krijgen tot vertrouwelijke of concurrentiegevoelige informatie?
Mens
Tot slot speelt de mens een cruciale rol in uw informatiebeveiliging. Het gedrag van uw medewerkers bepaalt namelijk in hoge mate of uw organisatie het slachtoffer kan worden van cybercriminelen. U kunt nog zo’n goede firewall hebben, op het moment dat medewerkers op een geïnfecteerd linkje klikken is de organisatie nog steeds kwetsbaar.
Het is dus van belang dat uw medewerkers zich bewust zijn van de risico’s. Een cybersecurity-expert kan ze daar meer over vertellen. Maar als organisatie moet u uw medewerkers ook in staat stellen om cyberveilig gedrag te vertonen. Hier zijn verschillende methodes en technieken voor. Als u daar prijs op stelt, vertel ik u daar graag meer over.