Een effectieve beveiliging bestaat uit een set aan technische en organisatorische maatregelen die elkaar versterken. Vaak weten organisaties echter niet goed waar ze moeten beginnen. Hoe lost u deze puzzel op?
De uitbraak van Covid-19-pandemie is voor cybercriminelen gunstig. Zij spelen handig in op de actuele ontwikkelingen rondom het virus en de forse groei van het aantal thuiswerkers. Denk aan phishingmails uit naam van de Wereldgezondheidsorganisatie (WHO) en phishingcampagnes die specifiek gericht zijn op thuiswerkers. Van spam en phishing tot impersonatieaanvallen en malware: het aantal aanvalspogingen steeg tussen januari en maart met maar liefst een derde.
Het belang van een solide verdediging is groter dan ooit. Tegelijkertijd was het afdekken van alle cyberrisico’s nog nooit zo complex. Zo heeft de versnelde transitie naar thuiswerken – een goede ontwikkeling als u het mij vraagt – het aanvalsoppervlak vergroot. De huidige situatie vraagt om een gelaagde securitystrategie die klanten, werknemers en bedrijfsgegevens beschermt. Hoe ziet dat er in de praktijk uit? Daar worstelen organisaties mee.
Vier pijlers
Ik ga u niet vertellen dat cybersecurity eigenlijk heel eenvoudig is. Dat is het niet. Wel helpt het om te focussen op de belangrijkste onderdelen van een holistische securitystrategie:
- Zicht op dreigingen
Allereerst moet u een goed beeld hebben van de concrete dreiging en risico’s. Threat intelligence is hierbij onmisbaar, omdat dit inzicht biedt in de aanvalsmethoden van cybercriminelen. Vergeet ook de menselijke factor niet. Welke werknemers zijn het meest vatbaar voor cyberaanvallen? Pas als u deze inzichten heeft, kunt u gerichte maatregelen treffen die uw beveiliging naar een hoger niveau tillen.
Staar u niet blind op de eigen organisatie, maar kijk ook daarbuiten. Cybercriminelen kunnen eenvoudig nepdomeinen opzetten die nauwelijks van echt te onderscheiden zijn. Vervolgens voeren ze hiermee geavanceerde aanvallen uit waarbij uw merk wordt misbruikt om klanten, partners en werknemers te duperen.
Dmarc ( Domain-based Message Authentication, Reporting, and Conformance) is zeer effectief om de eigen e-maildomeinen te beschermen tegen merkmisbruik. Ik heb hier al vaker gepleit voor een snellere adoptie van dit protocol. Combineer Dmarc met tools die aanvalspatronen herkennen en gekaapte assets uit de lucht halen voordat er aanvallen mee worden gepleegd. Idealiter implementeert u beide en beheert u ze vanuit één centrale omgeving.
- Digitale weerbaarheid
Van mkb tot multinational, elke organisatie is vatbaar voor een cyberincident. Preventie is belangrijk, maar het is ook zaak om snel te herstellen van een aanval. Die digitale weerbaarheid gaat verder dan maatregelen treffen tegen cybercriminaliteit. Wat doet u bijvoorbeeld als er weer een storing bij Microsoft 365 is? Hoe beperkt u de impact op de productiviteit, omzet en uw reputatie?
E-mail blijft het meest gebruikte instrument voor zakelijke communicatie. Met een oplossing voor e-mailcontinuïteit hebben uw werknemers altijd toegang tot e-mail, overal en vanaf elk apparaat. Zelfs als de e-mailservers eruit liggen. Via archivering in de cloud waarborgt u dat bedrijfskennis altijd beschikbaar is. En speciale synchronisatietools maken herstel mogelijk in het geval dat data corrupt of (al dan niet bewust) verwijderd zijn.
- Bedrijfscultuur
Cybersecurity werkt het best als iedere werknemer zijn rol in het geheel begrijpt. Het afslaan van aanvallen is niet alleen de taak van it, maar van iedereen. Security-awareness moet in elke laag van de organisatie voldoende aandacht krijgen. Alleen dan wordt een veilige omgang met bedrijfsgegevens en -systemen onderdeel van de organisatiecultuur.
Nederland loopt achter op dit gebied, zo blijkt uit onderzoek. In ons land biedt een krappe vijfde van de organisaties geen securitytrainingen aan. In Duitsland en het Verenigd Koninkrijk is dit slechts een procent. Dat uit zich in onveilig gedrag. Zo gebruiken Nederlandse werknemers zakelijke apparatuur opvallend vaak voor privédoeleinden en zijn ze relatief slecht in het herkennen van verdachte e-mails. Ook melden zij een verdachte e-mail minder snel aan de it-afdeling.
Eenmalige trainingen hebben niet het gewenste effect. Verder is het belangrijk dat de voorbeelden op echte aanvallen lijken en dat de training humor bevat – want dan blijft de lesstof beter hangen. Als dit op orde is, maken securitytrainingen een verschil. Zo is de kans dat een medewerker op een schadelijke link klikt na het volgen van de securitytrainingen significant kleiner dan bij ongetrainde medewerkers.
- Compliance
De Algemene Verordening Gegevensbescherming (AVG) heeft de teugels op het gebied van privacy stevig aangehaald. Zo verplicht de bepaling organisaties tot het nemen van ‘passende technische en organisatorische maatregelen’ voor de beveiliging van persoonsgegevens. Ernstige nalatigheid kan worden bestraft met hoge boetes. Zijn al uw securityleveranciers ‘AVG-proof’?
Compliance met de AVG is niet eenvoudig bij ongestructureerde data zoals e-mail (dat ook nog eens boordevol persoonsgegevens zit). Deze data kunt u het beste bewaren in een veilig, onafhankelijk gegevensarchief van een derde partij dat voldoet aan de eisen vanuit wet- en regelgeving. Zo beperkt u de juridische risico’s rondom het gebruik van e-mail. Bovendien verkleint u de kans op datalekken via e-mail en de schade die daaruit voortvloeit.
Veilige basis
Er is geen wondermiddel dat uw organisatie beschermt tegen digitale gevaren. Dat moet ook helemaal niet het doel zijn. Het gaat erom dat u de totale impact van incidenten beperkt via een mix van technische oplossingen en organisatorische maatregelen. Met de vier pijlers in dit artikel legt u hiervoor het fundament.
