Interessant voor cybercriminelen? Wij? Welnee.

Met name in het MKB is dit een gevleugelde uitspraak. Wij? Zo groot zijn we niet, we hebben geen geheimen, en trouwens wat heeft iemand er nu aan om te weten wat voor omzet we draaien?

En dat is maar een greep uit de vele redenen waarom MKB’ers de kop in het zand proberen te steken. Oké, er zit een kern van waarheid in wat ze zeggen. Meestal gaat het immers niet om beursgevoelige informatie of wereldbedreigende activiteiten. Toch worden elke dag verschillende malen dergelijke organisaties digitaal bedreigd. Virussen, malware, spam, phishing, ransomware, trojans, hacks, alles werpen criminelen in de strijd. En dat zijn slechts voorbeelden van manieren waarop jouw eigen cybersecurity kan worden bedreigd. Heel veel MKB-bedrijven doen intussen namelijk wél zaken met grote, al dan niet beursgenoteerde, bedrijven. En als gegevens van die partijen op straat komen te liggen is er wel degelijk sprake van “gevoelige’ informatie.

“67 procent van alle cyberaanvallen zijn gericht op het MKB met minder dan 100 medewerkers.”

 

Vergis je niet in de enorme impact op je organisatie als je op welke manier dan ook te maken krijgt met cybercriminaliteit. Maar liefst 67 procent van alle cyberaanvallen zijn gericht op het MKB met minder dan 100 medewerkers. Dat bleek uit een onderzoek van Verizon data dat nota bene stamt uit 2013(!). Ook maakte dit onderzoek duidelijk dat het zo'n 190 dagen duurt voordat een bedrijf überhaupt weet dat het slachtoffer is geworden van cybercrime. Procedures en processen kunnen veilig zijn maar vaak zijn het immers de gebruikers zelf die kwetsbaarheden veroorzaken door foutief of onzorgvuldig gebruik van applicaties of apparaten. Hierdoor kan zogenoemde “social hacking” plaatsvinden. Een vorm van hacken die erop is gericht vertrouwelijke of gevoelige informatie te verkrijgen.

“Procedures en processen kunnen veilig zijn maar vaak zijn het juist de gebruikers die kwetsbaarheden veroorzaken”

 

Denk bijvoorbeeld aan een phishing mail gericht aan een medewerker. Die krijgt een email van Microsoft 365, althans dat denkt hij, met de vraag of de medewerker opnieuw wil inloggen in zijn/haar account. Wat hij/zij niet ziet is dat de mail is verzonden van een mailadres dat niet afkomstig is van een officieel Microsoft domein. De nietsvermoedende medewerker klikt op een link in de mail, komt op een portaal terecht dat verdacht veel op dat van Microsoft 365 lijkt, vult het wachtwoord in en is gehackt. Maar ook mobiele telefoons die toegang hebben tot je clouddiensten, Instagram, Twitter en LinkedIn. Met de juiste kennis en vaardigheden kunnen hackers je informatie en digitale sporen terugvinden en koppelen aan bedrijven en personen.

Ook wordt vaak niet goed nagedacht over de bedrijfsschade die een hack aanricht. Daarbij gaat het niet  alleen om inkomstenderving, die is makkelijk zelf te berekenen, maar zeker ook om reputatieschade. Organisaties, zoals de zakelijke dienstverlening, zorginstellingen of handels- en productiebedrijven hebben altijd te maken met bedrijfs- of persoonsgevoelige informatie van klanten en leveranciers. Tim Stapleton, vice president, cyber insurance product manager, overseas general insurance bij Chubb (gerenommeerde verzekeraar voor onder meer IT-bedrijfsschade) zegt er het volgende over: “een toenemend aantal bedrijven is al begonnen met preventieve maatregelen.” En: “We zien een verschuiving van front-end-beveiligingssystemen naar de back-end”. “Organisaties realiseren zich dat ze veel meer moeten investeren in preventiesoftware”. Bedenk ook dat cyberincidenten in het algemeen niet verzekerd zijn onder een algemene aansprakelijkheidsverzekering.

De volgende voorbeelden laten zien om welke impact het kan gaan:

Privacy-aansprakelijkheid

• Onzorgvuldig beheer van persoonsgegevens en/of vertrouwelijke bedrijfsgegevens
• Verweerkosten naar aanleiding van regelgeving zoals de Meldplicht Datalekken
• Verweerkosten en schikkingsbedragen voor claims van bedrijf / personen van wie de identiteit is gestolen.
   

Aansprakelijkheid voor netwerkbeveiliging

• Het falen om het netwerk effectief te beschermen tegen malware, hacking, denial-of-service aanvallen of ongeoorloofd gebruik of toegang
   

Cyber incidentkosten

• Kosten van forensisch onderzoek om het lek te lokaliseren, de impact te analyseren en de omvang van het verlies in kaart te brengen
• Melding aan de getroffen personen
• Identiteitsdiefstal monitoringdiensten voor de getroffen personen
• Kosten voor het opzetten van een callcenter
• Kosten voor een pr-deskundige om de reputatieschade te beperken
• Kosten voor juridisch advies
• Kosten voor een cyber incident manager
   

Cybercriminaliteit is een serieuze bedreiging voor het MKB waarvan organisaties en hun medewerkers zicht terdege bewust moeten zijn. Wapen je met de juiste producten, oplossingen en zorg dat de gebruikte software up-to-date is met de recente updates en patches. En vooral: creëer awareness, zorg dat mensen zich bewust zijn van het gevaar bij alles wat ze doen. Nu privé en zakelijk steeds meer door elkaar lopen, vooral door het hybride werken – thuis werken én op kantoor – is het des te lastiger om controle te krijgen en te behouden over alle mogelijke lekken in je digitale omgeving. Zorgen dat medewerkers zich hiervan bewust zijn is al een grote stap in de goede richting.

Hier over verder van gedachten wisselen? We gaan graag in gesprek met je.