Interessant voor cybercriminelen? Wij? Welnee.

Met name in het MKB is dit een gevleugelde uitspraak. Wij? Zo groot zijn we niet, we hebben geen geheimen, en trouwens wat heeft iemand er nu aan om te weten wat voor omzet we draaien?

En dat is maar een greep uit de vele redenen waarom MKB’ers de kop in het zand proberen te steken. Oké, er zit een kern van waarheid in wat ze zeggen. Meestal gaat het immers niet om beursgevoelige informatie of wereldbedreigende activiteiten. Toch worden elke dag verschillende malen dergelijke organisaties digitaal bedreigd.

Virussen, malware, spam, phishing, ransomware, trojans, hacks, alles werpen criminelen in de strijd. En dat zijn slechts voorbeelden van manieren waarop jouw eigen cybersecurity kan worden bedreigd. Heel veel MKB-bedrijven doen intussen namelijk wél zaken met grote, al dan niet beursgenoteerde, bedrijven. En als gegevens van die partijen op straat komen te liggen is er wel degelijk sprake van “gevoelige’ informatie.

“67 procent van alle cyberaanvallen zijn gericht op het MKB met minder dan 100 medewerkers.”

Vergis je niet in de enorme impact op je organisatie als je op welke manier dan ook te maken krijgt met cybercriminaliteit. Maar liefst 67 procent van alle cyberaanvallen zijn gericht op het MKB met minder dan 100 medewerkers. Dat bleek uit een onderzoek van Verizon data dat nota bene stamt uit 2013(!).

Ook maakte dit onderzoek duidelijk dat het zo'n 190 dagen duurt voordat een bedrijf überhaupt weet dat het slachtoffer is geworden van cybercrime. Procedures en processen kunnen veilig zijn maar vaak zijn het immers de gebruikers zelf die kwetsbaarheden veroorzaken door foutief of onzorgvuldig gebruik van applicaties of apparaten. Hierdoor kan zogenoemde “social hacking” plaatsvinden. Een vorm van hacken die erop is gericht vertrouwelijke of gevoelige informatie te verkrijgen.

“Procedures en processen kunnen veilig zijn maar vaak zijn het juist de gebruikers die kwetsbaarheden veroorzaken”

Denk bijvoorbeeld aan een phishing mail gericht aan een medewerker. Die krijgt een email van Microsoft 365, althans dat denkt hij, met de vraag of de medewerker opnieuw wil inloggen in zijn/haar account. Wat hij/zij niet ziet is dat de mail is verzonden van een mailadres dat niet afkomstig is van een officieel Microsoft domein.

De nietsvermoedende medewerker klikt op een link in de mail, komt op een portaal terecht dat verdacht veel op dat van Microsoft 365 lijkt, vult het wachtwoord in en is gehackt. Maar ook mobiele telefoons die toegang hebben tot je clouddiensten, Instagram, Twitter en LinkedIn. Met de juiste kennis en vaardigheden kunnen hackers je informatie en digitale sporen terugvinden en koppelen aan bedrijven en personen.

Ook wordt vaak niet goed nagedacht over de bedrijfsschade die een hack aanricht. Daarbij gaat het niet  alleen om inkomstenderving, die is makkelijk zelf te berekenen, maar zeker ook om reputatieschade. Organisaties, zoals de zakelijke dienstverlening, zorginstellingen of handels- en productiebedrijven hebben altijd te maken met bedrijfs- of persoonsgevoelige informatie van klanten en leveranciers.

Tim Stapleton, vice president, cyber insurance product manager, overseas general insurance bij Chubb (gerenommeerde verzekeraar voor onder meer IT-bedrijfsschade) zegt er het volgende over: “een toenemend aantal bedrijven is al begonnen met preventieve maatregelen.” En: “We zien een verschuiving van front-end-beveiligingssystemen naar de back-end”. “Organisaties realiseren zich dat ze veel meer moeten investeren in preventiesoftware”. Bedenk ook dat cyberincidenten in het algemeen niet verzekerd zijn onder een algemene aansprakelijkheidsverzekering.