Tijdens Cybersecurity Month in oktober staat in Nederland de vraag centraal wat organisaties doen als een digitale aanval ondanks alle voorzorg slaagt. Vijf cybersecurityexperts vertellen hoe bedrijven de schade beperken en hun werk gaande houden. Hun advies: test nu of je maatregelen standhouden.
Cybersecurity Month als APK voor je bedrijf
Gilles van Heijst, transformation lead bij YaWorks, vindt dat de maand geen jaarlijks startschot voor maatregelen hoeft te zijn. Wel noemt hij de maand een goed moment om te controleren of bestaande maatregelen in de praktijk werken. Hij vergelijkt dat met een APK: je vervangt niet de hele auto, maar kijkt of de onderdelen nog doen wat ze moeten doen.
Volgens Van Heijst begint die controle bij de systemen en processen waar de organisatie niet buiten kan. Hij adviseert drie vragen te stellen: wat gebeurt er als deze systemen morgen uitvallen, werkt de back-up en is het herstelplan ooit getest? Ransomware komt daarbij als eerste in gedachten, maar is volgens hem niet het enige scenario.
De APK ziet er niet voor elk bedrijf hetzelfde uit. Een mkb-bedrijf kan beginnen met het daadwerkelijk terugzetten van een back-up. Een grote organisatie kan samen met de business een crisisscenario doorlopen. Basismaatregelen als back-ups, vulnerability management en disaster recovery krijgen volgens Van Heijst minder aandacht, omdat organisaties liever tijd steken in nieuwe projecten zoals AI.
Snel ingrijpen begint vóór het incident
Esther Hovenkamp, Manager Cyber Security Sales Europe bij Conscia, wijst op de uren waarin aanvallen beginnen. Uit data van het Europese SOC van Conscia blijkt dat 43 procent van de bevestigde incidenten buiten kantooruren startte. Is dan niet duidelijk wie een account mag uitschakelen of een systeem mag isoleren, dan helpt snelle detectie weinig.
Bovendien zijn de systemen waarmee organisaties herstellen zelf een doelwit. Hovenkamp noemt back-up, storage, virtualisatie en directory-omgevingen. Zijn die bereikbaar vanuit de gewone gebruikersomgeving, dan kan een aanval het herstel veel moeilijker maken. Zij adviseert te toetsen of duidelijk is wie mag ingrijpen, of je kunt achterhalen wat er is gebeurd en of back-ups veilig bereikbaar blijven.
DNS-verkeer geeft zicht op aanvallers
Aanvallers bereiden zich ruim van tevoren voor, zegt Joris van der Linde, Product Security Specialist Northern Europe bij Infoblox. Ze misbruiken verborgen infrastructuur, ontwikkelen overtuigende phishingcontent en maken nepapplicaties. Securityteams moeten zich volgens hem richten op die voorbereiding in plaats van te wachten op de dreiging.
Uit het Threat Landscape Report van Infoblox blijkt dat ongeveer 90 procent van de dreigingssignalen gemiddeld 68 dagen voordat klanten ermee te maken krijgen is geïdentificeerd. Omdat elke verbinding met een DNS-query begint, geeft DNS inzicht in apparaten, applicaties en diensten. Teams zien daardoor sneller welke systemen zijn geraakt en kunnen incidenten indammen voordat ze zich verspreiden.
Beveiliging van AI-agents kan niet wachten
Fred Streefland, Global CISO bij Check Point, vindt dat bedrijven niet moeten wachten op nieuwe wet- en regelgeving voor AI. Organisaties moeten nu bepalen binnen welke kaders een AI-agent mag werken en controleren of de agent zich eraan houdt. Een agent zonder grenzen kan volgens hem alle beschikbare mogelijkheden benutten, ook als dat niet de bedoeling is.
Daarnaast moeten organisaties kunnen ingrijpen als een agent over de grens gaat. Dat vraagt zicht op de agent, de identiteit waarmee deze handelt, het netwerk en actuele dreigingen. Streefland wil dat bedrijven processen direct kunnen stilleggen en veiligheid vanaf het begin inbouwen.
NIS2 is pas het begin
Anouck Teiller, deputy CEO bij HarfangLab, wijst op de Cyberbeveiligingswet. Daarmee is NIS2 in Nederland van kracht en ligt cybersecurity voor veel organisaties bij het bestuur. Voldoen aan de wet maakt een organisatie volgens haar nog niet automatisch weerbaar.
Uit onderzoek van HarfangLab blijkt dat 69 procent van de Nederlandse bedrijfsleiders grote gevolgen verwacht van een cyberincident voor bedrijfsvoering en omzet. Bij 43 procent kan de omzet al op dezelfde werkdag geraakt worden. Organisaties denken gemiddeld ruim vier dagen nodig te hebben voor volledig herstel. Toch noemt slechts 23 procent bedrijfscontinuïteit en snel herstel de belangrijkste focus van de cybersecuritystrategie.
Teiller raadt aan te testen wat er gebeurt als een aanvaller binnenkomt. Hoe snel merk je het, kun je verspreiding stoppen en weet iedereen wie welke beslissing neemt? En welke kritieke processen moeten blijven draaien als delen van de IT zijn aangetast?
Kernfeiten
- Conscia: uit data van het Europese SOC van Conscia blijkt dat 43 procent van de bevestigde incidenten buiten kantooruren begon.
- Infoblox: volgens het Threat Landscape Report van Infoblox is ongeveer 90 procent van de dreigingssignalen gemiddeld 68 dagen voordat klanten ermee in aanraking komen geïdentificeerd.
- HarfangLab: 69 procent van de Nederlandse bedrijfsleiders verwacht aanzienlijke gevolgen van een cyberincident voor bedrijfsvoering en omzet. Bij 43 procent kan de omzet al binnen dezelfde werkdag worden geraakt.
- HarfangLab: organisaties denken gemiddeld ruim vier dagen nodig te hebben voor volledig herstel. Slechts 23 procent noemt bedrijfscontinuïteit en snel herstel de belangrijkste focus van de cybersecuritystrategie.
Veelgestelde vragen
Welke drie vragen adviseert Gilles van Heijst van YaWorks te stellen over kritieke systemen?
Gilles van Heijst, transformation lead bij YaWorks, adviseert te vragen wat er gebeurt als de kritieke systemen morgen uitvallen, of de back-up werkt en of het herstelplan ooit is getest. Volgens hem begint die controle bij de systemen en processen waar de organisatie niet buiten kan.
Hoeveel bevestigde incidenten beginnen buiten kantooruren?
Uit data van het Europese SOC van Conscia blijkt dat 43 procent van de bevestigde incidenten buiten kantooruren begon. Esther Hovenkamp van Conscia stelt dat snelle detectie weinig helpt als dan niet duidelijk is wie een account mag uitschakelen of een systeem mag isoleren.
Hoe lang denken Nederlandse organisaties nodig te hebben om volledig te herstellen van een cyberincident?
Organisaties denken gemiddeld ruim vier dagen nodig te hebben voor volledig herstel, blijkt uit onderzoek van HarfangLab. Bij 43 procent van de Nederlandse bedrijfsleiders kan de omzet al binnen dezelfde werkdag worden geraakt.
Hoeveel dagen vooraf zijn dreigingen volgens Infoblox al zichtbaar?
Volgens het Threat Landscape Report van Infoblox is ongeveer 90 procent van de dreigingssignalen gemiddeld 68 dagen voordat klanten ermee in aanraking komen geïdentificeerd.