Informatiebeveiliging, tijd voor actie!
Je plaatst geen middeleeuws slot op de voordeur van je huis. Je schrijft de pincode van je creditcard niet op een post-it briefje. En je laat je auto niet met open deuren achter in een openbare garage. "Waar heeft hij het over? Natuurlijk doe ik dat niet!" hoor ik je denken. Nou, hoe voor de hand liggend dit ook klinkt, als we kijken naar informatiebeveiliging, zou je verbaasd zijn hoeveel middeleeuwse sloten en open deuren we tegenkomen.
Ik was in gesprek met een grote verzekeringsmaatschappij die gespecialiseerd is in het aanbieden van diensten aan bedrijven. Ze vertelden dat 1 op de 5 van hun klanten een cyberincident meldt. Dat is een duizelingwekkend cijfer! Het betekent dat we allemaal een tandje bij moeten zetten en ons moeten richten op optimale databeveiliging. Een klant vertrouwde me toe dat ze nog steeds eenvoudige wachtwoorden gebruiken die nooit hoeven te worden bijgewerkt. En ik ben er absoluut van overtuigd dat we wachtwoorden als 'admin1234' zullen vinden.
Doe eens een gok: hoe lang doet een cybercrimineel erover om zo'n wachtwoord met brute kracht te kraken? Misschien een paar dagen? Nee, denk nog eens na. Een uur. Dat is zestig minuten en hij is binnen. Na zestig minuten zijn je data gecompromitteerd. De meest recente modellen (1) verlagen de geschatte benodigde tijd zelfs naar 2 minuten. Griezelig, toch?
Natuurlijk gebruik ik mijn verjaardag als wachtwoord! Dat vergeet ik namelijk nooit. En wie weet mijn verjaardag? Bijna niemand ... dus ik zit goed.
Dit voorbeeld richt zich op wachtwoorden. Wachtwoorden zijn slechts een onderdeel van een breder scala aan eenvoudige acties die een organisatie kan nemen om de cyber resilience/weerbaarheid te vergroten. Het Amerikaanse National Institute of Standards and Technology definieert cyberweerbaarheid als (2): "Het vermogen om te anticiperen op, weerstand te bieden aan, te herstellen van en zich aan te passen aan ongunstige omstandigheden, spanningen, aanvallen of compromitteringen op systemen die gebruikmaken van of mogelijk worden gemaakt door cybermiddelen." Deze veerkracht is niet alleen gebaseerd op technologische maatregelen, maar evenzeer - of zelfs nog meer - op gedragsveranderingen. Mensen zijn vaak een zwakke schakel in de beschermende ketens rond uw data. Het is moeilijk om slechte gewoontes te doorbreken, maar het is wel heel belangrijk om dat te doen. Denk aan het verjaardagspaswoord... Door voortdurend te werken aan best practices in uw organisatie, kunt u het risico om slachtoffer te worden van cybercriminaliteit zoals phishing, hacking, spoofing, malware en ransomware verkleinen.
Om het vertrouwen van uw betrokkenen te verdienen, moet u ervoor zorgen dat hun data veilig worden bewaard in uw organisatie. Datalekken zijn slecht nieuws voor zowel u als uw betrokkenen. Slechte publiciteit, boze betrokkenen, boetes of zelfs een inspectie van de autoriteiten... Eindig niet als een van de vele bedrijven (3) die het slachtoffer zijn geworden van een datalek en onderneem actie. Als onderdeel van een goede compliancestrategie is het werken aan je informatiebeveiliging een essentieel onderdeel. Slechts 5 minuten van verlaagde waakzaamheid zijn genoeg.
In 2022 ontving de HR-afdeling van een klant waar ik voor werkte een e-mail van een van hun directeuren. De e-mail vermeldde een nieuwe bankrekening en het verzoek om het komende salaris op de nieuwe rekening te storten. Omdat de betaling van de salarissen op dat moment werd afgerond, stuurde de HR-medewerker de e-mail door naar een collega. Natuurlijk waren de woorden in de e-mail een beetje vreemd en ook het e-mailadres was onbekend. Maar als ze snel handelden, konden ze de betaling alsnog uitvoeren naar de nieuwe bankrekening! En zo gebeurde het...
Er waren vreemde woorden, een onbekende afzender en een bizarre handtekening. Waarom herkenden we deze overduidelijke phishingpoging niet?
Goede bedoelingen en een beslissing die snel genomen moest worden, vormden de basis voor een salaris dat werd uitbetaald aan een cybercrimineel. In dit geval ging er geld verloren, maar werd er geen externe schade aangericht. Het was dus nog steeds een klein incident. Maar het is een goed voorbeeld van hoe gemakkelijk cyberfraude een organisatie binnenkomt.
Verhoog je cyberweerbaarheid
Wacht niet tot je bij de lijst hoort van bedrijven die op de harde manier hebben geleerd voordat je actie onderneemt. Werk in 2024 aan uw verhoogde cyberweerbaarheid. Nee, het is niet duur. Nee het is niet complex. Nee, het is niet alleen voor grote bedrijven. Iedereen is een potentieel slachtoffer!
Het Compliance team van Crafting heeft veel ervaring in het begeleiden van organisaties naar een goede cyberweerbaarheid.
Wilt u leren hoe? Wilt u weten hoe uw bedrijf ervoor staat? Neem contact met ons op, we maken graag een praatje!
(2) https://csrc.nist.gov/glossary/term/cyber_resiliency
(3) https://tech.co/news/data-breaches-updated-list
By Yves Braeckman
Als Head of Compliance werk ik aan het vinden van een balans tussen het uitvoeren van online interacties en respect voor privacy in de breedste zin van het woord. Het doel is om het vertrouwen van stakeholders te winnen en tegelijkertijd duurzame digitale oplossingen te creëren. Nu al - maar de komende jaren nog meer - vormt compliance een hoeksteen voor elke online activiteit.