Het aantal gijzelsoftwareaanvallen en cyberincidenten neemt toe. Ook de impact van de coronapandemie op veilig digitaal ondernemen is merkbaar. Cybersecurity-expert Erwin Hasenpflug van het Digital Trust Center (ministerie van Economische Zaken) helpt mkb-ondernemers zich beter te weren tegen cybercriminaliteit. Wat kunnen ondernemers zelf doen om hun onderneming digitaal veilig te houden?
Wat zijn ontwikkelingen op het gebied van cybercriminaliteit?
“Helaas loont cybercriminaliteit nog te vaak. De toename van het aantal ransomware aanvallen is zorgwekkend. Waar eerst alleen data werden versleuteld, worden die nu ook gestolen. Een ondernemer die denkt: ‘ik gebruik gewoon mijn back-up’, kan te maken krijgen met een hacker die dreigt de gestolen bedrijfsgegevens openbaar te maken als er niet wordt betaald. Een dilemma voor de ondernemer. Een back-up alleen is dus onvoldoende. Het nemen van andere preventieve maatregelen wordt belangrijker. Ook zijn phishing aanvallen, misleiden van gebruikers om zo gijzelsoftware te verspreiden, steeds moeilijker te herkennen. Criminelen spelen handig in op de actualiteit door bijvoorbeeld phishingmails af te stemmen op de coronacrisis en te sturen uit naam van de overheid. Ook worden vaker ernstige beveiligingslekken ontdekt binnen software die bijvoorbeeld thuiswerken mogelijk maakt. Criminelen kunnen zich toegang tot systemen verlenen, zonder dat een ondernemer daar weet van heeft.”
Wat zijn risico’s voor ondernemers door toename van digitaal ondernemen?
“Bedrijven zijn steeds afhankelijker geworden van IT systemen. Ook zijn die systemen meer aan elkaar gekoppeld, waardoor de impact groter is als iets in de keten wordt geraakt of uitvalt. Dit kan worden veroorzaakt door cybercriminaliteit, maar ook door cyberincidenten zoals menselijke fouten of systemen die kapot gaan. Tijdens de coronacrisis moesten veel ondernemers snel schakelen en thuiswerken mogelijk maken voor hun medewerkers. Daarbij is regelmatig gekozen voor oplossingen die snel werken, maar niet altijd even veilig zijn. Zo is bijvoorbeeld het gebruik van het Remote Desktop-protocol (RDP), dat het mogelijk maakt om systemen op afstand over te nemen, enorm toegenomen. Medewerkers kunnen vanuit thuis inloggen op systemen op kantoor, maar gevolg is dat ongewenste derden ook naar binnen kunnen als dit niet veilig is ingericht. Tijdelijke oplossingen van toen kunnen een permanente manier van werken zijn geworden. Het is dus belangrijk dat ondernemers dit evalueren en waar nodig het systeem veilig inrichten. Ook het werken in de cloud is in een stroomversnelling terecht gekomen, maar ook clouddiensten zijn kwetsbaar als ze niet veilig zijn ingericht. Cybercriminelen sturen bijvoorbeeld nep-facturen via eenzelfde clouddienst waardoor een medewerker het gevoel heeft nog in een vertrouwde omgeving te zitten.”
Welke fouten maken veel ondernemers?
“Onvoldoende aandacht besteden aan cyberweerbaarheid. Ondernemers denken, vaak onterecht, dat alles geregeld is als ze iemand hebben die hun IT zaken regelt. Maar zijn concrete afspraken gemaakt wat precies wordt geregeld? Daarnaast zien vooral kleinere ondernemers zichzelf niet als doelwit van cybercriminaliteit, terwijl de praktijk laat zien dat ieder bedrijf slachtoffer kan worden van een aanval, ongeacht de sector of omvang. Het is dus belangrijk dat bedrijven hun basisbeveiliging op orde hebben. Denk bijvoorbeeld aan het maken en testen van back-ups, installeren van updates en het gebruiken van sterke en unieke wachtwoorden. Voor veel bedrijven zijn dit soort maatregelen helaas nog niet standaard en komen ze er pas achter als het te laat is.” Wat kan je doen als je bedrijf is gehackt? “Op die vraag is geen simpel antwoord te geven. Wat is er precies gehackt? Hoe snel ben je erbij? Naast het doen van een melding bij de Autoriteit Persoonsgegevens (AP) als het persoonsgegevens betreft, hangt wat je verder kunt doen vooral af in hoeverre er al preventieve maatregelen zijn genomen. Denk bijvoorbeeld aan het maken van een goede back-up en die ook regelmatig testen. Als je bedrijf gehackt is, wil je er niet achter komen dat de back-up niet bruikbaar is. Zorg dat je een IT-partner hebt die je vertrouwt en waar je naartoe kunt gaan. Beter is het natuurlijk als je al afspraken met een IT-partner hebt gemaakt of preventieve maatregelen hebt getroffen die ervoor kunnen zorgen dat een hack wordt voorkomen en eventuele gevolgschade wordt beperkt.”
Vijf tips om cyberweerbaarheid te vergroten
1. Kom in actie!
Het is niet realistisch te denken dat het jouw bedrijf niet overkomt. Begin met de vijf basisprincipes van veilig digitaal ondernemen. Kijk op: www.digitaltrustcenter.nl
2. Identificeer wat risico’s voor jouw bedrijf zijn.
Wees niet bang dat dit veel tijd en geld kost. Gewoon een brainstorm tijdens een borrel; wat wil je dat niet gebeurd? Als je weet wat voor jouw bedrijf belangrijk is, kun je ook verantwoorden waarom je iets doet en er geld insteekt.
3. Voer een actief wachtwoordbeleid en informeer medewerkers over het belang ervan.
Dat maakt implementatie makkelijker. Een sterk wachtwoord is niet te raden en bestaat naast gewone letters en cijfers ook uit hoofdletters, leestekens en bijzondere karakters. Verander wachtwoorden regelmatig, zeker die toegang geven tot e-mail en bedrijfsgegevens en kies geen opeenvolgende wachtwoord: Wachtwoord1, wachtwoord2 etc. Overweeg tweefactor-authenticatie (2FA), dat wil zeggen dat er naast een wachtwoord ook een cijfercode nodig is om toegang te krijgen.
4. Het op orde krijgen van de basis kan een uitdaging zijn.
Overweeg om een IT dienst-verlener te zoeken waarmee je afspraken kunt maken om je hierbij te helpen.
5. Zorg dat er back-ups worden gemaakt én test regelmatig of dat daadwerkelijk ook gebeurd!
Je wilt niet, als het nodig is, erachter komen dat er geen back-up draaide.
Raadpleeg voor de laatste informatie rondom wet- en regelgeving altijd www.uwv.nl
