Eén ding is zeker: u gaat gehackt worden. | KPMG | NL

Eén ding is zeker: u gaat gehackt worden. Maar bent u er ook klaar voor?

Eén ding is zeker: u gaat gehackt worden.

Een horrorverhaal over cybersecurity is zo gevonden. Het wemelt ervan op internet: cybercriminelen die de systemen van een ziekenhuis gijzelen voor losgeld, malware dat de harde schijven wist van 35.000 computers bij een oliereus, hackers die rondneuzen in de systemen van een IT-gigant. Zijn al die enge verhalen reden voor paniek? Gelukkig niet. De beveiliging evolueert gewoon mee.

1000

Gerelateerde content

Eén ding is zeker: u gaat gehackt worden. Maar bent u er ook klaar voor?

Een horrorverhaal over cybersecurity is zo gevonden. Het wemelt ervan op internet: cybercriminelen die de systemen van een ziekenhuis gijzelen voor losgeld, malware dat de harde schijven wist van 35.000 computers bij een oliereus, hackers die rondneuzen in de systemen van een IT-gigant. Zijn al die enge verhalen reden voor paniek? Gelukkig niet. De beveiliging evolueert gewoon mee.

Voorheen draaide alles om preventie, en uiteraard, preventie blijft belangrijk. Per slot van rekening moet je het de groeiende schare cybercriminelen niet te gemakkelijk maken. Maar steeds meer organisaties komen erachter dat hackers toch wel weten in te breken, dat malware toch wel op een aantal systemen terechtkomt. Er hoeft maar één medewerker op een verkeerd linkje te klikken. Dan is enkel preventie niet genoeg. Dan gaat het om de vraag: hoe goed ben ik voorbereid? Oftewel: hoe staat het met de digital forensic readiness van de organisatie?  ‘By failing to prepare, you are preparing to fail’, zei de achttiende eeuwse politicus, uitvinder en liefhebber van wiskundige puzzels Benjamin Franklin al.

 

Het duurt gemiddeld tweehonderd dagen voordat een hack wordt ontdekt

 

Organisaties die volwassen met cybersecurity omgaan, gaan er vanuit dat ze al besmet of gehackt zijn. Niet zo gek, want nog altijd duurt het gemiddeld tweehonderd dagen voordat een hack wordt ontdekt en zij die hacken – of het nu een spionerende overheid, nieuwsgierige concurrent of een crimineel is – worden steeds gehaaider.

Nu hebben de meeste bedrijven en instellingen een plan voor het geval ze slachtoffer zijn geworden van cybercriminaliteit, net zoals ze een plan hebben voor het geval de stroom uitvalt of er brand uitbreekt. Maar de ervaring leert dat het bij cybersecurityplannen snel schort aan de mate van detail en, minstens zo belangrijk, lang niet altijd blijken de plannen up to date. Rondgangen onder CEO’s leren bijvoorbeeld dat bijna tweederde van de organisaties met verouderde software werkt en de helft vindt dat de eigen organisatie niet afdoende is voorbereid. Opmerkelijk, want de meeste CEO’s maken zich wel zorgen over cyber security.

Wat vaak wordt vergeten   
Hoe zorg je ervoor dat je voorbereiding op orde is? The devil is in the detail. Vaak draait het bij voorbereiding in cyber security om kleine, maar o zo belangrijke zaken. Welke externe IT-partij draagt zorg voor de hosting van de website? Welke Cloudpartij bewaart gegevens? Via wie loopt het e-mailverkeer? Van welke leverancier komen de smartphones van werknemers? Hebben we toegang tot al die zaken? Het is belangrijk dat allemaal in de smiezen te hebben. Nog belangrijker is het om met dergelijke partijen al bij het sluiten van een contract af te spreken wat te doen bij een cyberaanval. Je wilt niet om tien uur ’s avonds met een externe IT-partner of zogeheten incident responder moeten onderhandelen over een tarief als elke seconde telt.

Wat in de voorbereiding vaak wordt vergeten: zorg ervoor dat je altijd weet wie waarover gaat bij partners en weet wat voor vlees je in de kuip hebt. Je wilt geen handen schudden in tijden van crisis. Je moet elkaar bovendien kennen om ook hard tegen elkaar te kunnen zijn en eens flink de waarheid te kunnen vertellen, wat gedurende een incident nou eenmaal soms nodig is. Zorg ervoor dat de incident responders ook altijd op de hoogte blijven van je IT-landschap, zoals processen, systemen en gebruikte software. Incident responders zijn bij een probleem in een complexe omgeving soms alleen al dagen bezig met het verkrijgen van inzicht: waar staat de data, wat is een relevant aanvalspad, hoe verloopt de communicatie tussen die processen en systemen, wie beslist over wat? De hacker kan dan allang weer zijn vertrokken. De interne fraudeur kan zijn sporen hebben uitgewist. En al die uren bezig met, ja, niks, kosten ook gewoon geld.

Een op de vijf CEO’s maakt zich het meeste zorgen over cybersecurity, blijkt uit een recente rondgang. Wie goed is voorbereid, houdt schade plus kosten binnen de perken en hoeft zich geen zorgen te maken. Die kan met een gerust hart griezelen bij horrorverhalen over hackers en malware.

Cyber resilience in drie stappen

Auteur: Jeroen de Wit, manager Information Security.

Neem contact met ons op

 

Offerteaanvraag (RFP)

 

Bevestig