‘Cybercriminelen maken misbruik van het gebrek aan kennis’

Vooral het mkb is gebaat bij meer bewustwording op het gebied van cybersecurityrisico’s, blijkt uit onderzoek van Interpolis en Capgemini onder 529 mkb-bedrijven. Risicodeskundige Johan Feenstra weet wat er moet veranderen.

‘Bij grote ondernemingen als verzekeraars en de Philips’ van deze wereld is die bewustwording er wel, maar in het mkb zijn nog flinke stappen te maken’, aldus Johan Feenstra, risicodeskundige bij Interpolis. ‘Het mkb is natuurlijk heel groot, zo’n onderzoek geeft je een steuntje in de rug om ondernemers te helpen. Vaak ligt in het mkb de computerbeveiliging bij de directeur, of iemand die dit in zijn pakket erbij heeft. Grote ondernemingen schakelen vaak een extern bedrijf in, wat de kans dat je computerbeveiliging goed op orde is absoluut vergroot. Dat kunnen kleinere ondernemers zich vaak niet veroorloven. Daarnaast: honderd procent veilig krijg je het natuurlijk niet, daar is meer voor nodig.’

Toegenomen risico

Het grootste probleem bij het beveiligen van netwerken ligt nog altijd bij het personeel. Die kunnen onbewust een mailtje met een gevaarlijke link openen of een bestand dat een virus bevat. Toch zijn de voornaamste risico’s niet het besmetten van je netwerk, maar de schade die uit zo’n besmetting voortvloeit. Johan: ‘Imagoschade en het financieel nadeel hiervan staat met stip in top 10 van risico’s, naast de bekendere zaken als brand en waterschade. Doordat bedrijven tegenwoordig zo veel gegevens in huis hebben is het risico dat er iets mis gaat vele malen groter. Vroeger dacht men vaak: als je een webshop hebt, loopt je risico. Tegenwoordig hebben echter bijna alle bedrijven gegevens van klanten, patenten, financiële gegevens, betaalsystemen in de retail en nog veel meer. Met al die gegevens kan iets misgaan. Uiteindelijk zeggen wij: je kunt bedrijven en professionals inhuren, maar de echte zwakte ligt bij de mens. Steeds meer bedrijven worden zich gelukkig bewust van dit risico.’

Privacywetgeving en imagoschade

Met de aankomende wijzigingen in de privacywetgeving worden de risico’s voor bedrijven ook groter: ze moeten er melding van maken wanneer er persoonsgegevens buit zijn gemaakt. ‘Wees je daarom bewust van de risico’s die je loopt wanneer privacygevoelige gegevens op straat komen te liggen. Je hebt dan een gigantisch imagoprobleem, dat kan je zelfs je bedrijf kosten. Imago is sowieso met de opkomst van sociale media steeds belangrijker geworden’, weet Johan. ‘Kom je slecht in het nieuws, wordt dat ook bekend bij de eindklant of andere opdrachtgevers of afnemers. Dat kan er toe leiden dat je opdrachtenstroom opdroogt en dan kun je je bedrijf wel opdoeken.’

Zorg voor beleid

De beste manier om te zorgen dat je personeel weet hoe het met cybercrime moet omgaan is te zorgen dat er een duidelijk beleid is. Dat is echter bij veel bedrijven nog altijd niet op orde. ‘Het hangt nogal af van het bedrijf’, merkt Johan. ‘Het ene bedrijf zegt heel strak: dit is een addendum op je arbeidsovereenkomst en dit wordt van je verwacht. Anderen zeggen alleen tegen hun personeel dat ze niet op rare linkjes in mails moeten klikken.’ Toch zijn er meer dingen dan het klikken op verdachte links die mis kunnen gaan. ‘Stel bijvoorbeeld dat je je laptop open hebt staan en je loopt van je werkplek af. Als er iemand binnen loopt neemt die zo de boel over.’ Helemaal wanneer je medewerkers regelmatig buiten de deur werken is dit risico niet te onderschatten.

‘Ook heb je buiten de vertrouwde werkomgeving te maken met zaken als open wifi-netwerken’, vertelt Johan. ‘Zit je te werken in een cafe of McDonalds, levert dat een risico op. Onlangs hadden we van Interpolis een evenement over cybersecurity samen met Capgemini, waarbij hun technische experts precies lieten zien wat er mis kon gaan. Ze konden allerlei informatie naar boven halen naar aanleiding van je inloggegevens en precies nagaan waar je bent geweest.’ Volgens Johan zijn er veel mensen die de risico’s van dit gedrag nog onderschatten. ‘Je ziet gemeentes die worden gehackt, grote instellingen en bedrijven. Ook de kleinere bedrijven worden gehackt, maar veelal halen die berichten de pers niet. Ik verwacht dat de fraude die daar wordt gepleegd de komende tijd enorm zal toenemen.’

Gemak voor criminelen

Dit komt volgens Johan deels door het enorme potentieel voor fraude bij kleinere ondernemingen. ‘Er wordt bij deze kleine bedrijven ongemerkt en op grote schaal, heel makkelijk geld verdiend. Je hoeft niet letterlijk bij iemand in te breken. Je gaat op afstand zitten, koopt een softwarepakketje en verstuurt spam om de boel te ontwrichten en bedrijven geld afhandig te maken. Het is te makkelijk voor criminelen om misbruik te maken van het gebrek aan kennis. Je ziet mensen die nog wachtwoorden gebruiken met vier nullen er in, of beveiligingscamera’s waar je op kunt inloggen omdat de standaardwachtwoorden nog staan ingesteld. Mensen moeten zich realiseren dat je met heel simpele dingen, kleine organisatorische maatregelen je beveiligingsniveau veel hoger kunt krijgen.’

De sleutel ligt bij de mens: jezelf en je medewerkers

Dan gaat het dus niet alleen om het zorgen dat je firewall up to date is, hoewel ook die simpele maatregel volgens Johan essentieel blijft. ‘De sleutel ligt bij de mens. Iedereen binnen een onderneming moet zich bewust zijn van de risico’s. Vraag aandacht voor de risico’s. Het nemen van organisatorische maatregelen kost eigenlijk niets. Het zit hem in wachtwoorden, oplettendheid van vennoten, beveiliging. Het vergrendelen van je computer wanneer je wegloopt van je werkplek, het intrekken van autorisaties van mensen die uit dienst treden en back-ups van belangrijke zaken. Mocht je eens een extern iemand in huis halen, zorg dat die geen geïnfecteerde usb-sticks gebruikt, zorg dat daar ook beleid voor is. Bedenk een oplossing voor risicovol gebruik van sociale media. Al deze dingen kosten geen geld, alleen moeite en tijd en het resultaat is het dubbel en dwars waard.’

Ben je benieuwd naar de uitkomsten van het onderzoek van Interpolis en Capgemini, kijk dan hier voor alle uitkomsten en adviezen over hoe je de risico’s in jouw bedrijf in de hand kunt houden.