De meeste artikelen over cybersecurity binnen bedrijven sommen steeds dezelfde best practices op: wachtwoorden, updates en back-ups. Deze basismaatregelen blijven noodzakelijk, maar dekken niet de werkelijke risico’s waarmee organisaties vandaag de dag te maken hebben. Diefstal van gegevens zonder versleuteling, afhankelijkheid van kritieke leveranciers en de verplichtingen rond NIS2 veranderen de prioriteiten voor gegevensbescherming binnen bedrijven.
Aanvalsoppervlak dat via internet toegankelijk is: de audit die niemand prioriteit geeft
Apparaten die via internet toegankelijk zijn, blijven een bijzonder kwetsbaar toegangspunt. VPN-servers, e-mailgateways en beheerinterfaces van NAS-apparaten of firewalls: deze componenten worden vaak geïnstalleerd en vervolgens vergeten bij het uitvoeren van updates.
Bescherming begint met een volledige inventarisatie van de apparaten die via internet toegankelijk zijn. Elke publiek toegankelijke dienst moet worden gedocumenteerd, met vermelding van de verantwoordelijke, de softwareversie en de datum van de laatste patch. Zonder deze inventarisatie werken IT-beveiligingsteams in het duister.
Het controleren van beheerstoegang vormt het tweede onderdeel. Een beheerpoort die zonder IP-filtering of multifactorauthenticatie openstaat voor internet, is een direct beveiligingslek. We zien dat dit aanvalsoppervlak zelden met dezelfde zorgvuldigheid wordt aangepakt als werkplekken of e-mail, terwijl juist hier de snelste compromitteringen plaatsvinden.
Bedrijven die hun netwerkinfrastructuur uitbesteden aan een externe leverancier, bijvoorbeeld via Cyberion, krijgen beter zicht op deze blinde vlekken, mits de audit expliciet ook randapparatuur omvat en niet alleen applicatieservers.
Risico’s van cloudleveranciers en bedrijfscontinuïteit: gegevens beschermen wanneer een leverancier uitvalt
Een bedrijf kan met een ernstig incident te maken krijgen zonder dat een van de eigen systemen is gecompromitteerd. Het volstaat dat een cloudleverancier of kritieke dienstverlener wordt getroffen om de toegang tot gegevens, bedrijfsapplicaties of back-ups te onderbreken.
De beveiliging van de toeleveringsketen is een operationeel risico op zich. Om dit risico aan te pakken, is meer nodig dan de standaardcontractuele bepaling over beschikbaarheid. Een concrete aanpak bestaat uit drie onderdelen:
- Kritieke afhankelijkheden in kaart brengen: vaststellen welke bedrijfsprocessen op welke leverancier steunen en de gevolgen van een langdurige uitval beoordelen (toegang tot bestanden, facturatie, klantcommunicatie).
- De procedures voor incidentmelding controleren: het contract moet aangeven binnen welke termijn de leverancier een compromittering meldt en welke technische informatie hij verstrekt om de klant in staat te stellen te reageren.
- Een uitwijkmogelijkheid behouden: beschikken over een kopie van de gegevens die onafhankelijk van de leverancier kan worden gebruikt, op een afzonderlijke omgeving wordt opgeslagen en minstens één keer per halfjaar wordt getest.
Het meest onderschatte scenario is dat van een gecompromitteerde leverancier die legitieme toegang tot de infrastructuur van de klant behoudt. Om leverancierstoegang snel in te trekken, moet deze vooraf zijn gedocumenteerd, inclusief de bijbehorende technische accounts.
Afpersing met dreiging van openbaarmaking zonder versleuteling
Diefstal van gegevens neemt toe ten opzichte van traditionele ransomware. Aanvallers exfiltreren gevoelige informatie en dreigen die vervolgens openbaar te maken, zonder de systemen ooit te versleutelen. Dit soort incidenten wordt opgespoord door ongebruikelijke uitgaande gegevensstromen te monitoren, niet door waarschuwingen voor versleuteling.
Een reactie voorbereiden op afpersing met dreiging van openbaarmaking betekent dat vooraf moet worden vastgesteld welke gegevens bij een lek daadwerkelijk schade zouden veroorzaken: klantgegevens, intellectueel eigendom en contractdocumenten. Deze classificatie bepaalt hoe intensief het netwerk moet worden gemonitord.
NIS2 en cybersecuritybeleid binnen bedrijven: wat mkb-bedrijven moeten controleren
De NIS2-richtlijn kan ook van toepassing zijn op organisaties die zichzelf niet als grote bedrijven beschouwen. Het toepassingsgebied hangt af van de sector en van drempelwaarden die veel middelgrote organisaties omvatten.
Bedrijven die mogelijk onder de richtlijn vallen, doen er goed aan te controleren of NIS2 op hen van toepassing is zonder te wachten op de definitieve omzetting in nationale wetgeving. In Frankrijk regelt het wetsvoorstel Résilience deze omzetting, maar de termijnen en nationale regels zijn nog in bespreking. Deze onduidelijkheid ontslaat bedrijven niet van de plicht om de basis voor naleving voor te bereiden.
Concreet bestaat de voorbereiding uit twee parallelle trajecten:
- Governance: een verantwoordelijke voor cyberrisicobeheer aanstellen, een informatiebeveiligingsbeleid opstellen en procedures voor incidentmeldingen documenteren.
- Technische maatregelen: netwerksegmentatie, patchbeheer, controle van geprivilegieerde toegang en gecentraliseerde logging. Deze maatregelen sluiten aan op bestaande best practices, maar moeten worden gedocumenteerd en controleerbaar zijn.
- Beheer van derden: NIS2 stelt strengere eisen aan het beheer van de digitale toeleveringsketen, wat rechtstreeks aansluit op het eerder beschreven leveranciersrisico.
Dagelijkse maatregelen voor gegevensbescherming: meer dan alleen de basis
Software-updates, multifactorauthenticatie en back-ups blijven de basis. Hun effectiviteit hangt echter af van de zorgvuldigheid waarmee ze worden uitgevoerd, niet van het feit dat ze simpelweg op een checklist staan.
Een updateprogramma dat de firmware van netwerkapparatuur buiten beschouwing laat, laat een blinde vlek achter. Een back-up die nooit op herstel is getest, biedt geen bescherming. Elke IT-beveiligingsmaatregel moet controleerbaar zijn en ook daadwerkelijk worden gecontroleerd.
Medewerkers bewustmaken van phishingrisico’s levert meetbare resultaten op wanneer dit gebeurt aan de hand van regelmatige simulatieoefeningen, en niet met één jaarlijkse presentatie. Testcampagnes moeten verschillende scenario’s omvatten (een leverancier die wordt nagebootst, een vals verzoek van de directie, een schadelijke link in een samenwerkingstool) om de werkelijke aanvalsvectoren af te dekken.
Het scheiden van privé- en zakelijk gebruik op mobiele apparaten blijft een lastig punt. Beveiligingsbeleid dat een zakelijke container op privéapparaten verplicht stelt, verkleint het risico op datalekken zonder de productiviteit van teams te belemmeren.
Cybersecurity binnen bedrijven draait niet om het opstapelen van verdedigingslagen. Het gaat erom kritieke afhankelijkheden in kaart te brengen, stille data-exfiltratie op te sporen en een governancebeleid te handhaven dat aansluit op de regelgeving die momenteel wordt ingevoerd. Organisaties die deze drie aspecten tegelijk aanpakken, verkleinen hun risico’s veel effectiever dan organisaties die zich uitsluitend richten op individueel gedrag.
