Het Nederlandse bedrijfsleven is onvoldoende voorbereid op hackers. Ruim een derde van de bedrijven in ons land heeft geen wachtwoordbeleid. Ongeveer de helft heeft geen multifactorauthenticatie ingeschakeld. En ruim de helft van de bedrijven verzorgt geen training over onderwerpen als spam of phishing voor zijn werknemers.
Dat zijn enkele resultaten uit het rapport ‘Incident Response voor preventie’ (pdf), dat is uitgevoerd door PanelWizard in opdracht van Kaspersky. Onderzoekers ondervraagden in totaal 311 besluitvormers in de Nederlandse IT-sector over incident response en cybersecurity.
‘Beveiliging is niet langer een optie’
“In deze hyperverbonden wereld is de beveiliging van je bedrijf geen optie meer. Terwijl de technologie evolueert, evolueren ook de tactieken van cybercriminelen, die continu slimmer worden en afhankelijker worden van nieuwe technologieën”, zo stelt Tim de Groot, Territory Manager Benelux en Nordics bij Kaspersky. Het onderzoek legt volgens hem ‘een sobere realiteit’ bloot: een aanzienlijk deel van de bedrijven in Nederland is slecht voorbereid om zich te beschermen tegen de nieuwste digitale dreigingen.
Zo neemt een groot aantal bedrijven geen of onvoldoende standaard beveiligingsmaatregelen. Eén op de drie ondernemers (35 procent) hanteert geen wachtwoordbeleid, of houdt daar geen toezicht op, waardoor ze kwetsbaar zijn voor cyberaanvallen. Driekwart van de bedrijven (72 procent) maakt regelmatig back-ups, maar slechts een kwart van hen (26 procent) voert aanvalssimulaties uit. Een nog kleiner deel (17 procent) heeft een zero-trustbeleid.
Niet-getrainde werknemers brengen risico’s met zich mee
Veel bedrijven zijn ook niet voorbereid om risico’s van hackers te beperken. De helft van de ondervraagden (45 procent) zegt ervan overtuigd te zijn dat ze een cyberaanval binnen zestig minuten kunnen ontdekken. Maar 41 procent van de respondenten maakt geen gebruik van anti-phishingsoftware. Ze stellen zich zodoende onnodig bloot aan social engineering-aanvallen.
Tevens ontstaat er onnodig veel risico doordat de helft van de bedrijven zijn medewerkers niet traint om spam of phishing te herkennen. Bovendien zijn werkgevers geneigd de nadruk te leggen op straffen als er zich een beveiligingsincident voordoet. ““Als er consequenties zijn voor werknemers, is de kans groot dat ze incidenten onderschatten of verbergen. Wel is het van belang dat verantwoordelijke partijen op tijd worden geïnformeerd over wangedrag of fouten, zodat de schade tot een minimum kan worden beperkt door efficiënt op de aanval te reageren”, zegt Kai Schuricht, Lead Incident Response Specialist bij Kaspersky.
In het onderzoek komt tevens naar voren dat 43 procent van de Nederlandse bedrijven richtlijnen heeft opgesteld om beveiligingsincidenten te documenteren. En slechts 38 procent gebruikt tools om deze incidenten te analyseren. Minder dan 3 procent van de ondervraagden vindt het opstellen van een incident responseplan een verspilling van tijd en geld. Toch heeft slechts 29 procent van de bedrijven zo’n plan klaarliggen. Het gros van de Nederlandse bedrijven heeft geen verzekering afgesloten die financiële schade bij een cyberaanval vergoedt: slechts één op de zes bedrijven (16 procent) heeft er een.
Kaspersky adviseert bedrijven een incident responseplan te maken
“Het is lastig te geloven dat er nog steeds bedrijven zijn die niet regelmatig back-ups van hun data maken. Voeg daaraan de combinatie van onveilige wachtwoorden en niet-getrainde medewerkers toe en ransomware kan een bedrijf snel naar de limieten van zijn economische weerbaarheid brengen. Het risico op een succesvolle aanval is in deze gevallen erg hoog”, aldus Schuricht.
De beste manier om de impact van een cyberaanval te beperken, is volgens Kaspersky door een incident responseplan op te stellen. Daarin staat enerzijds wat er gedaan moet worden om de ontstane schade te beperken, en anderzijds hoe men de bedrijfscontinuïteit moet waarborgen. Het draait om een aanval waarnemen (detectie), de gevolgen van een aanval indammen (beperking), het uitschakelen van de aanvallers (eliminatie), de ontstane schade repareren (herstel) en kijken wat je van het voorval hebt geleerd (analyse).
