Bedrijven en organisaties in de vitale sector hebben steeds meer oog voor cybersecurity. Maar de cyberhygiëne is in praktijk nog niet op orde. Hackers en cybercriminelen maken misbruik van kwetsbaarheden die door het toepassen van een aantal basismaatregelen eenvoudig voorkomen hadden kunnen worden.
Dat schrijft de Rijksinspectie Digitale Infrastructuur (RDI), voorheen beter bekend als Agentschap Telecom, in het rapport ‘Samenhangend Inspectiebeeld cybersecurity vitale processen 2023’. Naast de Rijksinspectie schreven de Autoriteit Nucleaire Veiligheid en Stralingsbescherming (ANVS), Autoriteit Persoonsgegevens (AP), De Nederlandsche Bank (DNB), Inspectie Gezondheidszorg en Jeugd (IGJ), Inspectie Justitie en Veiligheid (IJenV) en Inspectie Leefomgeving en Transport (ILT) eveneens mee aan het rapport.
Cybersecurity hoger op de agenda van bestuurlijke top
De toezichthouders constateerden dat bedrijven en organisaties die actief zijn in de vitale infrastructuur in 2022 meer aandacht besteedden aan risicomanagement. Door de toegenomen aandacht kregen verbetertrajecten een stimulans. Op bestuursniveau ontstond er meer betrokkenheid bij dit onderwerp. Daardoor was er meer aandacht voor complexere digitale dreigingen in de leveranciersketen.
Cybersecurity staat steeds hoger op de agenda en vitale aanbieders doen steeds beter hun best om hun digitale weerbaarheid te vergroten, zowel zichtbaar als onzichtbaar. Ook laten steeds meer instanties in de vitale infrastructuur zich certificeren. Dat is volgens de RDI een goede zaak: “Door snelle digitale en maatschappelijke ontwikkelingen is wat vandaag veilig is, morgen onvoldoende”, zo stelt de Rijksinspectie.
Aandachtspunten voor betere cyberhygiëne
Tegelijkertijd zien de toezichthouders dat er ruimte voor verbetering is. Door meer aandacht te besteden aan cyberhygiëne, kunnen ze hun risicomanagementproces naar een hoger niveau tillen. In praktijk betekent dit dat bedrijven en organisaties hun cyberweerbaarheid kunnen vergroten door een aantal basismaatregelen te implementeren.
De toezichthouders noemen drie aandachtspunten voor vitale aanbieders. Allereerst doen ze er goed aan om de effectiviteit van het Information Security Management System (ISMS) door een onafhankelijke partij te laten beoordelen. Een ISMS is een managementsysteem voor de beveiliging van informatie en vormt de basis voor cybersecurity.
Een tweede aandachtspunt om de cyberhygiëne te verbeteren is het verder ontwikkelen en implementeren van beveiligingstesten. Door bijvoorbeeld oefeningen met een cyberaanval of penetratietesten te organiseren, worden kwetsbaarheden en zwakke plekken in de digitale weerbaarheid in kaart gebracht.
Derde en laatste aandachtspunt is het zorgdragen voor risicobeheersing binnen het ISMS voor het complete ecosysteem. Steeds meer producten en diensten komen tot stand in coöperatief verband, afhankelijk van de rol, kennis en expertise van verschillende partijen. “Een adequaat functionerend ISMS houdt rekening met deze ontwikkeling rondom digitale ecosystemen om het risicomanagementproces optimaal te ondersteunen”, aldus de toezichthouders.
NCTV: digitale verbondenheid brengt risico’s met zich mee
De boodschap van de RDI en andere toezichthouders komt overeen met het Cybersecuritybeeld Nederland 2023, dat de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) eerder deze week presenteerde. Daarin beschreef de NCTV dat de onderlinge digitale verbondenheid van bedrijven en organisaties grote gevolgen heeft, zowel voor het bedrijfsleven als de samenleving in geheel.
Hacking tools zijn steeds professioneler, gebruiksvriendelijker en breed verkrijgbaar. Cybercriminelen en internetoplichters met beperkte technische kennis zijn daardoor beter in staat om zelf cyberaanvallen uit te voeren en slachtoffers te maken. Afpersing is hierdoor een steeds aantrekkelijker verdienmodel geworden voor criminelen.
Naleven cyberhygiëne voorkomt veel ellende
Theo van der Plas, programmadirecteur Digitalisering en Cybercrime bij de politie, stelde dat ransomware de grootste dreiging voor onze digitale veiligheid is. “Organisaties kunnen gebruikt worden als springplank om anderen in de keten aan te vallen. We hebben hierin als overheid en bedrijfsleven een gezamenlijke verantwoordelijkheid”, zo zei hij.
Van der Plas adviseerde om de basis van cyberhygiëne te handhaven. Het hanteren van een deugdelijk wachtwoordbeleid, het regelmatig uitvoeren van updates, de implementatie van tweestapsverificatie, het maken van back-ups en het bewustmaken en trainen van medewerkers voor cyberaanvallen noemde hij als voorbeeld.
