Security is geen IT feestje

De titel van dit blog kan op twee manieren begrepen worden. Enerzijds kun je denken dat IT zich voornamelijk richt op innovatie en technologie, waarbij beveiliging als een noodzakelijk kwaad wordt beschouwd, maar zeker niet als een feestje. Anderzijds kun je interpreteren dat IT slechts een facet is van de beveiliging binnen een organisatie, en dus niet het enige aspect ervan. Als je het laatste denkt, heb je gelijk. In dit blog zal ik bespreken waarom security niet alleen een zaak van de IT-afdeling is en waar je rekening mee moet houden.

Geschreven door: Thijs Bisseling

Goed om te weten: Trends en ontwikkelingen

Cybercriminaliteit is een groeiende uitdaging, met dagelijkse nieuwe aanvallen die onze veiligheid en privacy in gevaar brengen.

Enkele opkomende trends zijn AI (Voice Cloning), waarmee kwaadwillenden de stem van een persoon kunnen nabootsen om oplichting te plegen; Data (Multi channel phishing), waarbij cybercriminelen via diverse kanalen zoals e-mail en social media persoonlijke of financiële informatie stelen, en ransomware, waarbij Robotic Process Automation (RPA) technologie wordt misbruikt om ransomware te creëren en verspreiden, wat leidt tot versleuteling van bestanden of systemen en eisen van losgeld.

Deze ontwikkelingen tonen aan dat cybercriminaliteit steeds geavanceerder en schadelijker wordt, en benadrukken het belang van bewustzijn en bescherming tegen deze dreigingen.

Wat we zien: GAP tussen Security verantwoordelijken en Management (C-Level)

Binnen organisaties zie je dat er vaak een GAP is tussen de Security verantwoordelijken en het Management (C-Level). De Security verantwoordelijke is vaak primair verantwoordelijk om de kar te trekken op gebied van cyber security oplossingen. Management (C-Level) is direct verantwoordelijk voor de hele organisatie. De kloof tussen deze verantwoordelijkheden moet overbrugt worden.

Tijdens de Managed Security Summit van afgelopen september heb ik diverse aanbevelingen besproken om de kloof in cyber security te overbruggen. Zo heb ik benadrukt dat er gezamenlijk opgetreden moet worden en dat er prioriteit gegeven moet worden aan cyber security bij het nemen van zakelijke beslissingen. Het ondersteunen van leiderschap is cruciaal, evenals het werven en behouden van securitytalent. Het is belangrijk om te realiseren dat je dit niet altijd zelf kunt en dat het inschakelen van professionals noodzakelijk kan zijn om de nodige ondersteuning te bieden.

Hoe nu verder?

Samenwerking en communicatie

In de context van cyber security is effectieve communicatie en samenwerking cruciaal binnen een organisatie, aangezien de belangen verder reiken dan alleen de IT-afdeling. De potentiële schade van een cyberincident is aanzienlijk, en de NIS2-richtlijn vereist dat bestuurders in staat zijn om securitymaatregelen te treffen. Vaak is er bij het optreden van een cyberincident geen of weinig regie.

Het is van belang om te erkennen dat contract/vendor management niet exclusief een verantwoordelijkheid van IT is; het betreft ook de juridische afdeling, inkoop, finance, operationeel management en de CISO. Het is essentieel om de communicatie tussen deze verschillende afdelingen omtrent cyber security te stroomlijnen.

Het raadplegen van professionals voor ondersteuning is hierbij aan te bevelen. Overweeg ook het implementeren van een Cybersecurity Framework, het opstellen van een incidentresponsplan en het verhogen van de cyber security bewustwording onder medewerkers.

Implementeer een Cybersecurity Framework

Een Cybersecurity framework is opgebouwd uit vijf essentiële componenten en dient als een cruciaal hulpmiddel voor organisaties.

Identify & Protect:

• Identificeer: Inventariseer de risico’s en kwetsbaarheden in cyber security die je als organisatie kunt hebben. Het is van belang om te weten wat de belangrijkste assets zijn, welke bedreigingen bestaan, wat de impact van een cyberincident kan zijn en welke beschermingsmaatregelen noodzakelijk zijn.
• Bescherm: Voer de benodigde maatregelen uit om assets te beschermen tegen cyberaanvallen. Zorg voor adequate beveiliging van netwerk, systemen, apparaten en data en train medewerkers in cyber security regels en best practices.

Detect & Response:

• Detecteer: Houd systemen en netwerken in de gaten en analyseer deze om mogelijke cyberincidenten tijdig op te merken. Gebruik tools en technieken om verdachte activiteiten en inbreuken te identificeren en te melden.
• Reageer: Kom in actie bij een cyberincident. Het is essentieel om een responsplan te hebben om snel en effectief de schade te beperken, de oorzaak te vinden en de situatie te herstellen. Communiceer ook met alle betrokken partijen zoals klanten, leveranciers, autoriteiten en de media.

Recover:

• Na een cyberincident moet de normale bedrijfsvoering zo snel mogelijk hervat worden. Leer van het incident en voer verbeteringen door om de cyber security te versterken en toekomstige incidenten te voorkomen of te verminderen.

Door deze pijlers zorgvuldig toe te passen, kan een organisatie haar cyber security aanzienlijk versterken en zich effectief wapenen tegen cyberdreigingen.

Zorg dat je een incidentresponsplan hebt

Zorg er als organisatie voor dat je een incidentresponsplan hebt. Dit plan helpt je om bij geval van een cyberaanval gestructureerd te kunnen handelen. Het is wel belangrijk dat dit plan op een locatie wordt opgeslagen die niet geraakt kan worden door cybercriminelen. Denk hierbij aan een USB stick of het plan afdrukken en in een kluis bewaren.

Een incidentresponseplan is cruciaal, dit is waarom:

• Assume Breach: Ga er vanuit dat je organisatie vroeg of laat getroffen wordt door een cyberincident. Wees daarom altijd voorbereid.
• Tijd is cruciaal: Bij een cyberincident telt elke seconde. Snel en efficiënt handelen kan de schade aanzienlijk beperken.
• Risico gestuurde aanpak: Het is belangrijk om de risico’s centraal te stellen en een incidentresponsteam samen te stellen dat adequaat kan reageren op dreigingen.
• Identificeer Kritieke Processen en Assets: Specificeer welke processen en assets het meest cruciaal zijn voor de organisatie en zorg dat deze extra beschermd zijn.
• Schakel experts in: Het betrekken van cyber security professionals is essentieel om de organisatie te helpen zich voor te bereiden en te reageren op cyberincidenten.

Door een goed uitgewerkt incidentresponsplan te hebben, kan een organisatie de impact van een cyberincident minimaliseren en snel herstellen.

Vergroot bewustzijn van de medewerkers

Medewerkers vormen vaak de meest kwetsbare schakel binnen een organisatie, een feit waar cybercriminelen graag misbruik van maken. Het is daarom cruciaal om het bewustzijn van medewerkers omtrent cyber security te verhogen, zodat zij als een soort persoonlijke firewall kunnen fungeren.

Baseline testen:

Wij bieden baseline-testen aan om het niveau van phishing-gevoeligheid onder jouw medewerkers te evalueren. Dit doen we door middel van gesimuleerde phishing-, vishing- of smishing-aanvallen.

Train jouw medewerkers:

Maak gebruik van ’s werelds meest uitgebreide bibliotheek met materiaal over beveiligingsbewustzijn, waaronder interactieve modules, video’s, games, posters en nieuwsbrieven. Onze geautomatiseerde trainingscampagnes zijn voorzien van geplande herinneringsmails.

Voer gesimuleerde aanvallen uit:

Wij bieden best-in-class, volautomatische gesimuleerde phishing-, vishing- en smishing-aanvallen met honderden sjablonen en onbeperkt gebruik, inclusief community phishing-sjablonen.

Analyseer de resultaten:

Ontvang rapportages op bedrijfsniveau, met zowel high-level als gedetailleerde statistieken en grafieken, klaar voor presentatie aan het management. Voor elke medewerker is er zelfs een persoonlijke tijdlijn beschikbaar.

Door deze stappen te volgen, kun je de cyber security binnen jouw organisatie aanzienlijk versterken en je medewerkers transformeren tot een effectieve verdedigingslinie tegen cyberaanvallen.

Conclusie

In dit blog is benadrukt dat cyber security niet enkel een zaak van IT is. Cyber security is een organisatie brede verantwoordelijkheid, waarbij technologie, mensen en processen geïntegreerd moeten worden aangepakt. Gezien de opkomst van geavanceerde cyberdreigingen is het van cruciaal belang om een gefundeerde beveiligingsstrategie te hebben. Ook de kloof tussen security professionals en management moet overbrugt worden.

Verder is het van essentieel belang om een goed Cybersecurity framework en incidentresponsplan te implementeren. Het vergroten van het beveiligingsbewustzijn bij medewerkers is eveneens essentieel, aangezien zij vaak het eerste doelwit zijn van cyberaanvallen. Een proactieve, geïntegreerde benadering van cyber security is in dit huidige digitale tijdperk onmisbaar.

Met ons in gesprek over dit onderwerp? Neem dan contact met ons op of ga naar deze pagina om de slides van de Managed Security Summit op te vragen.