Bedrijven haasten zich om de nieuwste digitale hulpmiddelen te gebruiken om concurrerend te blijven. Dat is de voor de hand liggende kant van de medaille. De andere kant is donkerder. Uw infrastructuur wordt belegerd. Niet door onhandige amateurs, maar door professionele, geavanceerde dreigingsactoren die uw gegevens als een waardevol doelwit behandelen.
Dit is niet alleen een IT-probleem. Het is een kwestie van overleven voor het bedrijfsleven.
Als u zoekt naar hoe u de cyberbeveiliging van ondernemingen kunt versterken, dan bent u op de juiste plek aan het juiste adres. De technologie die je koopt om groei te stimuleren is dezelfde technologie die aanvallers gebruiken om in te breken. Dit creëert een paradox. Je kunt de digitale race niet winnen zonder de beveiligingsmarathon te lopen.
Зміст
De kosten van digitale belichting
Laten we duidelijk zijn over wat er gebeurt. Bedrijven zetten cloudservices, tools voor externe toegang en AI-gestuurde analyses in om sneller te kunnen werken. Ze willen behendigheid. Ze willen schaalbaarheid. Maar elke nieuwe digitale deur die je opent, is een potentieel venster voor een indringer.
De aanvallen zijn geëvolueerd. Het gaat niet langer alleen om het stelen van creditcardnummers. Het gaat om verlammende operaties. Ze gaan over het gijzelen van ransomware in uw kerndatabase. Ze gaan over spionage waarbij intellectueel eigendom wordt gestolen voordat je zelfs maar een product verzendt.
Cybersecurity is niet langer een ‘nice-to-have’-afdeling. Het is de basis van digitaal vertrouwen. Als uw klanten u hun gegevens niet vertrouwen, is uw merk waardeloos. Als uw servers uitvallen, stoppen uw inkomsten.
Waarom traditionele verdedigingsmechanismen falen
De ouderwetse beveiliging was gebaseerd op perimeters. U hebt een muur rond uw kantoornetwerk gebouwd. Jij hield de slechteriken buiten. Die muur is verdwenen.
Door werken op afstand, cloud computing en IoT-apparaten is de perimeter verdwenen. Uw medewerkers loggen in vanuit cafés in Berlijn, thuiskantoren in Ohio en laptops in Tokio. Uw gegevens bevinden zich op servers op meerdere continenten. Het aanvalsoppervlak is enorm.
Dus, wat werkt nu?
“Cyberbeveiliging is de centrale factor om de digitale infrastructuur en gegevens te beschermen.”
Het begint met een mentaliteitsverandering. U moet ervan uitgaan dat de inbreuk al heeft plaatsgevonden. Of gebeurt. Je moet het snel detecteren. Houd het sneller vast. Herstel voordat de schade fataal wordt.
Het menselijke element in de keten
Technologie is slechts de helft van het verhaal. De andere helft zijn mensen.
Medewerkers zijn vaak de zwakste schakel. Een enkele klik op een phishing-e-mail kan miljoenen dollars aan firewalls omzeilen. Opleiding is essentieel, maar niet voldoende. U hebt systemen nodig die gedrag monitoren, afwijkingen signaleren en reacties automatiseren.
Multi-factor authenticatie (MFA) is bijvoorbeeld niet langer optioneel. Het blokkeert de overgrote meerderheid van geautomatiseerde aanvallen. Maar het moet correct worden geïmplementeerd. Als het te omslachtig is, zullen gebruikers oplossingen vinden. Als het te gemakkelijk is om het te omzeilen, zullen aanvallers er doorheen glippen.
Een veerkrachtige strategie opbouwen
Dus, welke aanpak moet je volgen?
- Zero Trust Architecture : Vertrouw nooit, maar verifieer altijd. Elk verzoek om toegang wordt behandeld alsof het afkomstig is van een niet-vertrouwd netwerk.
- Continu toezicht : gebruik AI om verkeerspatronen te analyseren. Ontdek afwijkingen voordat ze rampen worden.
- Regelmatige audits : test uw verdediging. Hack ze zelf voordat ze dat doen.
Dit is geen eenmalig project. Het is een continu proces. Bedreigingen veranderen. Technologie verandert. Je strategie moet
De realiteit van cyberdreigingen in de Duitse industrie
Het landschap wordt er niet veiliger op. Het wordt sneller. Bedrijven zijn niet langer slechts nevenschade; zij zijn de primaire doelwitten. De doelstellingen variëren – gegevensdiefstal, industriële spionage, sabotage of gewone afpersing – maar het prijskaartje loopt altijd in de miljarden. En als het geld verdwijnt, is het meestal de IT-afdeling die de tas in handen heeft.
Wie wordt het hardst getroffen?
Het is geen uniform speelveld. De Duitse ondernemersvereniging Bitkom wijst op grote verschillen afhankelijk van waar uw fabrieksvloer zich bevindt. Jarenlang waren de chemische en farmaceutische sectoren het grote spel. Ongeveer 74 procent van de bedrijven in deze sectoren kreeg te maken met bevestigde aanvallen. Ze staan niet alleen in het vizier. Autofabrikanten zitten op 68 procent. Als je in de machine- en fabrieksbouw werkt, stijgt dat aantal naar 67 procent. Fabrikanten van communicatie- en elektrische apparatuur? 63 procent.
Maar hier is de nuance die de meeste persberichten missen. Dit zijn bevestigde aanvallen. In elke onderzochte sector is er nog eens 18 tot 22 procent van de gevallen die alleen maar verdacht zijn. De grens tussen ‘misschien’ en ‘zeker’ is vaag.
De digitaliseringsparadox
Je zou kunnen aannemen dat door volledig digitaal te gaan, je een groter doelwit wordt. Uit het Bitkom-onderzoek blijkt dat het tegenovergestelde vaak waar is. Bedrijven met een laag digitaliseringsniveau werden vaker getroffen (71 procent) dan hun sterk gedigitaliseerde tegenhangers (64 procent).
Waarom? Omdat de dreiging zichtbaar is. Wanneer digitalisering een kernonderdeel wordt van de strategie van een bedrijf, verandert beveiliging van een bijzaak in een prioriteit in de bestuurskamer. Sterk gedigitaliseerde bedrijven worden gedwongen om hiaten eerder te dichten. Ze zien het probleem, dus lossen ze het op. Laag-digitale bedrijven? Ze realiseren zich vaak niet dat ze worden blootgesteld totdat de schade is aangericht.
De BSI-waarschuwing: ga niet op uw gemak zitten
Er is hier geen goed nieuws. Het Bundesamt für Sicherheit in der Informationstechnik (BSI) houdt het dreigingsniveau op ‘gespannen’ (angespannt). Dit is niet alleen een lokale Duitse kwestie; het is mondiaal. De dynamiek is het probleem. Aanvallers zitten niet stil. Ze verfijnen hun methoden en passen zich sneller aan dan de meeste IT-cycli van bedrijven kunnen volgen.
Hierdoor ontstaat er een fundamentele mismatch. Bedrijven moeten adequate reacties ontwikkelen op een bewegend doelwit. Het gereedschap wisselt wekelijks. De tactiek evolueert dagelijks.
De kwaliteit van de dreiging
Het volume van het geluid neemt af, maar het signaal wordt dodelijker. Het enorme aantal spam-e-mails neemt af. Goed voor je inbox misschien. Maar het leidt af van het echte risico.
Zakelijke communicatiekanalen blijven zeer kwetsbaar. Productiviteitszones zijn zichtbaar. Waarom? Vanwege het Internet of Things (IoT). We hebben printers met servers verbonden, HVAC-systemen met kantoornetwerken en assemblagelijnrobots met de cloud. Deze diepe connectiviteit creëert een uitgestrekt aanvalsoppervlak.
De aanvallen zijn niet alleen maar spam meer. Ze zijn nauwkeurig. Zij exploiteren juist de verbindingen die de moderne industrie efficiënt maken. Het gevaar is niet geweken. Het is alleen maar geavanceerder geworden en aanzienlijk moeilijker te detecteren met ouderwetse filters.
“Het aantal spam-e-mails neemt af, maar het risico voor kantoorcommunicatie en productiviteit blijft hoog vanwege de uitgebreide IoT-netwerken.”
Dus, wat doe je als de aanvallers elke dag slimmer worden? Je kunt ze niet overschrijden. Je kunt niet elke nieuwe exploit te slim af zijn. Je kunt alleen maar hopen dat je interne verdediging net zo snel beweegt als de bedreigingen. Omdat op dit moment de balans doorslaat naar de indringers.
Het dreigingslandschap is veranderd. Ransomware is niet langer alleen een zakelijk probleem. Het is een gericht wapen dat tegen iedereen wordt gebruikt, van overheidsinstanties tot particulieren. De gevolgen zijn ernstig. Volledige apparaatstoringen. Netwerk stort in. Hele productielijnen worden stilgelegd.
Botnets evolueren ook. Ze infiltreren steeds vaker mobiele apparaten en IoT-systemen. Het BSI (Federal Office for Information Security) markeert cloudgebaseerde infrastructuren als een belangrijk groeiend aanvalsoppervlak. Phishing blijft de voornaamste vector. Een onderzoek van PwC bevestigt dit, waaruit blijkt dat phishing verantwoordelijk is voor ongeveer 75% van de aanvallen op bedrijven, vaak gebundeld met andere malware.
Maar er is een eenvoudiger oorzaak. Individueel gebruikersgedrag. Dit creëert gemakkelijke toegangspunten voor criminelen.
Interne beveiligingsfouten en licentierisico’s
Sommige bedrijven proberen dit op te lossen met externe diensten. Deze bedrijven voeren gerichte phishing-campagnes tegen werknemers. Het doel? Om te testen of het personeel de beveiligingsprotocollen volgt. Het is ook een gevoeligheidstraining.
Het is niet zonder risico. Deze tactieken kunnen het vertrouwen tussen management en personeel schaden. Erger nog, ze zouden volledig kunnen mislukken. Er vindt geen verandering in het beveiligingsgedrag plaats.
Experts van het Karlsruhe Institute of Technology (KIT) suggereren een ander pad. Investeer in onderwijs. Investeer in technische upgrades.
Waarom? Omdat slechte softwarelicenties gaten veroorzaken. Software zonder licentie of onjuist gelicentieerde software leidt tot geen ondersteuning. Beperkte functionaliteit. Mogelijke boetes. En onnodige systeemkwetsbaarheden. Dit geldt specifiek voor OEM-licenties. Dit zijn programma’s die vooraf op apparaten zijn geïnstalleerd op het moment van fabricage. Ontbrekende of valse OEM-licenties zorgen ervoor dat systemen blootstaan. Het repareren van de tech-stack is veiliger dan het testen van de menselijke psychologie met nepaanvallen.
De verborgen prijs van niet-officiële software
Officiële partnerschappen met grote leveranciers als Microsoft doen meer dan alleen een licentie op een doos stempelen. Ze vormen de belangrijkste verdediging tegen dure beveiligingsfouten. Voor bedrijven die Microsoft-programma’s gebruiken, bieden partners als Thomas Krenn iets heel anders: maatwerk. Als gecertificeerde samenwerkingspartner stemmen zij software af op specifieke serverstructuren met maximale compatibiliteit. Je koopt niet zomaar een product. U bouwt een basis voor efficiëntie en veiligheid die catastrofale schade op de lange termijn voorkomt. Zonder die officiële steun laat je de achterdeur openstaan.
Waarom cyberaanvallen geld kosten
De schade als gevolg van een inbreuk is niet alleen een IT-ticket. Het stroomt. Operaties stopgezet. De reputatie krijgt een klap. Intellectueel eigendom loopt de deur uit. Toekomstige transacties verliezen waarde. Toezichthouders gooien boetes op tafel. Dit zijn slechts de zichtbare scheuren in de gevel. De echte pijn is vaak structureel. Het beïnvloedt hoe gemakkelijk u in de toekomst partners kunt vertrouwen. Het maakt het afsluiten van een cyberverzekering bijna onmogelijk als uw beveiligingspositie al algemeen bekend is.
De financiële tol voor Duitse industriële bedrijven tussen 2016 en 2018 was enorm. Bitkom schat het aantal op grofweg 43,4 miljard euro. Dat is geen typfout. Het zijn de kosten van zakendoen zonder de juiste digitale hygiëne.
Het wetsvoorstel opsplitsen
Reputatieschade is het duurste regelitem. Berichten in de media en het geschonden vertrouwen van klanten kosten bedrijven in die periode van drie jaar 8,8 miljard euro. Het schaadt de relaties met leveranciers net zo erg als die met klanten.
Patentschendingen volgden op de voet met 8,5 miljard euro. Dit zijn niet alleen juridische wetsvoorstellen. Ze vertegenwoordigen verloren concurrentievoordelen.
Systeemstoringen, diefstal en sabotage van informatie- en productiesystemen zorgden voor 6,7 miljard euro aan schade. Wanneer uw productielijnen stilvallen, verliest u niet alleen tijd. Je verliest momentum.
Onderzoek en saneringsinspanningen voegden daar nog eens 5,7 miljard euro aan toe. Je betaalt consultants om uit te zoeken wat er mis is gegaan en ingenieurs om het te repareren. Ondertussen daalt de omzet omdat je je voorsprong op de concurrentie bent kwijtgeraakt (4 miljard euro) of omdat nepversies van je product de markt overspoelden (3,7 miljard euro). Juridische strijd over deze kwesties kostte nog eens 3,7 miljard euro.
“Ransomware en handmatig hacken veroorzaken de meeste financiële schade vergeleken met andere aanvalsvectoren.”
De analyse van PwC in datzelfde onderzoek heeft het verder uitgesplitst. Ze keken naar de impact van verschillende aanvalstypes op het bedrijfsresultaat. De conclusie was grimmig. Ransomware en handmatig hacken veroorzaken de hoogste kosten. Ze zijn doelgericht. Ze zijn duur. Ze zijn te vermijden met de juiste licenties en partnerondersteuning.
De realiteit van digitale spionage
Deze onderzoeken laten één ding duidelijk zien. Bedrijven moeten zich voorbereiden op een grote verscheidenheid aan methoden en verstrekkende gevolgen. Het dreigingslandschap is niet statisch. Het evolueert. Een one-size-fits-all beveiligingspatch volstaat niet. U heeft oplossingen nodig die integreren met uw bestaande infrastructuur zonder deze te verbreken. Officiële partnerschappen zorgen voor die brug. Ze zorgen ervoor dat uw software niet zomaar wordt geïnstalleerd. Het is geoptimaliseerd.
De kosten van nietsdoen zijn niet langer hypothetisch. Het wordt gemeten in miljarden. En voor veel bedrijven tikt de klok al.
Bedrijven weten dat cybercriminaliteit steeds erger wordt. De kosten zijn hoog. De risico’s zijn reëel. Veiligheid staat dus bovenaan de agenda. Het beschermen van infrastructuur en data is niet onderhandelbaar. Maar als het erop aankomt het gevaar daadwerkelijk in te schatten, zijn de meeste bedrijven gevaarlijk optimistisch.
De illusie van veiligheid in risicoperceptie
Er is een kloof tussen bewustzijn en daadwerkelijke risicobeoordeling. Duitse CEO’s en medewerkers zijn het erover eens: zij weten dat er risico’s bestaan. Maar vraag hen hoe waarschijnlijk een aanval is? Opeens voelen ze zich veilig.
Kijk naar de cijfers uit een onderzoek van PwC. Slechts 31,5% van de bedrijven verwacht ongerichte aanvallen die schade veroorzaken. De meerderheid acht dit onwaarschijnlijk. 49,9% beoordeelt het risico als laag. Nog eens 19,1% zegt dat het erg laag is.
Bij gerichte aanvallen wordt het nog erger. 93% van de bedrijven ziet een lage of zeer lage dreiging in de komende twaalf maanden.
Dit is waanvoorstellingen. De gegevens laten iets anders zien. Zelfs met variaties in de sector is het dreigingslandschap ernstig. De meeste bedrijven missen een echt certificaat van volwassenheid op het gebied van defensie.
Overmoed in de responsmogelijkheden op incidenten
Slechts een klein deel van de bedrijven gelooft dat ze er echt klaar voor zijn. Wanneer hen wordt gevraagd hun eigen detectie-, preventie- en reactievaardigheden als ‘zeer goed’ te beoordelen, ligt het gemiddelde op slechts 13%.
Ze denken dat ze experts zijn. Dat zijn ze niet.
In de kloof tussen zelfperceptie en realiteit schuilt de kwetsbaarheid. Bedrijven vertrouwen op oude normen. Firewalls. Antivirus. Gesloten netwerken. Deze helpen bij preventie. Maar ze falen bij detectie.
Detectie is de zwakke schakel
Experts zien wat bedrijven negeren. Preventie is standaard. Detectie is dat niet.
Het vinden van een aanval is van cruciaal belang. Het Bundesamt für Sicherheit in der Informationstechnik (BSI) laat zien dat aanvallen overal vandaan komen. Het volume neemt niet af. Het stijgt.
Netwerkomgevingen vergroten het aanvalsoppervlak. Clouddiensten voegen meer toegangspunten toe. Hoe meer je verbinding maakt, hoe moeilijker het is om te zien wat er gebeurt.
“De kans op een succesvolle aanval neemt toe omdat het aanvalsoppervlak bij elke nieuwe verbinding groeit.”
Waarom missen bedrijven dit? Omdat ze zich richten op het blokkeren van bekende bedreigingen. Ze vergeten dat aanvallers van tactiek veranderen. Ze exploiteren de kloof tussen de instrumenten.
Een bedrijf kan een firewall hebben. Het kan poortscans blokkeren. Maar detecteert het laterale bewegingen binnen het netwerk? Merkt het data-exfiltratie op in versleuteld verkeer?
De meesten niet. Ze gaan ervan uit dat hun perimeter veilig is. Dat is het niet. De omtrek is verdwenen. De wolk is de nieuwe perimeter. En de meeste bedrijven kijken nog steeds naar de poort, niet naar de lucht.
Dit creëert een vals gevoel van veiligheid. Een gevaarlijke.
Het volgende deel van het verhaal gaat niet over betere software. Het gaat erom wie er aan het bureau zit.
Vroege detectie doet meer dan alleen waarschuwingen activeren. Het beperkt de schade direct. Vang een dreiging voordat deze zich verspreidt, en de gevolgen worden kleiner. Maar er is een zachtere maatstaf in het spel. Het vertrouwen van de klant. Vertrouwen van zakenpartners. Dit zijn kwetsbare activa. Ze eroderen snel als er inbreuken plaatsvinden. Ze staan nu centraal in de veiligheidscalculus.
De begrotingsverschuiving richting defensie
Bedrijven worden hiervan wakker. De kosten van professionele cyberaanvallen stijgen. Dat geldt ook voor de behoefte aan vertrouwen. Als gevolg daarvan stijgen de mondiale investeringen in digitale bescherming.
Uit het onderzoek van PwC blijkt de omvang van de verandering. Ruim tweederde van de bedrijven besteedt nu minstens 5 procent van hun IT-budgetten aan beveiligingsmaatregelen. Dat is geen afrondingsfout. Het is een strategische spil. Een derde van deze bedrijven is van plan 10 procent of meer uit te geven.
Waarom deze plotselinge piek in de uitgaven?
Het is een reactie op kwalitatieve eisen. IT-beveiliging vereist tegenwoordig gespecialiseerde vaardigheden. Het vereist diepgang. De meeste bedrijven geven toe dat ze niet goed voorbereid waren. De kloof tussen de huidige capaciteiten en de noodzakelijke normen was te groot.
Dit besef leidt tot een tweeledige aanpak.
- Personeelsveranderingen. Bedrijven zijn herstructureringsteams. Ze hebben behendigheid nodig. Een statische beveiligingshouding kan een dynamisch dreigingslandschap niet aan.
- Integratie door derden. Bedrijven kopen expertise. Gespecialiseerde partners verzorgen de dreigingsanalyse. Het vult capaciteitstekorten op. Het brengt perspectief van buitenaf.
Technologie: de over het hoofd geziene hefboom
In veel strategieën zit een blinde vlek.
Technologische transformatie wordt vaak onderschat. De meeste bedrijven kennen het een ondergeschikte rol toe. Zij richten zich op inhuur en outsourcing. Ze verwaarlozen de gereedschappen zelf.
Twee uitzonderingen vallen op.
Automatisering.
Kunstmatige intelligentie.
Deze zijn gemarkeerd als urgent. Het zijn de dringlichsten (meest dringende) maatregelen. Waarom? Omdat handmatige monitoring niet kan worden geschaald. AI en automatisering bieden de snelheid die nodig is om geautomatiseerde aanvallen te pareren. Ze verminderen menselijke fouten. Ze verwerken gegevens op een volume dat geen enkel team kan evenaren.
Het eindresultaat
De trend is duidelijk.
Bedrijven beschouwen beveiliging niet langer als een IT-bijzaak. Het is een kernbedrijfsfunctie. Er worden strategische verbeteringen doorgevoerd. De oude modellen falen. De nieuwe zijn duur. Maar ze zijn noodzakelijk.
De vraag is niet of er moet worden betaald. Het gaat erom of de belegging aansluit bij het risico. De meeste bedrijven zeggen eindelijk ja. De rest laat zich raden.
Wie is eigenaar van het risico?
Digitale transformatie gaat niet alleen over klantgerichte technologie. De druk is ook intern. IT-infrastructuren raken verstrikt. Datavolumes exploderen. En beveiligingseisen die de gewone oplossingen overstijgen.
De echte vraag gaat zelden over capaciteiten. Het gaat over eigenaarschap. Wie handhaaft deze maatregelen eigenlijk? Wie controleert ze? Wie beslist wat het volgende is?
De bedrijfsgrootte is hier van belang. Grotere bedrijven hebben het budget voor toegewijd beveiligingspersoneel. Kleinere? Niet zo veel. Het onderzoek van de Bundesdruckerei benadrukt deze kloof. In grote ondernemingen is IT-beveiliging een functieomschrijving. In kleinere winkels is het vaak een bijzaak of een gedeelde last.
Meestal zit de Chief Information Officer (CIO) in het centrum. Soms is het een toegewijd hoofd IT-beveiliging. Informatiebeveiligingsfunctionarissen spelen ook een sleutelrol. Bedrijven die geen enkele focus hebben op IT-beveiligingsproblemen worden een statistische anomalie. Nauwelijks een fractie.
De besluitvorming vindt plaats in de C-suite. Het leiderschap begrijpt de inzet. Ze doen het werk echter niet. De implementatie ligt bij de IT-afdelingen. Of externe leveranciers. Of die specifieke veiligheidsagenten.
Snelheid is afhankelijk van hiërarchie. Meer besluitvormers betekent langzamere processen. De bureaucratie sleept. Platte structuren in kleinere bedrijven bewegen sneller. Minder administratieve rompslomp. Snellere actie.
De drie pijlers: technologie, organisatie, mensen
Beveiliging is niet één ding. Het is drie. Technologie. Organisatie. Personeel. Alle drie moeten samenwerken voor een veerkrachtige omgeving.
Bedrijven beoordelen hun behoeften op deze gebieden verschillend.
- Technologie: 42% ziet grote hiaten. Systemen hebben upgrades nodig. Legacy-code is een verplichting.
- Organisatie: 39% voelt de druk. Processen zijn verouderd. Het beleid is flinterdun.
- Personeel: Veel minder zorgen. Maar dat is misleidend.
Het Cyber Security Report 2019 van Deloitte legt de discrepantie uit. Bedrijven besteden beveiligingsdiensten uit. Ze kopen expertise in plaats van deze in eigen beheer op te bouwen. Zij bieden trainingen aan voor bestaand personeel. Waarom? Omdat het lastig is om gekwalificeerd cybersecuritytalent aan te nemen. Het aanbod voldoet niet aan de vraag.
Deze afhankelijkheid van externe leveranciers creëert een verborgen afhankelijkheid. De interne kennis blijft dun. Vaardigheden worden niet verdiept. De organisatie blijft kwetsbaar als leveranciers falen of de verbinding verbreken.
Trainen helpt, maar het is een verband. Het vervangt geen diepgaande, gespecialiseerde expertise. Bedrijven repareren het gat in plaats van de muur te herbouwen.
Leidt deze kortetermijnoplossing tot risico’s op de lange termijn? Misschien. Als de verkoper vertrekt, wie heeft dan de sleutels?
De organisatorische kloof in IT-beveiliging
De meeste bedrijven beschouwen advies van derden als gewoon een vakje dat moet worden aangevinkt. Het is standaardpraktijk. Maar kijk eens beter naar de basis. Toegangscontroles. Regels voor het omgaan met gevoelige gegevens. Deze vormen in veel bedrijven de skeletstructuur van de IT-beveiliging. Toch is het skelet broos.
Neem certificeringen. ISO27001? Regelmatige audits? Slechts een fractie van de bedrijven probeert ze zelfs. Het rapport van de Bundesdruckerei schat dit aantal op minder dan de helft. De meeste bedrijven blijven in het ondiepe gedeelte. Ze houden zich aan de basis. Ze vermijden het zware werk van de organisatie. Waarom? Misschien kosten. Misschien complexiteit. Maar het is ook onnodig. Een betere beveiliging is mogelijk. Het vergt gewoon inspanning.
Wat doen bedrijven eigenlijk?
Het Bitkom-onderzoek vertelt hetzelfde verhaal. Toegangsrechten zijn nu tafelinzetten. Gevoelige informatie classificeren? Dat is ook standaard. Maar als je verder gaat dan de basis, zakt de steun ineen. Minder dan de helft van de bedrijven heeft een Information Security Management System (ISMS) geïnstalleerd of in de maak. Gepland of anderszins, het blijft achter.
Grootte is hier belangrijk. Vooral kleine bedrijven met minder dan 500 werknemers zijn kwetsbaar. Vaak ontbreekt het hen aan een concreet noodbeheersplan. Geen draaiboek voor wanneer een cyberaanval toeslaat. Grote industriële spelers zijn koploper. Twee derde van hen heeft een schriftelijke catalogus met maatregelen voor precies dat scenario. Ze hebben het plan. De rest is aan het raden.
De technologiestapel: basis versus diepgang
Het technologielandschap weerspiegelt de zwakte van de organisatie. Sommige items zijn nu niet-onderhandelbare standaarden in IT-beveiliging:
- Wachtwoordbeveiliging voor alle apparaten
- Firewalls
- Antivirusscanners
- Regelmatige back-ups
- Gecodeerde netwerkverbindingen
Daarna? De inspanningen nemen af.
Toegang tot loggen? Slechts 67 procent van de respondenten doet dit. Veilige spraakcommunicatie? 59 procent. Data-encryptie op schijven daalt naar 47 procent. E-mailversleuteling? Slechts 36 procent. Het is praktisch een uitzondering. Beveiliging tegen interne datalekken? 28 procent. Penetratietesten? 24 procent.
AI? Het registreert nauwelijks. Cybersecurityteams maken er nog geen gebruik van. Zelfs de grote bedrijven niet.
Regeldruk en de Wet IT-beveiliging
Duitse bedrijven zouden veel meer kunnen doen. PwC, Bitkom en Bundesdruckerei zijn het er allemaal over eens. Het dreigingslandschap is dynamisch. De investeringen stijgen en dat is goed. Maar het is niet genoeg.
Voer de IT-beveiligingswet in. Deze wetgeving zou best practices kunnen omzetten in wettelijke mandaten. Het tweede ontwerp, uitgebracht in mei 2020, richt zich op exploitanten van kritieke infrastructuur. Het treft ook webserviceproviders en telecombedrijven.
De straffen zijn hoog. De boetes kunnen oplopen tot 20 miljoen euro. Dit volgt het AVG-framework. De reikwijdte wordt ook groter. In het ontwerp zijn spelers uit de defensie-industrie opgenomen. Het heeft betrekking op bedrijven die van vitaal belang worden geacht voor de nationale economie. Niet-naleving is niet alleen meer een risico. Het is een financiële bedreiging.
Standaardisering van ICS en IoT
De kloof tussen de bestaande infrastructuur en moderne digitale dreigingen wordt kleiner, maar niet zachtjes. Nieuwe maatregelen ter bescherming van kritieke infrastructuur evolueren van vage aanbevelingen naar expliciete, uniforme normen. Deze verschuiving gaat niet alleen over firewalls. Het heeft expliciet betrekking op apparaten voor Industrial Control Systems (ICS) en Internet-of-Things (IoT). Waarom doet dit er toe? Omdat dit vaak de zwakke schakels in de keten zijn. Door hier strengere regels af te dwingen, willen toezichthouders de kwetsbaarheden verhelpen die hackers misbruiken wanneer traditionele verdedigingsmechanismen falen.
De opkomst van verplichte SIEM-implementatie
Bedrijven kunnen de behoefte aan robuuste Security Incident & Event Management Systems (SIEM) niet langer negeren. Deze systemen worden verplicht. Ze dienen als basis voor een Information Security Management System (ISMS). Voorheen behandelden veel bedrijven beveiliging als een bijzaak of als een aanvinkvakje voor naleving. Nu betekent de vereiste voor SIEM dat bedrijven veel proactiever moeten zijn. U kunt niet wachten tot er een inbreuk is opgetreden voordat u logbestanden kunt bijhouden. U hebt realtime detectiemogelijkheden nodig die zijn ingebouwd in uw operationele kern. Dit is niet meer optioneel. Het is de basis voor de bedrijfsvoering.
Compliance stimuleert de focus op cyberbeveiliging
IT-beveiliging was voor veel organisaties ooit een secundaire zorg. Wettelijke vereisten veranderen die dynamiek permanent. De druk is niet langer alleen intern. Het is wettelijk vastgelegd. Bedrijven moeten nu prioriteit geven aan initiatieven op het gebied van cyberveiligheid, niet alleen omdat dit zinvol is, maar ook omdat de wet dit vereist. De dagen van het verwaarlozen van beveiligingsprotocollen zijn feitelijk voorbij. Regelgevingskaders dwingen tot een hardere blik op de manier waarop digitale activa worden beheerd. Als je je niet aanpast, ben je niet alleen maar riskant. U voldoet niet aan de eisen.
Waarom deze verschuiving toeslaat
Voor de gemiddelde gebruiker lijkt dit misschien een abstracte bureaucratische ruis. Dat is het niet. Wanneer de ICS – en IoT -normen strenger worden, wordt de fysieke wereld veiliger. Elektriciteitsnetwerken, watervoorzieningen en productielijnen werken met minder blinde vlekken. Maar de kosten van deze transitie zijn hoog voor bedrijven. Ze moeten investeren in nieuwe software, bekwaam personeel inhuren en verouderde processen herzien. De vraag is niet of ze hieraan zullen voldoen. Het gaat erom of ze het kunnen doen zonder hun huidige activiteiten te onderbreken. Velen zullen moeite hebben met de integratie. Sommigen zullen de audit helemaal niet doorstaan. De markt staat op het punt de voorbereide producten van de rest te scheiden. En de rest zal te maken krijgen met gevolgen die verder gaan dan boetes.
