Het Paard van Troje in cybersecurity

Het is bijna een gewoonte dat organisaties eerst denken aan wat men allemaal kan doen om te beschermen, in plaats van wat er mis kan gaan. Het gevolg is dat de maatregelen (en de daarmee samenhangende kosten) zich opstapelen, zonder dat men weet wat de grootste bedreigingen zijn. 

Auteur Björn Roskott is Senior Manager IT Advisory bij Grant Thornton
Lees ook: “Maak business verantwoordelijk voor data”
Downloaden: Wat is de waarde van uw data? (Whitepaper)

Mismatch met grote gevolgen

De gevolgen van een cyberaanval kunnen ingrijpend zijn, zo bleek deze zomer in de Rotterdamse haven. Twee grote containerterminals lagen meer dan een week stil door een ransomware-aanval. De kosten liepen de in de honderden miljoenen euro’s. Beveiliging was vooral gericht op de individuele organisaties. Het grote risico dat de uitwisseling van informatie tussen de verschillende partijen met zich meebracht, bleef buiten beeld; een mismatch tussen maatregel en risico. Een kwetsbaarheid bij één organisatie kon zo de werking van de gehele keten platleggen.  

Dat dit geen voorbeeld op zich is, blijkt uit de gesprekken die wij met organisaties voeren over databescherming. Vaak stuiten we binnen tien minuten al op een serieus beveiligingsprobleem, tot ontsteltenis van onze gesprekspartners. De beveiligingsmaatregelen lijken op orde, maar de risico’s blijken een blind spot. Denk aan cruciale salesdata die ook onbeveiligd op een ander systeem staan. Patiëntgegevens die gemaild worden via een onbeschermd netwerk. Of een systeem dat goedbedoeld de opbrengst van de zonnepanelen rapporteert, maar onbedoeld toegang tot het gehele netwerk blootstelt. 

Draai het om

Zet dus een stap terug en stel de vraag: welke data moeten perse beschermd worden? Welke data zijn van minder belang en kunnen met minder bescherming af? Waar zitten de grootste risico’s? Pas als die antwoorden duidelijk zijn, praat je over middelen en bepaal je hoe je die inzet. Dat is precies het tegenovergestelde van denken vanuit maatregelen. Een robuuste beschermingsmuur is nutteloos als het Paard van Troje zonder obstakels via de stadspoort binnenrolt. 

Het kwantificeren  van die risico’s helpt bovendien om te bepalen in welke cybermaatregelen een organisatie geld moet steken. Alles beschermen is onmogelijk. Een investering van een miljoen euro, die een potentieel risico met een schade van een paar ton dekt, is geen goed besluit. Dat is basale logica van de business, die vreemd genoeg zelden wordt toegepast binnen het cybersecuritydomein.

Grootste slag 

Help medewerkers te leren denken in risico’s door cybersecurity uit het abstracte te halen. Praat niet over data, maar over wat voor de betreffende afdeling belangrijk is. Creëer awareness door te wijzen op de impact op de business. Als mensen niet bewust zijn van wat er mis kan gaan, voelen ze ook niet de intrinsieke motivatie om problemen op te lossen. Door die bewustwording, maar ook door de verantwoordelijkheid te verplaatsen naar de business, komt een organisatie in beweging. Een verandering naar denken vanuit risico’s is de grootste slag die organisaties op dit gebied kunnen maken. 

Wat zijn uw belangrijkste data?

Voorbeelden:
Confidentiality:
-Een farmaceut waarvan de researchdata van een nieuw medicijn op straat komen te liggen.
-Een afdeling van defensie waarvan de locatie van strategische middelen gecompromitteerd is.

Availability:
-Een handelsonderneming die geen inzicht heeft in zijn voorraadstanden en bestellingen.
-De luchtverkeerstoren die geen overzicht heeft van binnenkomende vluchten.

Meer lezen: Download de whitepaper "Wat is de waarde van uw data?"