Is uw onderneming klaar voor de volgende cyberaanval? U vindt het antwoordt in de ‘Belgian Cyber Security Guide’, een initiatief van het VBO, in samenwerking met EY en Microsoft. De gids biedt tien sleutelprincipes en tien must-do veiligheidsacties, die we hier voor u op een rijtje zetten. Maak er goed gebruik van, want jaarlijks worden een miljoen Belgische computers blootgesteld aan cybercriminaliteit, virussen of malware.
Data vormen een belangrijke en waardevolle asset. Elke onderneming die met data werkt, wordt vroeg of laat geconfronteerd met veiligheids incidenten. Bij cyberaanvallen is de vraag niet of, maar wanneer. De talloze incidenten waarover de media berichten, zijn slechts het topje van een ijsberg. In de meeste gevallen zijn we ons niet eens bewust van die dreigingen. Slechts zelden reageren we op een adequate manier.
Groeiende risico’s
Uit EY’s recente Global Information Security Survey blijkt duidelijk dat veiligheidsincidenten toenemen. Belangrijkste factoren zijn een doorgedreven onlineaanwezigheid, een breder gebruik van sociale media, de massa-adoptie van mobiele toestellen, het groeiend gebruik van clouddiensten en het verzamelen en analyseren van big data. Het informatieveiligheidsrisico kan gezien worden als een vermenig vuldiging van drie factoren: assets, zwakke plekken en dreigingen. Om het in één formule samen te vatten: “Assets worden blootgesteld aan kwetsbaarheden die aan bedreigingen blootgesteld kunnen worden.”
1. Assets Informatie en informatiesystemen zijn waardevolle assets. We beschikken over meer data dan ooit tevoren en zijn afhankelijk van het correcte en veilige functioneren van de systemen die deze data opslaan en verwerken.
2. Kwetsbaarheden Ondernemingen worden overspoeld door een stortvloed aan nieuwe tools en technologie zoals cloud, sociale media en mobiele toepassingen. Deze evolutie zal zich voortzetten en onze afhankelijkheid van hun vlekkeloze functioneren zal evenredig toenemen. Dat brengt een heel aantal nieuwe zwakke plekken mee.
3. Dreigingen Tegelijkertijd neemt het aantal cyberdreigingen met rasse schreden toe. De dreigingen worden bovendien steeds verfijnder en effectiever.
Bewustzijn
Veel ondernemingen beschermen hun fysieke goederen – fabriek, machinepark, personeel – zorgvuldig, maar laten het afweten als ze hun informatie moeten beveiligen. Toch vormen net kennis en data vaak de meest waardevolle assets van een onderneming. Diefstal, verlies, misbruik of ongeoorloofde wijziging of publicatie van bedrijfsinformatie kan rampzalige gevolgen hebben, financieel of voor uw reputatie. Als het om persoonsgebonden gegevens gaat, bevat de wet strafmaatregelen. Bovendien staat de EU Data Protection Regulation in de steigers. Die verplicht ondernemingen een omvangrijke schadevergoeding te betalen aan personen van wie de gegevens geschonden worden. Het bewustzijn rond het belang van informatieveiligheid is de laatste jaren gelukkig gegroeid. Initiatieven werden vooral genomen op het niveau van regeringen en instellingen. Ook grote internationale ondernemingen implementeerden een aantal veiligheidsinitiatieven. Helaas worden die zelden gesponsord door het topmanagement.
Bij kmo’s ligt het thema nog minder vaak op tafel, terwijl kleine en middelgrote bedrijven toch evenveel gevaar lopen. Bedrijfsleiders hoeven geen veiligheidsexpert te zijn. Maar ze hebben wel de plicht om de assets van hun bedrijf te beschermen. Ze moeten erop toezien dat die verantwoordelijkheid correct gedelegeerd wordt naar hun managementteams en naar externe experts. Die moeten er op hun beurt voor zorgen dat cybersecurity een regelmatige topic blijft voor het directiecomité en dat de nodige actie ondernomen wordt om de informatie te beschermen. De focus moet daarbij liggen op drie veiligheidsdoelstellingen, die gerelateerd zijn met volgende vragen: Confidentialiteit: Wie ziet de data? Integriteit: Is de data betrouwbaar? Toegankelijkheid: Is de data beschikbaar wanneer nodig?
10 sleutelprincipes
- Kijk verder dan de technologie.
- Compliance volstaat niet.
- Vertaal uw veiligheidsdoelstellingen naar een veiligheidsbeleid.
- Verzeker de toewijding van het topmanagement.
- Creëer een zichtbare veiligheidsrol in uw bedrijf en veranker individuele verantwoordelijkheden.
- Blijf veilig wanneer u uitbesteedt.
- Verzeker dat veiligheid een motor is voor innovatie.
- Blijf uzelf uitdagen.
- Behoud focus.
- Wees voorbereid om incidenten aan te pakken.
10 ‘must do’ veiligheidsacties
- Organiseer gebruikersopleidingen en bewustmakings - initiatieven.
- Hou systemen up-to-date.
- Bescherm informatie.
- Beveilig mobiele apparaten.
- Geef alleen toegang tot informatie op basis van ‘need-to-know’.
- Stel regels op om veilig op internet te surfen en pas die ook toe.
- Gebruik sterke wachtwoorden en hou ze veilig.
- Maak en controleer back-ups van bedrijfsgegevens en informatie.
- Bestrijd virussen en andere malware vanuit verschillende invalshoeken.
- Voorkom, detecteer en onderneem actie.