‘Gevolgen van cybercrime kosten vaak meer dan investering in beveiliging’

Zo’n 40 procent van alle organisaties en bedrijven in Nederland heeft de afgelopen jaren zeker één keer te maken gehad met een cyberincident, variërend van sabotage van bedrijfsprocessen tot het volledig platleggen van de ICT, het stelen van data in ruil voor losgeld en/of ordinaire bedrijfsspionage. Deze hacks kosten bedrijven vaak honderdduizenden tot miljoenen euro’s. 

Wapenen tegen cybercrime

Toch zijn er legio bedrijven die hun ICT-systemen nog altijd niet of onvoldoende beveiligd hebben tegen de toenemende cybercrime. “Het probleem is dat er nog te vaak alleen maar wordt gedacht aan de investeringen die cybercrime moeten voorkomen in plaats van aan de uitgaven die moeten worden gedaan om de gevolgen van een hack weg te poetsen”, verzucht Ruud Geelen, directeur bij NetworkPeople. “Het is moeilijker voor een bedrijf om IT-budget vrij te maken voor beveiliging dan losgeld te betalen bij een cybercrime-incident. En vervolgens trekken ze dan alsnog budget uit voor de beveiliging, want vergeleken met het losgeld is de beveiliging dan ineens geen probleem meer. Daar valt dus veel te besparen en ondernemers moeten zich daar goed bewust van zijn. De steeds verdergaande digitalisering brengt andere risico’s met zich mee en daar moet een bedrijf zich tegen wapenen.”

Pand als uitdaging

NetworkPeople in Geldermalsen, het bedrijf dat Geelen samen met Koen Zeilstra in 2012 is gestart, is gespecialiseerd in het ontwerpen, leveren, implementeren van netwerk- en security-infrastructuren. Het bedrijf bestaat uit een groep van tweehonderd professionals in een combinatie van eigen medewerkers met freelancers, en is actief in diverse branches, waaronder industrie, educatie en transport. “Als we een ICT-netwerk gaan bouwen of verbeteren voor logistiek dienstverleners – een aanzienlijk deel van onze opdrachtgevers – dan is de dynamiek in een loods een terugkerende uitdaging waarvoor we staan”, vertelt Geelen. “Werken met een slecht ingericht draadloos netwerk is dramatisch met al dat staal in zo’n pand. En daar blijft het niet bij, want de dynamiek in zo’n loods is enorm. Rondrijdende vorkheftrucks, lege en dan weer volle stellingen met vaak qua dichtheid wisselende producten en daarbij ook nog de medewerkers die rondlopen met scanners en laptops. Om ervoor te zorgen dat de bereikbaarheid altijd en overal optimaal is, praten we veel met de IT-mensen aan de voorkant. Wat doen ze precies en wat zijn de functies die ze gebruiken? Aan ons vervolgens de taak om binnen het gestelde budget het netwerk en de systemen met de juiste merken apparatuur in te richten.”

Testen tegen hacks

Beveiliging zit in het DNA van NetworkPeople en is altijd onderdeel van het technisch ontwerp dat de engineers maken. Geelen: “Daar ontkom je tegenwoordig niet meer aan. Je wilt niet zoals vorig jaar nog gebeurde bij een grote logistiek dienstverlener dat je systeem wordt gehackt en daardoor schappen van supermarkten leeg zijn. Die schade is vele malen hoger dan de investering die je vooraf doet in beveiliging.” 

Naast de beveiliging die NetworkPeople meeneemt bij de bouw en aanpassing van netwerken, wordt het bedrijf ook ingezet om de beveiliging van bestaande netwerken en systemen te checken door middel van audits. “Een niet goed beveiligd logistiek- of transportbedrijf is niet alleen gevaarlijk voor jezelf – je kunt immers gehackt worden voor losgeld of bedrijfsspionage – maar ook voor opdrachtgevers en klanten. Het kan soms namelijk zo zijn dat hackers niet speciaal op jouw bedrijf uit zijn, maar dat ze een bepaalde industrie of grote verlader willen treffen. Hoe mooi is het dan om dat indirect te doen door de partij plat te leggen die de bevoorrading en het transport verzorgt?”

Naast hetgeen bedrijven aan budget kunnen of willen vrijmaken voor beveiliging, is het volgens Geelen belangrijk te kijken naar de waarde van de te beveiligen producten. “Iets met een waarde van € 100 ga je niet beveiligen voor € 1.000. Dat moet je altijd meenemen in de afweging van de mate en kwaliteit van beveiliging. Imagoschade is daarin een lastig onderwerp, omdat je dat moeilijk kunt kwantificeren in geld.” 

Netwerksegmentatie

“Een belangrijk onderdeel in het ontwerp van een nieuw netwerk of optimalisatie van een bestaand netwerk is segmentatie”, vervolgt Geelen. “Een netwerk is één geheel, maar wat je wilt en moet voorkomen is dat een hacker via bijvoorbeeld internet toegang krijgt en dan het hele netwerk kan verkennen. Wij delen daarom het netwerk op in segmenten met daartussenin controlepunten voor datacommunicatie, de zogenoemde firewalls. Zo kun je het deel waar leveranciers inloggen losmaken van systemen waar de data staan. Datzelfde doe je ook voor gasten die een bedrijf bezoeken. Laat die nooit toegang hebben tot dat deel van het netwerk waar je medewerkers op werken. Ze kunnen bewust of onbewust met hun laptops de boel saboteren met alle gevolgen van dien.” 

Het is daarbij volgens Geelen ook belangrijk om ervoor te zorgen dat medewerkers sterke wachtwoorden gebruiken of een andere sterkere vorm van toegangscontrole tot systemen en data moeten doorlopen. “En bij meerdere foute inlogpogingen is het zaak de toegang voor die betreffende gebruiker tijdelijk te blokkeren. Dat voorkomt dat hackers je wachtwoorden automatisch gaan raden, testen en misbruiken.” 

Omdat tussen ict-beveiligingsorganisaties en hackers een continue wedloop gaande is om elkaar steeds weer te slim af te zijn, worden de firewalls vrijwel dagelijks automatisch geüpdatet, vergelijkbaar met antivirussoftware op een computer. De firewalls staan ook continu in verbinding met de wereldwijde systemen van hun leveranciers. Zo gauw er ergens iets online gebeurt dat niet in de haak is, krijgen de firewalls een signaal en wellicht ook een update hiervoor. 

Checken

Aangezien voor logistiek dienstverleners en transporteurs connectiviteit erg belangrijk is, willen ze hun systemen toegankelijk maken voor velen. “Dat is prima”, vindt Geelen, “maar dan is het aan te raden een ICT-leverancier zoals wij dat ook zijn zo’n portal te laten checken op veiligheid. Soms denken ondernemers dat hun systemen veilig genoeg zijn. Maar als wij dan in overleg een schaduwbeveiligingsmonitorsysteem laten meedraaien, dan komen vaak toch de nodige kwetsbaarheden aan het licht.”

Wat Geelen klanten kan aanbieden en wat NetwerkPeople ook altijd doet na installatie van een ICT-netwerk is het uitvoeren van penetratietesten door legale hackers. “We geven hen de opdracht om binnen een paar dagen een beveiligd netwerk proberen te hacken. Op die manier weten we of de systemen goed beveiligd zijn en of er eventueel nog verbeteringen nodig zijn.”

Bewust van gevaren cybercrime

Wat volgens Geelen het belangrijkste is, is dat ondernemers zich bewust zijn van de gevaren van cybercrime, dat ze weten dat er iets aan gedaan kan worden en dat daarvoor niet altijd de hoogste prijs hoeft te worden betaald. “Wij hanteren de zogenoemde beveiligingsdriehoek. Daarbij is punt 1 availability, wat staat voor herstellend vermogen. Soms moet je twee routers of twee firewalls hebben op één positie voor als er een stuk gaat. Een netwerk of systeem moet zichzelf kunnen herstellen. Vervolgens staat punt 2 voor confidentiality. Een netwerk moet betrouwbaar zijn en dat houdt in dat data moeten worden versleuteld. Punt 3 is integrity en betekent zoveel als zorgen dat je direct ziet als anderen toegang hebben gehad tot of iets hebben veranderd aan jouw informatie.” 

Volgens Geelen scoren logistiek dienstverleners en vervoerders goed als het gaat om connectiviteit en availability. “Aan confidentiality en integrity van de systemen ontbreekt het vaak nog. Daar is veel te winnen. En dan mag de overheid roepen dat bedrijven en organisaties losgelden voor gehackte data niet moeten betalen, vrijwel de meeste doen dat toch. Want een simpel rekensommetje laat zien dat het betalen van losgeld vaak meer oplevert dan alle data kwijt zijn. En bang zijn dat hackers de data niet vrijgeven na het betalen van losgeld hoef je niet. Het zijn immers ‘gewoon’ commerciële bedrijven die snel geld willen maken. Maar goed, op die manier miljoenen euro’s verliezen wil je niet en is het zaak koste wat het kost zien te voorkomen dat het zover komt – dus zorgen voor voldoende beveiliging.”