WODC: bestuurders van kleine bedrijven onderschatten de gevaren van ransomware

Bestuurders van kleine organisaties zijn vaak niet genoeg bekend met ransomware. Het Nederlands Wetenschappelijk Onderzoek- en Documentatiecentrum zegt dat ze daardoor niet goed de risico's ervan kunnen schatten. Het WODC pleit voor een voorlichtingscampagne.

Het WODC deed onderzoek naar de gevolgen van ransomwareaanvallen voor het Nederlandse bedrijfsleven. Het onderzoekscentrum keek ook naar het verloop en de aanvalsvector van een ransomware-infectie. Een belangrijke conclusie is dat ict'ers in een organisatie doorgaans goed op de hoogte zijn van zowel de risico's als de gevolgen van ransomware-infecties, maar bestuurders van bedrijven veel minder. Volgens het WODC worden de zorgen van werknemers met kennis 'onvoldoende overgebracht op de bestuurders'. Het gaat dan vooral om kleine en middelgrote bedrijven, omdat grote organisaties 'hun zaken op dit gebied vaak beter op orde hebben en omdat ze vaak in een heel specifieke context opereren', schrijft het WODC.

Volgens de onderzoekers ziet slechts 30 procent van de bedrijfsbestuurders cybercriminaliteit als een groot risico voor de organisatie. Ict-dienstverleners zijn in overgrote meerderheid 'zeer bezorgd' over ransomware, maar onder klanten zou slechts 20 procent er zo over denken. "Dit heeft als gevolg dat er structureel te weinig middelen worden vrijgemaakt voor het weren van ransomwareaanvallen", schrijft het WODC. Er zou zelfs niet genoeg aandacht zijn voor basismaatregelen.

Het WODC pleit in het rapport voor een bewustwordingscampagne. Die zou 'confronterende feiten' moeten bevatten. De onderzoekers noemen voorbeelden van bedrijven die slachtoffer werden van ransomware, met een nadruk op de kosten en tijd van een hersteloperatie. Ook zou er aandacht moeten zijn voor mogelijke boetes van de Autoriteit Persoonsgegevens als blijkt dat bedrijven bijvoorbeeld de beveiliging van persoonsgegevens niet goed op orde hadden.

De onderzoekers stellen voor de campagne bewust als 'een businesscasebenadering' in te steken. Cybersecurity kan daarmee niet alleen als een kostenpost worden neergezet, maar juist als een voordeel tegenover klanten en voor de stabiliteit van het bedrijf. "Als die businesscase illustreert hoe een investering van een euro een aanval kan stoppen die de organisatie tien euro zou kosten, zijn bestuurders van bedrijven vaak snel overtuigd", schrijven de onderzoekers.

Reacties (37)

[TheDiver]

Zelf denk ik dat bestuurders van deze kleine ondernemingen wel bekend zijn met de cyberrisico's. Echter is is gedachtegoed van deze ondernemers het volgende: A - ik heb het uitbesteed dus het zal wel goed zijn (zonder een Thirth Party Memorandum afgesloten te hebben) of B - mijn IT mannetje/vrouwtje is verantwoordelijk voor alles en het mag niet te veel kosten.
De eigenaar van het bedrijf is en blijft hoofdelijk verantwoordelijk voor deze zaken. Dat moet eerst eens landen in de koppen van deze personen.

Awareness op bestuursniveau is belangrijker dan het technische verhaal.

[Reactie gewijzigd door TheDiver op 22 juli 2024 16:27]

[gsmolders]

Zelf denk ik dat bestuurders van deze kleine ondernemingen wel bekend zijn met de cyberrisico's.

Mijn ervaring is tegenovergesteld: bestuurders en directies hebben geen flauw benul van het soort risico's dat ze lopen. Natuurlijk snappen ze dat je 'gehackt' kan worden, maar ze zien dat als een soort inbraak: de TV is weg en je moet de inbraakschade herstellen. Het idee dat klantdata 'gegijzeld' kan worden is hen volkomen vreemd. Zelfs als ze dit kennen uit de media betrekken ze het niet op zichzelf omdat ze hun eigen klantdata niet als waardevol zien. Wat heb je nou aan NAW-gegevens van een paar duizend mensen?

[BarôZZa]

Al hebben ze wel benul, dan is vaak het probleem nog dat de kans dat het gebeurt heel klein is en veel bestuurders houden er niet van om te handelen naar dingen die waarschijnlijk niet gaan gebeuren. Zeker niet als het geld kost en de kosten relatief hoog zijn voor klein bedrijf. Probleem is alleen dat de impact meestal wel erg groot is en dat je ondanks de kleine kans dus toch zou moeten handelen.

Wat dat betreft is het een beetje vergelijkbaar met een pandemie. Die zou er nooit komen, maar als hij er wel komt, dan is het een ramp als je niet voorbereid bent.

[n4m3l355]

Ik heb twee bedrijven, eentje met 50 man eentje met een paar honderd. Met name die met 50 man is het heel moeilijk om op IT vlak iets echt goed te doen. Je kunt geen voltijds netwerkbeheerder / systeem administrator aannemen laat staan een topper. Dus hier hang ik sterk af van een lokaal "consultant" die langskomt wanneer we hem bellen om problemen op te lossen. Ja hij heeft als opdracht om ervoor te zorgen dat ons netwerk (we hebben meerdere locaties) veilig is dat onze data veilig staat maar... wat kan ik verder doen? Uiteindelijk is er budgetair maar zoveel voor IT beschikbaar en natuurlijk kun je stellen dat ik dan maar meer beschikbaar moet stellen maar dat is gewoon moeilijk te doen en IT is ook nog eens een breed concept, meer beveiliging gaat ten gunste van andere ontwikkelingen die onder de streep wel centen opleverd.

Wij voldoen aan de regels van de lokale overheid hoe we met onze data moeten omgaan, ik denk dat het goed zou zijn als de overheid hier hogere eisen aan stelt. Dat zorgt er niet alleen voor dat wij als bedrijf zijnde beter mee omgaan, maar dat is ook direct een duidelijk bericht richting mijn IT consultant hoe het moet. Je kunt van mij als eigenaar niet verwachten dat ik de juiste richting weet, tegelijkertijd geeft mijn IT consultant dat ook niet helder aan dus als het wettelijk verankerd is, dan passen weten we waar we op aan moeten passen.

[Troepje]

Het staat goed op de agenda, je neemt het serieus. Dat is al heel goed lijkt mij. Belangrijk is goed luisteren naar de expert. Niet elke security expert is even goed in uitleggen, maar (proberen) te begrijpen en de tijd er voor nemen is alles wat je kunt doen.

Ik weet niet of de overheid verantwoordelijk moet zijn voorr zeggen hoe je je security precies moet doen, dat is een risico analyse. Een keurmerk/certificaat voor de expert, die formeel door de overheid erkend wordt (ziets als voor dokters enzo) kan daar misschien helpen.

[Cyberpuppy]

Duidelijk verhaal en je bent zo te lezen al een stuk verder dan veel collega ondernemers.

Ik zal wel afgeschoten worden hier, maar in het algemeen is informatiebeveiliging een kwestie van gezond boerenverstand gebruiken. Volg bijv. de berichtgeving maar eens een beetje. Meeste hacks en ellende begint met een besmette pc. Van daaruit wordt er dan verder ingebroken. Dus in eerste instantie zorgen dat de pc's (en andere endpoint devices) goed zijn beveiligd. Dan ben je in eerste instantie een heel eind. Daarna kun je je richten op het netwerk, servers en IOT devices. Aanvullend zorg je dat er goed werkende bhackups e.d. zijn. Die beschermen je niet tegen een cryptolocker maar kunnen je wel helpen je bedrijf weer in de lucht te krijgen. Desnoods is het wisselgeld bij de onderhandeling met een hacker.

Voorgaande is natuurlijk vooral van toepassing in het MKB.

[kodak]

Ik vind dit een vreemde redenatie. Je gaat als eigenaar over budgetverdeling, je stelt dat je risico hebt die je met meer budget zelf kan oplossen, en dan moet een ander jou maar meer verplichten, anders blijf je dit risico nemen? Wat is er dan zo ongewenst aan zelf meer investeren? Want als je bewust risico wil neemt, dan kun je dat toch niet zomaar afschuiven op anderen dat je niet verplicht werd om meer te investeren? Dan is dat toch je eigen keuze om het risico minder serieus te nemen?

[flurb]

Overweeg een ISO27001 certificering, geeft je werknemers veel duidelijkheid.
Ik noem dit het basis IT hygiene certificaat en de kosten vallen redelijk mee.
Vult niet alles in maar bevat behoorlijk wat goede stappen in de juiste richting.

[Skywalker27]

En Security experts zijn duur en geen IT mannetje. En de hele cultuur moet om ipv alleen het Antivirus pakketje updaten en daar heeft men vaak geen zin in want wat valt er bij mij nou te halen.

[SunnieNL]

Het gedachtengoed is helaas vaker:
* wat levert het mij op? Geen direct revenue? Dan gaan we er geen budget voor vrijmaken.

Het is heel lastig om de gevaren en voornamelijk het kopen van beveiliging te verantwoorden. Ze willen direct zien wat het oplevert, maar het is meer een verzekering. Je maakt het lastiger om eventueel geraakt te worden. Kleinere bedrijven (en zelfs grotere) doen niet vaak een echte kwantitatieve risico analyse. En als verkoper/IT admin ff eentje doen gaat ook niet zomaar want het kost heel veel tijd. Je moet de waarde van assets weten, de kans op een aanval inschatten, de kosten van down zijn en de kosten van restoren (en externen inhuren om zaken te fixen) allemaal doorrekenen om te bepalen wat je budget is voor het kopen van beveiliging. En dan nog is het risico nooit 0.

En als je het niet berekend wordt er pas gehandeld als er daadwerkelijk iets gebeurd, maar dan ben je te laat en kost het een fortuin..

Overigens niet alleen bij kleine bedrijven. Ook de grotere bedrijven en instanties in NL zitten er vaak zo in.

[Reactie gewijzigd door SunnieNL op 22 juli 2024 16:27]

[kodak]

Er zijn meer dan 1 miljoen zelfstandig ondernemers. Verwacht je dat die bestuursniveau denken als ze het technisch niet volgen?

[Troepje]

yup

[smesjz]

Hoe ga je een business case maken zonder benul van kosten? Omgeving van die MKBs zijn zo verschillend en er is geen off-the-shelf oplossing die je 'installeert'. En vaak ben je afhankelijk van externe IT.
En een business case is niet '1 Euro investeren geeft 10 Euro besparing als het mis gaat'.

[SunnieNL]

Klopt, de business case is risico berekenen.
Daarvoor moet je eerst weten wat je assets zijn, wat ze waard zijn, wat de kans is dat je geraakt wordt door een risico en hoe vaak dat gebeurd in een jaar. Veel werk, waarbij het vaak bij kleine en grotere bedrijven al mis gaat bij het weten welke assets ze hebben en wat ze waard zijn.

Ik mis dat ook een beetje in het rapport als ik er zo snel doorheen ga, wat is de kans op bepaalde risico's in nederland op dit moment. Had er iets ingezet als: van de x aantal mkb ondernemingen in NL hebben de afgelopen jaar X aantal te maken gehad met phishing, DDOS, etc waarbij er bij X aantal daadwerkelijk ransomware actief is geweest.

[smesjz]

Waarde van de assets is belangrijk maar je moet ook kijken naar de kosten van 'downtime' als die assets niet kan gebruiken door hacks / ransomware.
En machine staat misschien in de boeken met waarde van 50k maar als deze niet werkt mis je bijv. dagelijkse omzet van 20k.

Maar bij een business case gaat het natuurlijk (ook) om de initiële investering, je moet het geld wel hebben of kunnen lenen.
En zelfs als het risico groot is, kan de beslissing toch genomen worden om het te investeren in iets dat meteen iets oplevert ipv iets abstracts als 'betere beveiliging' wat je moeilijk kan meten.

[SunnieNL]

Downtime komt door meer zaken en de prijs daarvan zou doorberekend moeten zijn in de waarde van een asset. Daarom is risicoberekening niet zo makkelijk om te doen, maar het onderbouwd wel je businesscase.
(staat ook wel deels in het document, maar niet helemaal compleet).

Uiteindelijk gaat het erom hoever bepaalde maatregelen een risico verkleinen. Dat vermenigvuldigd met de waarde van het asset (en alles wat er omheen hangt) geeft een bedrag wat die verkleining dus waard is.
Als de maatregel te weinig verkleind zal de maatregel zelf meer kosten dan de verkleining van het risico oplevert en kun je besluiten het risico dan maar te nemen omdat je niet meer geld uitgeeft dan het oplevert in dat geval.

Risico assesment is echter wel een vak apart. De calculatie maakt het echter wel minder abstract en voor bestuurders meer inzichtelijk.

[Drucchi]

En daarom is een vast tarief per gebruikersgegeven zo belangrijk. Als de database met NAW-gegevens van 100.000 man uitlekt zou dat een vast bedrag moeten kosten, zeg €2,50*100.000. Dan weet een onderneming wat de waarde is van die gegevens en kunnen ze er actief (monetair) beleid voor maken. Stel er lekt nog meer uit, bijvoorbeeld passwords, bsn-nummers etc. dan geldt er dus ook een hoger tarief.

Dit zou een hele mooie tool zijn voor ondernemingen om hun security-beleid te verbeteren.

[R4gnax]

Dit zou een hele mooie tool zijn voor ondernemingen om hun security-beleid te verbeteren.

Ik denk dat je bedoelt dat ondernemingen dat goed zouden kunnen gebruiken om een kosten-baten analyse te maken en te besluiten dat het goed beveiligen van de gegevens het al dan niet waard is.

En dat is nou juist wat de wetgeving en handhaving niet in de hand willen werken. Je moet je beveiliging gewoon op orde hebben. Dat is een plicht. En een kosten-baten analyse of de kosten van het op orde hebben opwegen tegen de kosten van met je broek op je knietjes betrapt worden dat je dat niet gedaan hebt, zou daar niets mee van doen moeten hebben.

Het bestaan van analyses met die insteek zou men eigenlijk gewoon al moeten interpreteren als moedwillige ondermijning van de wetgeving en nog zwaarder moeten beboeten.

[Reactie gewijzigd door R4gnax op 22 juli 2024 16:27]

[Drucchi]

Laat ik het zo zeggen, dit maakt de waarde van de gegevens direct zichtbaar, dat zorgt dan voor adequate beveiliging.

Dat je verplicht bent om de gegevens 'goed' (lees adequaat) te beveiligen is natuurlijk waar, maar 'goed' is niet alleen in securityland, maar ook juridisch een rekbaar begrip.

Het idee is dat bedrijven bij alle data stil staan en denken "Shit, als we die 'kwijtraken' dan kost ons dat een vermogen".

[Fireshade]

Als de database met NAW-gegevens van 100.000 man uitlekt zou dat een vast bedrag moeten kosten, zeg €2,50*100.000.

Leuk, dus als er dus 10 namen zijn gelekt, betaalt het bedrijf gewoon even 25 euro boete en gaat vrolijk als vanouds verder. Want de boel goed beveiligen voor 100.000 euro gaat het 'm niet worden natuurlijk.

[Drucchi]

Ik noem maar wat hè. Desnoods werk je met staffels, opstart tarieven, kan me niet schelen.

[gpglang]

Alle publicaties gaan over de grote bedrijven. Daar is geen link mee. Dat is 's avonds op het nieuws maar is de volgende ochtend alweer vergeten. De klein(-ere) ondernemers die geraakt zijn zouden meer naar buiten kunnen treden. Dat staat een stuk dichter bij de realiteit van de dag en versnelt het bewustzijn van de collega ondernemers.

[vodkahetvarken]

De overheid ICT cyclus:
1. Herken probleem enkele jaren na dato
2. Huur externe partij in voor veel knaken, liefst eentje met dichte banden met je organisatie.
3. Conclusie betere voorlichting doormiddel van een folder en een website die niemand leest, mogelijk zelfs nog een commercial op bnr, door een bureau dat ook innige banden heeft met je organisatie en meer onderzoek.
4. Indien niet probleem niet natuurlijk uitgestorven is, ga terug naar stap 2.

[oef!]

Wat heeft dit met de overheid te maken? Ministeries en hun interne diensten hebben security wel degelijk op het oog en de roadmap.

In het mkb, de zorg en lokale overheden zijn de problemen volgens mij groter.

[vodkahetvarken]

WODC is een overheidsorganisatie?

[oef!]

Klopt en ze hebben een onderzoek gedaan naar kleine en middelgrote publieke en private organisaties. Met de landelijke overheid heeft het weinig te maken.

[vodkahetvarken]

De landelijke overheid heeft onderzoek gedaan naar xxx en ziet probleem yyyy, huurt adviesbureau zzzz in om vervolgens marketingbureau aaaa in te huren, wat xxx of yyyy is maakt hier niet echt uit. Of het nou een interne campagne is, iets om de burger in te lichten of in dit geval bedrijven, het werkt nooit.

[Falcon10]

En nu alle gekheid op een stokje : waarom zou je als klein MKB massaal investeren in cybersecurity (awarness) in je bedrijf, als je gewoon voor een paar honderd/duizend euro een cybersecurity verzekering kan afsluiten per jaar.

Goedkoper dan de cybersecurity specialist in te huren voor x aantal maand om je organisatie in orde te brengen, en vervolgens nog eens x aantal keer/jaar laten langs te komen voor opvolging, aanpassingen etc.

Gewoon advokaat van de duivel.

[Drucchi]

Die verzekering krijg je uiteraard pas als je aan een aantal voorwaarden voldoet. Uiteraard is dat geen volle bescherming, maar het ontneemt je zeker niet al het werk dat je in de ICT-security zou moeten steken.

[Salento]

Door het stijgend aantal ransomware aanvallen en vervolgens aanspraak maken op de verzekering, stellen verzekeraars steeds hogere eisen. Het is zelfs al zo dat je bij grotere verzekeraars geen polisvoorstel meer ontvangt als je op voorhand niet aan kunt tonen dat je beschikt over een herstelplan en een bewijs dat je compliant bent wat betreft je softwarelicenties die je in gebruik hebt.

[Godson-2]

Ja, wij eisen als verzekeraar dat er geen ransomware op uw machines zit want anders keren we niet uit.

[R4gnax]

En nu alle gekheid op een stokje : waarom zou je als klein MKB massaal investeren in cybersecurity (awarness) in je bedrijf

Omdat het je wettelijke plicht is zorgvuldig met gegevens om te gaan, incl. het handhaven van courante beveilingsmaatregelen - zowel digitaal / technisch, als procesmatig / bedrijfsmatig.

Er zou gewoon veel sneller en veel harder beboet moeten worden.
Of nog beter: wettelijke verplichtingen om een verbetertraject in te gaan en daarvoor onder controle of gedeeltelijke curatele gesteld te worden.

[Reactie gewijzigd door R4gnax op 22 juli 2024 16:27]

[Falcon10]

Sorry, ik was iets te "kort door de bocht" R4gnax.
Bedoel niet dat je niet moet investeren in awarness als bedrijf, maar bedoelde eerder : dat die awarness etc niet voldoende is. Zit zelf bij genoeg klanten waar ze zo van die mooie online opleidingen hebben met testjes achteraf, oa over cybersecurity. En toeval wil : daarstraks eentje hier op men bureau : kan je me effe helpen met men opleiding : al 2x niet geslaagd voor die cybersecurity. Ik snap de vragen niet.
Heb die dan maar voor hem opgelost.
Alle gekheid op zen stokje. Ja, ik weet dat ik dat niet zou mogen. Maar realiteit is dat we niet allemaal ingenieurs en ander hooggeschoold personeel op productieafdelingen in fabrieken hebben zitten, en die moeten ook die dingen doen.
Als ze niet slagen : gedoe met management, want die hebben KPIs die ze moten halen ivm opleidingen voor personeel en aantal personen geslaagd. Die jongens van productie (en dan bedoel ik niet de al slimmere jongens die de DCS systemen bedienen) weten al veelal amper Hoe ze goed en wel hun digitale loonbrieven moeten opvragen uit het systeem en afprinten of hoe hun uren juist in te geven in het bijna constant van uitzicht veranderend HR systeem. En dan krijgen ze dit soort gedoe ook nog constant door de strot geramd.
Het is veel schijnveiligheid, en dat stoort me enorm. Dit soort virtuele lessen zouden veel begrijpelijker worden als men daar gewoon klassikale, fysieke groepslessen/gesprekken over doet.
Nu kan men mooi aantonen een verzekeringsmaatschappij X dat 98% van het personeel al cybersecure aware is, terwijl waarschijnlijk maar 30% het effectief snapt, 50% het aan het ene oor is ingegaan en aan het andere uit, en de overige 20% heeft het nog altijd niet door en vind het onbegrijpbaar.

[R4gnax]

Dat klopt. Maar dat is niet jouw probleem. En feitelijk, als er nu stront aan de knikker komt en het is tot jou terug te herleiden ... ehm.. tja. Ik zou in zo'n geval er voor gekozen hebben om niet m'n nek uit te hebben gestoken. Je gaat er namelijk niet vrolijk van worden als die zelfde persoon, mocht het misgaan, uit de band klapt en naar jou wijst. Joost mag weten wat voor gevolgen dat dan weer heeft mbt ondermijnen van het veiligheidsbeleid etc. etc.

Op zo'n moment kun je als je in een iets meer bevoorrechte positie zit, wellicht beter dit probleem bij HR of bij managers aankaarten, dan cowboy te gaan spelen.

Dat geldt niet alleen voor jezelf; maar ook voor die andere persoon.
Uiteindelijk; als zij betrapt worden op dit soort fraude bij trainingen heeft dat voor hen ook nadelige gevolgen. Zeker als ze daar een reputatie mee op hebben gebouwd het niet zo nauw met de veiligheidsregels te nemen. Als simpele productiemedewerker heb je al niet zo'n super onderhandelingspositie. Als je daarnaast te boek komt als 'neemt het niet nauw met,' dan houden je kansen al snel gewoon op.

[Reactie gewijzigd door R4gnax op 22 juli 2024 16:27]

[FrostyPeet]

Ik denk dat de kleine ondernemer het nu te druk heeft met overleven door de hoge kosten van alles.

[rvt1]

Het Nederlands Wetenschappelijk Onderzoek- en Documentatiecentrum zegt dat ze daardoor niet goed de risico's ervan kunnen schatten

Dat is nu juist het probleem, ze kunnen zelf niet de risico's inschatten, wat ze wel kunnen doen is luisteren naar hun eigen IT personeel en daar vragen aan stellen. En deze personen een plan van aanpak laten maken.
Dit geld voor alle bestuurders, je moet besturen en niet denken dat je er zelf verstand van hebt..

[FluxLumos]

Volgens mij gaan de kudos voor dit onderzoek uit naar de onderzoekers van Dialogic; zij hebben dit onderzoek uitgevoerd en het rapport geschreven--weliswaar in opdracht van WODC.