23 procent van Belgische bedrijven had in 2021 een ict-veiligheidsincident

23 procent van de Belgische bedrijven heeft in 2021 ten minste één keer een probleem ondervonden dat veroorzaakt is door een veiligheidsincident in de ict-systemen. Ongeveer een derde van de Belgische bedrijven was in 2021 verzekerd tegen ict-veiligheidsincidenten.

Volgens het Belgische statistiekbureau Statbel hadden incidenten soms tot gevolg dat de ict-diensten onbeschikbaar waren, dat er sprake was van vernietiging of corruptie van data, of dat er vertrouwelijke gegevens openbaar zijn gemaakt.

Het bureau ging voor zijn onderzoek te rade bij ongeveer 7500 Belgische ondernemingen en in negen op de tien gevallen werd daar een wachtwoord gebruikt voor authenticatie. In 39,4 procent van de gevallen werden twee of meer authenticatiemechanismen gebruikt en 12,6 procent van de Belgische bedrijven gebruikte biometrische beveiligingsmethoden.

Netwerktoegangscontrole blijkt populair te zijn bij Belgische bedrijven, want een dergelijke beveiligingsmaatregel was in 2021 in 77,2 procent van de gevallen actief. Zes op de tien Belgische ondernemingen maakten bovendien gebruik van een vpn. Volgens Statbel had 33,1 procent van de Belgische bedrijven in 2021 ook een verzekering tegen ict-veiligheidsincidenten.

Reacties (33)

[RobbieB]

Dan heeft die andere 77% waarschijnlijk zijn monitoring en/of incident reporting niet op orde.

[S-1-5-7]

Dat ligt eraan; wanneer is iets een ict-veiligheidsincident?

[Keypunchie]

Dat is volkomen aan de regels van de organisatie zelf.

Bij sommige bedrijven die heel strict zijn kan het voorkomen dat wanneer je van je laptop bent weggelopen om koffie te halen zonder hem te locken al als veiligheidsincident wordt geadministreerd.

Bij anderen gaan ze pas zich achter de oren krabben als de inhoud van hun produktie-database vrijelijk op het 'dark web' wordt aangeboden.

[CAPSLOCK2000]

Dat is volkomen aan de regels van de organisatie zelf.

Niet helemaal, als er bijvoorbeeld data lekt dan moet je daar iets mee van de GDPR, dat geeft in ieder geval een zekere grens aan. Het is maar een dunne lijn en absoluut niet dekkend, maar het is iets.

[hexeye]

Opzich valide punt als je je afvraagt “volgens wiens definitie”. GDPR spreekt dan weer over specifieke omstandigheden bij een datalek waarin persoonsgegevens gemoeid zijn. In het artikel wordt gesproken over “ICT-veiligheidsincidenten. Die hoeven niet hetzelfde te zijn. Bijvoorbeeld als je geheime formule voor jouw Cola-formule publiek wordt en van je windows XP machine is gelekt, is daar misschien geen sprake van een datalek in de zin van de GDPR, maar misschien wel een ICT veiligheidsincident?

[gimbal]

Het is inderdaad een heel breed begrip. Het kan letterlijk alles zijn. Schaduw IT, (succesvolle) fishing, virus/malware/ransomware, PC niet locken, inbraak in een server, database wat open en bloot aan het internet hangt, mogelijkheid tot downloaden van bestanden doordat de HTTP settings niet goed staan, gevoelige data wat unencrypted is opgeslagen (of de logstash in ging...), usb stickie, etc. etc. etc.

Een lek van persoonsgegevens of datalekken in het algemeen zijn altijd een gevolg van een beveiligingsincident. ICT of niet ICT. Ik bedoel ik heb ook een keer laptops en een telefoon gestolen zien worden omdat iemand via de deur van de keuken naar binnen kwam, even snel graaide en toen via de voordeur naar buiten ging. Hij riep nog "sorry!" naar de receptioniste. Gelukkig konden ze vrij eenvoudig op afstand bevroren worden, dus een heel groot incident was het niet. Wel sensatie.

[Jim80]

Bij sommige bedrijven die heel strict zijn kan het voorkomen dat wanneer je van je laptop bent weggelopen om koffie te halen zonder hem te locken al als veiligheidsincident wordt geadministreerd.

Als je dat deed in het vorig bedrijf waar ik werkte, was er gegarandeerd wel een 'grappige' collega die even in jouw naam een mailtje rondstuurde om na het werk nog iets te gaan eten op jouw kosten Binnen de kortste tijd lockte iedereen netjes z'n computer.

[Reactie gewijzigd door Jim80 op 22 juli 2024 15:58]

[Keypunchie]

Oh, ik heb zo’n pokkehekel aan dat gedrag.

Je blijft met je fikken van iemand anders spullen af, en als iemand laptop niet heeft gelocked? Dan lock je hem.

Beveiliging doe je samen, mensen maken fouten (er is niet voor niets een policy die auto-lock afdwingt). Kleuters die met iemand anders computer gaan klooien vind ik erger dan iemand die een kleinigheid vergeet.

[mbbs1024]

Waar ik werkte kon je, als je je PC niet lockte, verwachten dat IT dat voor jou deed, en dan kon je samen met je baas, bij IT de zaak laten unlocken, en waren er mogelijk gevolgen voor je evaluatiegesprek/bonus.
Dat was ook wel effectief

[Coolstart]

In dit geval niet. Een incident is: “onbeschikbaarheid van ICT-diensten, vernietiging of corruptie van gegevens, openbaarmaking van vertrouwelijke gegevens.”

Je laptop onbeheerd achterlaten op uw werkplek is in dit geval geen incident.

[tweakerbee]

openbaarmaking van vertrouwelijke gegevens

Dat kan een probleem zijn als je laptop onbeheerd ingelogd staat.

[hexeye]

doorgaans als informatie niet beschikbaar is (bv verwijdering of niet benaderbaar), de integriteit in het geding is (bv datacorruptie, vervalsing) of inzichtelijk is voor wie dat niet bedoeld is (bv gevoelige gegevens op straat of buitgemaakt) op/van ict systemen.

[CAPSLOCK2000]

In dit onderzoek is er sprake van een ict-veiligheidsincident in het geval van "onbeschikbaarheid van ICT-diensten, vernietiging of corruptie van gegevens, openbaarmaking van vertrouwelijke gegevens".

[Blokker_1999]

En dan klopt het wel dat het percentage zoveel hoger zou moeten liggen. Kleine incidentjes van een netwerk dat 20 minuten niet beschikbaar is of een gebruiker die een bestand op een verkeerde plaats heeft gezet gebeuren in zowat elke onderneming.

[Verwijderd]

Ook interessant uit het gelinkte artikel:

Vijf op de tien bedrijven maken hun werknemers bewust van hun verplichtingen inzake ICT-beveiliging.

Is dat niet weinig?

[Keypunchie]

Hangt er beetje vanaf. Als je een kledingwinkel runt, hoe belangrijk is het dan om al je werknemers een cursus cybersecurity te geven?

Moet een buschauffeur regelmatig training krijgen in het herkennen van phishing emails?

Moet een ober malware kunnen herkennen?

[CAPSLOCK2000]

Hangt er beetje vanaf. ls je een kledingwinkel runt, hoe belangrijk is het dan om al je werknemers een cursus cybersecurity te geven?

Strict genomen gaat dit niet over trainen maar over regels als 'je moet je wachtwoord geheim houden' en 'volg de GDPR'. Dat soort regels heb je nodig in ieder bedrijf dat iets met IT doet en volgens zijn er niet veel bedrijven over die helemaal niks met IT doen.

Maar goed, realistisch gezien zal je daar ook training in moeten geven want de meeste mensen hebben dat soort kennis niet van zichzelf.

Het is niet nodig om iedere medewerker op alle gebieden een securityprofessional te maken maar er zijn maar weinig bedrijven over die helemaal niks met IT te maken hebben. Zodra iemand maar een wachtwoord heeft of een bedrijfs e-mail-adres dan zijn er 'verplichtingen inzake ICT-beveiliging' die je als bedrijf aan je medewerkers moet opleggen zoals "je moet je wachtwoord geheim houden'.

Als je een kledingwinkel runt, hoe belangrijk is het dan om al je werknemers een cursus cybersecurity te geven?

Al je medewerkers niet, maar sommigen wel.

Moet een buschauffeur regelmatig training krijgen in het herkennen van phishing emails?

Als de buschauffeur zakelijk gebruik maakt van e-mail dan wel. Tegenwoordig is het heel normaal om te mailen met je baas of de afdeling salarisverwerking.

Moet een ober malware kunnen herkennen?

Als de ober rondloopt met een tablet of af ander apparaat dan zal de ober moeten weten dat klanten er geen USB-stick in mogen steken want daar zou een virus op kunnen zitten. Ook moet je het bedienend personeelvertellen dat je geen schietspelletjes op de kassacomputer mag spelen en dat je de kassa niet uit de UPS mag trekken om je spelcomputer aan te sluiten om te gamen als de stroom uitvalt (dat heb ik meegemaakt).

Ik weet niet hoeveel bedrijven er nog over zijn die helemaal niks met IT doen maar het is fors minder dan de helft. Als de helft de medewerkers dus niet wijst op verantwoordelijkheiden dan durf ik wel te zeggen dat het erg laag is. Overigens is het in praktijk vaak niet meer dan een 'huisregelement' van een paar pagina's dat nieuwe medewerkers moeten ondertekenen samen met hun contract. Zelfs dat heeft een groot deel dus blijkbaar niet.

[boba-fett]

Daar ga je het punt wel een beetje voorbij.
Het heeft natuurlijk alles te maken met de verplichtingen inzake ICT-beveiliging per individueel geval.
Indien die verplichtingen niet aanwezig zijn is het natuurlijk niet relevant.
Maar ik denk dat dat in de huidige tijd dat nauwelijks voor zal komen. Vrijwel iedereen heeft op de werkvloer te maken met enige vorm van toegang tot een of meerdere ICT-systemen.
Daar hoort dan ook bewustmaking bij omtrent relevante risico's.

De medewerkers in de kledingwinkel werken wellicht ook met email, doen mogelijk bestellingen bij leveranciers etc.
Een buschauffeur heeft wellicht toegang tot een intranet, planningen of privacygevoelige informatie.
Ga zo maar door.

[gimbal]

Context is belangrijk he. Als een statement gemaakt wordt als "Vijf op de tien bedrijven maken hun werknemers bewust van hun verplichtingen inzake ICT-beveiliging" dan ga ik er persoonlijk vanuit dat dit slaat op de poel van bedrijven waar ICT sterk relevant is.

[Keypunchie]

Dat vind ik nogal een aanname. Maar de term bedrijf is heel breed hier, ik neem aan dat het van de respondenten onder de ge-enqueteerde bedrijven is (er zijn nogal veel administratieve firma's in de wereld, dus dan vind ik het al hoog), maar er staat helemaal nergens wat hun relatie tot ICT is.

[Verwijderd]

Niet helemaal duidelijk, maar dit komt dus uit enquetering?
Edit. Ja

[eric.1]

Yep.

quote: https://statbel.fgov.be/n...ommerce-bij-ondernemingen

Dat blijkt uit de enquête over het ICT-gebruik in bedrijven [1] [2] die Statbel, het Belgische statistiekbureau, tussen mei en september 2022 heeft uitgevoerd.

[Verwijderd]

Het leek even alsof ze zelf 7500 bedrijven hadden 'getest'.

Zoals het tweakersartikel nu leest

[the_stickie]

Maar 23%?
Zou het kunnen dat een beperkte definitie van 'probleem door veiligheidsincident' gebruikt werd? Of zijn we gewoon blind voor het feit dat admins een groot deel van hun tijd spenderen aan het updaten van allerlei om, juist ja, veiliheidsincidenten op te lossen of te mitigeren voor er enige impact is?

Ik denk dat ik in alle eerlijkheid kan zeggen dat bij alle bedrijven waarvoor ik werkte (van KMO/MKB tot globale spelers) er meer dan eens per jaar security incidenten afgehandeld worden. Gestolen laptops, spam/phishing, gevoelige gebruikers die vertrekken, users die materiaal misbruiken, ddos/brute force attempt/scanning, usb sticks op de parking, random virusjes,....

Ik begrijp dus dat 77% van de bedrijven dat allemaal geen probleem vind

[WillySis]

Als je inlogpogingen op je server of VPN van buiten mee moet tellen, dan moet elk bedrijf tientallen tot honderden veiligheidsincidenten per jaar hebben. In Rusland en China zijn een aantal servers actief die niets anders doen dan lukraak gebruikersnamen en wachtwoorden invoeren. Kennelijk worden dit soort incidenten niet eens meer meegerekend.

[the_stickie]

Feit is dat het merendeel van de bedrijven dit soort 'attacks' wellicht niet opmerkt.
Bij de minderheid die wel degelijk IPS/IDS en degelijke log aggregatie en analyse doet, leveren dergelijke attacks wel degelijk incidenten op die opgevolgd moeten worden (bijv in de financiële wereld). De vraag is dan of de kost van dat alles een probleem is als de business er verder niet door geraakt wordt.

Ik interpreteer uit deze resultaten dan ook vooral dat 77% van de respondenten (bedrijven vertegenwoordigd door.. mgmt? it? ...?) over de periode van een jaar het gangbare security circus als 'normaal' beschouwd en er zelf amper impact van ondervond.
In mijn ervaring blijkt dat als het bedrijf it security iet of wat serieus neemt er toch minstens een keer per jaar (en vaak veel meer) een 'scramble' noodzakelijk is om alles op de rails te houden. De redenen daartoe variëren sterk met de omgeving, maar het is toch altijd wat
Anders bekeken is een 'probleem door een securityincident' een heel subjectieve metric, dan kan dat even goed betekenen dat 23% van de bedrijven in de shit gezeten heeft op een manier dat ze het niet kunnen ontkennen... dat is pijnlijk veel.

[Frame164]

Niet ieder bedrijf heeft eigen servers. Sterker nog: ik denk dat de er veel meer bedrijven zijn zonder eigen servers dan met. Een aanval op een cloudhoster telt dan als 1 bedrijf.

[Ayiko]

Ik vind het nogal raar omschreven allemaal.
Elk bedrijf heeft zo'n incidenten:
- 5min unscheduled downtime in productie, zelfs amazon heeft er minstens 4 gehad in 2021
- laptop gestolen
- vernietiging of corruptie van data: medewerker geeft verkeerde info in of delete per ongeluk verkeerde record, of batch die opkuis oude gegevens doet is niet aangepast om nieuwe tabel ook te bekijken
- medewerker doet reply all of forward naar de misse Jan.

En 12,6% gebruikt biometrische beveiligingsmethoden? Als ik mij goed herinner mag je dat zelfs niet eens doen tenzij je een héél lijvig rapport hebt opgesteld over de specifieke noodzaak ervoor afgezet tegen de inbreuk op de privacy van je werknemers. Dit dus.

[Yarisken]

Hmm wij hebben er al verschillende gehad dit jaar ... gelukkig kleine ...
Denk dat er ook wel een schaamtegevoel is en dat sommige incidenten onder de mat worden geveegd om dat niet aan hoger management te moeten gaan rapporteren.
Soms ga je echt met de billen bloot.

[the_stickie]

De kunst is imho om juist incidenten aan te grijpen om dingen te kunnen veranderen. Niemand hoeft zich te schamen om wat er mis is zolang er naar oplossingen gezocht wordt voor problemen die er zijn. Incidenten kunnen heel behulpzaam zijn bij het in beeld brengen van problemen.
Ik heb gaandeweg geleerd dat wie iets verprutst niet relevant is. Wat telt is of het opgelost geraakt en welke lessen getrokken worden. Vaak is het net goed als iemand eens een dikke fout maakt; niet alleen die persoon maar de hele organisatie leert daaruit.
Imho is het nooit beter dingen onder de mat te vegen; je bent altijd sterker door zwaktes toe te geven.

[Yarisken]

Klopt, wij werken ook zo. Audit is gebeurt en er komt een pak meer geld onze kant uit voor 2023. Maar ik kan me voorstellen als je een hack hebt met user=administrator en ww=administrator dat je dan wel even koud zweet krijgt :-).

[Frame164]

Maar IT afdelingen klagen wel als er niet voldoende budget wordt vrijgemaakt door datzelfde hoger management. Wat vanuit het management weer logisch als ze er niets van weten.

[Cilph]

Ik vind dit een beetje weinig zeggend. De drempel voor een informatiebeveiligingsincident is enorm laag. Je hoeft maar 1 minuut onbedoelde downtime te hebben gehad en technisch gezien hoor je dan bij de 23%. Of mogelijk een enkele werknemer met een kapotte laptop. Dus ik denk eerder dat de andere 77% gewoon geen ISO-compliant registratie doet.