Cybersecurity verwijst naar het geheel van technische, organisatorische en menselijke middelen die zijn ingezet om de informatiesystemen, netwerken en gegevens van een bedrijf te beschermen tegen inbraken en aanvallen. In Frankrijk concentreren TPE’s, PME’s en ETI’s nu een steeds groter deel van de incidenten die aan de ANSSI worden gemeld, met een duidelijke toename van aanvallen die specifiek gericht zijn op deze vaak onderbedeelde structuren op het gebied van digitale bescherming.
Gegevensexfiltratie zonder ransomware: de bedreiging die de firewall alleen niet blokkeert
Recente rapporten over cyberdreigingen in Frankrijk onthullen een verandering in strategie bij de aanvallers. De encryptie van systemen door ransomware neemt licht af, maar de incidenten met gegevensexfiltratie nemen duidelijk toe van jaar tot jaar.
Het principe is eenvoudig: in plaats van de toegang tot bestanden te blokkeren, kopiëren de aanvallers gevoelige gegevens (klantbestanden, contracten, bankgegevens) en dreigen ze deze openbaar te maken. Het bedrijf kan doorgaan met werken, maar het wordt geconfronteerd met chantage over zijn reputatie en een meldingsplicht op grond van de AVG.
Deze evolutie verandert de situatie voor de IT-oplossingen die moeten worden geïmplementeerd. Een klassieke firewall en antivirussoftware beschermen de netwerkrand, maar ze detecteren geen discreet bestandsoverdracht naar een externe server. Gespecialiseerde dienstverleners zoals APWN begeleiden bedrijven bij het implementeren van oplossingen die zijn aangepast aan deze nieuwe vormen van bedreigingen, met name het toezicht op uitgaande datastromen en de segmentatie van toegang tot gegevens.
Concreet moet een PME die persoonlijke gegevens van klanten opslaat, niet alleen de inbraakpogingen in de gaten houden, maar ook de abnormale volumes gegevens die haar netwerk verlaten. Zonder deze zichtbaarheid kan een exfiltratie weken duren voordat deze wordt opgemerkt.
IT-beveiligingsaudit: waar te beginnen als de middelen beperkt zijn
De eerste stap in een effectieve cybersecurity-aanpak is de beveiligingsaudit. Dit is geen diagnose die alleen voor grote bedrijven is gereserveerd: zelfs een structuur met tien werkplekken kan (en moet) zijn kwetsbaarheden in kaart brengen.
Een audit begint met een inventarisatie van de digitale activa: werkstations, servers, bedrijfsapplicaties, externe toegang, gebruikersaccounts. Elk element wordt geëvalueerd op basis van zijn kriticiteitsniveau voor de activiteit en zijn mate van blootstelling aan bedreigingen.
De drie controlepunten om prioriteit aan te geven
- Wachtwoord- en toegangsbeheer: controleren of elke gebruiker alleen de rechten heeft die nodig zijn voor zijn functie, en of multi-factor authenticatie is ingeschakeld op kritieke accounts (e-mail, boekhouding, VPN-toegang)
- Status van software-updates: een besturingssysteem of bedrijfssoftware dat niet is bijgewerkt, vertoont bekende en gedocumenteerde kwetsbaarheden die aanvallers als eerste uitbuiten
- Back-upbeleid: controleren van de frequentie, encryptie en vooral de fysieke ontkoppeling van de back-ups ten opzichte van het hoofdnetwerk, zodat ze niet worden gecompromitteerd in geval van een inbraak
De audit produceert een lijst van kwetsbaarheden, gerangschikt op risiconiveau. De meest urgente correcties (een beheerdersaccount zonder dubbele authenticatie, bijvoorbeeld) kunnen vaak binnen enkele uren worden doorgevoerd, zonder materiële investeringen.
NIS2 en regelgeving: wat de Franse transpositie betekent voor PME’s
De Europese richtlijn NIS2 breidt het bereik van bedrijven die aan cybersecurityverplichtingen zijn onderworpen, aanzienlijk uit. In Frankrijk loopt de transpositie van NIS2 aanzienlijke vertraging op, met een blokkade die al meer dan een jaar aanhoudt volgens verschillende gespecialiseerde analyses. Deze vertraging ontslaat de betrokken bedrijven echter niet van de noodzaak om zich voor te bereiden.
NIS2 betreft veel bredere sectoren dan de vorige versie: industriële onderaannemers, leveranciers van digitale diensten, bedrijven in de toeleveringsketen. Een PME die als onderaannemer voor een opdrachtgever die als “belangrijke entiteit” is geclassificeerd, werkt, kan zonder dit te anticiperen binnen het bereik komen.
Concrete verplichtingen om nu al voor te bereiden
De richtlijn vereist een geformaliseerd risicobeheer, met documentatie van beschermingsmaatregelen, procedures voor incidentrespons en continuïteitsplannen. Ook is er een meldingsplicht voor significante incidenten binnen korte tijd.
Voor een PME betekent dit dat ze moet overstappen van een informele benadering (“we hebben een antivirus en back-ups”) naar een gedocumenteerde en verifieerbare strategie. De kosten van naleving zijn afhankelijk van de bestaande volwassenheid, maar bedrijven die al een recente audit hebben, hebben een reëel voordeel: ze kennen hun tekortkomingen en kunnen hun investeringen richten.
Bewustmaking van gebruikers: de schakel die technologie niet vervangt
De meeste succesvolle inbraken maken gebruik van een menselijke fout: klikken op een phishinglink, het openen van een geïnfecteerde bijlage, het doorgeven van inloggegevens per telefoon aan een valse technische ondersteuning. Geen enkele IT-oplossing, hoe geavanceerd ook, kan een ongetrainde gebruiker compenseren.
Bewustmaking beperkt zich niet tot een jaarlijkse presentatie over de risico’s. Effectieve programma’s combineren campagnes voor phishing-simulatie (het verzenden van valse geïnfecteerde e-mails om het klikpercentage te meten), contextuele herinneringen en duidelijke procedures voor het melden van een verdacht bericht.
Een vaak verwaarloosd punt: de training moet ook de buitenkantoor gebruik dekken. Thuiswerken, openbare Wi-Fi-verbindingen en het gebruik van persoonlijke apparaten om toegang te krijgen tot de tools van het bedrijf creëren kwetsbaarheden die niet automatisch door netwerkbeveiligingsbeleid worden gedekt.
De bescherming van een bedrijf berust op de samenhang tussen drie pijlers: actuele technische hulpmiddelen, anticiperende regelgeving en gebruikers die in staat zijn een aanvalspoging te herkennen. Het negeren van een van deze pijlers betekent een open deur laten, ongeacht het budget dat op de andere twee is geïnvesteerd.