De kans dat een organisatie getroffen wordt door een cyberincident is 1 op 8. Maar het voorbereiden op en het oefenen van een cybercrisis wordt nauwelijks gedaan. “Het beperken van de schade zit in een goede voorbereiding”, stelt Job Kuijpers, CEO bij EYE Security.
Organisaties ontdekken een cyberincident vaak te laat. Op dat moment is er al iets aan de hand; er is veel geld verdwenen, data gestolen of alle systemen zijn op slot gezet door ransomware. Dat is het moment dat de processen stil komen te liggen en dat het duidelijk wordt dat een organisatie getroffen is. “In die eerste fase zien we vaak dat er paniek is en er intern spanningen ontstaan om een verantwoordelijke aan te wijzen”, zegt Kuijpers. "Dat is het moment dat een organisatie zich realiseert hoe afhankelijk het is van IT voor álle processen, niet alleen de primaire. En dat is ook vrij snel voelbaar buiten de organisatie.”
Juist in die eerste fase gaat er meestal veel mis, weet de CEO. “Daarom is het belangrijk om snel het crisisteam te alarmeren en een cybersecurity expert in te schakelen. Anders verlies je onnodig veel tijd doordat er onzekerheid is over de verantwoordelijkheden en hoe dit allemaal kon gebeuren. Ook zien we vaak dat de interne IT-organisatie eerst zelf zaken probeert op te lossen, al dan niet met behulp van de externe IT-leverancier. Maar daar wordt juist vaak grote schade aangericht door gebrek aan expertise en dat is bepalend voor het herstel. Men onderschat de professionaliteit van de aanvallers. Kun je binnen 24 uur weer up and running zijn of wordt dat een kwestie van dagen of zelfs weken?”
In hoeverre is het belangrijk dat een crisismanager technologische kennis heeft?
“Hoewel de rol van een crisismanager vooral coördinerend is, is het vooral bij cyber belangrijk dat hij het vermogen heeft om technologisch te snappen wat er aan de hand is. Een cyberaanval is bij uitstek een technisch probleem dat vooral technisch opgelost moet worden. In de praktijk zie ik vooral in dit soort situaties een gebrek aan kennis. Maar die kennis is wel noodzakelijk om de rust te bewaren en de feiten boven water te krijgen waarop je kunt baseren welke acties noodzakelijk zijn. Het vergt enige technische kennis om dit soort crises goed te kunnen managen.”
Waar ligt uiteindelijk de verantwoordelijkheid in een organisatie?
“Altijd bij de board. Je kunt niet de huidige risico- en schadecijfers hebben – bij grote organisaties komt de gemiddelde schade op 3,7 miljoen euro – zonder dat de board hier direct bij betrokken is. Een aanval raakt direct het belang van aandeelhouders, dus het is primair een taak van de board. Zij zijn verantwoordelijk voor een goede voorbereiding en het opstellen van een incident response plan.
Maar met alleen zo’n plan ben je er nog niet. Het is cruciaal dat je ervoor zorgt dat de mensen in je organisatie op de hoogte zijn van dat plan en weten hoe ze moeten handelen in geval van een cybercrisis. Daarom is het zo belangrijk om ook op boardniveau te oefenen met zo’n crisis, in bijvoorbeeld een table top oefening. Als board ben je verantwoordelijk voor het bouwen van een robuust operationeel proces. De kans dat er een cyberincident plaatsvindt, is 1 op 8, daar móet je als board op voorbereid zijn. Bovendien zijn dit de mensen die tijdens de crisis zelf de keuzes moeten maken over de te accepteren schade, kosten, alternatieve processen en het al dan niet betalen van losgeld.”
Hoe bereid je je als organisatie voor op een cybercrisis?
“Het begint altijd bij de technologie, want het is een technologisch probleem dat je ook op die manier moet oplossen. Om voorbereid te zijn, moet je kunnen zien wat er op je systemen gebeurt en wanneer dat afwijkt van de normale patronen. Op het moment dat je verdachte activiteiten ziet op je systemen, moet je kunnen ingrijpen en de professionals hebben die weten hoe ze de juiste dingen moeten doen.
Vergelijk het met een sprinklerinstallatie. Daarmee ben je in staat om direct te blussen wanneer er brand ontstaat. Als je op dat moment nog de brandweer moet gaan bellen, ben je rijkelijk laat. Juist die sprinklerinstallatie maakt het verschil. Dat is ook zo met een cyberaanval. Als je technisch goed voorbereid bent, kan dat het verschil zijn tussen de aanval afslaan of dagenlang stilstaan.”
Naast technische kennis en mensen, zijn er ook andere aspecten die je als crisismanager op je bord krijgt, zoals het informeren van de benodigde instanties, maar ook de medewerkers, klanten en leveranciers. Welke rollen moeten, naast een technische partij, aan tafel zitten bij een cybercrisis?
“De afdeling communicatie, of een extern bureau, is cruciaal. Zij moeten zowel intern als extern communiceren over wat er gebeurt, wat er gedaan wordt, of er mogelijk data is gelekt, maar ook over welke diensten bijvoorbeeld nog gegarandeerd kunnen worden. Ook moet je nadenken over de communicatie met bijvoorbeeld criminelen, in het geval van ransomware, en met overheidsinstanties en mogelijk de media.
Daarnaast is juridische ondersteuning belangrijk, voor alle aansprakelijkheden naar leveranciers, klanten en andere ketenpartijen. Maar ook op het gebied van de AVG. Welke verantwoordelijkheid heb je op welk moment en wanneer moet je welke zaken melden bij de Autoriteit Persoonsgegevens? Het is belangrijk dat deze afdelingen ook voorbereid zijn op een crisissituatie en daarmee hebben geoefend.”
Hoe belangrijk is het regelmatig oefenen van een cybercrisis?
“Enorm belangrijk. Je wilt zeker weten dat iedereen weet wat hij of zij moet doen, zodat de schade aan de voorkant al beperkt kan worden. Voorkomen is altijd beter dan achteraf repareren. Ook qua business continuïteit moet je vooraf nadenken over wat je kunt en gaat doen wanneer de systemen uitvallen. Zijn er alternatieven? Een oefening kan inzicht geven in hoe je snel weer up and running kunt zijn na een aanval. Niet alleen de board moet oefenen, ook procesmatig moet een cybercrisis regelmatig worden getraind. En dat is niets anders dan een brandoefening, gewoon om te borgen dat iedereen weet wat hij moet doen.”
Hoe pak je zo’n oefening aan?
“Er zijn verschillende organisaties die je daarbij kunnen helpen. Zij lopen een cyberincident van A tot Z helemaal door en voegen daar een table top oefening aan toe. Daarbij worden de verantwoordelijkheden helder gemaakt en wordt er gezorgd voor een degelijk incident response plan.
Het mooie van zo’n oefening is dat ook de hiaten worden blootgelegd waarmee je vervolgens als board en organisatie aan de slag kunt. Wat je dient te voorkomen is dat zo’n oefening beleidsmatig wordt gedaan zonder dat er bij wijze van spreken een sprinklerinstallatie en brandblussers worden geïnstalleerd. Dat geeft een vals gevoel van veiligheid.”
Tot slot, wat adviseer je crisismanagers wanneer ze zich geconfronteerd zien met een cybercrisis?
“Zorg dat je direct een technische incident response partij aan tafel krijgt en maak die een heel eind leidend in de informatieflow en de besluiten. In de technische aanval ligt de feitelijkheid en van daaruit volgt wat je juridisch en procesmatig moet doen. De basis daarvan is informatie, al het andere is ruis.”
Bron: decrisismanager.nl | Maaike Tindemans
Bekijk alle vormen en begrippen
Actuele aanvallen overzicht per dag
Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met de politie. Telefonisch via het nummer 0900-8844 of online via het meld formulier. Uiteraard kunt u daarnaast ook tips melden bij Cybercrimeinfo.
Meer actueel cybercrime nieuws
Ransomware drijven de kosten van cyberverzekeringen omhoog
Bedrijven zijn zo vaak doelwit van cybercriminelen, dat het voor verzekeraars minder interessant of rendabel wordt om zogenoemde cyberpolissen te verkopen. Dat blijkt uit een rondgang van RTL Z.
Is een volgende systeemcrisis een ‘cybercrisis’?
Wereldwijd zien CEO’s cyberdreigingen als het grootste gevaar voor de stabiliteit en het succes van hun organisaties.
Tekenen van ‘SilverFish’ zijn gezien bij tiental Nederlandse zorgorganisaties
Ze zijn bijna onzichtbaar en lastig om vanaf te komen. De hackersgroepering 'SilverFish' is net als het insect een plaag aan het worden. Talrijke organisaties over de hele wereld zijn geraakt door deze geavanceerde Advanced Persistent Threat (APT). Tekenen van SilverFish zijn gezien bij zeker een tiental Nederlandse zorgorganisaties. Onderzoek moet uitwijzen wat de gevolgen daarvan zijn. In deze blogpost geven we alvast antwoord op de meest gestelde vragen over SilverFish.
"De vraag is wanneer jij aan de beurt bent"
Datingfraude, mysterieuze malware, covid-19 vaccins op darkweb, helpdeskfraude, fake webshops, gehackte social-media accounts en meer, de lijst wordt oneindig. Cybercriminaliteit komt helaas steeds vaker voor. Het is een industrie op zichzelf en de vraag is wanneer jij aan de beurt bent. Steeds vaker zijn computercriminelen op zoek naar persoonsgegevens, wachtwoorden en natuurlijk het liefst ook nog je pincode. Kun je jezelf eigenlijk nog wel afdoende beschermen en hoe groot is de kans dat een van die vele accounts van jou ook een keer wordt gehackt? Het is te hopen dat het je nooit zal overkomen.
"Cybercriminelen ontwikkelen continu nieuwe methodes"
Cloudsecurity bedrijf 'CrowdStrike' ziet een groeiende trend van ransomware-aanvallen gericht op bedrijven waarbij sprake is van data-afpersing. Dat blijkt uit de resultaten van het 2021 Crowdstrike Global Threat Report (GTR).
Cybercrime in de VS (Internet Crime Report 2020)
Cybercriminaliteit in de VS zit in de lift, zo luidt de conclusie van het 'Internet Crime Complaint Center' (IC3). De afdeling van de FBI die zich bezighoudt met de bestrijding van cybercrime, ontving afgelopen jaar 791.790 klachten van burgers en organisaties die het slachtoffer waren van cybercriminelen en hackers. De aanvallers veroorzaakten hiermee zo’n 4,2 miljard dollar aan financiële schade.
Desastreuze gevolgen door 'Welkom2020'
Door een samenloop van omstandigheden was de beveiliging van IT-systemen en servers bij de gemeente 'Hof van Twente' niet op orde. Audits die werden uitgevoerd door externe bedrijven leverden geen signalen op dat er iets mis was met de beveiliging. Een recente penetratietest (ethische hack test) zag een zwak wachtwoord over het hoofd, waardoor de daders het netwerk van de gemeenten konden binnendringen. Maar er waren meerdere beveiligingszaken die niet goed waren geregeld.
"We zien dat bij die aanvallen vaak vier-tot vijfduizend keer in een paar uur wordt aangevallen"
Meerdere zorginstelling in Nederland, België en Frankrijk zijn de afgelopen weken slachtoffer geworden cybercrime. Secutec Nederland ziet een toename van phishing en ransomware-aanvallen in de afgelopen tijd. "En het is heel specifiek op de zorgsector gericht."
"Het is vrijwel zeker minimaal 1200 servers geïnfecteerd"
De gevolgen van de kwetsbaarheden in Microsoft Exchange Server zijn groot voor Nederlandse organisaties en bedrijven. Het NCSC constateert dat er als gevolg van deze kwetsbaarheden data wordt gestolen, malware wordt geplaatst, achterdeurtjes worden ingebouwd en mailboxen worden aangeboden op de zwarte markt. Via de Microsoft Exchange server kunnen kwaadwillenden mogelijk ook in andere systemen komen.
In Nederland zijn nog 1600 Exchange servers kwetsbaar voor aanvallen!
Het is een pittige tijd in cybersecurity land. Misschien wel de zwaarste ooit. Alleen al in de afgelopen drie maanden zijn er meer dan twaalf zero-days ontdekt waarbij talloze organisaties over de hele wereld zijn getroffen.
"Het wordt steeds groter en is veelkoppig"
Het Openbaar Ministerie maakt zich zorgen over de explosieve toename van cybercriminaliteit in 2020. Internetoplichting, identiteitsfraude en het aantal verdachten van cyberdelicten stegen afgelopen jaar enorm. Om burgers en organisaties beter te beschermen tegen cybercriminelen, moeten ze weerbaarder worden gemaakt. Ook moet er ingezet worden op intensieve opsporing en vervolging van daders.
Microsoft Exchange cyberaanval: "Alleen Patchen van Exchange niet voldoende"
De afgelopen dagen zijn enorm veel cyberaanvallen gesignaleerd door een opening in 'Microsoft Exchange servers'. Deze lek was al enige tijd bekend, maar de laatste dagen is zichtbaar geworden dat cybercriminelen hier massaal gebruik van willen maken of al gemaakt hebben.