Als het toch misgaat: de praktijk van cyberweerbaarheid

Gebruik Cybersecurity Month als APK-moment voor je cybersecurity

Gilles van Heijst, transformation lead bij YaWorks

Cybersecurity Month moet geen jaarlijks startschot zijn om pas maatregelen te gaan overwegen, stelt Gilles van Heijst. De maand leent zich volgens hem juist uitstekend voor een grondige controle van bestaande voorzieningen.

"Je kunt het benaderen als een APK-moment; je vervangt niet de hele auto, maar controleert of de onderdelen waarvan je afhankelijk bent nog doen wat ze moeten doen. Begin bij de systemen en processen die cruciaal zijn voor je organisatie en stel jezelf fundamentele vragen: wat gebeurt er als deze morgen uitvallen, werkt onze back-up, en hebben we ooit getest of ons herstelplan in de praktijk uitvoerbaar is? Ransomware is vaak het eerste scenario, maar zeker niet het enige waarop organisaties voorbereid moeten zijn."

Van Heijst ziet dat fundamentele basismaatregelen soms naar de achtergrond verdwijnen door de drang naar innovatie. "Organisaties besteden graag tijd aan nieuwe projecten zoals AI, wat de focus kan wegnemen van minder spannende zaken als back-ups, vulnerability management en disaster recovery. Toch blijft dat het fundament waarop innovatie rust."

Hoe zo'n APK eruitziet, verschilt per organisatie. "Een mkb-bedrijf kan beginnen met het daadwerkelijk terugzetten van een back-up. Voor een grote organisatie is het doorlopen van een crisisscenario met de business wellicht relevanter. De zwaarte van de maatregelen moet volgen uit de impact op de bedrijfsvoering. Het belangrijkste is dat je weet welke processen kritiek zijn, welke risico’s je accepteert en of je maatregelen in de praktijk bestand zijn tegen een incident."

Snel reageren begint vóór een incident

Esther Hovenkamp, Manager Cyber Security Sales Europe bij Conscia

Een snelle reactie bij de eerste signalen van een inbreuk is essentieel, benadrukt Esther Hovenkamp. Zonder heldere bevoegdheden en goed afgeschermde herstelsystemen heeft snelle detectie echter weinig nut.

"Uit data van ons Europese SOC blijkt dat 43 procent van de bevestigde incidenten buiten kantooruren begint. Als op die momenten niet duidelijk is wie bevoegd is om een account uit te schakelen of een systeem te isoleren, verliest snelle detectie zijn waarde."

Daarnaast wijst Hovenkamp op het risico dat beheer- en herstelsystemen zelf doelwit worden. "Denk aan back-up, storage, virtualisatie en directory-omgevingen. Als die vanuit de gewone gebruikersomgeving bereikbaar zijn, kan een aanval ervoor zorgen dat herstel ernstig wordt bemoeilijkt."

"Cybersecurity Month is een goed moment om te testen wat er gebeurt als preventie faalt. Is duidelijk wie mag ingrijpen, kun je achterhalen wat er precies is gebeurd en zijn back-ups nog veilig te benaderen? De antwoorden op die vragen bepalen hoe effectief je als organisatie reageert en herstelt."

DNS geeft voorsprong op aanvallers

Joris van der Linde, Product Security Specialist Northern Europe bij Infoblox

Securityteams moeten actiever kijken naar de voorbereidingen die kwaadwillenden treffen, stelt Joris van der Linde. Aanvallers zetten hun infrastructuur, phishing-content en nepapplicaties vaak ruim vooraf klaar.

"Uit ons Threat Landscape Report blijkt dat ongeveer 90 procent van de dreigingssignalen gemiddeld 68 dagen voordat klanten ermee in aanraking komen wordt geïdentificeerd. Die voorsprong moet je benutten, al kun je nooit alles voorkomen."

Omdat vrijwel elke netwerkverbinding begint met een DNS-query, vormt DNS een cruciale bron van inzicht. "Met volledig zicht op DNS-verkeer kunnen securityteams snel vaststellen welke systemen zijn geraakt, prioriteiten stellen in hun respons en incidenten indammen voordat ze zich verder verspreiden."

"Cyberweerbaarheid draait niet alleen om het tegenhouden van aanvallen. Het gaat erom dat je over de juiste zichtbaarheid beschikt om dreigingen tijdig te herkennen, snel te handelen bij incidenten en de organisatie veilig te laten doordraaien."

Beveiliging van AI-agents kan niet langer wachten

Fred Streefland, Global CISO bij Check Point

De snelle opkomst van autonome AI-toepassingen brengt nieuwe risico's met zich mee. Wachten op specifieke wet- en regelgeving is volgens Fred Streefland geen optie.

"Organisaties moeten vandaag bepalen binnen welke veiligheidskaders een AI-agent mag opereren en vervolgens controleren of deze zich daaraan houdt. Een AI-agent die niet wordt begrensd, kan alle middelen benutten die tot zijn beschikking staan — ook wanneer dat niet de bedoeling is."

Alleen kaders stellen is volgens Streefland niet voldoende; er moet ook ingegrepen kunnen worden. "Daarvoor moet je zicht hebben op wat er gebeurt rond de AI-agent, de identiteit waarmee deze handelt, het netwerk en actuele dreigingen. Uiteindelijk moet je door de volledige keten kunnen ingrijpen en processen direct kunnen stilleggen als dat noodzakelijk is."

"Bij de inzet van AI-agenten moet veiligheid vanaf het begin worden ingebouwd, niet achteraf. Alleen zo behouden organisaties de controle over systemen die steeds autonomer handelen."

NIS2-compliance is pas het begin: test of je kunt blijven draaien

Anouck Teiller, deputy CEO bij HarfangLab

Met de inwerkingtreding van de Cyberbeveiligingswet (de Nederlandse vertaling van de Europese NIS2-richtlijn) is cybersecurity een expliciete verantwoordelijkheid voor het bestuur geworden. Maar compliance alleen garandeert geen continuïteit, waarschuwt Anouck Teiller.

"Uit ons onderzoek blijkt dat 69 procent van de Nederlandse bedrijfsleiders verwacht dat een cyberincident aanzienlijke gevolgen kan hebben voor de bedrijfsvoering en omzet. Bij 43 procent kan de omzet al binnen dezelfde werkdag worden geraakt, terwijl organisaties gemiddeld ruim vier dagen nodig denken te hebben voor een volledig herstel. Toch noemt slechts 23 procent bedrijfscontinuïteit en snel herstel de belangrijkste focus van hun cybersecuritystrategie."

Compliance op papier is daarom een stap, maar de praktijk is doorslaggevend. "Cybersecurity Month is het moment om te testen wat er gebeurt als een aanvaller daadwerkelijk binnenkomt. Hoe snel detecteer je een aanval? Kun je verspreiding voorkomen? Weet iedereen wie welke beslissingen neemt? En welke kritieke processen moeten blijven functioneren als delen van de IT-omgeving gecompromitteerd zijn?"