Elk jaar doen miljoenen Nederlanders en tienduizenden bedrijven melding van een cyberaanval. Dat blijkt onder andere uit cijfers van de Autoriteit Persoonsgegevens. Het aantal meldingen stijgt elk jaar, volgens cybersecurity-experts zelfs explosief. Gehackt worden kan leiden tot enorme financiële schade, van enkele honderden euro's tot meerdere tonnen. Soms leidt het zelfs tot een faillissement.
Van de Putte: “Als finance kun je er wel voor zorgen dat je de cijfers op orde hebt, maar als je dat doet terwijl je grote risico’s loopt, kan wat je hebt opgebouwd die in één klap weg zijn”.

Het huis op orde

Het is dus een noodzaak om als organisatie te zorgen dat je niet kwetsbaar bent voor cyberaanvallen. Je moet je basis op orde hebben, stelt Van de Putte. “Heb je de governance goed ingericht? Zijn het beleid en de procedures goed beschreven? Stel deze vragen om ervoor te zorgen dat je het huis op orde hebt. En dan speelt ook nog het externe deel. Weet je welke risico’s waar vandaan komen en wat je daarmee moet doen? Voorheen had je de afdeling information security en die zat laag in de organisatie. De gevaren van bijvoorbeeld een hack lagen niet continu op de loer en je hoefde er niet constant over na te denken. Maar de wereld is veranderd. Er schuilt gevaar in elke hoek en cybersecurity is nadrukkelijk een strategisch topic geworden. Je bent te laat als je gaat handelen als een probleem zich daadwerkelijk voordoet. Aan de voorkant moet je je indekken en dus moet het onderwerp in de top van de organisatie worden besproken.”

Hulp van tools

Wat zou je als organisatie moeten doen om het risico op een cyberaanval te reduceren? Van de Putte geeft advies. “Het is niet mogelijk om 24 uur per dag te controleren of je wordt gehackt. Daarom moet je de hulp inschakelen van tools die monitoren en melden als er gevaar dreigt. Daarbij is het de vraag welke tools de organisatie nodig heeft.” Ze geeft een voorbeeld. “Een techneut kan alle tools inrichten die er beschikbaar zijn. Daardoor is alles afgeschermd. Maar is er dan nog goed te werken? Daarom moet je, en daar ligt ook een verantwoordelijkheid voor de registercontroller, goed nadenken over wat écht belangrijk is voor de organisatie. Wat scherm je af? Wat doet er minder toe? Je kunt je voorstellen dat de gevolgen groter zijn als je financiële cijfers worden gestolen dan als er informatie over je workflows lekt. Je moet dus keuzes maken in tools. Anders krijg je als organisatie te veel op je bord.”

Interessant voor hackers

Volgens Van de Putte schuilen er op dit moment gevaren voor organisaties die gebruikmaken van ERP-systemen van SAP. “Deze systemen zijn een belangrijke bron voor financiële informatie. Ze zijn op dit moment heel interessant voor hackers. Veel organisaties zijn bezig hun data over te zetten naar de cloud. Daar zit dus veel beweging in. Als er beweging is, zijn er risico’s. Er komt een moment dat het slot van het oude datacenter afgaat, waarna de systemen en de data naar de cloud gaan. Op dat moment zijn je data mogelijk niet bewaakt. Binnen een paar uur kunnen hackers actief zijn en kunnen ze aan de haal gaan met jouw informatie. Ze zien namelijk dat je aan het migreren bent. Dat zijn momenten waarop je extra alert moet zijn.”

“ERP-systemen zijn een belangrijke bron voor financiële informatie. Ze zijn op dit moment heel interessant voor hackers.” 

Het kost geld

Het feit dat cybersecurity geld kost, is volgens Van de Putte een gegeven. “Maar risk en compliance kosten altijd geld. Je kunt ook andersom redeneren. Als je niet compliant bent, wat betekent dat dan? Wat kost dat dan? De kosten zijn torenhoog als jouw systemen worden gehackt of als je financiële gegevens op straat komen te liggen. Als je weet wat de risico’s zijn, dan is een investering wel te verantwoorden.”

Toezicht op cybersecurity versterkt

“Toezichthoudende instanties hebben ook steeds meer aandacht voor dit onderwerp. Dat zie je onder andere terug in de NIB-richtlijn. Deze netwerk- en informatiebeveiligingsrichtlijn is een Europese richtlijn die het doel heeft om voor eenheid en samenhang te zorgen in Europees beleid voor netwerk- en informatiebeveiliging. Dit om het functioneren van onze samenleving en economie te ondersteunen. Door de digitale paraatheid te vergroten en de gevolgen van cyberincidenten te verkleinen. Aanbieders van essentiële diensten en digitale dienstverleners zijn vanwege die richtlijn verplicht om adequate maatregelen te nemen om beveiligingsrisico’s te beheersen. En de gevolgen van incidenten te voorkomen en minimaliseren.”

Gevolgen niet te overzien

Van de Putte juicht het toe dat de NIB-richtlijn ‘kritieke entiteiten’ dwingt om actief na te denken over cybersecurity en daar naar te handelen. “De gevolgen zijn niet te overzien als een energiebedrijf of een fabrikant van medicijnen wordt gehackt. Dan kan een complete stad zonder stroom zitten of kunnen medicijnen op de markt komen met de verkeerde doseringen. De risico’s zijn zo groot dat het goed is dat voor de ‘kritieke entiteiten’ de eisen worden verhoogd. Het geeft mij een gerust gevoel dat hierop wordt toegezien.”