Bedrijf gehackt? Vervang de thermostaat

Nu het internet der dingen zowat elke bedrijfsthermostaat- of deurklink met elkaar verbindt, vergroten ook hackers hun speeltuin. Geconnecteerde toestellen openen de toegang voor hackers tot vertrouwelijke bedrijfsinformatie. Dirk Beynaerts, Business Leader IBM Security Services, doet een oproep naar bedrijven om data over cyberaanvallen te delen met andere bedrijven.

De Belgische overheidsdiensten worden twee keer per dag belaagd door hackers. Vorig jaar was de overheid 666 keer het doelwit van cybercriminelen. In vergelijking met 2014 is dat de helft meer. Hetzelfde verhaal zien we in de bedrijfswereld. Een recente studie van IBM toont aan dat 94 procent van de directieleden een zware cyberaanval op hun systemen verwacht in de komende twee jaar. En terwijl 65 procent overtuigd is voorbereid te zijn op zo’n aanval, blijkt slechts 17 procent dat echt te zijn. Een discrepantie van formaat. En vooral, het gevaar komt soms vanuit een onverwacht hoekje.

Slimme kantoren vergroten de speeltuin van de hacker

Nu het internet der dingen zijn opmars maakt in de bedrijfswereld, vergroot ook de hacker zijn speeltuin. De gemiddelde bedrijfsthermostaat, -airconditioning en -lichtregelaar is verbonden met het internet. Deze toestellen vallen doorgaans buiten het traditionele speelveld van de ICT-afdeling, maar zijn een goudmijn voor hackers. Alleen al het hacken van de thermostaat kan een bedrijf en zijn medewerkers bijzonder veel pijn doen. Het hacken van geconnecteerde toestellen heeft een grote impact op onze fysieke omgeving, maar is nog groter wanneer ze een achterpoortje vormt naar vertrouwelijke bedrijfsdata. Een hacker kan bijvoorbeeld de temperatuur van een datacenter manipuleren, waardoor servers oververhit en beschadigd geraken. Gevolg: een verlies van (vertrouwelijke) gegevens.

De explosie van geconnecteerde toestellen in bedrijven brengt nog een risico met zich mee. De software achter slimme thermostaten of verwarmingssystemen wordt nauwelijks geüpdatet. Indien zo’n toestel een security bug bevat, is de beste oplossing om het te vervangen. Maar slimme thermostaten in dito kantoren zijn duur. Dat zet de deur op een kier voor datadieven.

De security paradox van de cloud

En er is meer. Bedrijven delen meer dan ooit data met externe partners. Consultants, leveranciers en advocatenkantoren hebben toegang tot intellectueel bedrijfseigendom en vertrouwelijke processen. Bedrijven beseffen vandaag te weinig dat ook zij een gevaar vormen. Partners kunnen de vuile bedrijfswas buitenhangen; slimme criminelen kunnen de externe kanalen van een bedrijf hacken.

We delen niet alleen meer data met elkaar, we delen die ook anders. Bedrijven maken massaal de overstap naar de cloud om data te delen, op te slaan en te verwerken. Maar de beveiliging van die data blijft een hekel punt. Een recente studie toont aan dat CIO’s denken dat hun data bij een aanval veiliger zit in de cloud dan op eigen servers. Anderzijds blijft security de grootste drempel voor bedrijven om niet over te stappen naar de cloud. Paradoxaal, maar waar. En er zijn wel meer misvattingen over cyberveiligheid.

Tachtig procent van de CEO’s denkt dat het grootste cybergevaar van individuen komt. Een pertinent foute gedachte. Het grootste gevaar komt al lang niet meer van zweterige pubers die vanuit hun slaapkamer de website van een bedrijf of overheidsdienst proberen aan te vallen. De realiteit is dat 80 procent van de cyberaanvallen komt van uiterst goed georganiseerde criminele groepen, overheden of personeel binnen het bredere ecosysteem van bedrijven (partners of werknemers).

Bedrijven moeten data over cyberaanvallen delen

De gemiddelde CEO deelt liever geen interne informatie over cyberaanvallen. Toch is dat precies wat nodig is om cybercriminaliteit te bestrijden. Alleen zo kunnen specialisten het gevaar lokaliseren en bestrijden. In tegenstelling tot bedrijven zijn hackerscollectieven uiterst efficiënt in het delen van informatie over kwetsbare bedrijven en toekomstige doelwitten. In de duistere hoeken van het internet ontwikkelen zich hele online gemeenschappen rond hackerscollectieven. Wil de bedrijfswereld voorbereid zijn, moet ze hetzelfde doen.

Een strategie uitwerken tegen cyberaanvallen behoorde tot voor kort tot het takenpakket van de ICT-afdeling. Toch zijn ICT-ers al lang het monopolie verloren op toegang tot gevoelige bedrijfsinformatie. De CMO, CFO en CHRO zitten op enkele van de meest datagevoelige afdelingen. Ze managen personeelsdata, bedrijfsfinanciën en hebben toegang tot bankgegevens. Niet toevallig zijn deze drie afdelingen de meest gegeerde doelwitten van hackerscollectieven. Toch is 60 procent van deze CxO’s nauwelijks betrokken bij het opstellen van een strategie tegen cyberveiligheid. Dat moet anders. Directieteams hebben opleidingen nodig zodat ze een krachtige strategie kunnen uitwerken tegen cybercriminaliteit en bijgevolg hun bedrijf en reputatie blijven garanderen. Daarbij zijn drie tips cruciaal:

• Identificeer de risico’s – Elk bedrijf is verschillend. Directieteams moeten daarom de cyberrisico’s identificeren. Waar liggen de gevoeligheden? Welke partners of werknemers vormen het grootste risico? Wat is de gemiddelde attitude van werknemers ten aanzien van cybercriminaliteit? Weten ze dat het gebruik van een eigen smartphone voor het werk of het delen van interne data met leveranciers risico’s met zich meebrengen? Cyberbeveiliging moet een integraal onderdeel worden van bedrijfsstrategieën. Directieleden moeten hun werknemers doen beseffen dat zij de deur naar vertrouwelijke bedrijfsdata open, op een kier of gesloten houden.
• Een strategie door alle CxO’s. Bouw een gedegen cyber security beleid uit, samen met het volledige directieteam. De CFO, CMO en CHRO zitten op enkele van de meest datagevoelige afdelingen. Zonder hen is een strategie tegen cyberbeveiliging half werk.
• Reageer snel en krachtig – Installeer intelligente systemen die cyberrisico’s in realtime monitoren. Deel informatie over cyberaanvallen zodat je beter voorbereid bent en sneller kan reageren op potentiele aanvallen.

Dirk Beynaerts, Business Leader IBM Security Services