​‘Zie cyberbeveiliging als een investering’

Bedrijven onderschatten vaak de impact van cyberaanvallen, denkt cyberveiligheidsexperte Nathalie Claes. De snelle digitalisering na de pandemie en geopolitieke spanningen vergroten de risico's. Haar nieuwe boek benadrukt hoe essentieel de menselijke factor is in cyberbeveiliging. Claes adviseert om medewerkers te trainen en goede toegangscontrole in te stellen. Hoewel AI voordelen biedt, kan het ook door hackers misbruikt worden, wat een nieuw strijdtoneel creëert.

“Bedrijven zien de mogelijke return on investment vaak nog niet. Maar als het fout loopt, zijn de kosten des te hoger. Want de vraag is niet of er iets zal mislopen, maar wanneer”, waarschuwt cyberveiligheidsexperte Nathalie Claes, die recent een boek publiceerde over cyberveiligheid.

Volgens een recent rapport van het Vlaams Agentschap Innoveren en Ondernemen (VLAIO) vervijfvoudigde het aantal bedrijven dat door een cyberaanval getroffen werd vorig jaar. Vanwaar die sterke toename?

“Enerzijds dreef Rusland sinds de start van de oorlog in Oekraïne het aantal cyberaanvallen op. Iedere keer dat Europa een pakket steunmaatregelen aankondigde, zag je dat Rusland zijn online aanvallen opdreef. Anderzijds speelt de snelle digitalisering een grote rol. Door de pandemie kwam er een enorme digitale versnelling. Veel ondernemingen die nog analoog werkten, werden door de coronacrisis gedwongen om snel te digitaliseren. Daardoor kregen hackers simpelweg meer potentiële doelwitten. Bovendien werd bij deze digitaliseringsgolf vaak vooral functioneel gedacht. Het gebeurde niet altijd op de meest veilige manier en veel organisaties verzuimden bijhorende beveiligingsmaatregelen te nemen.”

Zien bedrijven cyberveiligheid vaak als een kost?

“Absoluut. Veel ondernemingen begrijpen de return on investment niet. Maar als er effectief iets misloopt, zijn de kosten veel hoger als je achteraf moet ingrijpen. Ik maak vaak de vergelijking met een brandverzekering. Als je een huis koopt neem je die er zonder veel nadenken bij. Je hoopt dat je het nooit nodig zal hebben, maar je wilt absoluut niet zonder zitten. Ondernemingen moeten ook meer zo denken als het aankomt op cyberbeveiliging.”

Hoe maak je dit duidelijk aan klanten?

“Door het heel concreet te maken. Ik stel de vraag hoelang het bedrijf verder kan indien een hacker de systemen bijvoorbeeld twee weken zou platleggen en er geen geld meer binnenkomt. Heel wat ondernemingen hebben niet de nodige reserves om zolang, of langer, verder te kunnen. Die lopen dus het risico failliet te gaan bij een cyberaanval, dat maakt het heel concreet.”

Waarom leg je in je boek vooral de nadruk op de menselijke factor?

“Omdat mensen zowel de sterkste als de zwakste schakel zijn op vlak van cyberveiligheid. Mensen zitten psychologisch gezien op een bepaalde manier in elkaar. Tegelijk hebben we de afgelopen decennia een enorme revolutie doorgemaakt op technologisch vlak. Ons menselijk brein en gedrag zijn echter niet mee geëvolueerd. We blijven denkfouten en biases hebben waar cybercriminelen handig op inspelen. Bedrijven denken te vaak in termen van technische oplossingen en beveiligingssystemen, maar je medewerkers blijven de belangrijkste verdedigingslinie: de ‘human firewall’.”

Wat zijn de belangrijkste tips voor managers die de beveiliging willen verhogen?

“Alles begint met het trainen van je medewerkers. Leer hen hoe ze phishingmails en andere oplichtingstechnieken kunnen herkennen. Met de nodige training worden mensen attenter en voorzichtiger voor dit soort gevaren. Maak het onderwerp bovendien bespreekbaar. Vaak zullen medewerkers een fout proberen verbergen omdat ze schrik hebben om gestraft te worden. Als ze er open over durven communiceren kan er veel sneller ingegrepen worden.

Daarnaast is het belangrijk om regelmatig back-ups van je data te maken en die effectief te testen. En het is belangrijk om toegangscontrole te voorzien. Zeker in beginnende ondernemingen hebben medewerkers vaak te ruime toegang. Maar als je groeit, is dat niet meer nodig en vaak zelfs gevaarlijk. Want dit laat ontslagen of vertrekkende medewerkers makkelijker toe om schade aan te richten of data te ontvreemden. Ten slotte is patchmanagement belangrijk, zodat de software up-to-date blijft en achterdeurtjes steeds afgesloten worden.”

Is Artificiële Intelligentie (AI) een zegen of een vloek op vlak van cyberbeveiliging?

“AI is momenteel een tweesnijdend zwaard in deze sector. Enerzijds kan het positief zijn, want het laat bijvoorbeeld toe om door middel van algoritmes veel sneller afwijkend gedrag op te sporen en daarop te reageren. Anderzijds kunnen hackers AI evenzeer misbruiken voor hun doelen. AI kan namelijk evengoed ingezet worden om deepfakes te maken, phishingmails te versturen en te zoeken naar zwakke plekken in de beveiliging.

Beide kampen zijn momenteel verwikkeld in een strijd om de overhand te halen op vlak van AI. Wie gaat winnen? Dat zal afhangen van wie het meeste geld en middelen kan inzetten. Maar AI is zeker niet het enige belangrijke strijdtoneel op dit moment.

Veel mensen vrezen dat Rusland kernwapens zal inzetten. Volgens mij is de kans dat de cyberoorlog escaleert veel waarschijnlijker. Belangrijke infrastructuur zoals ziekenhuizen en het elektriciteitsnetwerk zouden voor langere tijd uitgeschakeld kunnen worden. Dat kan veel chaos en paniek veroorzaken.”