Kleine bedrijven het volgende slachtoffer van grote hacks

Als we de krantenkoppen moeten geloven, hebben hackers het vooral voorzien op grote internationale organisaties. Of het nu Sony of JPMorgan is, ze lijken zich te richten op multinationals met uitgebreide toeleveringsketens waar ze op zoek gaan naar de zwakke plek in het pantser. Maar hun interesse ligt juist steeds meer bij het MKB.

De spectaculaire mediaverhalen geven goed weer waar de bedreigingen voor grote ondernemingen liggen. Maar tegelijkertijd leidt dit nieuws de aandacht af van het grotere verhaal. Dat gaat over hacks die gericht zijn op kleinere, groeiende bedrijven met kwetsbaardere systemen en uiterst waardevolle intellectuele eigendommen.

Gebrek aan zichtbaarheid

Volgens een recent onderzoek van Interpolis en Capgemini denkt 71 procent van de ondernemers dat hun bedrijf geen cyberrisico loopt. Een gevaarlijke gedachte, want ondertussen neemt de dreiging toe. Onder andere door het gebrek aan zichtbaarheid. Hacks van grote bedrijven of instellingen hebben snel de aandacht van politie, justitie en de media. Terwijl cybercriminelen onder de radar kunnen vliegen wanneer ze zich op kleinere bedrijven richten. Zo kunnen ze profiteren van kwetsbaarheden in gemeenschappelijke systemen zoals kassasystemen van retailers of patiëntendossiers van kleine en middelgrote klinieken.

Veel kleine bedrijven en organisaties denken dat ze niet groot genoeg zijn om doelwit te worden van een cyberaanval. Maar volgens Visa vertegenwoordigen kleine bedrijven negentig procent van alle zakelijke datalekken. Kleine organisatie slaan namelijk ook waardevolle gegevens op, net zoals grote organisaties dat doen. Denk bijvoorbeeld aan creditcardnummers, medische dossiers, of persoonlijke informatie die bewaard wordt door juridische kantoren en accountants. In sommige gevallen is de MKB’er niet het directe slachtoffer, maar ondervindt hij nog wel schade van een cyberaanval.

Beperkte budgetten en expertise

Hackers scherpen hun methodes voortdurend aan. Zo scannen ze bijvoorbeeld continu geautomatiseerd het internet op zoek naar onbeschermde systemen. Dus zelfs als het slachtoffer geen waardevolle gegevens heeft die het stelen waard zijn, dan nog kan zijn netwerk dienen als onwetende proxy waarover nieuwe aanvallen worden uitgestuurd.

Kleine bedrijven en instanties hebben vaak niet de budgetten en expertise in huis om hun software en systemen de beste bescherming te bieden. Uit de meest recente PwC Global State of Information Security Survey blijkt bijvoorbeeld dat kleine ondernemingen (met een omzet van minder dan 100 miljoen dollar) hun security-budgetten in 2014 met twintig procent hebben teruggebracht. Terwijl grote bedrijven dezelfde investering juist met vijf procent hebben verhoogd.

Zwakke standaardoplossingen

Door dit gebrek aan kennis en geld, kiezen MKB’ers er vaak voor hun netwerkbeveiliging te beperken tot een standaard stateful packet filter firewall en signature-based antivirus. Deze oplossingen blokkeren maar een beperkt deel van de netwerkaanvallen en lopen dagen of zelfs weken achter op de nieuwe zero-day malwarevarianten. En juist deze beperkte beveiliging maakt het MKB een aantrekkelijk doelwit voor de verfijnde en voortdurende veranderende aanvalstechnieken van de hackers van tegenwoordig.

Die aanvallen op MKB-bedrijven hebben ook gevolgen voor grotere bedrijven. Hackers weten dat ze hun weg kunnen vinden naar een groter, goed beveiligd doel door te infiltreren in het netwerk van een kleinere supply chain partner. Zo kunnen ze toegang krijgen tot de achterdeur van de grotere systemen. Uit analyse van de aanval op de Amerikaanse winkelketen Target blijkt bijvoorbeeld dat criminelen via een provider van de keten de netwerkreferenties hebben kunnen bemachtigen.

Wat kunnen bedrijven zonder grote IT-afdeling en overeenkomstig budget dan doen om zichzelf te beschermen? Vier tips:

1. Software-updates en patches

Meer dan negentig procent van de cyberaanvallen vinden plaatst door fouten in software. In de meeste gevallen heeft de fabrikant die fouten al geadresseerd of opgelost, maar is software van de gebruiker simpelweg nog niet bijgewerkt. Software-updates en patches zijn gratis of relatief goedkoop en de installatie behoeft geen speciale technische kennis. Een strak update- en patchbeleid is een van de meest belangrijke, fundamentele stappen voor de beveiliging. Maak er een gewoonte van om besturingssystemen regelmatig te patchen en installeer firmware-updates voor hardware.

2. Upgrade de firewall

Nieuwe cyberbedreigingen zijn veel verfijnder dan die van een jaar geleden. Geavanceerde beveiligingsoplossingen als next-generation firewalls (NGFW) en unified threat management (UTM) zijn ontworpen om het huidige brede scala aan aanvallen tegen te houden, zoals bij voorbeeld zero-day malware. Deze oplossingen zijn bovendien tegenwoordig betaalbaar en gemakkelijk te managen voor het MKB.

3. Sterk wachtwoordbeleid

Voer een streng wachtwoordbeleid in. Natuurlijk is het ook nodig duidelijk te communiceren waaróm dit nodig is. Het gebruik van een password manager is een gemakkelijke manier om werknemers te helpen nieuwe, effectieve wachtwoorden te gebruiken en op regelmatige basis aan te passen.

4. Werk aan bewustwording

Welke beveiligingstechnieken u ook toepast, werknemers zullen altijd fouten maken. Daarom is het belangrijk hen te trainen in internetveiligheid zodat ze op hun hoede zijn voor bijlagen of links in e-mails, ook als die van mensen komen die ze vertrouwen.

Door alle verhalen in de media over corporate cyberhacks ontstaat bij sommige MKB'ers wellicht een 'dat gebeurt mij niet'-houding. Helaas is de realiteit anders en zijn maatregelen wel degelijk noodzakelijk.

Corey Nachreiner is CTO bij WatchGuard Technologies