De coronacrisis zorgt ervoor dat er door twee derde van de bedrijven meer geïnvesteerd wordt in cybersecurity, zo blijkt uit onderzoek onder ruim 300 IT-professionals uitgevoerd in opdracht van Motiv. Ook voor 2021 staat bij een derde van de bedrijven extra budget voor de digitale weerbaarheid op de planning. Op het eerste oog goed nieuws: de investeringsbereidheid neemt toe. Maar waar kun je als CISO je geld het best aan spenderen?
Het is zaak om niet alleen te investeren en de innovatiefste cybersecurity-oplossing, maar er juist voor te zorgen dat de basis op orde is door een voorbeeld te nemen aan de eerste zes CIS Controls. Hiermee mitigeer je al 80 procent van alle cyberrisico’s. De praktijk leert ons dat dit vaak nog een uitdaging is.
Meer is niet altijd beter
Het toevoegen van een security-oplossing verhoogt niet direct de digitale weerbaarheid. Sterker nog, de inzet van te veel oplossingen leidt zelfs tot minder inzicht. Onderzoek van IBM en Ponemon toont aan dat organisaties die meer dan 50 securityoplossingen implementeren, tot zeven procent minder goed in staat zijn risico’s te detecteren. Hiernaast zijn ze acht procent minder effectief in het reageren op risico’s. Kortom, meer is niet altijd beter. Een goed fundament is cruciaal en van daaruit kunnen de ontbrekende oplossingen gezocht worden. Maar hoe creëer je een goede basis voor het verhogen van de digitale weerbaarheid?
Creëer inzicht en wordt geen fool with a tool
Het goed inrichten van de security-oplossingen vereist, om te beginnen, inzicht. Stel vast wat je hebt en wat je moet beschermen. Welke software en hardware zijn er in gebruik? Welke data moet er beschermd worden? Welke risico’s loopt de organisatie? Breng structuur in het zwarte gat. Kijk vervolgens naar de huidige security-oplossingen. Verkleinen die de risico’s afdoende? Wat is er nodig om voldoende beschermd te worden? Kunnen de aanwezige oplossingen hierin voorzien, of moeten er nieuwe aanvullende oplossingen komen? Het is belangrijk dat je inzicht krijgt in de te beschermen data en devices en de mogelijkheden van de aanwezige security-oplossingen. Want je kunt nog zoveel tools hebben, a fool with a tool is still a fool. Wees je daarom bewust van de kwetsbaarheden en weeg af of het risico genoeg verkleind is.
Vulnerability management
De volgende basic is vulnerability management. Hierbij worden de systemen continu geautomatiseerd gemonitord op kwetsbaarheden. Zitten er bijvoorbeeld programmeer- of configuratiefouten in de software? Richt je patchmanagement goed in en zorg ervoor dat je patches meteen kan configureren. Hier ontbreekt het in veel organisaties aan, getuige ook de Citrix-case van eerder dit jaar. Meerdere bedrijven waren het slachtoffer van een kwetsbaarheid in de software, terwijl er al lange tijd patches beschikbaar waren.
Het menselijk schild
Gedegen cybersecurity start bij technische maatregelen, maar vergeet je medewerkers niet in het proces. Negentig procent van de cyberincidenten ontstaat (in)direct door onveilig gedrag van medewerkers. Hackers maken slim gebruik van onze menselijkheid. Bewustwording is daarom een belangrijk thema. Maak, met behulp van regelmatige trainingen, van je medewerkers een extra verdedigingslinie in plaats van de zwakste schakel.
De basics zijn gefixt, maar wat nu? Als bedrijf ben je nog niet klaar. Security is en blijft een continu proces. Zorg voor continu inzicht in dreigingen en security-oplossingen, vulnerability management en aandacht voor awareness. Op die manier ben je al tegen 80 procent van de risico’s beschermt. Houd goed in de gaten wanneer er iets verandert en pas de securitymaatregelen hierop aan. Haal meer uit wat je hebt en investeer eerst in de basics.
Door: Bastiaan Bakker
