Het midden- en kleinbedrijf heeft te weinig oog voor eigen cyberveiligheid

Een land is zo ‘cyberveilig’ als de zwakste schakel. De laatste jaren was er flink wat aandacht in media en vanuit de overheid voor de beveiliging van onze IT-systemen. Hierdoor kent Nederland veel sterke schakels – maar helaas ook nog vele die hier niet toe behoren.

Zo werd de Wormerveerse softwareleverancier Nebu vorig jaar gehackt. Dit bedrijf leverde onder meer software aan het marktonderzoeksbureau Blauw Research. Een datalek bij zwakke schakel Nebu had tot gevolg dat de gegevens van circa 2,5 miljoen Nederlanders op straat kwamen te liggen. Meerdere klanten van marktonderzoeker Blauw Research werden getroffen, waaronder de NS, VodafoneZiggo, CZ, Vrienden van Amstel Live, ArboNed en Trevvel.

Vrij spel

Nederland is nog steeds onvoldoende weerbaar tegen digitale dreigingen en er zijn grote verschillen in hoe goed organisaties beschermd zijn tegen cyberaanvallen. Als we niet goed opletten voor deze zogenaamde cyberweerbaarheidskloof, dan hebben cybercriminelen vrij spel. Begin juni publiceerde de Cyber Security Raad een nieuw advies met daarin de conclusie dat deze cyberweerbaarheidskloof tot maatschappelijke ontwrichting kan leiden.

Er zijn talloze initiatieven, websites en hulpmiddelen om de cyberweerbaarheidskloof te verkleinen, maar ze worden te weinig gebruikt. Zo kreeg het Digital Trust Center (DTC) de afgelopen jaren tientallen miljoenen euro’s om cyberveiligheid bij het mkb op de kaart te zetten. Maar tot nu toe maakt een groot deel van het mkb geen gebruik van de diensten van het DTC.

Dit lijkt een klassiek geval van een uitvoeringsorganisatie die goedbedoelde, maar (online) onvindbare adviezen opstelt. Schijn bedriegt echter. De tips van het DTC over beveiliging van je datasystemen zijn niet verdwenen in de krochten van de vele kennisbanken die de rijksoverheid rijk is. Integendeel: het DTC popt helemaal bovenaan op als je op internet zoekt met trefwoorden als ‘ransomware’ of ‘cybersecurity verbeteren’.

Geen prioriteit

Het lijkt er meer op dat veel mkb’ers niet of nauwelijks iets met cyberveiligheid doen omdat het onderwerp bij deze ondernemers geen prioriteit heeft, zoals ook deze krant eerder al berichtte (FD, 4 juni). Dat is niet heel vreemd als je beseft dat veel mkb’ers ook nog andere zorgen hebben, zoals uitdagende marktomstandigheden, een tekort aan personeel en stijgende inkoopprijzen.

Daarbij komt nog dat cyberveiligheid toch iets ‘ongrijpbaars’ en ‘ver-van-mijn-bed’ is. Zolang de meeste mkb'ers geen last hebben van gijzelsoftware of anderszins grote calamiteiten met hun IT-systemen meemaken, vinden zij de opportunity costs van meer cyberveiligheid wellicht hoger dan de baten. De noodzakelijke financiële middelen daarvoor zijn dan immers niet meer inzetbaar voor andere zaken, zoals bijvoorbeeld verbetering van het eigen product of het aantrekken van nieuw personeel.

Chefsache

Maar hoe krijgt cybersecurity prioriteit bij mkb’ers? Wat moet er gebeuren voordat deze ondernemers wél budget vrijmaken voor hun bescherming tegen potentiële hackers? Wanneer wordt cyberveiligheid chefsache? Elke cybersecurity-dienstverlener kan deze vragen beantwoorden. Het antwoord is namelijk simpel: we zien – zonder uitzondering – dat organisaties die wél slachtoffer zijn van cybercrime, wakker geschud worden en daarna volop investeren in cyberveiligheid.

Sommige organisaties nemen zelfs een voortrekkersrol en waarschuwen anderen om hun cyberveiligheid serieus te nemen. Zo schreef technisch dienstverlener Hoppenbrouwers het boek Hack over eenransomware-aanval die hen overkwam in de zomer van 2021. Ook de Universiteit Maastricht deelde – via koepelorganisatie Surf – de lessen die zij geleerd heeft na een zware ransomware-aanval in 2019.

‘We moeten op grote schaal bedrijven hacken die nu nog tekort schieten in hun cyberweerbaarheid.’

We moeten op grote schaal bedrijven hacken die nu nog tekort schieten in hun cyberweerbaarheid. Deze hacks moeten wel op een ethische manier gebeuren. Ethisch hacken is een positieve manier van hacken om beveiligingsproblemen en –lekken bloot te leggen. De opdrachtgever is niet het bedrijf zelf, maar de overheid of een brancheorganisatie. Die kondigt de hack niet vooraf aan, want de schok moet groot zijn.

Richt een nationale ethische hackersbrigade op die nietsvermoedende mkb’ers de stuipen op het lijf jaagt. Zo verkleinen we de cyberweerbaarheidskloof in ons bedrijfsleven.

Artikel gepubliceerd in het FD: https://fd.nl/opinie/1519282/het-midden-en-kleinbedrijf-heeft-te-weinig-oog-voor-eigen-cyberveiligheid