Risicorapport Cyberveiligheid 2019 van Aon: ‘Grotere afhankelijkheid van technologie maakt organisaties kwetsbaarder’

Doordat mede­wer­kers, orga­ni­sa­tie­pro­cessen en toele­ve­ran­ciers steeds afhan­ke­lijker worden van tech­no­logie, ontstaan compleet nieuwe cyberrisico’s. Ook de risico’s op het over­treden van wet- en regel­ge­ving op het gebied van cyber­vei­lig­heid nemen toe. Waak­zaam­heid op alle fronten is daarom van belang, zo blijkt uit het risi­co­rap­port Cyber­vei­lig­heid 2019 van Aon.

Het risi­co­rap­port Cyber­vei­lig­heid 2019 ‘De zeven risi­co­ge­bieden voor onder­ne­mend Nederland’ richt zich op zeven speci­fieke risi­co­ge­bieden waar orga­ni­sa­ties in 2019 mogelijk mee te maken krijgen. Het rapport beschrijft de grootste bedrei­gingen voor de cyber­vei­lig­heid en de uitda­gingen waar orga­ni­sa­ties mee worden gecon­fron­teerd. Naarmate orga­ni­sa­ties steeds meer tech­no­logie gebruiken om de over­dracht van infor­matie te versnellen, leidt dit tot inno­va­tie­kansen maar ook grotere cyberrisico’s.

Eigen medewerkers groot risico

Een van de belang­rijkste risico’s voor cyber­vei­lig­heid zijn eigen mede­wer­kers. Meer dan de helft (53%) van de orga­ni­sa­ties heeft in het afgelopen jaar te maken gehad met een cyber­aanval door bewuste acties of onop­zet­te­lijke fouten die binnen de orga­ni­satie zijn ontstaan, zo blijkt uit onderzoek onder 472 cyber­se­cu­rity profes­si­o­nals van Crowd Research Partners. Deson­danks zijn mede­wer­kers zich vaak niet bewust van de dreiging die ze vormen. De stijgende invloed van tech­no­logie op de functies en werk­zaam­heden van mede­wer­kers, zorgt daarbij voor een nog groter cyberrisico.

Operationele gegevens

Tege­lij­ker­tijd is er een toename van de hoeveel­heid opera­ti­o­nele gegevens op mobiele- en rand­ap­pa­raten (onder andere ‘the Internet of Things’; IoT). Elk apparaat op de werkplek vormt daardoor een poten­tieel veilig­heids­ri­sico. Het aantal IoT-apparaten binnen orga­ni­sa­ties neemt de komende jaren sterk toe terwijl de bevei­li­ging van deze apparaten bij veel orga­ni­sa­ties onvol­doende is. Een groot probleem ligt bij het gebrek aan inzicht in het gebruik van IoT-apparaten en het aantal daarvan. Veel orga­ni­sa­ties hebben geen weet van alle apparaten die hun personeel gebruiken – een groeiend aantal heeft deze apparaten dankzij externe partners. Dit leidt nu al tot bevei­li­gings­lekken. Effec­tieve inven­ta­ri­satie van IoT-apparaten en duide­lij­kere commu­ni­catie en training op het gebied van cyber­vei­lig­heid voor mede­wer­kers wordt daarom het komende jaar van essen­tieel belang.

Veel meer macht

“Veel mede­wer­kers hebben dankzij tech­no­lo­gi­sche ontwik­ke­lingen onbedoeld veel meer macht in handen gekregen dan orga­ni­sa­ties achteraf gezien misschien hadden bedoeld. Daardoor kunnen zij onbedoeld door mani­pu­latie van crimi­nelen (of door fouten) veel meer schade aanrichten dan wenselijk is. Het zou goed zijn om de rechten, moge­lijk­heden en training van mede­wer­kers daarom struc­tu­reel onder de loep te nemen,” aldus Maarten van Wieren, managing director van Aon’s Cyber Solutions. “Bij veel orga­ni­sa­ties is het bijvoor­beeld nog steeds mogelijk dat werk­ne­mers per ongeluk of opzet­te­lijk een bestands­folder van de server kunnen verwij­deren. Ook komt het nog regel­matig voor dat mede­wer­kers toegang hebben tot infor­matie die niet voor hen is bestemd, zoals priva­cy­ge­voe­lige infor­matie. De uitdaging is om tech­no­logie op een dusdanige manier beschik­baar te maken voor mede­wer­kers dat zij met minimale risico’s optimaal hun werk kunnen doen.”

Striktere handhaving

Naast de (interne) cyberrisico’s neemt het aantal wetten, regels, richt­lijnen en normen op het gebied van cyber­vei­lig­heid voor orga­ni­sa­ties toe. Vorig jaar werd de wet- en regel­ge­ving bovendien strikter gehand­haafd; het risico op niet-naleving stijgt in 2019 verder.
“Orga­ni­sa­ties richten zich nu vooral op het mini­ma­li­seren van risico’s door het nemen van beheers­maat­re­gelen om zo over­treden van regels en boetes te vermijden. Een gevolg daarvan is dat orga­ni­sa­ties onderling zo min mogelijk data met elkaar delen, terwijl dat soms juist ook voordeel oplevert voor de bescher­ming van data,” zegt Van Wieren. Hij roept overheden en beleids­ma­kers daarom op om deze afwe­gingen beter te faci­li­teren. ‘’In aanvul­ling op juri­di­sche kaders is er ook behoefte aan coör­di­natie vanuit toezicht­hou­ders over infor­ma­tie­ke­tens heen. De vraag zou moeten zijn: hoe kunnen we de uitwis­se­ling van data en keten­in­te­gratie zo inrichten dat we er als samen­le­ving beter van worden?”