ThycoticCentrify, leverancier van privileged access management (PAM)-oplossingen aan ruim 14.000 organisaties, heeft in samenwerking met Sapio Research in 15 landen (waaronder Nederland) een onderzoek laten uitvoeren onder 8.000 werknemers. Uit dit onderzoek blijkt dat er binnen organisaties een flinke kloof zit tussen wat werknemers weten van beveiligingsrisico’s en hoe ze daar mee omgaan tijdens het werk.
Dat blijkt onder ander uit het feit dat 79% van de ondervraagden zich bewust is van beveiligingsrisico’s, maar zich nog regelmatig schuldig maakt aan riskant gedrag. Het onderzoek laat zien dat veel werknemers denken dat zij geen interessant doelwit voor cybercriminelen zijn en zich daarom geen zorgen hoeven te maken over beveiligingsrisico’s. Deze aanname vergroot de kans dat ze riskante handelingen zullen uitvoeren, zoals privé-wachtwoorden gebruiken voor zakelijke accounts of het opslaan van wachtwoorden in de browser.
Het is interessant dat de risicoperceptie en het gedrag van werknemers per land verschillen. Hoe werknemers de kans inschatten op cyberaanvallen is overal anders. Zo denkt 51% van de Nederlandse werknemers dat er geen of een klein risico bestaat op een cyberaanval. Daarentegen schat twee derde van alle Japanse werknemers (66%) het risico van een cyberaanval in als hoog tot zeer hoog. Japanse werknemers zijn ook het minst geneigd om riskante handelingen uit te voeren, zoals het klikken op onbekende links of het herhaaldelijk gebruiken van hetzelfde wachtwoord.
Gevaarlijk gedrag leidt tot cyberrisico
Ruim een derde van alle respondenten (35%) slaat nog altijd wachtwoorden op in de browser van alle apparaten die ze voor werk en privé gebruiken. Als cybercriminelen erin slagen om slechts één van die apparaten binnen te dringen, krijgen ze daarmee toegang tot alle wachtwoorden. Dit maakt het reuze eenvoudig voor cybercriminelen om zich speciale rechten toe te eigenen zonder te worden gedetecteerd. Op die manier kunnen hackers toegang krijgen tot het e-mailaccount van de gebruiker, de cloudapplicaties van diens werkgever, persoonsgegevens en gevoelige bedrijfsinformatie. Als werknemers meerdere wachtwoorden hebben opgeslagen in hun browser, kunnen cybercriminelen snel nagaan of er sprake is van identieke wachtwoorden of wachtwoorden met simpele variaties, bijvoorbeeld met slechts één teken verschil. Aan de hand van deze informatie kunnen ze gebruikmaken van een tool voor het kraken van wachtwoorden en woordenlijsten om alle mogelijke combinaties van de wachtwoordkeuzes van de werknemer te achterhalen. En dan is het een kwestie van tijd voordat de cybercriminelen zich toegang verschaffen tot alle gebruikersaccounts van een werknemer, inclusief die voor bedrijfsapplicaties en -systemen.
Maar er komen nog meer alarmerende zaken uit de enquête naar voren. Zo ziet ruim de helft (55%) van de respondenten geen gevaar in het gebruik van een mobiele hotspot voor hun werk. Iets meer dan een derde (34%) heeft ooit een zakelijk document naar een privécomputer verzonden naar aanleiding van een storing op een apparaat dat ze voor hun werk gebruikten. Ook ziet 38% geen enkel probleem als het gaat om het aansluiten van een privé laptop of tablet op het bedrijfsnetwerk.
Werknemers verwachten 100% bescherming van de IT afdeling
Het feit dat werknemers riskant gedrag aan de dag blijven leggen, is mogelijk toe te schrijven aan een misplaatst gevoel van veiligheid. 86% van alle respondenten wil de organisatie helpen bij de bescherming tegen cyberbedreigingen. Desondanks vindt ruim de helft (51) dat de IT-afdeling als enige partij verantwoordelijk is voor de bescherming van eindgebruikers en de organisatie. De kans bestaat dus dat werknemers risico’s blijven nemen vanuit de geachte dat het security-team van hun werknemer het probleem zal oplossen als het tot een beveiligingsincident komt.
Natuurlijk beseffen veel organisaties dat werknemers met de juiste training mogelijk cybergevaar (zoals phising) zelf herkennen en dus minder geneigd zijn gevaarlijke mail of bijlages openen. Echter, op de vraag of men het afgelopen jaar een cybersecuritytraining heeft gekregen waarbij geleerd werd over hoe de werknemer zichzelf en het bedrijf kan beschermen tegen een cyberaanval, scoren weinig landen hoog. India doet het het beste: in dit land heeft 64% het afgelopen jaar een cursus ontvangen. In Nederland geeft 39% van de ondervraagden aan bijgeschoold te zijn, in Frankrijk slechts 30%.
PAM-oplossingen verlichten druk op IT-specialisten
Tim Hoefsloot, Regional Director Benelux bij ThycoticCentrify : “Het is opvallend dat uit het onderzoek blijkt dat meer dan de helft van de werknemers volledig vertrouwen op het IT-security team. Hoewel geen enkele beveiligingsoplossing volledige garantie biedt, is het wel mogelijk de kans op hacks en datalekken flink te verkleinen. Maar dat kan alleen als de security specialisten de mogelijkheid hebben nieuwe oplossingen en methodes in te zetten die een antwoord bieden op de steeds veranderende cyberaanval-technieken Een van deze oplossingen is Privileged Access Management ( PAM).
Met de gebruiksvriendelijke PAM-toepassingen van ThycoticCentrify kan niet alleen de ‘gewone werknemer’ maar ook de IT-administator eenvoudig en veilig toegang krijgen tot de omgeving waarmee gewerkt wordt. Het voordeel voor de IT-adminsitrator is dat hij veilig toegang krijgt tot IT-systemen zonder elke keer ‘credentials’ te moeten ingeven. Vooraf is bepaald wie, wanneer en tot welk IT-systeem hij toegang heeft en na gebruik worden de wachtwoorden automatisch vernieuwd. De kans dat een hacker via gestolen credentials toegang verkrijgt tot bijvoorbeeld de firewall of een database en vervolgens policies verandert of data steelt, is hiermee flink gereduceerd.Beveiliging is dus belangrijk voor alle werknemers, ook voor het IT-team zelf. We zijn allemaal mensen en een onbedoelde fout is nu eenmaal snel gemaakt.”
Het onderzoek werd uitgevoerd door Sapio Research onder 8.041 werknemers uit 15 landen in Noord-Amerika, Europa en Azië. De interviews werden gehouden in juni 2021 met behulp van een e-mailuitnodiging en een online enquête.
