Cybersecurity: Niemand is écht veilig

“Volledige veilig­heid bestaat niet. Elk bedrijf moet er rekening mee houden dat het slacht­offer kan worden van een cyber­aanval.” Aan het woord is Matthieu Fleeré, Senior Manager Business Risk Services bij advies­kan­toor Grant Thornton België.

“Bedrijven moeten daarom tijdig maat­re­gelen treffen. Dat is niet alleen verstandig, maar ook verplicht door regel­ge­ving zoals de NIS2-richtlijn, die voor­schrijft hoe orga­ni­sa­ties hun digitale weer­baar­heid moeten orga­ni­seren. Bovendien moeten zij kunnen aantonen dat ze hieraan voldoen. Grant Thornton onder­steunt bedrijven daarbij met een oplossing die hardware en software combi­neert met mense­lijke expertise om inci­denten te voorkomen en, indien nodig, effectief op te lossen”, aldus Matthieu Fleeré.

Wat moet een organisatie concreet doen om zich te beschermen tegen cyberaanvallen?

Matthieu Fleeré: “In essentie moet elke orga­ni­satie een Security Opera­tions Center (SOC) opzetten of deze dienst uit te besteden aan een gespe­ci­a­li­seerde externe partij.

Dat is een team van speci­a­listen dat de IT-infra­struc­tuur en gegevens voort­du­rend monitort en ingrijpt bij inci­denten. Een SOC verzamelt eerst alle veilig­heids­re­le­vante infor­matie van systemen zoals virus­scan­ners, routers, switches en andere IT-compo­nenten. Al die data worden gecen­tra­li­seerd en geana­ly­seerd in een tool zoals Cyber­Hunter van Grant Thornton. Maar tech­no­logie alleen is niet genoeg – een team van experts is essentieel.”

Hoe werkt dat in de praktijk voor klanten van Grant Thornton?

Matthieu Fleeré: “Wij helpen orga­ni­sa­ties bij het beschermen tegen cyber­aan­vallen en data­dief­stal. Veel klanten hebben al bevei­li­gings­sys­temen zoals antivirus of e‑mailbescherming. Wij breiden die uit om een volledig verde­di­gings­me­cha­nisme op te bouwen. Bij klanten die nog geen basis­be­vei­li­ging hebben, creëren wij een complete bevei­li­gings­struc­tuur van nul.

Zodra de systemen actief zijn, genereren ze continu data over hun werking. Cyber­Hunter verzamelt die infor­matie en stuurt die door naar het centrale SOC van Grant Thornton. Op die manier voeren wij onaf­han­ke­lijke analyses uit zonder de IT-infra­struc­tuur van de klant extra te belasten.

Wanneer verdachte acti­vi­teiten worden opgemerkt, treden we onmid­del­lijk op. Als (bvb) een mede­werker meerdere keren met een foutief wacht­woord probeert in te loggen, wordt de toegang tijdelijk geblok­keerd. Bij een virus­be­smet­ting wordt de betrokken laptop geïso­leerd om verdere besmet­ting te voorkomen.

In derge­lijke gevallen is er vaak overleg nodig tussen onze bevei­li­gings­ex­perts en de IT-afdeling van de klant om samen de juiste actie te bepalen. Er is dus een nauwe samen­wer­king tussen beide teams.”

Gebeurt dat automatisch, of is menselijke tussenkomst vereist?

Matthieu Fleeré: “Dat is meestal een combi­natie van beide. In Cyber­Hunter stellen we een playbook op met regels voor het herkennen en beoor­delen van drei­gingen, inclusief gede­tail­leerde scenario’s voor ingrepen. Dit omvat zowel dage­lijkse preven­tieve maat­re­gelen als vooraf bepaalde acties voor het geval een hacker ondanks alles toch binnenraakt.

Veel van die regels zijn ingebouwd in de software en kunnen auto­ma­tisch uitge­voerd worden. Toch blijven mense­lijke experts onmisbaar voor het nemen van de juiste beslis­singen in complexe situaties.”

Als absolute veiligheid niet bestaat, hoeveel maatregelen zijn dan nodig om je als organisatie ‘veilig’ te voelen?

Matthieu Fleeré: “Het is belang­rijk te beseffen dat het aantal cyber­aan­vallen elk jaar expo­nen­tieel toeneemt. Steeds meer hackers zijn actief, en op het dark web kunnen zij zelfs kant-en-klare malware pakketten kopen. Hackers gebruiken elk hun eigen methodes om kwets­baar­heden te detec­teren en aanvallen op te zetten.

We kennen onder­tussen de verschil­lende fasen van de cyber kill chain: verken­ning, ontwik­ke­ling en afle­ve­ring van malware, het activeren van kwaad­aar­dige code, en uitein­de­lijk de aanval zelf. Door elk van die stappen te begrijpen, kunnen bedrijven hun verde­di­ging proactief opbouwen. Zo helpt geavan­ceerde netwerk­mo­ni­to­ring om verdachte verken­nings­ac­ti­vi­teiten te detec­teren, terwijl sterke endpoint­be­vei­li­ging de exploi­tatie van malware kan voorkomen.

Zelfs begin­nende hackers – de zoge­naamde ‘script kiddies’ – voeren geau­to­ma­ti­seerde scans uit op grote aantallen poten­tiële doel­witten. Het is dus essen­tieel dat orga­ni­sa­ties al bestand zijn tegen deze eerste verken­ningen. Maar uitein­de­lijk moet je bescher­ming voorzien tegen alle stappen in de kill chain.

Sommige hackers richten zich doel­be­wust op speci­fieke zwakke plekken. Zelfs kleine orga­ni­sa­ties kunnen doelwit worden, puur omdat ze onbewust aan bepaalde criteria voldoen. Dat maakt cyber­vei­lig­heid vandaag een prio­ri­teit voor elk bedrijf, ongeacht de omvang.”