Cyber­aan­vallen treffen bedrijven niet bij toeval: sommige organi­sa­ties lopen struc­tu­reel meer risico dan andere. Dat blijkt uit nieuw promo­tie­on­der­zoek van Tal Strauss, die een omvang­rijk databe­stand analy­seerde van duizenden cyberin­ci­denten bij Ameri­kaanse bedrijven. Dat meldt Tilburg University.

Volgens Strauss spelen bedrijfs­ken­merken een grote rol. Grote onder­ne­mingen zijn duide­lijk kwets­baarder voor aanvallen, terwijl organi­sa­ties met sterke gover­nance en hogere winst­ge­vend­heid minder risico lopen. “We denken vaak dat cyber­aan­vallen random zijn, maar dat klopt niet”, zegt Strauss. “Er zijn herken­bare patronen. Sommige bedrijven zijn jaar op jaar een aantrek­ke­lijker doelwit, en dat zie je terug in de data.”

“Wetgeving schiet tekort in zowel EU als VS”

Opval­lend is dat de bestaande wetge­ving die bedrijven moet beschermen, zowel in de Europese Unie als in de Verenigde Staten, belang­rijke gaten vertoont. In de EU bestaat wel een coherent systeem met GDPR en NIS2, maar de handha­ving is te zwak om het volle effect te bereiken. In de VS is juist sprake van een sterkere secto­rale aanpak, maar die vormt een versnip­perd stelsel van regels per staat en sector. “Zowel de EU als de VS hebben delen van de oplos­sing, maar geen van beide systemen biedt bedrijven echt de juiste prikkels om hun bevei­li­ging op orde te brengen”, aldus Strauss. “Daardoor blijven struc­tu­reel kwets­bare bedrijven onnodig risico lopen.”

Striktere en beter gehandhaafde regels werken wél

Het onder­zoek laat zien dat betere wetge­ving wel degelijk effect heeft. In staten en sectoren waar stren­gere normen werden ingevoerd of gehand­haafd, nam het aantal cyberin­ci­denten aantoon­baar af. “Als regels duide­lijk zijn en serieus worden gehand­haafd, reageren bedrijven daar meteen op,” zegt Strauss. “Cyber­vei­lig­heid is niet alleen een technisch probleem: het is ook een kwestie van gover­nance en de juiste prikkels.”

Auteur: Dan Schiappa, Presi­dent Techno­logy & Services bij Arctic Wolf