Cyber­aan­vallen zijn een reële en groei­ende bedrei­ging voor organi­sa­ties in alle sectoren. Daarom moeten organi­sa­ties een proac­tieve houding aannemen ten opzichte van cyber­se­cu­rity en zich voorbe­reiden op het beheersen van een digitale crisis. Want wanneer zich een cyberin­ci­dent voordoet – en die kans is groot – kan het juiste plan en de juiste voorbe­rei­ding de impact beperken en de veerkracht vergroten. Dat was de rode draad van Orange Cyber­de­fense Live 2023, een evene­ment dat onlangs plaats­vond in Edegem, België.

Tijdens het evene­ment deelden experts van Orange Cyber­de­fense en andere organi­sa­ties hun inzichten en ervaringen rondom cyberin­ci­denten. Aan bod kwam onder meer hoe je goed beslagen ten ijs komt op het moment dat een cyberin­ci­dent plaats­vindt, de cruciale beslis­singen tijdens het mitigeren van een aanval zelf en de maatre­gelen nader­hand.

De noodzaak van een goede cyber­se­cu­ri­ty­s­tra­tegie is in het AI-tijdperk groter dan ooit, schetst Jan Aril Sigvartsen, Senior Execu­tive Advisor bij Orange Cyber­de­fense. Hij liet zien hoe genera­tieve AI-tools zoals ChatGPT het mogelijk maken om met weinig kennis en moeite code te genereren voor een zogeheten ‘exploit’, een aanval waarbij aanval­lers de kwets­baar­heid van een systeem misbruiken.

Aanvallen op grotere schaal

Hij waarschuwt dat veel organi­sa­ties nog steeds vertrouwen op verou­derde systemen die zeer kwets­baar zijn voor derge­lijke aanvallen. Boven­dien zorgt AI voor enorme schaal­ver­gro­ting van cyber­aan­vallen. Een enkele hacker kan met AI alle kwets­baar­heden van alle appli­ca­ties in een organi­satie tegelij­ker­tijd aanvallen, en dat volautomatisch.

Om zich te beschermen tegen deze dreiging, moeten organi­sa­ties volgens Sigvartsen een proac­tieve securi­ty­hou­ding aannemen. Dat betekent dat ze niet alleen hun systemen updaten en bevei­ligen. “Organi­sa­ties moeten terug naar de teken­tafel en security veel meer vanuit de business benaderen”, zegt Matthijs van der Wel, Strategic Advisor bij Orange Cyber­de­fense. “Ze moeten antwoord geven op de vraag welke ‘key assets’ bescher­ming behoeven en wat daarvoor nodig is. Het antwoord daarop ligt niet alleen besloten in techniek, maar ook in mensen, in processen en de cultuur van een organi­satie. Daarbij is het boven­dien belang­rijk om wendbaar te zijn, want het dreigings­land­schap veran­dert continu.”

Proactieve houding is niet vanzelfsprekend

Een voorbeeld van een organi­satie die deze proac­tieve aanpak heeft omarmd, is de Belgi­sche stad Genk. Stijn Schepers, Chief Digital Officer (CDO) van Genk, vertelde hoe hij in 2022 ontdekte dat Genk op dezelfde short­list stond van cyber­cri­mi­nelen als de stad Antwerpen die toen het slacht­offer was geworden van een ransom­ware-aanval. Dit was voor hem een wake-upcall om de digitale trans­for­matie en security van de stad te versnellen.

Niet iedere organi­satie heeft echter die ‘luxe’ van een wake-upcall voordat een daadwer­ke­lijke aanval plaats­vindt. “Organi­sa­ties kunnen niet meer afwachten tot het een keer misgaat. Daarvoor is de kans op een incident simpelweg te groot. Je moet boven­dien de risico’s van AI daarin actief meenemen. Stel jezelf de juiste vragen: wat betekent AI voor mijn business en daarmee voor mijn security? Hoe snel ben ik weer opera­ti­o­neel na een cyber­aanval? Wat moet ik doen om zo goed mogelijk voorbe­reid te zijn op een crisis­si­tu­atie?”, aldus Van der Wel.

Security draait om mensen

Onder­deel van het probleem is volgens Van der Wel dat veel organi­sa­ties security nog steeds als een techni­sche aange­le­gen­heid zien. Een waar de IT-afdeling zich over moet buigen en verant­woor­de­lijk voor is. “Die houding is veel te beperkt. Het is een taak van alle medewer­kers, en begint met het besef in de board­room.”

Dat was ook een les voor Heilig Hart Zieken­huis in Mol, zo schetst dr. Ivo Jacobs, Managing Director van het zieken­huis. Het zieken­huis werd in 2021 slacht­offer van een cyber­aanval waarbij 50 systemen op slot gingen door ransom­ware. Het directe gevolg: de dienst­ver­le­ning lag vijf dagen stil. De totale kosten van het incident bedroegen naar schat­ting tussen de 700.000 en 1.000.000 euro. De onder­han­de­ling met de cyber­cri­mi­nelen bleek boven­dien al snel een vruch­te­loze poging. Vanaf dat moment besefte het voltal­lige team de impact en het belang van security: uitein­de­lijk gaat het om het beschermen van mensen. In het geval van het zieken­huis zelfs mensen in een uiterst kwets­bare positie.

Oefening baart kunst (en vermindert stress)

Mensen vormen tegelij­ker­tijd ook het belang­rijkste wapen tegen cyber­cri­mi­na­li­teit. Dat vraagt – zeker tijdens een crisis – wel om slagvaardig handelen. Stress kan daarbij roet in het eten gooien, aldus dagvoor­zitter Kirk Kinnell, voormalig Head of Hostage en Crisis Negoti­a­tion bij de Schotse politie. Hij weet als geen ander hoe het is om onder grote druk te moeten handelen. In een crisis­si­tu­atie zoals een cyber­aanval maken onze hersenen het hormoon cortisol aan. Dat zorgt voor een acute stress­re­actie: vechten, vluchten of bevriezen. Die reactie kan leiden tot slechte beslis­singen, juist op het moment dat het er echt toe doet.

Hoe kun je dat voorkomen? Aller­eerst via een gedegen cyber­se­cu­ri­ty­s­tra­tegie. Wanneer het misgaat, moet er een duide­lijk crisis­plan klaar­liggen. Dat crisis­plan moet de rollen en taken van de sleutel­per­sonen helder defini­ëren, de commu­ni­ca­tie­lijnen vormgeven en duide­lijke besluit­vor­mers formuleren.

Daarnaast zijn crisis­oe­fe­ningen belang­rijk, stelt Van der Wel. “Verge­lijk het met een brand­oe­fe­ning. Mensen moeten weten hoe ze moeten handelen als het misgaat. Bijvoor­beeld door regel­matig scenario’s te simuleren, te oefenen en te evalu­eren, kun je jezelf en je team trainen om effec­tief te reageren op een cyber­aanval. Zo leer je om je emoties onder controle te houden, je focus te behouden en je commu­ni­catie te verbe­teren. Dat komt de beslis­sings­vaar­dig­heid ten goede, en daarmee de kans dat een organi­satie de schade tijdens een cyber­aanval beperkt.”