Neder­landse IT-beslis­sers vertrouwen sterk op hun team en de maatre­gelen die ze hebben getroffen terwijl ze minimale veilig­heids­maat­re­gelen hebben geïmple­men­teerd, blijkt uit het Kaspersky-onder­zoek “Incident Response voor preventie – Bedrijven in Neder­land vertrouwen sterk op hun cyber­weer­baar­heid, maar is dat gegrond?”. 85 procent van de IT-beslis­sers geeft aan het vertrouwen te hebben dat hun team kwets­baar­heden en risico’s kunnen priori­teren terwijl slechts één op de vijf organi­sa­ties Zero Trust maatre­gelen heeft geïmplementeerd.

De Zero Trust aanpak, gebaseerd op toegangs­be­heer waarbij elke gebruiker alleen toegang tot de benodigde infor­matie krijgt op het netwerk, is bij slechts 17 procent van de organi­sa­ties geïmple­men­teerd. Gecom­bi­neerd met een groot aantal bedrijven dat nog geen basis­maat­re­gelen heeft geïmple­men­teerd zoals een wacht­woord­be­leid (35%), anti-phishing software (40%) en het regel­matig trainen van het perso­neel op het gebied van cyber­se­cu­rity (50%), sugge­reert het onder­zoek dat IT-beslis­sers overmoedig zijn. 

85 procent van de IT-beslis­sers vertrouwt erop dat hun team kwets­baar­heden en risico’s goed priori­teert en getroffen systemen kan isoleren. Bijna 9 op de 10 IT-beslis­sers (88%) denkt dat hun team in staat is om back-ups correct uit te voeren. Ondanks dat een groot vertrouwen in een team goed is, moeten hier ook de nodigde maatre­gelen genomen worden om dat vertrouwen waar te maken. Met slechts de helft van de organi­sa­ties die het perso­neel regel­matig traint, lijken de Neder­landse IT-beslis­sers overmoedig. 

De kloof tussen kennis en voorbereiding

Als het gaat om kennis, voorbe­rei­ding en imple­men­tatie van incident response (IR) diensten, blijkt er nog een grote tegen­strij­dig­heid te zijn. Hoewel meer dan driekwart (77%) van de besluit­vor­mers zegt te weten wat IR-diensten en ‑tools zijn, en ook de meerder­heid (67%) ervan overtuigd is dat hun IR-diensten en ‑tools één of meer incidenten hebben voorkomen, laat de reali­teit zien dat bedrijven te weinig basis­maat­re­gelen hebben om paraat te zijn voor incidenten.

Zo zegt 44 procent dat hun organi­satie geen cyberin­ci­denten simuleert en/​of hun IR-plannen test, terwijl 42 procent zegt dat hun organi­satie geen hoge IR-paraat­heid heeft en nog minder respon­denten zeggen dat ze daadwer­ke­lijk een IR-plan (29%) of draai­boek (21%) hebben.

Hoewel besluit­vor­mers weten wat IR-diensten en ‑tools voor hun organi­satie kunnen betekenen, blijft de imple­men­tatie achter en lijkt deze niet hoog op hun to do-lijstje te staan. Hoewel minder dan 3% van de respon­denten vindt dat het maken van een Incident Response plan een verspil­ling van tijd en geld is, vindt iets minder dan 28 procent het hebben van een IR plan onmis­baar binnen hun organi­satie. Slechts 20 procent zegt hetzelfde over een IR draai­boek. De cijfers laten zien dat een hoog kennis­ni­veau over IR niet automa­tisch betekent dat organi­sa­ties ook daadwer­ke­lijk voorbe­reid zijn. 

“Vertrouwen in je team is van vitaal belang, maar het moet hand in hand gaan met robuuste bevei­li­gings­maat­re­gelen. Vertrouwen alleen zal ons niet beschermen tegen cyber­drei­gingen en het is zorgwek­kend dat een grote meerder­heid van de organi­sa­ties essen­tiële bevei­li­gings­maat­re­gelen niet imple­men­teert of een zero-trust beleid hanteert”, aldus Tim De Groot, GM, Kaspersky Benelux en Nordics. “Het is noodza­ke­lijk om te benadrukken dat bedrijven, naast vertrouwen, robuuste cyber­be­vei­li­gings­maat­re­gelen moeten imple­men­teren om aanvallen te voorkomen en de kloof tussen bewust­zijn en actie bij het reageren op incidenten te overbruggen, zodat de verde­di­ging echt wordt versterkt.” 

Het volle­dige onder­zoek van Kaspersky “Incident Response voor preventie – Bedrijven in Neder­land vertrouwen sterk op hun cyber­weer­baar­heid, maar is dat gegrond?” is hier te vinden.