Partners vergroten awareness en stimuleren outsourcing
Deelnemers aan het Grotetafelgesprek
Jasper Hulsebosch
Jasper Hulsebosch, advocaat/partner bij De Vos & Partners Advocaten in Amsterdam. Het kantoor heeft onder meer een aparte praktijkgroep gericht op IT, Privacy en Cybersecurity, naast het aanpakken van het illegaal gebruik van softwarelicenties.
Martin de Jongh, EMEA Channel Solutions Architect bij SentinelOne. SentinelOne levert cyberbeveiligingsoplossingen met AI-aangedreven preventie, detectie, respons en hunting voor endpoints, containers, cloudworkloads en IoT-apparaten in één autonoom platform.
Jeroen Bouma is CISO bij IT-leverancier Fujitsu Nederland. Hij is daar verantwoordelijk voor informatiebeveiliging inclusief de informatie die Fujitsu beheert voor zijn klanten.
André Hiddink, productmanager IT bij Rittal, leverancier van behuizingen, zowel voor industrie als de IT-sector. Rittal levert complete computerruimtes van de racksystemen, inclusief koeling, monitoring en fysieke beveiliging.
Hans Claeskens, Channel Director Benelux bij Sophos. Sophos biedt een cybersecurity-ecosysteem, een modulaire en centrale oplossing voor endpoints, servers, mobiele toestellen, email, encryptie, cloud en firewalls. Claeskens is verantwoordelijk voor de partners en distributeurs.
Ariën van Wetten is Senior Marketing Manager bij Datto. Deze onderneming biedt oplossingen voor MSP’s en IT-dienstverleners. Speciale aandacht is er voor bedrijfscontinuïteitsoplossingen, die downtime zoveel mogelijk tot een minimum beperken.
Wat zien jullie op dit moment in de markt gebeuren?
André Hiddink
Ariën van Wetten, Senior Marketing Manager bij Datto: “We doen jaarlijks marktonderzoeken waarbij we kijken naar wat er op security-gebied gebeurt. Wat ons op dit moment opvalt is dat mkb’ers het gevaar van cybercriminaliteit nog steeds onderschatten. Bij onze klanten, dat zijn de MSP’s, maakt ruim tachtig procent zich zorgen over ransomware. Van hún klanten, de mkb-ondernemer, maakt slechts 18% zich zorgen.” Andere gespreksdeelnemers herkennen dit. Het blijkt dat veel Managed Service Providers (MSP’s) het moeilijk vinden om het gesprek aan te gaan met de klant over security. Van Wetten: “Eigenlijk zou de MSP een soort Ciso moeten zijn voor zijn klanten. En daarbij niet alleen praten over het weren van aanvallen, maar ook over het herstel na een aanval, in het belang van de continuïteit van de business.
Een oplossing is het consequent delen van informatie, stelt Martin de Jongh, EMEA Channel Solutions Architect bij SentinelOne. “Wij delen onze bevindingen over nieuwe dreigingen en aanvallen direct met de community, zodat iedereen ervan kan leren. Die community is dan zowel de eindgebruiker als de partner.”
Hans Claeskens, Channel Director Benelux bij Sophos: “Juist in het mkb-segment mogen we niet vergeten dat de eindgebruiker een ander idioom hanteert. Je moet de informatie voor hen vertalen naar hun eigen taal – zij zijn bezig met hun corebusiness en dat is vaak voor geen enkele medewerker IT.”
Het woord ransomware viel al: de vraag is dan of je na een aanval het losgeld moet betalen of niet.
Hans Claeskens
Jeroen Bouma, Ciso bij Fujitsu Nederland: “Het is een duivels dilemma. Je weet dat je criminele activiteiten in stand houdt als je betaalt, maar je bent onderwijl ook heel afhankelijk van de data. De Jongh: “Het gaat niet alleen om directe schade in de business, maar ook om reputatieschade.” Bouma trekt het daarom breder, door aan te geven dat de risicoanalyse per bedrijf zal verschillen. “Volgens een onderzoek van Sophos kunnen de herstelkosten na een aanval oplopen tot 1,5 miljoen euro. Terwijl het gemiddelde losgeld 140.000 euro bedraagt.” Waarbij Jasper Hulsebos, advocaat bij De Vos en Partners Advocaten als jurist terecht aantekent dat je na betalen van het losgeld nog geen garantie hebt op toegang tot de data.
André Hiddink, werkzaam als Productmanager IT bij Rittal, herkent dit: “Vooral als je denkt ‘de verzekeraar vergoedt het wel’, gaat het mis. De crimineel gaat voor het geld en zoekt een volgend slachtoffer. Je kunt je verzekeren tegen het losgeld, maar niet voor het zonder problemen terugkrijgen van de data.” Hij betreurt het dat informatie niet wordt gedeeld. “Je zou toch graag weten hoe andere bedrijven ermee omgaan, maar er rust een taboe op.” De Jongh is het daarmee eens. “Vroeg of laat krijgt iedereen ermee te maken, dus moet informatie over aanvallen en de oplossingen gedeeld worden.”
Ariën van Wetten
De vraag kwam op hoe de enige Ciso aan tafel zou reageren op een aanval. “Gelukkig maakte ik het nog niet mee, maar stel dat ondanks de vele preventieve maatregelen die Fujitsu neemt een klantomgeving op slot zou gaan, dan zou ik direct en open naar de klant communiceren,” zegt Jeroen Bouma. “Hem duidelijk maken wat er is gebeurd en wat de consequenties voor zijn bedrijf zijn en samen verdere stappen bepalen. Denk hierbij aan continuïteitsdraaiboeken, crisiscommunicatie, persvoorlichting en dergelijke. Je bent immers elkaars partner in goede, maar ook in slechte tijden.”
Juist in het mkb-segment mogen we niet vergeten dat de eindgebruiker een ander idioom hanteert
Betalen niet verbieden
Advocaat Hulsebos gelooft niet erg in een verbod op het betalen van losgeld. “Hoe wil je dat in de praktijk handhaven?” Overigens maakt hij ook een aantekening bij de gedachte dat de verzekeraar alles betaalt. “Als je aangevallen bent, zal de premie stijgen. Of zal er sprake zijn van een eigen risico. Dus net als bij de vraag of je wel of niet moet betalen speelt ook bij het hebben van een cyberverzekering een prikkel om het goed te doen. Zorg dat je je beveiliging op orde hebt, train het personeel.”
Zijn medewerkers de zwakste schakel in de securityketen?
André Hiddink reageert stellig: “Zolang je met klikgrage mensen van doen hebt blijft het aantrekkelijk voor criminelen.” Hulsebos is het er als jurist mee eens: “Medewerkers zijn inderdaad vaak de zwakke schakel.”
Martin de Jongh
Bouma merkt op: “Ik vind het ongelukkig om te zeggen dat medewerkers altijd de zwakste schakel zijn. De medewerker is namelijk ook de sterkste schakel, en daar hoor je nooit iemand over. Mensen zijn sterk in afwijkingen detecteren. Dat kunnen ze heel goed. Zit er een rare afwijkende brief in de brievenbus dan halen we hem er zo uit.” De Jongh reageert op deze stelling. “Ja, de mens is in staat bepaald afwijkend gedrag te herkennen. De vraag is echter: hoe snel kan hij dat zien? Bij ransomware zul je daar toch Artificial Intelligence aan toe moeten voegen om het sneller te ontdekken.”
De medewerker is ook de sterkste schakel, en daar hoor je nooit iemand over
Hans Claeskens constateert dat criminelen uiteindelijk op zoek zijn naar de zwakste schakel. “Dat kan een persoon zijn, maar ook een niet-gepatched device of ander zwak punt.” En dat kan ook een fysiek zwak punt zijn, maakt Hiddink duidelijk. “IT-hardware dient ook fysiek beveiligd te worden.”
Het is bij rapportages over security bijna net als de dagelijkse fileboodschappen en coronacijfers: maakt het nog wel indruk? Zijn we niet security-moe?
Martin de Jongh onderkent dat dit mogelijk is, maar dan nog is de boodschap volgens hem heel belangrijk. “Blijf repeteren, blijf herhalen wat de gevaren zijn.” Hiddink is het daarmee eens. “Maar als de inhoud van de boodschap niet verandert, dan daalt het niet in. De overtuiging is toch dat het bij de buurman erger is dan bij mij, vooral omdat informatie over aanvallen nauwelijks gedeeld wordt.”
Van Wetten herkent dat wel. “Pas toen zich een coronageval voordeed in mijn straat werd ik me bewust van het risico. Bij ransomware is het net zo. Deel informatie en wissel af in de manier waarop je de boodschap presenteert.” Of, zoals Claeskens constateert: “Een fysiek ongeval dat we zien, een brand, staat gegrift in je geheugen. Maar data gestolen van een server niet.”
Moeten mkb-ondernemingen hun security niet uitbesteden gezien de complexiteit?
Jeroen Bouma
Kleine en middelgrote ondernemingen hebben eigenlijk geen alternatief, vindt iedereen aan tafel. Mkb’ers hebben geen security-specialisten in dienst en als je zo’n medewerker vindt dan is de vraag hoelang hij of zij blijft. Hiddink: “Het is voor kleinere bedrijven niet meer te behappen.” Uitbesteden komt ten goede aan iedereen, is de overtuiging van Ariën van Wetten: “Ook de klanten van het bedrijf profiteren ervan. Zij zullen minder vaak last hebben van securityproblemen bij hun leverancier. Dit zorgt voor een duidelijke verbetering van de businesscontinuïteit van alle betrokkenen in de keten. Het zijn channelpartners die niet alleen een rol spelen bij de security-awareness, maar ook bij het informeren en adviseren over de juiste wijze van uitbesteden.”
Channelpartners spelen niet alleen een rol bij de security-awareness, maar ook bij het informeren en adviseren over uitbesteden
[Dit artikel is eerder gepubliceerd in Security & Privacy Dossier 2021]