Kleine en middelgrote bedrijven (MKB) hebben hun digitale voetafdruk vergroot, hun medewerkers werken meer op afstand, gebruiken meer op internet aangesloten apparaten en zijn nieuwe tools en technologieën aan het toepassen. Dit alles maakt ze een aantrekkelijker doelwit en we zien dan ook dat, naast een aanzienlijke stijging van aanvallen op grote organisaties, het MKB steeds regelmatiger wordt aangevallen. Ingewijden vertellen dat met name door slechte beveilingsgewoonten de kleine en middelgrote bedrijven van het MKB een gemakkelijk doelwit zijn voor cybercriminelen.
De exacte aantallen zijn moeilijk te bepalen, maar volgens het Amerikaanse rapport State of IT Security in SMBs 2023-2024 van Devolutions meldde 69% van de MKB-bedrijven dat ze het afgelopen jaar minstens één cyberaanval hadden meegemaakt, een stijging ten opzichte van het voorgaande jaar. Cyberbeveiligingsincidenten zijn vooral schadelijk voor kleinere bedrijven omdat ze niet over de financiële en organisatorische middelen beschikken om de gevolgen op te vangen. In sommige gevallen kunnen ze zelfs failliet gaan.
Maar ondanks de toegenomen risico’s beschermt minder dan twee derde hun bedrijf volledig met maatregelen zoals wachtwoordmanagers, twee-factor authenticatie en awarenesstraining voor de medewerkes, volgens het rapport van Devolutions.
Wat zijn dan die gewoonten die het midden- en kleinbedrijf in gevaar brengen?
1. Denken dat je te klein bent om een doelwit te zijn.
MKB’ers kunnen in de val trappen door te denken dat cybercriminelen alleen achter de grote vissen aanzitten, maar dit is verre van het geval. Het midden- en kleinbedrijf is niet alleen niet te klein om een doelwit te zijn, maar dat is vaak ook de reden dat ze worden aangevallen.
Deze overtuiging kan leiden tot een hele reeks slechte praktijken die bedrijven blootstellen aan een reeks kwetsbaarheden. Statistieken tonen aan dat de meeste cyberaanvallen gericht zijn op MKB-bedrijven juist omdat ze worden gezien als een gemakkelijker doelwit dat niet de beveiligingsmaatregelen heeft die grotere organisaties wel hebben. Het advies is om voorzorgsmaatregelen niet te negeren omdat je denkt dat het bedrijf niet op de radar van bedreigingsactoren staat.
2. Onderschatting van de dreiging van ransomware voor het MKB.
Het MKB onderschatten de dreiging van ransomware. Uit het Global SMB Ransomware onderzoek blijkt dat meer dan tweederde (67%) van de respondenten niet gelooft of niet zeker weet dat ze een doelwit zijn van ransomware. Te veel MKB-bedrijven denken dat cybercriminelen zeer technisch en geavanceerd zijn en niet geïnteresseerd zijn in kleinere bedrijven.
Maar praktijk is dat Ransomware een goedkoop, relatief eenvoudig aanvalsmiddel is dat gemakkelijk kan worden ingezet tegen het MKB. “Ransomware as a service (RaaS) kan eenvoudig worden gekocht of ingezet, met weinig technische kennis. Het is van cruciaal belang dat het MKB anders gaan denken over ransomware en beleidsregels en technologie invoeren om zichzelf beter te beschermen om te voorkomen dat ze slachtoffer worden.
3. Cyberbeveiliging zien als een technologisch probleem.
Cyberbeveiliging kan niet alleen met technologie worden aangepakt want het is in veel opzichten eerder een menselijk probleem. Het is absouut waar dat de technologie de aanvallen mogelijk maakt en dat de technologie ook het het voorkomen van aanvallen vergemakkelijkt. Maar die technologie vereist een goed geïnformeerde mens om effectief te zijn. Gebrek aan budget en geen specifieke verantwoordelijkheid voor cyberbeveiliging zijn belangrijke uitdagingen voor MKB’s, die veelal geen richtlijnen hebben voor compliance en geen duidelijke beveiligingsraamwerk.
4. Geen goede cyberhygiëne bezigen.
Het aannemen van goede cyberhygiëne gewoonten zou een no brainer moeten zijn, helaas komt het maar al te vaak voor dat het gebruik van zwakke wachtwoorden wordt toegestaan. Multifactor authenticatie wordt nog niet op grote schaal gebruikt. Back-ups worden op grote schaal ingezet, maar MKB-bedrijven zien vaak het belang van het testen van back-ups over het hoofd. Als het bedrijf wordt aangevallen en de back-up mislukt, kan dat catastrofaal zijn.
5. Lage prioriteit geven aan cyberbeveiliging.
Wanneer MKB-bedrijven nieuwe technologieën gebruiken, is de afweging van risico’s niet hetzelfde als bij grotere ondernemingen, maar ze worden wel met veel van dezelfde risico’s geconfronteerd. Waar ondernemingen meer oog hebben voor risicobeheer, hebben kleinere bedrijven de neiging om efficiëntie boven beveiliging te stellen. Nieuwe digitale systemen worden aansgeschaft die het MKB vervolgens kwetsbaar maakt voor aanvallen omdat het een veelgebruikte toegang is die door ransomware-groepen wordt gebruikt om in te breken in bedrijven.
6. beveiligingsbudget niet afstemmen op een groeiende risicoprofiel.
MKB-bedrijven hebben een budget nodig dat past bij hun risicoprofiel en dat rekening houdt met hun behoeften, belangrijke bedrijfsinformatie en of ze gevoelige persoonlijke gegevens bewaren. De kosten van beveiliging moeten naast die van marketing, verkoop en andere kosten komen te staan die de bedrijfsvoering ondersteunen. Een bedrijf weet wel hoeveel het per werknemer kost om tools en licenties te kopen om het bedrijf te laten draaien en geeft dat bedrag ook uit, maar spendeert niet een evenredig bedrag aan het beveiling van de werknemers, klanten, prospects en producten.
De eerste Best Practice stappen die het MKB kan nemen.
Om de juiste prioriteiten te stellen moet je beginnen met het analyseren van de huidige cyberbeveiligingsstatus en kijk vooral naar potentiële kwetsbaarheden. Evalueer of een beschikbaar beveiligingsbudget toereikend is en welke specifieke behoeften het bedrijf heeft.
Zodra deze basislijn is vastgesteld, kies dan voor een systematische aanpak om de verdediging te verbeteren en neem best practice principes over, zoals:
- Alle systemen en software moeten automatische updates inschakelen en goed gepatcht zijn.
- Trainingsprogramma’s voor werknemers om te helpen bij het herkennen van phishing-e-mails, zakelijke e-mailcompromittering, onterechte overboeking van geld, het maken van sterke wachtwoorden en waar nodig andere opleidingen.
- Maak gebruik van een reeks beveiligingstools, waaronder firewalls, antivirus, endpoint detection and response en inbox beschermingsmechanismen.
- Maak back-ups van gegevens in de cloud en op locatie en zorg ervoor dat alle gegevens worden versleuteld en dat back-ups worden gecontroleerd.
- Bedrijfsbeleid en procedures gericht op bescherming tegen aanvallen, beveiliging van gegevens en het afhandelen van zaken in het geval dat gegevens niet toegankelijk zijn.
Bottomline
Kleinere bedrijven zijn het doelwit van cybercriminelen en nu de aanvallen toenemen, is dit niet het moment voor misplaatst vertrouwen in je verdediging.
