"Dit gaat niet over mij". Digitale veiligheid en het MKB

In de afgelopen jaren hebben de medewerkers van MKB Cyber Advies Nederland met regelmaat presentaties gegeven tijdens op het MKB gerichte bijeenkomsten met als onderwerp digitale veiligheid oftewel cyber security. Ondernemers horen de presentaties aan, soms met daarbij een presentatie van een collega die na een geslaagde aanval zijn onderneming verloor, met achterlating van grote schulden en niet zelden een verwoest privéleven. Door de jaren heen, blijft de reactie van de collega MKB’ers vrij constant: “maar dat gaat niet over mij”. Op de afsluitende borrel gaat het over perikelen op de tennisclub of een rondje golf. Idealiter verandert dit. Om vele redenen is aandacht voor digitale veiligheid steeds belangrijker, maar vooral omdat uw bedrijf steeds afhankelijker is digitale diensten en producten.

Wat maakt hacken interessant?

Hacken is om vele redenen interessant. Direct financieel gewin, afpersing, ”spelen”, kijken of het lukt, om bedrijfsgeheimen te stelen, gericht bepaalde informatie te achterhalen, om een ander bedrijf digitaal binnen te kunnen dringen, als onderdeel van een cyberoorlog, etc., etc..

Sommige bedreigingen zijn als een schot hagel, miljoenen e-mails worden verzonden in de verwachting dat iemand, ergens die opent. Waar maakt de verzender niet uit. Andere zijn als een zeer getrainde sluipmoordenaar die maar één doel heeft.

Een cyberaanval op Oekraïne (en het MKB?)

En u heeft gelijk, die laatste categorie zal veruit de meeste MKB’ers niet raken. Toch wil ik u het volgende voorbeeld niet onthouden. In het boek ‘Sandworm’ schrijft auteur Andy Greenberg over zijn onderzoek naar Russische staathackers van de geheime dienst. Hij koppelt ze bijvoorbeeld aan de grootscheepse cyberaanval (“NotPetya”) op de Oekraïne in 2017, die vervolgens de wereld overspoelde. In Nederland leidde dit tot de grote koppen in de kranten en het nieuws dat de Haven van Rotterdam platlag. De containeroverslag van bedrijf Maersk was, wereldwijd, enige weken buiten bedrijf, hetgeen tot een verlies van honderden miljoenen euro’s leidde. Voor alle incidenten in de hele wereld is de schade geschat of $ 10 miljard.

Één hack, één MKB bedrijf, één wereldwijde aanval

De reden waarom ik dit aanhaal heeft te maken met het MKB. De aanval werd ingezet vanuit een MKB bedrijf in Oekraïne. Een bedrijf in online belastingsoftware waarmee aangesloten bedrijven in Oekraïne aangifte doen. Maandelijks stuurt het bedrijf een update naar haar klanten. Echter, het bedrijf was gehackt door Russische hackers, die de belastingsoftware corrumpeerden met eigen, spionage- en later encryptiesoftware. Via de updates nestelde zich via de in de belastingsoftware verstopte kwaadaardige software in de apparatuur van de klanten. De Oekraïense overheid, transport, energie, en vele andere bedrijven en instanties, waarvan diverse onderdeel van internationale bedrijven, zoals Maersk, zijn. Eenmaal geactiveerd verspreidde het virus zich van pc naar pc binnen de interne netwerken. Voor Maersk en andere dus letterlijk over de hele wereld. (Hierbij moet worden opgemerkt, dat de besmetting alleen kon plaatsvinden bij bedrijven die een update van Microsoft niet hadden geïnstalleerd. Nog een les.)

Belastingsoftware

Het Oekraïense MKB bedrijf, M.E. Doc, antwoordde desgevraagd waarom ze niets aan digitale veiligheid had gedaan, na eerst een verhandeling over het bedrijf en de familiegeschiedenis te hebben gegeven: ”wij hebben nooit gedacht dat wij interessant waren voor hackers”. Herkend u het antwoord? En daar zit de crux, MKB’er, hoe weet u of u interessant bent? Bovendien, dit was niet de eerste grootschalige aanval op de Oekraïne en haar infrastructuur. Toch bleef de onvoorstelbaarheid van een doelwit te kunnen zijn in stand. Pas als het voor u voorstelbaar wordt, heeft u een kans uw bedrijf te wapenen tegen kwaadaardigen.

De lessen

Wat is de les van dit alles? Het volgen van een aantal instructies inzage digitale hygiëne doet u niet alleen voor uzelf alleen. Natuurlijk, u wilt uw bedrijfscontinuïteit waarborgen, maar net zo belangrijk is de bescherming van privacy gevoelige gegevens van uw personeel, toeleveranciers en klanten, als dat het belang van de bedrijfsvoering van de laatste twee categorieën is waarmee u digitaal verbonden bent. Dat is tegenwoordig misschien wel eerder en op meer plaatsen in uw bedrijf dan u in eerste instantie denkt.

En vergeet vooral het volgende niet. Omgekeerd kan, nee, moet u digitale veiligheid eisen van uw klanten en toeleveranciers. Maar dat is een ander verhaal.

Wilt u weten waar de digitale kwetsbaarheden in uw bedrijf zitten en wat u daar aan kunt doen? Onze adviseurs nemen het u graag met u door.