De race tegen cybercriminelen is niet te winnen

Ik zou niet zeggen dat ik het eens ben met deze stelling, maar "niet te winnen" suggereert dat er een eind aan komt. Cybercriminelen zullen altijd nieuwe kwetsbaarheden uitbuiten en manieren zoeken om een winstgevend bedrijfsmodel voor hun illegale activiteiten op te zetten.

De pandemie

De wereld verandert en door corona nog sneller dan we ons soms beseffen. Dit komt omdat corona ons dwingt om thuis te werken en de processen in de organisatie en op de fabrieksvloer daarom moeten worden aangepast. Digitalisering staat bij organisaties tegenwoordig steeds vaker op de agenda. Nu bedrijven hun medewerkers langer laten thuiswerken, moeten cyberbeveiligingsteams nieuwe risico's aanpakken en tegelijkertijd helpen om in het volgende normaal bedrijfswaarde te creëren.

De coronapandemie en de inspanningen om die te bedwingen hebben ernstige economische en zakelijke consequenties gehad. Ze zijn van invloed op kerndimensies van de bedrijfsomgeving, van digitale strategieën tot en met de operationele en zakelijke risicobereidheid. Ook de opzet van de toevoerketen en de bedrijfsinteracties met regelgevers veranderen, net als de manier waarop we tegen werken zelf aankijken.

Chief Information-Security Officers (CISO's) en cyberbeveiligingsteams zullen de volgende horizon van het bedrijf met een dubbele mentaliteit moeten benaderen. Ze moeten allereerst de nieuwe risico's aanpakken die voortkomen uit de verschuiving naar een externe, digitale werkomgeving door de daarvoor benodigde technologie te beveiligen. Verder zullen ze moeten anticiperen op het volgende normaal – hoe hun medewerkers, klanten, toeleveringsketen, kanaalpartners en sectorgenoten zullen samenwerken – zodat ze 'security by design' op de juiste manier kunnen inzetten en verankeren. Daarnaast moet rekening worden gehouden met het veranderende gedrag van klanten en werknemers en het voortdurend veranderende bedreigingenlandschap.

De respons op de pandemie heeft onderstreept hoe belangrijk beveiliging is wanneer je, zowel tijdens als na een crisis, de mogelijkheid voor werken op afstand wilt bieden. Nu bedrijven als onderdeel van de respons op de coronapandemie hun processen herstructureren en hun architectuur herontwerpen, wordt er anders tegen cyberbeveiligingsteams aangekeken. Ze moeten niet langer als belemmering voor de groei worden gezien, maar moeten worden erkend als strategische partners bij de besluitvorming over technologie en de bedrijfsvoering.

Meer digitaal? Meer risico.

Binnen OrangeNXT en ook bij ICT Group helpen we klanten met digitale producten voor het externe beheer van apparaten (conNXT), het optimaliseren van processen om het informatiebeheer te verbeteren (digitalNXT Search) en het overbruggen van de kloof tussen IT en OT. Cyberbeveiliging is iets dat meestal door IT wordt aangestuurd, terwijl OT de output moet aanleveren en de winst moet genereren. Je kunt je voorstellen dat de coronacrisis een ingrijpende invloed op deze kloof heeft gehad. Digitalisering brengt meer risico's met zich mee. We denken dat we de kloof vanuit een dubbele mentaliteit voor het nieuwe normaal kunnen dichten door:

• De bedrijfscontinuïteit te ondersteunen (OT);
• De onderneming en haar klanten te beschermen (IT).

Tijdens de crisis zagen we bij bedrijven een hoofdzakelijk drieledige respons terwijl ze overstapten op nieuwe processen en technologieën door risico's aan te pakken en voordelen te versterken:

• Inventariseren en wegnemen van hotspots
  • Thuiswerken, zero trust, security by design;
• Lappen en dweilen
  • In het begin moesten ze risico's nemen om de zaken te kunnen voortzetten; nu lopen klanten in op de invoering van nieuwe technologieën;
• Versterken van incrementele digitale voordelen
  • Het standaardiseren van procedures voor externe werkomgevingen en het onderzoeken van technologieën om langetermijnrisico's te beperken.

Belangrijkste leerpunten

Om een ondernemingscultuur te creëren waarin iedereen verantwoordelijkheid neemt bij de verdediging tegen cybercriminaliteit, moeten we iedereen erbij betrekken, van de raad van bestuur en de afdelingshoofden tot de business managers en de eerstelijnswerkers. Tijdens de podcast (koppeling naar podcast) gaan we dieper in op een deel van deze uitdaging. Mijn belangrijkste advies zou zijn:

• Gebruik je gevoel: Je hebt waarschijnlijk wel een lijst met angstaanjagende statistieken om de verkoopdirecteur tot naleving te bewegen, maar dat kan ook averechts werken, waardoor die dichtslaat. Het is doeltreffender om de emotionele ondertoon van het gesprek af te zwakken en eerst te luisteren. Het kan zijn dat je denkt te weten waarom het verkoopteam de training niet volgt, maar misschien klopt dat idee niet. De eerste stap is dus dat je hun kant moet begrijpen. Praat pas over oplossingen wanneer jullie allebei zeker weten dat jullie begrijpen waarom het team geen voorrang aan de training heeft gegeven.
• Focus: Iedereen probeert tien dingen tegelijkertijd te doen, maar als we onze aandacht er altijd maar gedeeltelijk bij hebben, kunnen we ons niet richten op wat echt belangrijk is. Als je eenmaal begrijpt waarom het verkoopteam niet hoog heeft gescoord op de training, kun je de business manager (Verkoopdirecteur) betrekken bij een gesprek dat volledig is gericht op de behoeften van het team, waardoor de kans groter is dat jullie de kwestie allebei jullie volledige aandacht geven.
• Doe rustig aan: Als de tijd dringt, kunnen we minder goed strategisch denken. Als je tijd nodig hebt om ter onderbouwing van je argument gegevens te verzamelen, kun je een pauze inlassen, zodat je grondig onderzoek kunt doen. Zorg er ook voor dat je je gesprek met de directeur in een rustige tijd van het kwartaal inplant. Het jaareinde is een hectische tijd voor verkoop en de slechtste tijd om daar dan ook nog eens een gesprek over cyberbewustheid in te proppen.
• Houd het eenvoudig: Onthoud dat technische taal niet de juiste taal is voor deze doelgroep. Bedenk hoe je beveiligingstraining de doelen van het verkoopteam ondersteunt. Toegang tot betrouwbare klantgegevens, zoals escalaties en licenties, is essentieel voor een succesvol mobiel datateam. Bij cyberbeveiliging gaat het erom dat je ervoor zorgt dat het verkoopteam beveiligde toegang tot data heeft op het moment en op de plek waar ze die nodig hebben. De directie zal jouw prioriteiten eerder begrijpen als ze begrijpen hoe die op hún prioriteiten aansluiten.
• Motiveer: Maak gebruik van de ongelooflijke kracht van het "waarom" door uit te leggen waarom het belangrijk is dat binnen je bedrijf de beveiligingsregels worden nageleefd. Zorg ervoor dat je beveiligingspraatje en -training aansluiten op deze algehele missie. Leg uit hoe je beveiligingsinspanningen het bedrijf dichter bij de verwezenlijking van de bedrijfsvisie brengt.

Bedenk dat hóe je iets zegt net zo belangrijk is als wát je zegt. Je kunt een weg naar succes inslaan als je de beweegredenen en doelstellingen van het bedrijf begrijpt én zolang je één kernwaarheid niet vergeet: we zijn allemaal menselijk.

Je kunt de volledige podcast hier bekijken