'Geen cybercrime bij meeste Nederlandse middenbedrijven'
De meeste Nederlandse middenbedrijven hebben het afgelopen jaar niet met cybercrime te maken gehad, zo blijkt uit onderzoek van KPMG. Bijna 81% zegt dat het niet met aanvallen van internetcriminelen te maken kreeg. Van de 19% die wel het doelwit werd, gaat het in veel gevallen om phishing.
Bijna 71% van de bedrijven die doelwit werd noemt phishing als meest voorkomende vorm van cybercrime. Uit het onderzoek wordt niet duidelijk of deze bedrijven ook het slachtoffer van phishing zijn geworden of dat het alleen gaat om het ontvangen van phishingmails. "Besmetting software" volgt op een tweede plek met 47%. Ook worden regelmatig aanvallen op de website waargenomen (44%). Waar deze aanvallen uit bestaan en of ze succesvol waren staat niet vermeld.
Schade
De schade van cybercrime lijkt bij de meeste bedrijven mee te vallen. Bijna 80% zegt dat de schade 0 euro tot 10.000 euro bedroeg. Bij zo'n 15% bedroeg de schade door cybercrime 15.000 euro tot 50.000 euro. 2,9% geeft aan dat de schade tussen de 50.000 en 200.000 euro ligt en bij 2,9% van de getroffen Nederlandse middenbedrijven bedroeg de schade zelfs meer dan 200.000 euro.
1. Bent u bekend met het fenomeen cybercrime?
Wat is echter cybercrime? Wat valt er wel onder, wat valt er niet onder? Als ik het aan 10 CIO's vraag, dan hebben ze allemaal een andere definitie, mede doordat het bijna een hype status heeft verkregen en is gekaapt door sales mensen die er "een oplossing voor hebben". Valt het meenemen van bestanden op USB stick door eigen of externe medewerkers hieronder? Is de scope beperkt door mensen in de boze buitenwereld die de vertrouwelijkheid, integriteit of beschikbaarheid van data/ systemen/ applicaties willen schaden? Het bewust beschadigen van de naam van de organisatie, is dat ook cybercrime?
De opmerking "Bijna 81% zegt dat het niet met aanvallen van internetcriminelen te maken kreeg." is grappig. De security monitoring van het middenbedrijf is slecht geregeld, zonder enige twijfel. Ook als de security monitoring is uitbesteed aan hiervoor "gespecialiseerde bedrijven" is het niveau om te huilen. Verkeerde triggers die zijn ingesteld, verkeerde events die worden gemonitord, geen technical state monitoring, processen niet ingericht, rapportages die ontbreken of die onbelangrijke dingen weergeven waar niemand wat mee kan, event collectors die problemen veroorzaken en ga zo maar door. Het middenbedrijf weet niet eens wanneer ze worden gehackt, zeker niet als een aanvaller eventuele bewijslast netjes opruimt en low profile op het systeem te werk gaat in plaats van zich richt op b.v. defacements.
Ik ben benieuwd hoe anderen dit onderzoek beoordelen.
Dat is ook maar net hoe je zo'n vraag interpreteert. Gaat het alleen om gerichte aanvallen, of ook wanneer je bijvoorbeeld een generiek spam/phishing mailtje hebt ontvangen. Het feit dat 81% op de vraag 'nee' antwoord wil helemaal niet zeggen dat deze mensen (allemaal) dom en onwetend zijn.
Vergeet niet dat inzicht ook enorm slecht is, een middenbedrijf weet niet eens wat er zich op het netwerk, de server(s) of de WIFI af speelt want daar heeft een middenbedrijf de resources niet voor. "Uitbesteed aan hiervoor gespecialiseerde bedrijven" is een maandelijkse mcAffee web-scan op de webshop, that's it :P
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
