Integrale blik op security — deel 1: Waarom ‘security op een organisatie-eiland’ niet meer voldoet

Van oudsher neemt de IT-afdeling security voor haar rekening. Want, zo luidt de ‘oude’ redenering, investeringen in security gaan ten koste van het kernproces. Als een transportbedrijf bijvoorbeeld geld steekt in security, kan het minder besteden aan het concurrerend vervoeren van goederen van punt A naar punt B. 

Anno 2023 is dat een vreemde gedachte. Want in het huidige dreigingslandschap roept dit een andere (reële) vraag op: wat als een ander ineens de controle krijgt over jouw kernproces? Wat als het goederenvervoer van je transportbedrijf volledig stilgelegd wordt en jij klanten daardoor niet meer kunt bevoorraden? Dát zijn de mogelijke gevolgen van de ransomwareaanvallen en datalekken waarmee steeds meer organisaties te maken krijgen. 

Organiseer je zoals de opponent (integraal!) 

Als je onvoldoende securitymaatregelen getroffen hebt, zal een geslaagde cyberaanval je enorm overvallen. In dat geval neem je louter reactieve maatregelen. Deze strategie van ‘pleisters plakken’ komt voort uit het oude IT-denken, dat gebaseerd is op een silo-benadering: security wordt opgepakt op ‘organisatie-eilanden’ (silo’s), waardoor de verantwoordelijkheden versnipperd zijn. 

Kwaadwillenden, daarentegen, zijn tegenwoordig héél goed georganiseerd. Vaak hebben zij een helder businessmodel en kijken ze integraal naar het doelwit dat ze kunnen aanvallen. 

Als organisatie moet je in die ontwikkeling meegaan: ook jij hebt een heldere visie, een goed uitgedacht duurzaam en dynamisch securityprogramma én een integrale aanpak nodig. Alleen zó blijf je kwaadwillenden een stapje voor op securitygebied. 

Krijg grip op het dreigingslandschap 

Een andere reden om security in de breedste zin van het woord te bekijken, is het dreigingslandschap. Dit wordt steeds complexer, omdat het aanvalsoppervlak zich heel rap uitbreidt. IoT, insider risks en supply-chain-aanvallen zijn hier inmiddels allemaal onderdeel van. Ook buiten je ‘eigen huis’ schuilt gevaar: als een leverancier uit je netwerk wordt aangevallen, kan dit verstrekkende gevolgen hebben voor jouw organisatie. Maar bedenk dat een indringer ook nog altijd kan proberen om gevoelige informatie en digitale access points te vinden via de ‘ouderwetse’ weg — oftewel, de voordeur van je kantoorgebouw. 

Beschouw compliance als onderdeel van het ecosysteem 

We kunnen security niet bespreken zonder het over compliance te hebben. Vanuit risico-identificatie moet je het hele ecosysteem beschouwen. Aanvallen kunnen immers ook daarvandaan komen. Toezichthouders kijken tegenwoordig dan ook integraal naar álles in ons ecosysteem. Compliance hoort daarbij: als organisatie moet je aantonen dat je de risico’s binnen je leveranciersketen identificeert en hier vervolgens de juiste maatregelen op neemt. En SaaS-leveranciers moeten aantonen dat zij staan voor een veilige dienstverlening. 

Maar hoe voldoe je aan de maatregelen? Het korte antwoord: door te zorgen dat mensen, middelen en methodes goed met elkaar verbonden zijn. Wil je hier meer over weten, lees dan deel 2 van deze blogreeks! 

Wil jij aan de slag met een integrale security-aanpak? Bespreek je graag eens welke maatregelen je kunt nemen om jouw organisatie te beschermen tegen cyberaanvallen? Neem gerust contact met ons op.