SolarWinds-inbraak toont waarom cyberbeveiliging een prioriteit op boar-niveau moet zijn

De hack van SolarWinds in december 2020 benadrukte hoe kwetsbaar software- en systeemleveranciersketens zijn wanneer een organisatie geen robuust cyberbeveiligingsbeleid heeft.

Het officiële verklaring van CISA wijst erop dat een geavanceerde persistente dreiging (APT) begin maart 2020 Amerikaanse overheidsinstanties, kritieke infrastructuur en privésectorentiteiten begon aan te vallen. De aanvaller toonde geduld, operationele beveiliging en gesofisticeerde handelwijze. CISA waarschuwt dat het verwijderen van deze actor uit gecompromitteerde omgevingen zeer complex en uitdagend zal zijn. Gedetailleerde infectievectoren en mitigatiestappen staan in de verklaring hier.

Deze details bevestigen inzichten van embedded.com en EE Times, die het cruciale belang van IoT-beveiliging en de expertise van beveiligingsprofessionals in de halfgeleiderindustrie benadrukken.

Het blijft verbazingwekkend dat inbraken kunnen plaatsvinden zelfs wanneer overheden zich obsesserend richten op beveiliging, maar kwetsbaar blijven via derden-systemen die de juiste waarborgen missen. Als voormalig contracteur voor de Britse overheid herinner ik me de strenge beveiligingstraining en bewustwording die vereist was: nooit een laptop in een afgesloten auto laten, altijd bij zich dragen of in zicht houden. Deze praktijken illustreren het menselijke element dat vaak over het hoofd wordt gezien.

Uiteindelijk wijst het SolarWinds-incident op een fundamentele beleidsleemte: moet cyberbeveiliging exclusief de verantwoordelijkheid zijn van hardware- en software-ontwerpers, of moet het op het hoogste niveau van bedrijfsgovernance worden verankerd?

Woodside Capital Partners, een toonaangevende corporate finance adviseur, publiceerde een rapport getiteld Zeven lessen voor CEO's, directeuren, raadsleden en private equity-firma's, geschreven door Managing Director Nishant Jadhav. Het rapport stelt dat de SolarWinds-supply-chain-aanval de urgente noodzaak aantoont voor dieper cyberbeveiligingsbegrip op uitvoerend en raadsniveau. In een tijdperk waarin geavanceerde persistente dreigingen onzichtbaar kunnen sluiperen, is het beschermen van reputatie en ondernemingswaarde nog nooit zo kritiek geweest.

Het rapport benadrukt dat raadsleden in staat moeten zijn om in heldere taal te bevestigen dat hun organisatie over robuuste cyberzekerheid beschikt. Hieronder volgen de zeven lessen:

Les 1: Neem een security-first-mindset aan, niet compliance-first – Top-Down

Een security-first-benadering betekent dat het uitvoerende team en de raad de specifieke risico's voor hun bedrijf en de risico's die ze creëren voor klanten en partners begrijpen. Een compliance-first-houding voldoet slechts aan regelgevende checklists en biedt een vast, kortetermijnveiligheidsnet. Cyberdreigingen evolueren snel, waardoor kwartaalmatige raadsgoedkeuringen van de dreigingspostuur van het bedrijf essentieel zijn.

Les 2: CISO's moeten deel uitmaken van het uitvoerend leiderschapsteam

Effectieve CISO's kijken verder dan IT en overwegen elke potentiële dreigingsvector – inclusief ongewilde datalekkage via klantgerichte rollen en risico's die voortvloeien uit de implementatie van nieuwe technologieën. Door CISO's op uitvoerend niveau verantwoordelijk te stellen, zorgen organisaties ervoor dat beveiligingsaanbevelingen worden geïmplementeerd en risicoblootstelling continu wordt gemeten.

Les 3: Meet CISO's met KPI's voor lopende bescherming en herstel

In plaats van een CISO te ontslaan na een inbraak, richt je op hun vermogen om een passend beveiligingsbudget toe te wijzen, cyberbeveiligingsbewustzijn in de organisatie te vergroten en reacties op externe dreigingen zoals SolarWinds te modelleren. KPI's moeten zowel operationele uptime als de zakelijke capaciteit om aanvallen te mitigeren en ervan te herstellen weerspiegelen.

Les 4: Een vertrouwde partner garandeert geen beveiliging

Het SolarWinds-geval bewijst dat geen partner immuun is voor risico's. Het implementeren van air-gapped-omgevingen voor nieuwe productontwikkeling kan het infiltratierisico van vertrouwde leveranciers verminderen.

Les 5: Inboeteling van beveiliging is geen winstdriver

Woodside Capital stelt een 'cybergraad' voor als waarderingsmetricus die technologie-investeringen, training, lopende beschermingsbeleid en snelle herstelacties weerspiegelt. Hogere cybergraden correleren met hogere bedrijfswaarderingen. Private equity-firma's zouden cybergraden voorrang moeten geven boven kortetermijnwinstgevendheid.

Les 6: Herwaardering van cyberverzekeringen op raadsniveau

Veel polissen dekken financiële verliezen door datainbraken, maar sluiten supply-chain-aanvallen of door staten gesteunde dreigingen mogelijk uit. CISO's moeten raadsleden betrekken om verzekeringen af te sluiten die deze scenario's dekken en de uitgebreide nasleep van een aanval bestrijken.

Les 7: Continue reputatiebescherming

Inbraken kunnen op elk moment gebeuren en de bedrijfsprestaties beïnvloeden. Bedrijven moeten aantonen dat cyberbeveiliging een kernverschillend kenmerk is – door continue investering, educatie en transparante herstelacties. Door cyberzekerheid te vestigen en dit te communiceren naar klanten en partners, kunnen firma's hun reputatie op de lange termijn beschermen.

Het Woodside Capital-rapport noemt ook groeifasebedrijven die uitgebreide cyberzekerheidsoplossingen aanbieden, van risicobeheer tot cyberverzekeringen. Het volledige rapport is beschikbaar hier.