Cybersecurity Essentiële voor Fabrikanten: Inzichten van Pat Toth

Het aantal cyberaanvallen blijft stijgen, en cybercriminelen worden meer bepaald. Bedrijven worden achtergelaten met het navigeren door verwarrende technische richtlijnen in een snel veranderend digitaal landschap. Kleine fabrikanten denken vaak niet dat hun bedrijven risico lopen. Immers, waarom zou iemand een klein, landelijk fabrikant willen targeten als er grotere bedrijven zijn om aan te vallen?

Om te begrijpen wat er gaande is en te ontdekken wat fabrikanten echt over cybersecurity moeten weten, ging ik zitten met Pat Toth. Pat is een Computer Scientist bij het NIST Manufacturing Extension Partnership met meer dan 30 jaar cybersecurity-ervaring en heeft gewerkt aan talloze NIST cybersecurity-richtlijndocumenten.

Vraag: Lopen fabrikanten echt risico op cyberaanvallen vergeleken met andere industrieën? Zo ja, waarom?

Pat: Volgens het U.S. Department of Homeland Security is de fabricage-industrie de tweede meest aangevallen industrie gebaseerd op het aantal gemelde cyberaanvallen.

Ik denk dat kleine fabrikanten met name kwetsbaar zijn omdat ze gezien worden als makkelijke toegangspunten naar grotere toeleveringsketens. Denk er zo over: Als je een crimineel bent en van plan bent in te breken in een gebouw en het te beroven, ga je proberen in te breken in een gebouw met bewaking, een alarmsysteem en bewakers, of ben je geneigder een gebouw te targeten dat geen van deze beveiligingskenmerken heeft? Het is meestal het laatstgenoemde, weshalb cybercriminelen specifiek fabrikanten targeten. Helaas hebben veel kleine bedrijven geen goede beveiligingsmaatregelen omdat deze bedrijven niet denken dat ze doelen zijn.

Cybercriminelen kunnen geïnteresseerd zijn in uw intellectuele eigendom (IE) of ze willen toegang tot informatie over wie u mee werkt of wie u in dienst hebt. Target's 2013 klantendatalekkage is een van de bekendste voorbeelden hiervan. Hun HVAC-systeemleverancier was opzettelijk getarget door cybercriminelen omdat de hackers wisten dat ze toegang konden krijgen tot Target's systemen via deze HVAC-leverancier. De datalekkage resulteerde in miljoenen mensen hun creditcardinformatie die gestolen werd.

Vraag: Gegeven dat kleine en middelgrote fabrikanten (KMF's) vaak primair doelwit zijn, maar ook vaak beperkte middelen hebben, wat kunnen deze KMF's doen?

Pat: Het kan gecompliceerd en waarschijnlijk een beetje overweldigend lijken, maar er zijn dingen die KMF's kunnen doen die laag- tot geen-kosten zijn en makkelijk te implementeren.

Het komt er eigenlijk op neer om beleid te plaatsen en werknemers te educeren. Verschillende studies hebben gevonden dat werknemers een van de meest kwetsbare punten in elk bedrijfs beveiliging zijn. De meeste werknemers zijn simpelweg onbewust van wat ze uit moeten kijken en hoe ze een potentiële of daadwerkelijke cyberincident moeten identificeren tot het te laat is. Bedrijven moeten op regelmatige basis communiceren om werknemers te helpen begrijpen van cybercriminelen tactieken en de cruciale rol die ze spelen in het voorkomen van cyberincidenten.

Bijvoorbeeld, uw bedrijf moet een beleid hebben voor het gebruik van sociale media op de werkplek. Sommige werknemers zullen verwachten toegang te hebben tot sociale media tijdens de werkdag. Er is een balansact die bedrijven tegenkomen – toestaan dat werknemers toegang hebben tot sociale media en hun systemen beschermen. Hoe ga je daar te werk? Je stelt een beleid op. Het beleid kan zijn dat je het gebruik van sociale media op bedrijfssystemen niet toestaat. Misschien bied je een apart, semi-publiek netwerk voor mensen om sociale media te benaderen de hele dag dat uw bedrijf niet blootstelt aan risico's. Wat uw beleid ook is, zorg ervoor dat uw werknemers er bewust van zijn, begrijpen waarom het bestaat en de potentiële gevolgen als het beleid geschonden wordt.

Vraag: Het is goed te horen dat er geen- en laagkostoplossingen zijn die fabrikanten kunnen implementeren. Als een bedrijf klaar is om zijn cybersecurity te verbeteren, waar moeten ze beginnen?

Pat: Begin met kijken naar het NIST Cybersecurity Framework en NISTIR 7621 Small Business Information Security: The Fundamentals. Het Cybersecurity Framework bestaat uit standaarden, richtlijnen en best practices om cybersecurity-gerelateerde risico's te managen. Het biedt een geprioriteerde, flexibele en kosteneffectieve benadering om systemen te beschermen. Small Business Information Security: The Fundamentals is gebaseerd op het Cybersecurity Framework en biedt een beter beheersbaar overzicht voor bedrijfsbesluitvormers die misschien geen technische achtergrond hebben. Het focust ook op hoe beveiligingsfuncties te beoordelen en te prioriteren.

Om u te helpen starten, hier een kort overzicht van wat u in het Framework vindt.

De eerste stap is Identificeren. Identificeer de meest waardevolle informatie voor uw bedrijf. Dit is de informatie die, als verloren of gewijzigd, uw operaties tot stilstand zou brengen. Stel, u bent een voedselfabrikant en u maakt chocoladechipkoekjes met het recept van uw grootmoeder. Dat recept is vitaal voor uw bedrijf en moet beschermd worden tegen diefstal of wijziging zodat uw bedrijf kan doorgaan.

De tweede stap is Beschermen. U heeft gesproken met managers en personeel en deze feedback gebruikt om de meest belangrijke informatie voor uw bedrijf te identificeren. Nu is het tijd om te beslissen wat er gedaan moet worden om die informatie goed te beschermen. Deze stap is grotendeels afhankelijk van de dreigingen en kwetsbaarheden die specifiek zijn voor uw bedrijf. Kleine bedrijven die simpelweg met klanten werken via face-to-face interactie of over de telefoon zullen minder te beschermen hebben dan bedrijven die zaken doen via e-mail en webportals. Het hangt echt af van uw operationele omgeving welke bescherming u moet implementeren.

De derde stap is Detecteren. U moet in staat zijn te detecteren wanneer een cyberincident heeft plaatsgevonden. U moet up-to-date anti-spyware, anti-virus en inbraakdetectiesystemen hebben. U moet ook uw fysieke ruimte overwegen. Overweeg dingen zoals of u gewaarschuwd moet worden wanneer mensen gebieden betreden die ze niet zouden moeten. Of een incident digitaal of fysiek is, het is belangrijk om te weten wanneer het incident gebeurde en wat de persoon(en) toegang kreeg.

De vierde stap is Reageren. Wanneer een cyberincident optreedt, moet uw bedrijf snel reageren om potentiële schade te mitigeren. U moet een plan hebben voordat er iets gebeurt. Het plan moet omvatten wie verantwoordelijk is en wie gecontacteerd moet worden wanneer er iets gebeurt. Ook moeten werknemers weten hoe ze het plan tijdens en na kantooruren kunnen benaderen.

Herinner u zich terug naar de basisschool toen we een paar keer per jaar brandoefeningen oefenden? Net als die brandoefeningen, moet uw bedrijf regelmatig zijn cyberincidentrespons oefenen zodat werknemers precies weten wat ze moeten doen als een cyberincident optreedt.

De vijfde en laatste stap is Herstellen. U moet regelmatige back-ups uitvoeren zodat u uw systemen kunt herstellen. Deze back-ups moeten opgeslagen worden op een aparte locatie of in de Cloud. U moet uw back-ups testen. Als u uw back-upinformatie niet test, kunt u niet zeker weten dat u in staat zult zijn om volledig te herstellen van een gebeurtenis. Hoe vaak u besluit uw back-ups te testen, moet gebaseerd zijn op hoe vitaal de informatie is voor de operaties van het bedrijf.

Dit is geen "one size fits all" situatie, en u moet beslissen wat voor uw bedrijf en cultuur werkt. Voor één bedrijf kan testen één keer per jaar volstaan. Voor een ander bedrijf kan het nodig zijn om een keer per week te testen. Het is geen makkelijk antwoord om te horen, maar het vereist echt te kijken naar uw systemen om te zien waar u kwetsbaar bent, de dreigingen te kennen die u tegenkomt en hoe u ze gaat tegenwerken.

Vraag: Laten we zeggen dat mijn bedrijf de juiste veiligheidsmaatregelen heeft genomen en we een reactieplan hebben gemaakt: Wat komt er daarna?

Pat: Dit is geen "one and done" activiteit. U kunt geen reactieplan schrijven en het op een plank zetten. Dit moet een levend document zijn. Iedereen moet uw cybersecurity-houding weten en hoe u deze kunt blijven verbeteren.

Elke keer dat u een nieuw stuk apparatuur koopt of een nieuwe werknemer aannemt, moet u nadenken over hoe deze activiteiten uw beveiliging beïnvloeden. Voor kleinere bedrijven kan dit moeilijk zijn. Al te vaak zie ik gevallen waarin een bedrijf snel is gegroeid en vergeet dat niet iedereen toegang nodig heeft tot elk beetje informatie. Het kan wat tijd kosten, maar management moet door een lijst met werknemers gaan en zien wat ze wel en niet toegang moeten hebben. Iemand op de werkvloer heeft geen toegang tot salarisinformatie. Rollen definiëren en de scheiding van die rollen implementeren kan moeilijk zijn, maar is noodzakelijk bij het kijken naar het beschermen van uw bedrijf van cyberdreigingen.

Ik denk dat cybersecurity en kwaliteit veel overeenkomsten hebben in termen van adoptie. Veel bedrijven waren traag in het adopteren van kwaliteitssystemen zoals ISO 9000. Een groot onderdeel van kwaliteit is de mindset in een bedrijf. Cybersecurity is niet afgebakend aan alleen de IT-persoon of de persoon verantwoordelijk voor cyber – elke werknemer op elk niveau van het bedrijf heeft een of andere vorm van verantwoordelijkheid. Cybersecurity moet deel uitmaken van de cultuur van een bedrijf – net als kwaliteit – om effectief te zijn.

Vragen: Waar kan ik informatie vinden om mijn werknemers te educeren over dingen die ze kunnen doen om het cyberrisico van het bedrijf te verlagen?

Pat: Ga naar de NIST MEP Cybersecurity Resource webpagina. Op deze pagina vindt u een aantal bronnen inclusief een eenvoudige self-assessment tool die u kunt gebruiken (gebaseerd op NIST's Cybersecurity Framework) om het cyberrisiconiveau van uw bedrijf zelf te evalueren. De self-assessment kan u helpen bepalen waar de zwakke plekken van uw bedrijf liggen en waar u bronnen moet richten om ze te verbeteren. We volgen uw informatie niet en bewaren de resultaten niet. Na het nemen van de assessment, ontvangt u een score zodat u weet waar uw zwakke plekken liggen ten aanzien van uw cybersecurity-inspanningen. U kunt ook contact opnemen met een van de 51 MEP Centra, gelegen in alle 50 staten en Puerto Rico, die onderdeel zijn van het MEP National Network™ voor vragen of assistentie.