Digitale risico's voor bedrijven, wat kosten ze?

Als bedrijfsleiders moeten we onszelf de vraag stellen:

• Hoe kunnen we als bedrijfsmanagers verschillende soorten hackers en hun intentie onderscheiden?
• Hoe kunnen we scenario's simuleren en de impact op het bedrijf berekenen in termen van economisch verlies?
• Wat kunnen we doen om die te identificeren, te beschermen en erop te reageren en welke beveiligingsinvesteringen zijn gerechtvaardigd om de risico's te beperken?

Dit zijn typische vragen die een CISO moet beheersen in een wereld waarin geld wordt verdiend via digitale bedrijfsplatforms en de rol van de CISO bestaat uit het nemen van leiderschap en verantwoordelijkheid. Dit is precies waar we technische leiders van de toekomst op begeleiden bij het volgen van het masterprogramma Cybersecurity. Periodiek onderzoeken we cases die studenten hebben uitgevoerd als onderdeel van opdrachten en werpen we nieuw licht of nieuwe inzichten op het onderwerp. Deze keer vragen we Pascal de Haan (DSM) en Tim Vandeput (TConsult) naar het analyseren van BIS en de mogelijke impact van een datalek bij een financieel bedrijf.

We onderzochten de potentiële impact van een kwetsbaarheid in de digitale kanalen van een financiële instelling. Financiële spelers zijn steeds meer afhankelijk van digitale interactie met hun klanten en partners, deels veroorzaakt door nieuwe regelgeving die banken en andere financiële organisaties verplicht hun diensten via API's beschikbaar te stellen.

De bijkomende introductie van DevOps leidt ook tot frequentere updates en frequentere releases van functionaliteit in de digitale kanalen en vergroot daarmee de kans op het vrijkomen van kwetsbaarheden in code. In dit scenario gingen we ervan uit dat een dergelijke kwetsbaarheid minder eerbare personen in staat zou stellen om klantgegevens, waaronder persoonlijke informatie, uit de kernsystemen te halen. Met meer dan 3 miljoen actieve klanten zou dit kunnen leiden tot aanzienlijke financiële en niet-financiële schade voor het bedrijf in kwestie.

We begonnen onze onderzoeksopdracht met het bekijken van het jaarverslag, persberichten en andere publiek beschikbare informatie van het bedrijf, evenals interne documenten, om een beeld te krijgen van de huidige strategie en risicobeheersing. Vervolgens hielden we een interview met het hoofd IT-beveiliging van de organisatie. Dit was nodig om gegevens te verzamelen voor de volgende stappen, waarbij we een analyse van de materiële en immateriële kosten van datalekken en de daaruit voortvloeiende gap-analyse uitvoerden, met behulp van referentiegegevens van IBM Ponemon en Verizon DBIR. De onderstaande afbeelding toont de verschillende aanvalsvectoren die we hebben onderzocht als levensvatbare scenario's. Niet alleen voor ons geval, maar voor elk financieel bedrijf.

De potentiële financiële impact (materieel en immaterieel) overtrof alle verwachtingen. Door de oefening met de casusonderneming uit te voeren, creëerden we bewustzijn over de potentiële gevolgen. Door de potentiële kosten zo transparant mogelijk te maken, helpt het om de investering te "verkopen" aan het senior management en de raad van bestuur. Door deze financiële impact te gebruiken in de berekeningsmethode Return of Security Investment (ROSI), konden we de beveiligingsinvestering rechtvaardigen. Return on Security Investment (ROSI) vertegenwoordigt de hoeveelheid verminderd risico, verminderd met de hoeveelheid uitgegeven geld, gedeeld door het bedrag dat is uitgegeven aan cyberbeveiligingscontroles. Het bedrijf wil graag weten hoeveel het aan beveiliging moet uitgeven om het risico te verminderen en wanneer de investering het grootste rendement oplevert. Het doel van de ROSI is hoeveel het bedrijf kan besparen door te investeren in IT-beveiliging. Parallel daaraan moeten alle investeringen in cyberbeveiliging worden bekeken en moet de investeringsportefeuille worden geprioriteerd. Voordat we een ROSI-berekening kunnen maken, hebben we echter wat informatie nodig. We hebben eerst een Business Impact Analyse (BIA) uitgevoerd om de kritieke bedrijfsfuncties en bijbehorende bedrijfsmiddelen te identificeren. Dit begint met het uitzoeken welke processen kritisch zijn voor het succes van het bedrijf. Een ander belangrijk perspectief voor een organisatie komt voort uit analytische risicoblootstellingsmethoden die de kosten van beveiligingsincidenten verklaren. We nemen de Single Loss Exposure (SLE) en vermenigvuldigen deze met de Annual Rate of Occurrence (ARO) en het resultaat hiervan is de Annual Loss Exposure (ALE). ALE = ARO x SLE

Om de daadwerkelijke ROSI-berekening uit te voeren, heb je deze parameters nodig:

• Single Loss Expectancy (SLE) = de verwachte hoeveelheid geld die verloren gaat tijdens een enkel beveiligingsincident.
• Annual Rate of Occurrence (ARO) = de kans dat zich in een jaar een beveiligingsincident voordoet.
• Jaarlijkse blootstelling aan verlies (ALE): Het totale jaarlijkse financiële verlies dat wordt verwacht als gevolg van een beveiligingsincident.
• Recurring Security Costs (RSC) = Jaarlijkse beveiligingskosten (licenties, audits, gespecialiseerd personeel).
• Mitigation Ratio = Percentage bedreigingen dat wordt afgeschrikt door de beveiligingsoplossing.
• Beveiligingskosten (Scost) = initiële investering in de digitale beveiligingsmaatregel.

Voorbeelden van potentiële kosten die we verwachtten zijn (zie tabel voor volledig overzicht):

• GDPR (boetes) (blauw)
• Onderzoek en forensisch onderzoek (olijfgroen)
• Vergoedingen voor slachtoffers (tarwe)
• Verminderd marktaandeel (oranje)

Door de potentiële kosten transparant te maken en te gebruiken in de ROSI-berekening maak je voor het bedrijf tastbaar wat je probeert te beschermen met je investering. Dit maakt het "makkelijker te verkopen" aan het bestuur om de investering goedgekeurd te krijgen.

We hebben ook opgemerkt dat een goed bestuur en een goed proces moeten zorgen voor voortdurende verbetering en dat de verdedigingslinies de controles voortdurend moeten versterken. Als deze mechanismen aanwezig zijn, creëer je een zelflerende en validerende organisatie.

We zouden aanraden om een masteropleiding te volgen om inzicht te krijgen in spannende theoretische modellen, deze in de praktijk toe te passen, er onderweg over na te denken met je casestudy, je medestudenten en professoren, wat allemaal leidt tot groei als professional, terwijl je praktisch en toepasbaar advies geeft aan je casestudy.

Concluderend kunnen we stellen dat het analyseren van verschillende cyberactoren ten opzichte van organisaties nodig is. Niet alleen via traditionele manieren zoals waarschijnlijkheid en impact, maar ook op een meer economische en kwantificeerbare manier. Door de analyse uit te voeren op basis van bekende actoren (zoals door de staat gesponsorde hacks met spionage en economisch voordeel als doel), meestal afgeleid uit dreigingsrapporten van landen - zoals de Belgische of Nederlandse National Cyber Security Centers (NCSC). Elk land identificeert relevante actoren en hun manier van werken in bepaalde sectoren. Door dit soort bedreigingsgegevens te combineren met bedrijfsspecifieke verliesgegevens, kunnen organisaties bedreigingsscenario's, potentiële inbreuken (vertaald in de ALE) en potentiële financiële gevolgen identificeren. Je kunt direct inzicht geven in de kosten voor het bedrijf en de potentiële opbrengsten door de afzonderlijke risico-impactscenario's en de som van alle risico-impactscenario's als geheel te bekijken en deze scenario's vervolgens in kaart te brengen voor zowel lopende beveiligingsactiviteiten als nieuwe beveiligingsactiviteiten en de bijbehorende uitgaven. Het monitoren van de individuele initiatieven en het totale programma via Balanced Score Cards-methodologieën helpt bij een betere buy-in bij het senior business management en raden van bestuur. Dit zijn methoden, technieken en soft skills die AMS biedt aan potentiële beveiligingsleiders die het Executive Master-programma volgen.