Hoe cyberbeveiliging kleine en middelgrote ondernemingen benaderen

KMO's zijn belangrijke spelers in de meeste economieën en dragen in hoge mate bij aan het verbeteren van het welzijn van de mens wereldwijd. Ze worden echter hard getroffen door cyberrisico's; 60% van de kleine bedrijven is binnen 6 maanden failliet na een cyberaanval. Door hun doorgaans lage aandelenratio zijn ze kwetsbaarder voor externe gebeurtenissen dan grotere ondernemingen.

Om het effect van cyberrisico's te beperken, moeten organisaties hun cyberbeveiligingsvolwassenheid afstemmen op hun risicobereidheid. Volwassenheid op het gebied van cyberbeveiliging wordt beheerd en gemeten aan de hand van normen zoals ISO27001 en het NIST Cybersecurity Framework. Kleine en middelgrote ondernemingen zijn echter niet in staat om deze standaarden effectief in te voeren vanwege de hoge implementatiekosten, het gebrek aan middelen, het gebrek aan technische oplossingen, het gebrek aan bewustzijn, enz.

Daarom stellen we een cyberbeveiligingsnorm voor die is toegesneden op het MKB, uitgaande van de volgende primaire onderzoeksvraag:

"Welke componenten van een cyberbeveiligingsnorm zijn toegesneden op MKB-bedrijven met een lage adoptiedrempel die cyberbeveiligingsrisico's effectief beheersen?".

Zoals uit ons onderzoek blijkt, weerhouden een gebrek aan middelen en de implementatiekosten het mkb ervan om met succes een cyberbeveiligingsnorm in te voeren. We hebben ook vastgesteld dat een cyberbeveiligingsnorm 6 cruciale onderdelen heeft:

1. Goedkeuring van de risicomanagementprocessen door het management
2. Een organisatiebrede benadering van risicomanagement
3. De organisatie heeft ten minste een beperkt begrip van het bredere ecosysteem
4. Risicobeoordeling
5. Beschermende technologie
6. Identiteitsbeheer en toegangscontrole

Door de complexiteit en onvoorspelbaarheid van het huidige bedrijfsklimaat moeten bedrijven zich voortdurend aanpassen om te overleven. Aanpassingsvermogen is dus essentieel geworden voor kmo's en moet doelbewust worden gestimuleerd en ondersteund door interne procedures. Op dezelfde manier heeft een cyberbeveiligingsbeheerstandaard voor KMO's bewuste flexibiliteit nodig.

Onze oplossing is het SMB cybersecurity canvas, dat gebruikt kan worden om mensen te betrekken bij een strategisch perspectief van risico's, cybersecurity en maatregelen.

Aan de linkerkant biedt het basiscanvas bedrijfsspecificaties en risicobeoordeling:

• Business context: uitleggen waarom het bedrijf een cyberbeveiligingsprogramma wil uitvoeren
• Company risks: de integratie met bedrijfsbreed risicobeheer van kritieke, niet-cybergerelateerde risico's
• Cyber-risks: cyberbeveiligingsspecifieke risico's

Aan de rechterkant staat een lijst met maatregelen (as-is & to-be) om de risico's te verminderen of te beperken. De basisversie vermeldt alleen de twee categorieën met de op één en twee na hoogste waargenomen effectiviteit (beveiligingstechnologie en identiteit en toegang). De categorie met de hoogste waargenomen effectiviteit, risicobeoordeling, wordt aan de linkerkant weergegeven.

Tot slot hebben we op basis van onze onderzoeks- en consultancy-expertise ook een handige checklist ontwikkeld die los van het SMB Cybersecurity Canvas kan worden gebruikt:

• Noteer het antwoord: "Waarom is cyberbeveiliging relevant voor het bedrijf?"
• Noteer de belangrijkste risico's voor de organisatie (inclusief niet-cyberbeveiligingsrisico's)
• Noteer de belangrijkste cyberbeveiligingsrisico's
• Huur expertise in om passende maatregelen voor die risico's te bepalen.
• Bepaal maatregelen die passen bij die risico's, bij voorkeur maatregelen die gebruik maken van beschermende technologie of identiteit en toegang van gebruikers
• Plan regelmatige bijeenkomsten met de expert om veranderingen door te voeren en de voortgang te waarborgen. Het tijdsbestek hangt af van het risiconiveau en de risicobereidheid van het MKB.

Meer weten over ons onderzoek? Het proefschrift duikt ook in onderwerpen als:

• Proces voor het bouwen van een onderzoeksondersteund product
• Analyse van het onderzoek gedaan via Group Support System onderzoek met 10 experts (in totaal 130 jaar ervaring)
• Voorgestelde wijzigingen in het NIST Cybersecurity Framework
• Vergelijking van onderzoeksmethoden

Vincent van Dijk is Executive Master bij AMS en Cybersecurity-ondernemer.

Prof. Dr. Yuri Bobbert is Academisch Directeur bij AMS en begeleidde Vincent tijdens zijn onderzoeksproject.