Van security naar resilience: omgaan met steeds veranderende cyberrisico’s

De aandacht voor de cyber security in organisaties vertaalt zich steeds meer in awareness van de noodzaak om ook digitaal veerkrachtig te zijn. Kate El-Bouhmi van Cuccibu vertelt over de actuele ontwikkelingen en de need to knows voor privacy professionals.

De cyber security van digitale producten zoals computers, smartphones, virtuele assistenten en andere slimme apparaten is een continu aandachtspunt voor organisaties die er gebruik van maken. Tegelijkertijd is het voor consumenten lastig om te beoordelen of de beveiliging van voldoende niveau is. Met de Cyber Resilience Act wil de Europese Commissie deze twee issues oplossen. Het voorstel voor de verordening stelt eisen aan de beveiliging van de hardware en software van digitale producten – gedurende de gehele levenscyclus.

Cyber security versus cyber resilience

“Er is een groot verschil tussen cyber security, dat draait om het tegengaan en oplossen van risico’s en dreigingen, en cyber resilience, dat zich richt op de continuïteit van de activiteiten van de organisatie. Om een organisatie echt veilig te houden, is een combinatie van beide perspectieven nodig”, vertelt Kate El-Bouhmi, Cyber Security Consultant bij Cuccibu en een van de sprekers tijdens het Dataprotectie & Privacy Congres van Outvie.

Cuccibu is een adviesbureau met een specialisatie in IT-audits, IT-risicomanagement, privacy en cyber security. Tijdens de COVID-19-pandemie merkten El-Bouhmi en haar collega’s het grote belang van cyber resilience. “Organisaties waren massaal gedwongen om medewerkers online te laten werken. Daarmee ontstonden grote uitdagingen en risico’s. Organisaties die niet alleen werkten aan de security van data, maar ook aan de weerbaarheid van processen en systemen, waren beter in staat om in te spelen de steeds veranderende omstandigheden.”

Security hubs als trend in cyber resilience

“Audits zijn niet meer voldoende: je moet ook kijken naar indicaties van de resilience van de organisatie”, benadrukt El-Bouhmi. “Omdat systemen en processen steeds meer onderling zijn verbonden, kan een cyberaanval een enorme impact hebben. Op de medewerkers en klanten van een organisatie, maar ook op leveranciers en partners. Daarmee kan één incident een reeks aan economische en sociale activiteiten ontwrichten – en daarmee een enorme maatschappelijke schade veroorzaken.”

Cuccibu ziet de opmars van security hubs, zoals de Computer Security Incident Response Teams die het Nationaal Cyber Security Centrum in Nederland stimuleert, als een belangrijke trend in cyber resilience. “Door de nauwe samenwerking tussen verschillende ketenpartners verbetert de weerbaarheid tegen cybercrime. Maar elke organisatie afzonderlijk heeft ook een sterke verdedigingslinie nodig. Dat begint met een business impact analysis. Wat gebeurt er precies met de organisatie als er activiteiten worden geraakt door een digitale aanval? Door risico’s en kwetsbaarheden te analyseren, kan je vervolgens een herstelplan ontwikkelen. Welke procedures en standaards zijn er nodig om de organisatie-activiteiten na een incident toch voort te zetten?”