GDATA CyberDefense: in een onbewaakt moment wordt onze data gestolen

Tachtig procent van alle cyberaanvallen zijn succesvol dankzij de mens. Daarom biedt GDATA CyberDefense al sinds twee jaar awareness-trainingen aan die medewerkers alert houden. ‘Onze partners zien ook een groei in de aanvraag van deze trainingen’, vertelt Jihane Abid van GDATA CyberDefense. ‘Ze zien dat awareness in cybersecurity net zo goed hoort bij de digitale transformatie die bedrijven ondergaan.’

Cybersecurity staat of valt met de menselijke factor. Dat was altijd al het geval, maar wordt steeds belangrijker, zo vertelt Eddy Willems, Security Evangelist bij GDATA CyberDefense. ‘De menselijke factor was altijd al een probleem, maar het is de laatste jaren steeds erger geworden. Ik beschreef het al in mijn boek Cyberdanger, waarin de Wet van Willems wordt genoemd, waarmee ik wil zeggen dat het cyberprobleem altijd uit de interactie van twee factoren bestaat: de menselijke en technologische.’

Het zit in onze natuur om ons over te laten halen
Maar Willems is niet al te streng voor de mensen die klikken op besmette links. Het zit in mensen hun natuur om zich over te laten halen. Zeker aangezien de cybercriminelen zelfs de zes overtuigingsmechanismen van Robert Cialdini inzetten om mensen over te halen. De eerste is toewijding en consistentie, de tweede wederkerigheid, de derde sympathie, de vierde sociale bewijskracht, de vijfde autoriteit en de zesde schaarste.

‘Autoriteit werkt goed door bijvoorbeeld te fingeren dat een CEO de afzender is van een e-mail. Maar er is ook fraude die inspeelt op sympathie. Of ze laten de ontvangers zich schuldig voelen over iets dat ze gedaan hebben, waarmee ze inspelen op wederkerigheid. Of dat ze kijken naar eenheid, waarbij wordt gezegd: zoveel procent deed dit ook. En zo zetten de cybercriminelen de mechanismen van Cialdini in om mensen over te halen.’

Getroffen in een onbewaakt moment
Maar al zijn de e-mails nog zo doorzichtig, soms worden we getroffen op een moment dat we minder alert zijn, bijvoorbeeld als we moe zijn en ’s avonds nog even onze e-mail lezen op onze mobiele telefoon. ‘Dan doen we stomme dingen. Een ongeluk kan in een klein hoekje zitten. En we weten het wel, want we lezen over incidenten in de pers en media. Maar toch lijkt het alsof mensen altijd op een onbewaakt moment overgehaald kunnen worden.’

Daarom is het cruciaal dat medewerkers alert blijven en één van de manieren om dat te doen, is door de trainingen te volgen bij GDATA CyberDefense. ‘Omdat we zien dat de menselijke factor steeds belangrijker wordt, zijn we twee jaar geleden gestart met de trainingen om awareness rondom security te vergroten. We bieden nu veertig cursussen en trainingen op dat gebied, maar ook op andere gebieden zoals wat te doen bij brand en discriminatietrainingen’, vertelt Jihane Abid, International Sales Manager bij GDATA CyberDefense.

Phishing tastbaar maken
Ze gaat verder: ‘De trainingen maken de risico’s heel tastbaar. Mensen herkennen daardoor bijvoorbeeld sneller een phishing-aanval. Herhaling is key in het geval van awareness-trainingen. Wij raden aan om de cursussen over twee jaar te verspreiden om tot een goed resultaat te komen en de druk bij de leerling te minimaliseren. Door security flashes en phishing-simulatietesten, word je vier keer per jaar getest en dan merk je of je echt iets hebt opgestoken van de cursussen.’

Ook de partners van GDATA CyberDefense zien een toename in de vraag naar cybersecuritytrainingen, maar toch blijft cybersecurity en zeker de trainingen een onder geschoven kindje. Abid: ‘Mensen zien er tegenop omdat ze bang zijn dat het te ingewikkeld is. Maar het is prima te doen voor mensen zonder cybersecurity kennis.’ Willems vult aan: ‘Sommige klanten hebben al een cursus gevolgd, maar dan waren die saai of te theoretisch. Dat geeft een verkeerd beeld. Onze cursussen zijn niet saai, maar juist interactief.’

Karakter van partners verandert
Niet alleen groeit de vraag van eindklanten, maar ook het karakter van de partners verandert, vertelt Abid. ‘Je ziet dat partners niet alleen producten leveren, maar ook een all-round dienstverlening willen bieden naast hard- en software. Trainingen zoals wij die bieden horen daar ook bij. Ze realiseren zich dat meer bewustzijn rondom cybersecurity net zo goed hoort bij de digitale transformatie die veel bedrijven ondergaan.’

Die partners worden zich ook steeds beter bewust van het feit dat cyberaanvallen niet automatisch gaan, maar dat het in tachtig procent van de gevallen door een verkeerde beslissing van de gebruikers wordt veroorzaakt. Maar niet alleen draait het wat Willems betreft om de mensen die op een verkeerd linkje klikken, maar ook om patches die niet zijn uitgevoerd.

Ransomware blijft een trend
‘Zeker door de digitale transformatie worden regelmatig nieuwe services aan het internet gehangen. Maar die moet je dan wel op tijd patchen en niet pas na drie maanden omdat de administrator geen tijd had. Daar gaat de mens dus ook de fout in’, aldus Willems. Cybercriminelen gebruiken die lekken om bijvoorbeeld ransomware binnen te brengen. ‘Ransomware is helaas nog steeds een trend.’

Een andere trend is Emotet, vertelt Willems. ‘Emotet is het Zwitserse zakmes onder de bedreigingen. Het is malware met botnet-faciliteiten, waarmee command and control activiteiten geïnitieerd kunnen worden, zoals het infecteren van pc’s, het opzetten van ransomware of spyware. Of om gespecialiseerde spam te versturen die helemaal is toegepast op de gebruiker.’

Het einde van Emotet
Willems: ‘Afgelopen jaar is er een grote Botnet-organisatie opgerold in Duitsland, samen met de high crime unit uit Nederland. Dat zou het einde van Emotet moeten betekenen, maar ik heb altijd gezegd dat het nog niet het einde was en dat bleek helaas waar te zijn.’ Naast Emotet dat dus relevant blijft, moeten organisaties ook letten op de beveiliging van hun supply chain en het beschermen van mobiele devices.

Abid: ‘Overigens is een awareness-training natuurlijk niet het enige antwoord op cyberaanvallen. Het gaat hand-in-hand met goede endpoint security, een goed patchingsbeleid, andere beveiligingselementen zoals two-factorauthenticatie, en een goed businesscontinuïteitsplan. Dus het is heel goed om je bewust te zijn van hoe phishing bijvoorbeeld werkt, maar het blijft één van de aspecten van goede cybersecurity.’