Reputatiemanagement in cybersecurity: goede voorbereiding is het halve werk

Als we het hebben over cybersecurity, dan denken we al snel aan IT-gerelateerde zaken. Maar denkt u ook aan de lange termijngevolgen van een aanval, zoals de impact die een aanval heeft op uw klantrelaties? ‘Daarom heeft een assessment niet alleen technische componenten. U brengt ook in kaart op wie een aanval de meeste impact heeft én hoe u in geval van nood gaat communiceren met uw klant’, aldus Dirk Jan Jannink van F-Secure.

Consumenten nemen het beschermen van hun persoonlijke data steeds serieuzer. Waar we vroeger nog achteloos klikten op het accepteren van algemene voorwaarden en zomaar allerlei informatie deelden met anderen, zien we nu dat bijna zestig procent van ons het belangrijk vindt om persoonlijke data te beschermen, zo blijkt uit een onderzoek van adviesbureau PWC onder 9.370 consumenten uit 26 landen.

Het belang van het beschermen van persoonlijke data wordt ook duidelijk uit de belangrijkste reden om een merk te vertrouwen: 47 procent zegt dat het vertrouwen van een merk grotendeels afhangt van het beschermen van die data. Daarmee is deze vertrouwensfactor groter geworden dan het voldoen aan verwachtingen en het leveren van excellente klantenservice.

Actualiteit maakt kwetsbaarheid zichtbaar
‘Het is logisch dat consumenten steeds bewuster worden over de risico’s die ze lopen als ze hun data niet beschermen. Ze lezen de gevolgen in kranten en zien de organisaties waarvan klantdata is gelekt langskomen op televisie, ze lezen over ransomware en horen over steeds meer voorbeelden waarbij de consument aan het kortste eind trekt’, vertelt Dirk Jan Jannink, Benelux Business Manager MDR bij F-Secure.

‘Het onderzoek van PWC geeft een duidelijk signaal: neem het beschermen van klantdata serieus! Want anders kiest de klant voor een concurrent die zijn zaken wel op orde heeft.’ Daarmee wordt ook duidelijk dat een aanval niet alleen korte termijnschade met zich meebrengt, zoals het opnieuw opstarten van een productieproces of het terugzetten van back-ups, maar ook lange termijnschade als het vertrouwen van klanten wegvalt.

Aanvallen kunnen niet altijd voorkomen worden
Toch is het niet zo dat bedrijven altijd kunnen voorkomen dat data wordt gestolen of gecompromitteerd. ‘Daarom is het belangrijk om goed voorbereid te zijn’, vertelt Jannink. ‘Dat doe je in de vorm van een assessment, zoals ik in het vorige artikel vertelde. In de eerste stap brengen we alle kwetsbaarheden en risico’s in kaart. Reputatieschade hoort daar ook bij, zodat je, als het misgaat, grip kan houden op de situatie.’

Juist in het domein van reputatieschade zie je duidelijk dat cybersecurity veel breder is dan alleen het beschermen van IT en OT, het detecteren en reageren op aanvallen. Het gaat ook over relatiemanagement en communicatie. Daarom raadt Jannink aan om cybersecurity onder te brengen bij een bedrijfsbreed OMT. In dat team zit niet alleen IT, maar juist ook de communicatie, service en sales. Zij die contact hebben met klanten.’

Partners meenemen in crisiscommunicatie
Maar niet alleen klanten moeten in de loop gehouden worden als een aanval heeft plaatsgevonden: ook partners moeten op de hoogte worden gebracht. Zeker als de systemen van uw bedrijf zijn gekoppeld met die van hen. Zorg dat de koppeling direct wordt verbroken en zorg dat u partners meeneemt in de communicatie. Dus idealiter zit in het OMT ook een partner manager.’

Als het OMT het assessment doet, dan begint dat met het inventariseren van de kwetsbaarheden en risico’s. ‘Als het reputatiemanagement betreft, worden de volgende vragen gesteld: hoe ziet reputatieschade eruit voor een organisatie? Bedient u zakelijke klanten of consumenten? Wie zijn uw grootste klanten? Hoe communiceert u doorgaans met die klanten? Welke media houdt u in de gaten? En hoe reageert u op nieuwsberichten?’

Lange en korte termijngevolgen berekenen
In stap twee en drie wordt respectievelijk een methodiek ontwikkeld en uitgevoerd, waarbij ook het rendement wordt berekend. Daarmee bereken je hoeveel schade je kunt oplopen in welke situaties, welke financiële plaatjes daaraan hangen en welke investeringen je kunt doen. Door dit assessment te doen, worden niet alleen korte termijngevolgen berekend, maar ook die voor de lange termijn, zoals die van reputatieschade.

‘Een goede voorbereiding is dus het halve werk. Uit het assessment wordt ook duidelijk welke acties u nu moet ondernemen. Eén daarvan is het voorbereiden op aanvallen, want zoals u waarschijnlijk al weet: de kans dat u een keer geraakt wordt, is altijd aanwezig. Als het reputatiemanagement betreft, is het dus goed om te weten wat u met wie in welk scenario en wanneer gaat communiceren’, aldus Jannink.

Speel geen paniekvoetbal
Het probleem is echter dat plannen soms in de wind worden geslagen als een aanval plaatsvindt of heeft gevonden, vertelt Jannink: ‘Je ziet dat organisaties soms als een kip zonder kop gaan rondrennen. Er is paniek en dat is logisch, maar blijf rustig. Volg het plan, bepaal welk scenario nu relevant is en doorloop de stappen van je eerder opgestelde proces. Je weet al wat je moet doen, dus houd je daaraan.’

Waar het om draait bij cybersecurity is grip houden in crisissituaties. Om het plan actueel te houden, doet u het assessment elk jaar: ‘Organisaties weten steeds beter welke risico’s ze lopen, hoe ze zich het beste kunnen beschermen en hoe ze zich moeten voorbereiden. Met andere woorden: ze weten enerzijds wat ze moeten doen om klantdata veilig te houden en anderzijds wat ze moeten doen als een aanval toch heeft plaatsgevonden.’

Auteur: Anne van den Berg