Ict-leverancier Hallo is op het gebied van ict-diensten de one-stop-shop voor het mkb. Eén van de vele schappen van die shop is security. Roy Sandbergen, security officer, vertelt hoe Hallo het mkb helpt met cybersecurity. ‘Bewustwording en gedrag spelen een belangrijke rol.’
Een medewerker die per ongeluk klikt op een linkje in een onschuldig lijkende mail. Een collega die bewust of onbewust gevoelige data lekt. Een systeem dat niet up-to-date is, waardoor je het hackers wel erg eenvoudig maakt om bij je binnen te komen. En zo kunnen we nog wel even doorgaan, een cyberongeluk zit in een klein hoekje. Hallo (zie kader) kan zeker ingrijpen als het misgaat, vertelt security officer Roy Sandbergen. ‘Bijvoorbeeld via ons Disaster Recovery Plan, waarmee we met onze klanten een duidelijk plan opstellen hoe ze moeten handelen als het onverhoopt verkeerd gaat. Welke systemen moeten als eerste worden hersteld? Welke mensen moeten worden opgeschaald?’
Begin met een risicoanalyse
Hallo heeft echter niet voor niets better safe than sorry als motto. Voorkomen is beter dan genezen. Dus zet de ict-leverancier vooral in op preventie. Volgens Sandbergen zijn er daarbij altijd twee stappen die elke mkb’er moet zetten om problemen op het gebied van cybersecurity te voorkomen. ‘Als organisatie moet je eerst weten wat je allemaal hebt, voordat je weet wat je precies moet beveiligen. Anders gezegd, een risicoanalyse is een belangrijke eerste stap. Wij brengen daarbij samen met een organisatie in kaart wat ze allemaal hebben aan systemen en processen. En waar de gevaren en risico’s zitten. Inbrekers scannen woningen op openstaande of kwetsbare deuren en ramen. Hackers werken op soortgelijke wijze, alleen dan online. Wij beschikken over dezelfde tools als deze hackers, waarmee we kunnen analyseren welke van die online ramen en deuren openstaan.’ De tweede stap betreft technische maatregelen invoeren. ‘Dat is eigenlijk een soort basishygiëne voor elk mkb-bedrijf. Denk daarbij vooral aan maatregelen zoals het installeren van updates, gebruik van multifactorauthenticatie, het activeren van logging, het controleren van toegang, encryptie van bestanden, opzetten van firewalls, het maken van back-ups en het trainen van je mensen.’
Steeds makkelijker om in phishing te trappen
Uiteraard richt Hallo zich ook op veelvoorkomende problemen, zoals phishing. ‘Zeker onder invloed van bijvoorbeeld ChatGPT komen er steeds meer e-mails die niet van echt te onderscheiden zijn’, zegt Sandbergen. ‘Met onze antispam-software en oplossingen om links technisch te controleren kunnen we veel ellende voorkomen. Maar we adviseren bedrijven ook om te werken aan hun eigen cultuur. Het is door alle ontwikkelingen steeds makkelijker om in een phishing mail te trappen. Een organisatie moet een cultuur hebben waarin je als medewerker niet bang hoeft te zijn om het te melden als je op een verkeerde link hebt geklikt. Want hoe sneller je dit meldt, hoe meer schade je kunt voorkomen.’ Zo heeft Hallotalloze andere securitydiensten voor mkb-bedrijven, waarbij het van de organisatie in kwestie afhangt welke nodig zijn. ‘Met consultancy kunnen we bedrijven helpen om veiligheidsbeleid op te stellen als ze dat nog niet hebben. Of procedures die moeten gelden als iemand in dienst komt of uit dienst gaat.’ Want securityrisico’s komen geregeld van buiten een organisatie, maar niet zelden ook vanuit de eigen medewerkers. ‘Dat kan bewust of onbewust zijn. Een voorbeeld is zeer gevoelige bedrijfsinformatie die je downloadt en meeneemt naar een concurrent. Afhankelijk van de situatie adviseren wij daarbij om encryptie aan te brengen op fileniveau. Of least privilege, waarbij medewerkers echt alleen toegang krijgen tot de omgeving waar ze mogen komen.’
Het trainen van medewerkers
Niet alleen op het gebied van technische maatregelen en organisatiebrede oplossingen heeft Hallo voor mkb-bedrijven genoeg te bieden, maar zeker ook op het niveau van de individuele medewerker. Cruciaal daarbij: het trainen van mensen. Sandbergen: ‘Bewustwording en gedrag spelen een belangrijke rol. Daarom trainen we mensen. Zelf sta ik vaak voor de klas om medewerkers bewust te maken van risico’s en kwetsbaarheden. Maar ook hebben we een online platform, dat bedoeld is om mensen continu te trainen. Want informatie wordt snel vergeten of zakt na een tijdje weer weg, training op het gebied van cybersecurity moet daarom echt een continu proces zijn.’
Hallo
