Security
Geef cybercriminelen geen kans
Geef cybercriminelen geen kans
Je hebt al gelezen hoe gemakkelijk onze gestolen data verspreid wordt op het donkerste deeltje van het web. Hoe wordt die data gestolen? Wat is een datalek? Waarom komen ze voor en hoe kunnen we ons hiertegen wapenen?
Wat is een datalek? (Data leak)
Een datalek is het vrijgeven van gegevens aan een onvertrouwd doelpubliek – bedoeld of onbedoeld. Het gaat zowel om digitale gegevens als gegevens op papier of een ander medium. Ook het verliezen van een notitieboekje of analoge film, bijvoorbeeld, is een datalek. Kortom: bij datalekken gaat het niet noodzakelijk om digitale gegevens, en is er ook niet altijd sprake van kwade wil. Maar wanneer het gaat om privacy- of persoonlijke gegevens kan de impact natuurlijk wel erg groot zijn.
Enkele voorbeelden van datalekken:
- Verlies van een USB-stick,
- Verlies van persoonsgegevens door een brand,
- Onbedoeld e-mailverkeer met persoonsgegevens naar de verkeerde contactpersoon,
- Het onrechtmatig verzamelen van gevoelige data zonder het medeweten of toestemming van betrokkenen,
- Niet bevoegd personeel die data verwerkt, bewerkt of inkijkt,
- Data die langer bewaard wordt dan nuttig is voor het doel, tenzij er daar toestemming voor gegeven is.
Wat is een data-inbreuk (Data Breach)
Als we het hebben over een ‘data breach’ of data-inbreuk, dan gaat het over de directe aanval op onze persoonsgegevens door hackers of socials engineers (social engineers voeren aanvallen uit bij de zwakste schakel in ieder computersysteem: de mens), of iemand die je dwingt om toegang te verlenen tot bestanden die niet voor die persoon bedoeld zijn.
Enkele voorbeelden van datalekken:
- Het wifiwachtwoord wordt gehackt waardoor de hacker een overzicht krijgt van alle toestellen binnen je bedrijfsnetwerk. Als deze toestellen kwetsbaarheden bevatten, dan kan hij zonder problemen toegang krijgen tot die data.
- Een social engineer legt een valse USB-stick op je bureau. Als je die USB vervolgens in je computer stopt worden alle gegevens en documenten naar de cybercrimineel doorgesluisd.
- Je ontvangt een phishing mail die zogezegd van je HR-departement afkomstig is met de vraag in te loggen op het intranet. De cybercrimineel achterhaalt zo je login.
- Een social engineer biedt zich aan aan de receptie als technische persoon die een herstelling komt uitvoeren. Hij wandelt zo makkelijk het bedrijf binnen en kan zich toegang verschaffen tot computers die niet vergrendeld zijn.
Mogelijke gevolgen voor een bedrijf
Vanuit de GDPR-wetgeving zijn er een aantal voorwaarden waar iedere onderneming moet aan voldoen om hun klantengegevens te beschermen. Zo moet iedere Europese organisatie sinds mei 2018 kunnen aantonen welke persoonsgegevens verzameld worden, hoe ze beveiligd worden en hoe ze gebruikt worden. Houdt een bedrijf hier geen rekening mee? Dan mogen ze rekenen op een fikse boete van maar liefst 4% van hun totale jaaromzet.
Afhankelijk van hoe een datalek is ontstaan kan je verantwoordelijk gesteld worden. Dit heeft ernstige gevolgen voor de organisatie, zowel op vlak van imago als wat betreft de financiële gezondheid van het bedrijf. Denk maar aan de kosten voor het herstellen van zo’n lek, klanten die een compensatie vragen, …
De schade van een datalek loopt soms op tot wel 12 miljoen euro, dat blijkt uit een onderzoek van IBM. (Computable.nl). Als organisatie is het dus belangrijk om je op voorhand zoveel mogelijk te beschermen tegen de mogelijke gevolgen van een datalek. Hieronder lees je alvast belangrijke tips die jouw organisatie ten goede komen:
11 manieren om jouw organisatie beter te beschermen
- Medewerkers opleiden: De belangrijkste manier om je te wapenen tegen cybercriminelen is door jouw medewerkers te informeren te sensibiliseren. Waarop moeten ze letten? Via welke kanalen kunnen ze in de val gelokt worden? Wil je graag meer info hierover? Dit kan door één van onze experts tijdens onze gratis ‘security awareness sessie’.
- Neem een specialist onder de arm: De realiteit is dat ieder bedrijf kan gehackt worden. Het meest belangrijke wapen hiertegen is blijven leren, zodat je nieuwe vormen van aanvallen herkent en kan voorkomen. ConXioN bouwde jarenlange ervaring op wat betreft cybersecurity, en geeft interne opleidingen binnen organisaties.
- Sterkere wachtwoorden: Alle gevoelige informatie moet beschermd worden, ook data die niet actief gebruikt wordt en gewoon bewaard wordt. Dat kan onder andere door gebruik te maken van sterke wachtwoorden binnen je bedrijf. Hoe je dat doet precies doet kan je hier teruglezen.
- Hou je persoonlijke en zakelijke accounts gescheiden: Wissel niet af tussen privé-accounts en werkaccounts op externe sites. Als iemand er dan toch in slaagt om jouw persoonlijk e-mailadres te hacken, krijgen ze geen kans om ook jouw werkaccount te betreden.
- Monitoren van data en verspreiding: Door het in kaart brengen van het datagebruik in jouw organisatie kan je sneller ingrijpen waar nodig. Monitoren van het dataverkeer binnen je organisatie kan ook een indicatie geven van waar de data vandaan komt en misbruikt of geëxploiteerd wordt. Vanuit ConXioN bieden we een waaier aan tools aan en helpen we je bij het monitoren van datastromen, proactief ingrijpen bij systeemproblemen en verdachte situaties. Wil je graag meer info hierover? Contacteer ons managed services team via deze link.
- Limiteer toegang (ook van buitenaf): Limiteer toegang tot systemen voor mensen die niet verbonden zijn met de afdeling en zorg ervoor dat gevoelige informatie enkel door professionals wordt behandeld.
- Patch kwetsbaarheden: Verouderde software kan kwetsbaarheden bevatten en is dus de ideale prooi voor hackers. Regelmatig je software updaten kan hierbij helpen.
- Paswoord manager: Gebruik een paswoord manager. Dit zorgt ervoor dat jouw wachtwoorden complex genoeg zijn en maakt het makkelijker om voor elke site een andere combinatie te gebruiken. Dit geeft hackers minder kans op succes wanneer ze jouw wachtwoord achterhalen bij een lek. Als je overal hetzelfde wachtwoord instelt kunnen hackers immers eenvoudig op je andere accounts inloggen als ze één paswoord in handen hebben.
- Two-factor authentication of Multi Factor Authentication: Een two-factor authenticatie zorgt ervoor dat je twee stappen succesvol moet doorlopen vooraleer je toegang krijgt tot een account. De eerste stap is het invullen van je gebruikersnaam en wachtwoord. De tweede komt voor in de vorm van sms, authenticator app of door het scannen van een bepaalde QR-code. Wanneer één enkele stap ontbreekt kan er geen toegang worden verkregen. Deze vorm van authenticatie is veel sterker dan wanneer je de accounts van jouw organisatie enkel beschermt met één wachtwoord. Hoe je dit instelt? Dit is afhankelijk van jouw website of applicatie, we raden ten sterkte aan om dit te activeren bij bedrijfskritische systemen of systemen die bedrijfsgevoelige informatie bevatten. Heb je het niet gevonden? Neem contact op met onze supportafdeling, ze helpen je graag verder.
- Single Sign On (SSO): Met Single Sign On bedoelen we dat gebruikers éénmalig moeten inloggen met hun gegevens, dit geeft hen dan toegang tot meerdere applicaties op één centraal platform. Denk maar aan jouw Office 365 account. Dit heeft als groot voordeel dat voor beheerders er slechts één account in de gaten moet gehouden worden en anderzijds voor gebruikers ze één sterk paswoord onthouden in plaats van meerdere.
- Stel een data breach plan op (zowel op vlak van communicatie als data): Je kent wel de uitspraak: ‘beter voorkomen dan genezen’. Dit is in het geval van data breaches niet anders. Bouw op voorhand een duidelijk plan waarin uitgestippeld staat wat het plan van aanpak is tijdens een data breach. Dit zorgt er niet alleen voor dat je efficiënt en snel reageert, het geeft je ook de mogelijkheid om de schade voor een stuk te beperken. Bereid je infrastructuur van je organisatie daarnaast goed voor, met behulp van een goed back-up systeem. Zo staat jouw organisatie sneller terug up en running.
Komt een datalek of databreach voor? Dan moet je eerst de betrokkenen informeren en ben je verplicht om dit binnen de 72u te melden bij de gegevensbeschermingsautoriteit.