Cybercriminaliteit leeft niet onder winkeliers

In de Nederlandse economie speelt informatie- en communicatietechnologie (ICT) een steeds belangrijkere rol. Dit brengt nieuwe kwetsbaarheden met zich mee. Criminelen kunnen gericht bedrijven digitaal aanvallen, bijvoorbeeld door bedrijfsprocessen die gebruikmaken van ICT te hacken. Ook kunnen bedrijven te maken krijgen met gedigitaliseerde traditionele criminaliteit, zoals online oplichting. Zo legde in 2017 een ransomware-aanval door cybercriminelen gericht tegen machinefabriek Almi de volledige bedrijfsvoering plat. Omdat alle bedrijfsprocessen geautomatiseerd waren, was de schade van de cyberaanval aanzienlijk: minstens 60.000 euro.

Impact van cybercrime

Het midden- en kleinbedrijf (mkb) heeft, in tegenstelling tot grootbedrijven, vaak onvoldoende kennis en hulpbronnen om zichzelf te weren tegen cybercriminaliteit. Onderzoek laat zien dat twee op de vijf mkb'ers in 1 jaar tijd te maken hebben gehad met cybercriminaliteit. Eén op de vijf heeft bovendien schade hiervan ondervonden. Schade kan bestaan uit financiële schade, reputatieschade of verstoring van de bedrijfsprocessen. Cybercriminaliteit kan zodoende een grote impact hebben op het mkb. Het mkb vormt de ruggengraat van de Nederlandse economie. Daarom is het van belang inzicht te krijgen in hoe het zich beter kan weren tegen cybercriminaliteit.

Risico's van digitalisering

Bedrijven met medewerkers die relatief veel IT-kennis hebben, scoren hoger op cyberweerbaarheid. Investeringen in IT-opleidingen voor personeel en een sanctiebeleid voor medewerkers die zich cyberonveilig gedragen, beperken het risico op slachtofferschap. Een uitdaging blijkt echter: hoe kan ervoor worden gezorgd dat het mkb ook daadwerkelijk maatregelen gaat nemen om zich beter te beschermen? Een belangrijke conclusie is dat op dit moment nog onvoldoende bekend is over manieren om mkb'ers bewuster te maken van de risico's die digitalisering met zich meebrengt.

Wat is cyberweerbaarheid?

Cyberweerbaarheid is hier gedefinieerd als het vermogen van het mkb om weerstand te bieden tegen bekende en onbekende vormen van cybercriminaliteit en snel te herstellen van een cybercrisis. Dit betekent dat het mkb in staat moet zijn om te anticiperen op bedreigingen en deze ook moet kunnen detecteren als zij zich voordoen in de organisatie. Ook moet het mkb adequaat kunnen reageren op incidenten en begrijpen wat er heeft plaatsgevonden zodat ervan kan worden geleerd. Het gedrag van het management en medewerkers speelt een belangrijke rol hierin. Hun cyberveilig gedrag is immers een cruciale voorwaarde om een organisatie te beschermen tegen cybercriminaliteit.

Hoe cyberweerbaar zijn mkb-retailers?

Bijna de helft van de 56 bedrijven uit de regio Den Haag die meededen aan het onderzoek geeft aan slachtoffer te zijn geweest van cybercriminaliteit in de laatste 12 maanden. Dit is in lijn met cijfers uit landelijk onderzoek van De Haagse Hogeschool. 12 procent heeft hiervan schade ondervonden. Dit cijfer is lager dan het cijfer uit het landelijke onderzoek (20 procent). Toch bestaat de vrees dat het aantal incidenten, door het toegenomen belang van ICT voor het mkb, alleen maar zal toenemen de komende jaren . Waarschijnlijk zal ook de schade die retailers hiervan ondervinden toenemen. Het is dus belangrijk dat mkb'ers cyberweerbaar zijn.

Sanctiebeleid

"Als we kijken naar de cyberweerbaarheid van mkb-retailers dan valt op dat zij maar in beperkte mate weerbaar zijn", zeggen de onderzoekers. "Ons onderzoek toont aan dat hier ruimte is voor verbetering. Deelnemende retailers zijn relatief gezien het best in staat om te 'reageren' en het minst goed in staat om te 'leren', maar de verschillen zijn niet groot."

Een mogelijke voorspeller van de cyberweerbaarheid blijkt de IT-kennis van het personeel te zijn. Bedrijven met medewerkers die relatief veel IT-kennis hebben, scoren hoger op cyberweerbaarheid. Ook blijkt dat bedrijven die een sanctiebeleid hebben voor medewerkers die zich cyberonveilig gedragen, doorgaans meer cyberweerbaar zijn. Veel bedrijven hebben al voorschriften over cyberveilig gedrag. Het onderzoek wijst op het belang van een sanctiebeleid op het niet naleven van deze voorschriften.

Risicocommunicatie over cybercrime

Ondanks alle moeite die genomen werd om retailers in de regio Den Haag te betrekken bij dit onderzoek was de belangstelling voor deelname beperkt. Cybercriminaliteit lijkt onder retailers nauwelijks te leven. Mkb'ers achten zichzelf veelal niet interessant voor cyberaanvallen en zien cybercriminaliteit niet als een prominent risico. Het zijn vooral de sociaaleconomische ontwikkelingen en fysieke veiligheid waar de mkb'ers van wakker liggen. Dit brengt de uitdaging met zich mee: hoe dan toch deze groep te overtuigen van het belang van cyberweerbaarheid? Onderzoek naar de effectiviteit van risicocommunicatie in een dergelijke setting kan uitsluitsel geven.

Onvoldoende bekend

Risicocommunicatie omvat voorlichting en communicatie over risico's waaraan mensen kunnen blootstaan voordat zich een ramp voordoet. Op dit moment is nog onvoldoende bekend over effectieve manieren om mkb'ers bewuster te maken van de risico's die digitalisering met zich meebrengt. Deels heeft het onderzoek geleid tot een zekere mate van reactiviteit van mkb-retailers: het meedoen aan het onderzoek lijkt de mening over het belang van cyberweerbaarheid en mogelijk ook het gedrag van de respondenten in positieve zin te hebben beïnvloed, zo hebben de onderzoekers ervaren. Daarmee kan het onderzoek als een vorm van risicocommunicatie worden gezien. Maar veel is nog niet bekend. Vervolgonderzoek naar cyberweerbaarheid, vooral naar risicocommunicatie omtrent cybercrime – en daarmee inzicht in hoe deze moeilijke doelgroep kan worden bereikt – kan hier uitsluitsel over geven.

Bedrijven in een andere sector

Met het oog op vervolgonderzoek valt bovendien te denken aan onderzoek naar cyberweerbaarheid bij bedrijven in een andere sector. Dan kunnen uitspraken worden gedaan over hoe de weerbaarheid zich verhoudt tussen sectoren. Bedrijven in andere sectoren, zoals de industrie, hebben mogelijk een grotere afhankelijkheid van ICT voor de bedrijfsvoering dan retailers. Cybercriminaliteit vormt voor deze bedrijven dan ook mogelijk een nog grotere bedreiging dan voor retailers. De vraag is echter of deze sector dan ook meer cyberweerbaar is. En zo ja, leidt dit dan tot minder incidenten en lagere schade?