Hoe cyberrisico’s bijna alle aspecten van bedrijfsrisico raken

Aon voorspelde in haar Global Risk Management Survey 2021 dat cyberdreiging in 2024 wereldwijd het grootste risico zou blijven, groter dan COVID-19 en verbroken toeleveringsketens.1 Het langdurig hybride werken, aanvallen op de toeleveringsketen, geopolitieke instabiliteit en digitale connectiviteit bleven de aandacht voor cyberrisico’s voor organisaties over de hele wereld aanzienlijk vergroten.2 Daarnaast maakten strengere eisen van verzekeringsmaatschappijen het van 2020 tot 2022 moeilijker om een cyberpolis af te sluiten. Ze verhoogden de noodzaak voor bedrijven om goede beveiligingsbeheersmaatregelen en de daaruit voortvloeiende effectiviteit aan te tonen. In deze context van hogere dreigingen en strengere acceptatievoorwaarden konden organisaties niet langer verwachten dat ze direct over cyberverzekeringskapitaal konden beschikken om zich in te dekken tegen de financiële volatiliteit die voortvloeit uit cyberrisico’s.

Cyberrisico’s kunnen worden gedefinieerd als risico’s van financieel verlies, bedrijfsonderbreking of schade aan een organisatie als gevolg van een storing in de informatie- of operationele technologiesystemen. Maar cyberrisico’s gaan veel verder dan technologie. Cyber is onder andere een holistisch en bedrijfsrisico dat een financiële, operationele, menselijke, regelgevende en zelfs catastrofale bedreiging vormt voor alle organisaties, ongeacht hun grootte of sector. Als zodanig is begrip van de zakelijke drijfveren van een organisatie en de dagelijkse beslissingen die daarmee samenhangen vaak de cruciale schakel voor het beheersen van de reis naar het bereiken van holistische en duurzame cyberveerkracht.

CyQu-bevindingen: Aon Klantenrapport

De CyQu-klantgegevens van 2022 vertellen ons dat organisaties in alle sectoren en omzetcategorieën hun cybervolwassenheid gemiddeld hebben verbeterd van “basis” naar “beheerd”. Het wereldwijde gemiddelde van de CyQu-risicoscores, dat in 2022 steeg ten opzichte van 2020, weerspiegelt deze groei. In 2021 en de eerste helft van 2022 zorgden strengere acceptatievoorwaarden in de Cyber- en E&O-verzekeringsmarkt voor meer toezicht op beveiligingsbeheersmaatregelen, strengere richtlijnen, een herbeoordeling van risico’s en een verminderde marktcapaciteit. Dit zorgde waarschijnlijk voor deze vooruitgang in cybervolwassenheid.

Klanten uit alle sectoren en omzetcategorieën meldden dat het budget voor cyberbeveiliging tussen 2020 en 2022 steeg, waarvan gemiddeld 10 procent van het IT-budget naar verluidt aan beveiliging werd besteed.

Vanuit het perspectief van beheersmaatregelen lieten vijf domeinen de meest aanzienlijke scoreverbeteringen zien, met daaruit afgeleide budgetverhogingen: gegevensbeveiliging, applicatiebeveiliging, werken op afstand, toegangsbeveiliging en eindpunt- en systeembeveiliging.

Klanten uit het middensegment meldden In alle omzetcategorieënanten de grootste verbeteringen in de algehele cybervolwassenheid. Organisaties in het wereldwijde en zakelijke segment meldden daarentegen verbeteringen, maar bleven op een “beheerde” volwassenheid. Verbeteringen van de planning van incidentrespons (IR), gegevensbescherming, logboekregistratie en monitoring van eindpunten, kwetsbaarheid en de monitoring van werken op afstand waren de drijvende krachten achter de upgrade van het beveiligingsprofiel voor het middensegment. Deze beheersmaatregelen zijn in 2022 van “basis” naar “beheerd” gegaan. Uit klantgegevens blijkt dat de meeste omzetcategorieën zich richtten op verbetering van de toegangsbeveiliging, gegevensbeveiliging en bedrijfsveerkracht. Tegelijkertijd bleven de risicoscores voor contracten met derden en voorraadbeheer gelijk.

Vanuit sectorperspectief gezien meldden alle sectoren verbeteringen in de algehele CyQu-risicoscores. De sectoren gezondheidszorg en sociale bijstand, detailhandel en vastgoed meldden aanzienlijke verbeteringen bij de overgang van “basis” naar “beheerde” beveiligingsrisicoprofielen.

De grootste toename in CyQu-risicoscores voor de gezondheidszorg werd gemeld voor multifactorauthenticatie (MFA) (1,9 in 2020 tot 2,6 in 2022) en gegevensbescherming (2,4 in 2020 tot 3,0). De sector bleef echter een marginale beweging melden in risicoprofielen voor beveiliging van derden, softwarebeheer en applicaties. Binnen de detailhandel rapporteerde 74 procent van de organisaties scores hoger dan 2,5 voor training in gebruikersbewustzijn, en meer dan de helft rapporteerde vergelijkbare scores voor logging- en monitoringsmogelijkheden, waardoor het algehele risicoprofiel van de sector werd verbeterd.

In de vastgoedsector zorgden veranderingen in de scores voor de ontwikkeling van applicatiebeveiliging (1,8 in 2021 naar 2,5 in 2022), softwarebeheer (1,9 in 2021 vs. 2,3 in 2022), risicobeheer (1,9 in 2021 naar 2,4 in 2022) en training in gebruikersbewustzijn (2,5 in 2021 naar 3,2 in 2022) voor een algehele verbetering van het profiel.

Samengevat:

Het is altijd een uitdaging geweest om door dit risicolandschap te navigeren en tegelijkertijd de correlatie tussen cyber- en bedrijfsrisico’s te begrijpen. De druk is groot om niet alleen voortdurend kwetsbare systemen te blokkeren en aan te pakken, te patchen en de verbindingspunten tussen sterk geïntegreerde technologieën te begrijpen, maar ook om op de hoogte te blijven van de potentiële impact van opkomende bedreigingen en veranderingen in de regelgeving. Het resultaat is dat beveiligings- en technologieteams voortdurend moeten evalueren in hoeverre de organisatie voorbereid is op veranderende bedreigingen en aan verzekeringsmaatschappijen en de markt kwantificeerbaar bewijs moeten leveren van de effectiviteit van de huidige beheersmaatregelen. Afstemming met best practice beheersmaatregelenstandaarden, zoals gespecificeerd door het National Institute of Standards and Technology (NIST) of het Center for Internet Security (CIS), is verstandig. Beveiligingsteams moeten regelmatig beheersmaatregelen beoordelen om de effectiviteit van preventieve en responsieve cybervolwassenheid te bepalen.