Hacks, datalekken en ransomware zijn dagelijks in het nieuws. Toch lijkt het aantal slachtoffers van internetcriminaliteit mee te vallen? Of lijkt dat maar zo?

Doelen internetcriminelen

Internetcriminelen hebben grofweg de volgende doelen: financieel gewin, invloed uitoefenen of het saboteren van systemen. Financieel gewin kan eruit bestaan dat er betaalbestanden gemodificeerd worden, zodat geld aan criminelen overgemaakt wordt. Of het stelen van intellectueel eigendom om te verkopen. Een recent voorbeeld van het uitoefenen van invloed is de inmenging van een land bij verkiezingen in een ander land. Sabotage van systemen heeft bijvoorbeeld in Iran plaats gevonden, door ultracentrifuges die gebruikt worden in het nucleair programma van Iran te saboteren.

De technieken die voor sabotage en beïnvloeding ingezet worden lijken voor veel mensen in Hollywoodfilms thuis te horen. Dat is te begrijpen, want de meeste bedrijven hebben niets met verkiezingen of het verrijken van uranium te maken. Laat staan dat een buitenlandse inlichtingendienst interesse zou hebben in deze bedrijven. Daardoor voelen zij zich veilig, want wie wil hen nou hacken?

Iedereen is een doelwit

Helaas is iedere organisatie een doelwit voor internetcriminelen. Enerzijds doordat organisaties zelf data en systemen gebruiken die geld waard zijn. Anderzijds doordat deze data en systemen misbruikt kunnen worden. Data die geld waard zijn, zijn bijvoorbeeld betaalbestanden, die veel organisaties gebruiken om salarissen uit te keren of leveranciers te betalen. Wanneer geld naar de rekening van internetcriminelen overgemaakt wordt, levert dat directe financiële schade op. Voor andere organisaties zijn patenten, intellectuele eigendommen, patiëntenbestanden of andere data weer waardevol. Komen die in verkeerde handen, dan kan dat de concurrentie in het zadel helpen of zorgen voor forse boetes van de autoriteiten.

Kleine organisaties ook

Ook kleinere organisaties zijn een interessant doelwit. Is het niet omdat zij betaalbestanden of andere interessante data hebben, dan is het wel omdat zij allerlei apparatuur gebruiken die door een kwaadwillende misbruikt kan worden. Recent is bekend geworden dat criminelen internetbrowsers van nietsvermoedende gebruikers inzetten om bitcoins te minen. De criminelen kregen de bitcoins, de gebruikers trage computers en de hoge energierekening. Een ander voorbeeld is misbruiken van ip-camera’s en routers van organisaties om andere organisaties aan te vallen. Zonder het te weten kan een organisatie op deze manier meewerken aan een hack, met het risico om op een blacklist te komen of zelf ernstige hinder te ondervinden.

Informatiebeveiliging is risicobeheersing

Duidelijk is dat je als ondernemer op enig moment geconfronteerd wordt met internetcriminelen. Voor veel ondernemers is het echter onduidelijk wat je kunt doen om je ertegen te wapenen. Eigenlijk is het niet anders dan bij het beveiligen van je pand: je zorgt voor goede sloten, een alarmsysteem en andere voorzieningen om het inbrekers moeilijk te maken. Daarnaast sluit je een verzekering af. Op het gebied van je IT zorg je voor het gebruik van sterke wachtwoorden, goede back-up, bijgewerkte antivirus software en anti-spam maatregelen. Daarnaast zorg je ervoor dat systemen steeds voorzien zijn van de laatste (beveiliging)updates. Daarnaast is het mogelijk om ook in je netwerk een alarmsysteem te plaatsen, zodat je een crimineel snel betrapt en schade kunt beperken. Tegen die schade kun je je in veel gevallen ook verzekeren. Informatiebeveiliging is daarmee ook iets wat je al de hele dag doet, bewust of onbewust: risicobeheersing.