Cybercriminelen verleggen hun aandacht naar kleinere bedrijven. Tegelijk lijkt het risicobewustzijn onder het mkb af te nemen. Dat blijkt uit onderzoek van ABN AMRO. 

Meer dan driekwart van de bedrijven heeft weleens te maken gehad met cybercriminaliteit, schrijven de onderzoekers. De toename onder mkb’ers, met een jaaromzet van minder dan 10 miljoen, gaat opvallend snel. Vorig jaar was ‘slechts’ 39 procent van de ondervraagden het doelwit van cybercriminelen. Inmiddels is dit percentage bijna verdubbeld, naar 80 procent. Hiermee zijn de aanvallen in het mkb-segment voor het eerst dieper doorgedrongen dan in het grootbedrijf. Hier heeft 75 procent van de ondervraagden te maken gehad met cybercriminaliteit. Voor zzp’ers is dit percentage 69 procent.

Phishing

De cyberaanvallen doen zich in allerlei gedaanten voor. ‘Phishing’ is de meest voorkomende gedaante. Meer dan de helft, 66 procent, van de panelleden heeft hier weleens mee te maken gehad. Cybercriminelen proberen via e-mails, sms- of Whatsapp-berichten en telefoontjes mensen te verleiden om een actie uit te voeren die later schadelijk blijkt te zijn.

Cybercriminelen grijpen ook naar AI, dat een hulpmiddel blijkt om overtuigende phishing-mails schrijven, of om een gekloonde stem van een CEO na te bootsen. Phishing is steeds vaker niet het einddoel, maar juist het begin van een grotere aanval. De buitgemaakte gebruikersnamen en wachtwoorden van IT-systemen en mailaccounts kunnen worden gebruikt om verder in systemen van organisaties binnen te dringen.

Ketenaanval

Kwaadwillenden richten zich in toenemende mate op IT-leveranciers, zoals cloudbedrijven, IT-dienstverleners en softwareontwikkelaars. Dat is niet alleen vervelend voor de betrokken bedrijven, maar levert ook risico op voor een veel bredere set aan slachtoffers: de klanten en toeleveranciers van de aangevallen bedrijven.

De onderzoekers geven als voorbeeld de aanval in 2021 met gijzelsoftware op logistiek bedrijf Bakker, die voor lege kaasschappen zorgde bij Albert Heijn. Het incident, ook wel bekend als de ‘kaas-hack’, begon bij een lek in Microsoft Exchange Server, een veelgebruikte mailserver voor organisaties.

Cybercriminelen spelen ook op andere manieren in op de afhankelijkheden binnen toeleveringsketens. Het Nationaal Cyber Security Centrum (NCSC) ziet dat gijzelsoftware-aanvallen steeds vaker gepaard gaan met ‘tweevoudige’ of ‘drievoudige afpersing’. Waar bij een ‘gewone’ ransomware-aanval de toegang tot gegevens of systemen wordt afgesloten en deze na betaling van losgeld weer worden vrijgegeven, voegt tweevoudige afpersing extra urgentie toe door te dreigen met publicatie van data als niet wordt betaald. Dit kan schadelijk zijn voor leveranciers, partners en klanten. Bij drievoudige afpersing worden deze derden direct in het verhaal betrokken, en krijgen ook zij een losgeldeis opgelegd.

Risicoperceptie

Terwijl het percentage mkb’ers en zzp’ers dat te maken heeft gehad met een aanval snel toeneemt, blijkt de risicoperceptie binnen deze groep juist gedaald. Hoewel het niet gaat om een sterke daling, loopt de risico-inschatting van deze bedrijven sterk uit de pas met de daadwerkelijke dreiging, zeggen de onderzoekers.

Onder de grootste organisaties – met een jaaromzet van 10 miljoen euro of meer – laat de risicoperceptie juist een duidelijke stijging zien: achtte in 2022 nog 41 procent
van de ondervraagden cybercriminaliteit een “groot” of “heel erg groot risico” voor de organisatie, het jaar erop is dit meer dan de helft (64 procent).

Onderzoek

Het onderzoek is uitgevoerd onder 233 zakelijke klanten van de bank. Het volledige rapport is hier te lezen.

Videoconferencingbedrijf Zoom heeft een tool toegevoegd waarmee gebruikers webinars en andere online events kunnen opzetten. Daarnaast voegt het bedrijf Events toe aan de mobiele app.

Production Studio moet het gemakkelijker maken voor bedrijven en organisaties om online events op te zetten, zonder tussenkomst van professionele hulp. Volgens Zoom kun je een virtuele omgeving creëren zonder dat er een vormgever of productieteam nodig is. Dat doet de oplossing door het meeleveren van lay-out templates, het toestaan van meerdere beeldverhoudingen en de mogelijkheid om de ruimte tussen de video’s aan te passen.

Verder kunnen gebruikers meerdere webinar-scènes per sessie instellen, inclusief lay-outs voor schermdelen, de volgorde van scènes bepalen. Ook zijn er tools en functies voor het presenteren, cloudopnames en lobby- en livestream-mogelijkheden van derden.

Zoom Events

Zoom heeft tegelijk ook Events toegevoegd aan de mobiele app, zodat gebruikers daarvan ook webinars en andere events kunnen volgen. Ze kunnen daarbij deelnemen aan chats, polls en vragen.

Beheerder van het .nl-domein SIDN heeft Loek Bakker benoemd als directeur technologie (CTO). Hij start per 1 september in zijn nieuwe functie en wordt lid van de raad van bestuur.

Loek Bakker heeft ruim 20 jaar management- en consultancyervaring in functies op het snijvlak van business en IT. Hij werkte onder andere bij TenneT, Alliander, Gartner en Capgemini. Gedurende zijn carrière hield hij zich bezig met IT-strategie en -architectuur, digitale transformatie, cybersecurity, governance, peoplemanagement en talentontwikkeling.

“Met de benoeming van Loek Bakker krijgt SIDN een ervaren CTO die de kwaliteit van SIDN’s systemen kan borgen, de innovatiekracht kan vergroten en de rol en positie van de organisatie nationaal en internationaal verder kan versterken.”, aldus Marjet van Zuijlen, voorzitter raad van toezicht SIDN.

Nederlanders staan wereldwijd op de vierde plaats als het gaat om kennis over cybersecurity en online privacy. Dat blijkt uit onderzoek van het cybersecuritybedrijf NordVPN. Nederlanders presteerden goed bij het herkennen van verschillende online risico’s en hoe deze te vermijden (72%), en minder bij vragen over manieren en tools om online veilig te blijven (50%).

De jaarlijkse National Privacy Test (NPT) is een wereldwijde enquête die de kennis over cybersecurity en het online privacybewustzijn van mensen evalueert en het algemeen publiek over cyberbedreigingen en het belang van gegevens- en informatiebeveiliging in het digitale tijdperk wil informeren. Dit jaar werd de enquête door 26.174 mensen uit 175 landen ingevuld.

Dit zijn de landen in de top 3 die zich het beste van online privacy en cybersecurity bewust zijn:
1. Polen en Singapore (64/100)
2. Duitsland en de Verenigde Staten (63/100)
3. Het Verenigd Koninkrijk, Oostenrijk en Portugal (62/100)

Nederlanders zijn bedacht op verdachte aanbiedingen

Uit onderzoek blijkt dat Nederlanders goed met verdachte aanbiedingen van streamingdiensten omgaan (96%) en sterke wachtwoorden kunnen maken (94%). Ze weten ook welke gevoelige gegevens ze beter niet op social media kunnen delen en wat de risico’s zijn van het opslaan van creditcardgegevens in hun browser (beide 90%).

Slechts 2% van de Nederlanders is echter op de hoogte van online tools die digitale privacy beschermen en slechts 13% weet welke gegevens internetaanbieders verzamelen als onderdeel van de metadata. Daarnaast weet slechts 17% hoe ze hun wifi-thuisnetwerk moeten beveiligen.

Van de Nederlanders is 1% een ‘cyberwandelaar’ (zij weten nauwelijks iets over online privacy en cybersecurity), terwijl 14% 75-100 punten scoorde en zichzelf goed geïnformeerde ‘cybersterren’ mogen noemen.

Frankrijk presteert minder; Duitsland heel goed

Wat andere Europese landen betreft, heeft Frankrijk de op twee na laagste score voor privacybewustzijn en een van de laagste scores voor dagelijks digitaal leven. De totale NPT-score van Frankrijk is 59% vergeleken met 61% voor Nederland. Duitse deelnemers behaalden daarentegen de op een na hoogste NPT-score (63%) en delen de tweede plaats met de VS. Hieraan moet worden toegevoegd dat Duitsers zich ook zeer bewust zijn van verschillende digitale privacykwesties en samen met Finland de op een na beste score voor privacybewustzijn hebben.

Spaanse respondenten deden het daarentegen minder goed, met een aantal van de laagste scores op het gebied van privacybewustzijn en digitale risico’s. Spaanse (en Italiaanse) deelnemers moeten meer leren over de privacy- en veiligheidsproblemen van verbindingen tussen apparaten.

Wereldwijde neemt bewustzijn van online privacy af

De wereldwijde NPT-score was dit jaar 61% – een daling in het wereldwijde bewustzijn over online privacy en cybersecurity vergeleken met 2022 (64%) en 2021 (66%).

Enkele van de belangrijkste wereldwijde conclusies:

● Mensen tussen de 30-54 jaar hebben de beste vaardigheden op het gebied van cybersecurity. De meerderheid van de ‘cybersterren’ behoort tot deze leeftijdsgroep.
● Afgezien van de IT-sector, behaalden deelnemers uit de financiële sector en de overheidssector iets hogere NPT-scores dan anderen.
● Mensen onderschatten nog steeds het belang van het lezen van servicevoorwaarden. Deze factor verbetert echter sneller dan andere factoren.

De National Privacy Test is een open onderzoek, waaraan iedereen ter wereld kan deelnemen en zijn resultaten met die van de rest van de wereld kan vergelijken. In 2023 beantwoordden 26.174 respondenten uit 175 landen 23 vragen die hun vaardigheden en kennis op het gebied van online privacy evalueerden. De gegevens van 2023 zijn op 19/07/2023 geanalyseerd en in het rapport gepresenteerd. Als er een verschil is met de resultaten op de website, betekent dit dat er sinds 19 juli meer mensen hebben deelgenomen en dat de resultaten enigszins zijn veranderd.

Het is een vervreemdend beeld. In het motorhome van het F1-team van Williams zit op de donderdagochtend voor het raceweekend in Zandvoort een monteur op de garagevloer. Terwijl zijn collega’s met hypermoderne apparatuur onderdeel na onderdeel de bolide van Alex Albon opbouwen, zit hij met een ouderwetse handpomp olie te hevelen naar een kunststof beker. Na elk ‘slokje’ olie gebruikt de monteur een simpele keukenweegschaal om het gewicht te bepalen. En als de gewenste hoeveelheid is bereikt, wordt het resultaat met een pen in een klein notitieboekje genoteerd.

1 Terabyte aan data

Een exclusief bezoek aan het technisch hart van een F1-team heeft als nadeel dat het maken van foto’s bijna overal verboden is. En dat antwoorden op vragen van de journalist vaak vaag blijven. Zelfs het antwoord op de simpele vraag: “hoeveel data genereert een F1-auto tijdens het weekend?” wordt niet heel concreet. Maar wie verschillende antwoorden combineert (Red Bull: ongeveer 1 terabyte, Mercedes: bijna een terabyte, of misschien iets meer), snapt dat de monteur met het notitieboekje een uitzondering is.

Concrete oplossingen

Al decennialang staan ICT-leveranciers en dienstverleners met hun logo’s op de bolides. En dat is nog steeds zo. TeamViewer, Cognizant, HP, Oracle en Acronis, om een paar voorbeelden te noemen, zijn tijdens een raceweekend volop in beeld. Acronis heeft een nauwe relatie met het team van Wiliams. “Als we bij een sport betrokken zijn, dan is dat zeker ook een inhoudelijke relatie,” legt Marc Mitchel, verantwoordelijk voor de sportmarketing bij Acronis uit. “We leveren daadwerkelijk onze oplossingen op het gebied van security en back-up aan deze sportorganisaties.”

Hybride werken als norm

De uitdaging in het geval van de Formule 1 is niet alleen de enorme hoeveelheid data die door de auto’s gegenereerd worden, maar zeker ook het feit dat slechts een gelimiteerd en relatief klein team op het circuit aanwezig mag zijn. In feite werken de renstallen al jarenlang remote en hybride. “Onze medewerkers bevinden zich voor een deel op de circuits, en dan soms elke week op een ander continent, maar ook in de fabriek en op diverse externe locaties,” legt CIO Doug Goodridge van Williams uit. Toch moet iedereen zonder hindernissen veilig in de meest actuele documenten kunnen werken.”

1500 endpoints

De IT-omgeving van het Williams Raceteam bestaat uit ongeveer 300 servers en 1500 endpoints. De organisatie gebruikt Acronis Cyber Protect om circa een halve petabyte aan data te beschermen. “Dit staat nog los van de meer dan 1200 mailboxen en talloze SharePoint-sites van de organisatie. Daarbij heb je het dan toch ook al snel over tientallen terabytes aan data.” De race-onderneming maakt gebruik van de back-upmogelijkheden van Microsoft 365 die in de oplossing zijn ingebouwd.

Goodridge benadrukt dat Williams met de oplossing zowel back-up als security bij slechts een fabrikant hoeft onder te brengen. “We besparen daardoor op licenties, testprocedures en training van onze medewerkers.”

In onze rubriek ‘Het meest opvallende nieuws volgens…’ volgt een prominent in de markt een week lang intensief de berichtgeving in onze branche. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op. 

Phaedra Kortekaas, Managing Director bij SAS Benelux, las het nieuws dat de Autoriteit Persoonsgegevens (AP) een rapport heeft gepubliceerd over de belangrijkste algoritmerisico’s. Daarin wordt benadrukt dat terughoudendheid gepast is bij de toepassing van deze technologieën zolang die risico’s nog niet volledig in kaart zijn gebracht.

Phaedra Kortekaas reageert: “We moeten inderdaad zorgvuldig omgaan met AI en algoritmes. Maar te strakke inkadering kan leiden tot bijkomende problemen. Het ontwikkelen van een maatschappelijk bewustzijn en kennis rondom AI door middel van onderwijs en samenwerking tussen private en publieke partijen kan de verantwoorde inzet van AI structureel bevorderen.”

Inkadering: belangrijk, maar niet sluitend

Het artikel beschrijft het eerste rapport van de AP over AI- en algoritmerisico’s. Nieuwe technologieën, zoals Chat GPT, hebben de snelheid waarmee AI zich ontwikkelt in de schijnwerpers gezet. Het rapport wijst erop dat we door die snelheid niet altijd goed zicht hebben op algoritmerisico’s, zoals potentieel discriminerende of misinformerende AI, zegt Kortekaas.

Positieve kracht van AI

Phaedra Kortekaas: “Ik geloof sterk in de positieve kracht van AI en denk dat voorstellen die innovatie aan banden willen leggen, vaak te veel kijken naar de potentiële negatieve gevolgen. Tegelijkertijd ben ook ik aan het denken gezet door ontwikkelingen, zoals de opkomst van generatieve AI en de recente brief waarin wetenschappers en technologieleiders oproepen tot een ontwikkelingspauze van 6 maanden. Er leeft een bruisend maatschappelijk debat. Daarin moeten ook overheden en bedrijven hun verantwoordelijkheid nemen. Ik sta daarom positief tegenover het initiatief van de AP om de risico’s van AI verder onder de aandacht te brengen, maar heb ook mijn bedenkingen.”

Het rapport van de AP bevat ook een call-to-action richting bedrijven en de overheid, legt Kortekaas uit. Volgens het rapport zullen stappen moeten worden gezet in het beheersen van die risico’s, zoals het verder ontwikkelen van het al bestaande publieke algoritmeregister. Kortekaas over het ontwikkelen en toepassen van kaders: “De ontwikkelingen rondom AI gaan zo snel dat het inderdaad belangrijk is om goede kaders op te stellen en daarbinnen verantwoord te innoveren.”

Geen restrictieve kaders

“Cruciaal is echter wel dat dit innovatie en adoptie niet in de weg gaat staan. Als de kaders te restrictief worden, zullen er manieren worden gevonden om die te omzeilen met mogelijk nog meer problemen als gevolg. Daarbij gaat de innovatie zo snel, dat de regels van morgen, overmorgen alweer ingehaald kunnen zijn. Daarom is het voorstel van het AP om het algoritmeregister te focussen op systemen met een hoog risico een goed plan. Het stelt prioriteiten en behoudt wendbaarheid.”

Volgens Kortekaas moet de focus niet alleen liggen op directe wet- en regelgeving. “De overheid kan ook richtlijnen geven en bedrijven kunnen verantwoord AI gebruik opnemen in hun beleidsdocumenten. Zo heeft SAS bijvoorbeeld een generatieve AI policy toegevoegd, die specifiek bedoeld is om randvoorwaarden op te stellen voor het gebruik van AI door medewerkers, zonder de mogelijke voordelen teniet te doen. Uiteindelijk moeten we een shift doormaken waarbij risicoidentificatie en mitigatie een vast onderdeel worden van ieder AI-project, net zoals nu al het geval is bij dataprivacy sinds met name de invoering van de GDPR.”

Systemen ingekaderd, mensen onderwezen?

Naast de call-to-action rondom het wettelijk inkaderen van AI erkent het rapport van de AP ook dat mensen een rol spelen bij de inzet van AI. Zo roept het organisaties op zelf stappen te zetten door meer personeel en scholing in te zetten in de bewaking van algoritmes, en door in het algemeen terughoudend te zijn in de toepassing van nieuwe, nog onvolledig doorgronde AI.

“Het is goed dat het AP de menselijke kant van het verhaal belicht, tenslotte kan zelfs de best ingekaderde technologie in de verkeerde handen kwaad aanrichten. Maar de oproep om meer personeel en scholing in te zetten voor alleen de bewaking van AI gaat niet ver genoeg. Verantwoordelijke toepassing van AI vraagt om educatie in de bredere zin, onder de noemer van ‘data literacy’. Het moet dieper in de maatschappij doordringen wat data is, hoe AI werkt en wat de consequenties zijn als die wordt toegepast,” vertelt Kortekaas.

“Ik moedig bedrijven en overheden aan om hierin de samenwerking te blijven opzoeken. Een praktisch en recent voorbeeld van hoe we vanuit SAS hieraan bijdragen, is de oprichting van het ReAiHL  Dit is een AI ethiek-lab voor de zorg. We hebben dat samen met het Erasmus MC en de TU Delft opgericht om met onze gezamenlijke kennis en kunde de 6 WHO-principes voor verantwoord gebruik van AI in de gezondheidzorg te vertalen naar de praktijk.”

Met andere woorden; om de volle belofte van AI waar te maken is er meer nodig dan technologie alleen, betoogt Kortekaas. “Samenwerking tussen organisaties en een breder bewustzijn in de vorm van data literacy zijn net zo goed cruciale schakels.”

Maker van financiële software Nextens brengt een nieuw product op de markt, gericht op de bovenkant van de mkb-markt. Nextens Grip is bedoeld voor mkb-organisaties die zelf hun belastingaangiftes doen.

Nextens is een cloudoplossing en volgens de makers voorzien van ‘fiscale kennisbronnen zoals naslagwerken en overzichten van aankomende fiscale wijzigingen’. “De software geeft inzicht in de te verwachte belastingdruk waardoor men in staat is de belastingstrategie te optimaliseren. Ook wordt er gewerkt aan de mogelijkheid om met behulp van predictive analytics de toekomstige belastingdruk te voorspellen, zodat klanten hun financiële positie beter kunnen voorspellen. Daarnaast zorgt het zelfstandig indienen van belastingaangiftes voor meer controle over de processen en hoeven er minder kosten gemaakt te worden voor de inhuur van externe professionals.”

Nextens heeft de ambitie om de software op korte termijn verder uit te breiden met de functionaliteiten BTW Refund, voor het terugvragen van btw uit het buitenland, en Naslag International – EU en Global VAT, dat een overzicht moet bieden van btw-regelingen in 43 landen. Het bedrijf hoopt deze nog dit jaar te lanceren.

Distributeur Copaco organiseert op 21 september een security-event voor IT-dienstverleners en partners, genaamd Vision on Security, op de High Tech Campus in Eindhoven.

Er is een keynote van Partner Technology Strategist Microsoft, Ruben Koeze, plenaire sessies en in de middag een rondetafelgesprek met experts van Veeam, Hikvision en Dell. De focus ligt op software, smart surveillance en storage.

Het event begint om 9:30 met aansluitend om 15:30 een netwerkborrel. Meer informatie lezen en inschrijven kan hier.

Google geeft Workspace meer opties voor beveiliging en privacy. Het bedrijf zet daarbij vol in op AI voor zero trust. 

IT-beheerders krijgen nu tools in handen waarmee ze zero trust kunnen instellen op basis van AI. Zo omvat zero trust in principe al data loss prevention (DLP) en context-aware access (CAA), maar dat vergt nog vaak handwerk. Google laat je nu AI inschakelen waardoor data continu wordt gelabeld en gegroepeerd (in Google Drive). Ook kun je criteria instellen voor CAA zoals de locatie van het apparaat dat toegang wil tot specifieke bronnen en de veiligheidsstatus ervan. DLP strekt zich ook uit tot Gmail. Daarmee wordt het eenvoudiger om e-mails en bijlagen te blokkeren die niet naar buiten mogen.

Eigen encryptiesleutels

Google voegt ook client-side encryption (CSE) toe voor grote organisaties. Hiermee wordt het voor derden, inclusief overheden onmogelijk om mee te kijken met de opgeslagen data. Dat geldt ook voor Google zelf, waarmee het bedrijf opnieuw tegemoet komt aan de strenge Europese eisen voor privacy. CSE werkt ook in Google Agenda, Gmail en Meet en kan optioneel worden ingeschakeld voor gastdeelnemers. Encyptiesleutels kunnen worden bewaard in Thales, Stormshield en Flowcrypt.

Google heeft een mogelijke zwakke plek in de bescherming gedicht. Organisaties kunnen nu instellen dat enterprise-admins ook verplicht gebruik moeten maken van 2FA. Plus de mogelijkheid om voor sommige acties de goedkeuring te moeten krijgen van een tweede admin. Je kunt nu ook beveiligingslogs exporteren om ze in Chronicle na te kijken op abnormaliteiten.

Chipontwerper ARM gaat nog dit jaar naar de beurs. De huidige eigenaar, Softbank, bereidt een IPO voor op de Nasdaq. Datzelfde bedrijf haalde ARM in 2016 juist van de beurs.

Beursanalisten spreken al van de grootste beursgang van dit jaar. ARM moet tussen de 60 en 70 miljard dollar waard zijn. Het bedrijf is de ontwikkelaar van processoren op basis van een eigen architectuur, die zich goed leent voor het ontwikkelen van processoren op maat. Onder meer Apple maakt al jaren gebruik van de ARM-architectuur voor zijn A-chips in iPhones en iPads, en voor de enkele jaren geleden geïntroduceerde M1 en de opvolgers daarvan. Ook veel Android-apparatuur draait op chips, gebaseerd op ARM, evenals populaire gaming-devices zoals de Nintendo Switch.

Toch heeft ARM het lastig. De markt voor processoren groeit het hardst in de sector van grafische processoren. Dat komt omdat deze ideaal zijn om grote hoeveelheden gelijkaardige data in korte tijd te verwerken. Dat is de reden waarom Nvidia een van de meest waardevolle bedrijven van dit moment in de techsector is.

Overname mislukt

Opvallend genoeg is het juist dat bedrijf dat in 2o2o een poging deed om ARM over te nemen. Nvidia maakt namelijk gebruik van de ARM-architectuur in de processoren die de GPU’s moeten aansturen. De mededingingsautoriteiten in de VS maakten succesvol bezwaar. ARM wordt gezien als een vitale speler, onder meer omdat het zowel Apple als Samsung en Qualcomm bedient.

ARM werd in 1990 opgericht door Acorn Computers, Apple en VSLI Technology en kreeg in 1998 een notering aan de London Stock Exchange. In 2016 werden de aandelen opgekocht door Softbank en verdween ARM van de beurs.