Nu veerkracht door steeds meer regelgeving wordt vereist, hoe kan elke organisatie hieraan bijdragen?

Door Kate O'Flaherty

Bedrijven in het Verenigd Koninkrijk worden geconfronteerd met een zorgwekkend probleem: cyberaanvallen hebben nu een meetbare impact op het bbp. Rapporten van het Britse Cyber ​​Monitoring Centre (CMC) en het ONS suggereren dat de hack bij Jaguar Land Rover (JLR) hieraan heeft bijgedragen. remde de bbp-groeiDe economie groeide in het kwartaal van juli tot september met slechts 0.1%, doordat de autoproductie tot het laagste niveau in 73 jaar daalde.

Ernstige cyberincidenten kosten de Britse economie jaarlijks 14.7 miljard pond (ongeveer 0.5% van het bbp), en alleen al IP-gerelateerde aanvallen kunnen tot 8.5 miljard pond kosten, aldus [bron]. onderzoek van de afdeling Wetenschap, Innovatie en Technologie en Alma Economics.

Als er zich grote incidenten voordoen, zoals de JLR-aanval Als een aanval de bbp-cijfers meetbaar kan beïnvloeden, is het cumulatieve effect van duizenden kleinere aanvallen waarschijnlijk nog veel groter. Het is een zorgwekkend beeld dat cyberbeveiliging herdefinieert als een systemisch economisch risico, dat verder reikt dan alleen bedrijven en IT.

As veerkracht Nu steeds meer regelgeving van kracht is, hoe kan elke organisatie haar steentje bijdragen om de impact van cyberaanvallen op de Britse economie te minimaliseren?

De kostenimpact

De cijfers van het ONS zijn nieuw, maar de kostenimpact was er altijd al. Elke keer dat er losgeld wordt betaald voor datalekken, of een bedrijf wordt opgelicht, is de impact ongeveer vijf keer zo groot als de waarde in termen van gemiste kansen en herstelkosten, aldus Harry Mason, hoofd klantenservice bij managed IT-dienstverlener Mason Infotech. IO.

Hij noemt de JLR-hack als voorbeeld. "De aanval legde de productie enkele weken stil, waardoor er een enorme achterstand ontstond die moest worden weggewerkt toen de productie weer op gang kwam. Dit werd bovendien verergerd door reputatieschade door de berichtgeving in de pers en verlies van vertrouwen bij de consument."

Hoewel de kosten van cyberaanvallen voor het mkb wellicht lager liggen, zijn ze "niet minder schadelijk" en kunnen ze uiteindelijk leiden tot het faillissement van bedrijven, waarschuwt hij.

Moderne ransomware, aanvallen via zakelijke e-mail, cloudconfiguratiefouten en datadiefstalcampagnes leiden tegenwoordig tot "langere hersteltijden en hogere herstelkosten", aldus Dominic Carroll, portfoliodirecteur bij e2e Assure. IO“Aanvallers vernietigen ook steeds vaker back-ups of blijven inactief totdat de bewaartermijnen voor logbestanden zijn verstreken. Hierdoor kunnen organisaties niet gemakkelijk reconstrueren wat er is gebeurd of een volledig herstel uitvoeren, wat de verstoring van de bedrijfsvoering verder verlengt.”

De spraakmakende aanslagen op het Verenigd Koninkrijk dit jaar hebben aangetoond hoe cruciaal deze organisaties zijn voor de economie, zegt Carroll. "We kunnen het ons simpelweg niet veroorloven om dat soort productiviteit te verliezen, noch om afhankelijk te zijn van overheidssteun", waarschuwt hij.

Een van de grootste gevolgen voor de bredere economie heeft te maken met investeringen. In een markt die toch al risicomijdend is, wordt het aantrekken van investeerders nog moeilijker als er een risico bestaat op een cyberaanval of andere IT-gerelateerde uitval, aldus Mason. "Voor individuele bedrijven betekent dit dat ze zich volledig moeten richten op een beveiligingsstrategie om klanten en investeerders aan te trekken – en bestaande klanten te behouden."

Kaderwerken voor cyberweerbaarheid en naleving

In deze uitdagende economische omgeving zijn cyberweerbaarheids- en compliancekaders zoals ISO 27001 , Netwerk- en informatiesystemen 2 (NIS 2) en Cyberbenodigdheden zijn belangrijker dan ooit voor alle bedrijven.

Dergelijke raamwerken bieden gestructureerde richtlijnen en beste praktijken om organisaties te helpen bij het identificeren, beheren en verminderen van de impact van cyberrisico's, aldus Emma Hastings-Bray, juridisch directeur bij Blacks Solicitors.

De implementatie ervan kan ook aantonen dat een bedrijf zich inzet voor naleving van de regelgeving en verantwoording aflegt aan klanten, partners, raden van bestuur en toezichthouders. "De raamwerken kunnen helpen ervoor te zorgen dat cyberweerbaarheid op bestuursniveau wordt ingebed, en bieden meetbare indicatoren om de prestaties te beoordelen en te voldoen aan de Britse vereisten voor gegevensbescherming", voegt Hastings-Bray toe.

Deze regelgeving is met name belangrijk omdat ze zich richt op de toeleveringsketen – een belangrijke factor voor het versterken van de nationale veiligheid, aldus Carroll.

Hij wijst erop dat NIS2 nu van de betrokken entiteiten vereist dat zij een risicoanalyse uitvoeren van kritieke toeleveringsketens. Ondertussen is in de VS de volgende ontwikkeling geïntroduceerd: Certificatie van het volwassenheidsmodel voor cyberbeveiliging (CMMC 3.0), die vanaf oktober 2026 verplichte beveiliging in de toeleveringsketen zal invoeren voor alle contracten van het Ministerie van Defensie.

Dichter bij huis, de Wetsvoorstel cyberveiligheid en veerkracht "Formaliseert de beveiliging van de toeleveringsketen voor de organisaties die onder de regeling vallen", aldus Carroll.

Gestructureerde planning voor veerkracht

Omdat cyberaanvallen de economische groei verder dreigen te schaden, zal een gestructureerde planning voor weerbaarheid helpen om de cumulatieve impact te verminderen.

Volgens Carroll zorgt een gestructureerde planning voor veerkracht ervoor dat organisaties de vicieuze cirkel van economische terugval als gevolg van cyberaanvallen kunnen doorbreken. "Wanneer bedrijven routinematig hun detectiedekking valideren, aanvalssimulaties uitvoeren en snelle inperking in hun bedrijfsvoering integreren, leiden incidenten niet langer tot wekenlange storingen, maar tot kortstondige onderbrekingen. Alleen al die verschuiving voorkomt een enorme hoeveelheid verloren productie in de economie."

Gestructureerde planning voor veerkracht kan de economische impact van cyberaanvallen verzachten door te voorkomen dat incidenten uitgroeien tot langdurige verstoringen, beaamt Kerry Parkin, oprichter van The Remarkables. "Wanneer organisaties zowel de technische als de communicatieve respons plannen, herstellen ze sneller."

Als onderdeel hiervan helpt een duidelijke communicatiestrategie het management om snel te handelen, mensen op de hoogte te houden en de verwarring te voorkomen die het vertrouwen in de toeleveringsketens schaadt, zegt ze.

Het nationale beeld van veerkracht

Nu cyberbeveiliging en compliance hoog op de nationale agenda staan, telt de bijdrage van elk bedrijf mee in het bredere plaatje van bedrijfsveerkracht.

Bedrijven gaan er vaak vanuit dat ze te klein zijn om ertoe te doen, maar "één zwakke schakel kan een heel netwerk blootleggen", benadrukt Parkin.

Met dit in gedachten versterkt het opzetten van basismaatregelen voor cyberhygiëne, het hebben van een geoefend communicatieplan en het eerlijk zijn over kwetsbaarheden de organisatie – en de economie in het algemeen, zegt ze.

De regelgeving schrijft al voor dat bedrijven de dreigingen van cyberaanvallen moeten erkennen en zich daarop moeten voorbereiden. Zo zijn alle organisaties volgens de Britse wetgeving inzake gegevensbescherming wettelijk verplicht om passende maatregelen te treffen ter bescherming van persoonsgegevens, aldus Hastings-Bray. "Veerkracht zou een prioriteit moeten zijn voor elk bedrijf, van het beoordelen van toeleveringsketens en het uitvoeren van due diligence tot het opleiden van interne beveiligingsexperts en het regelmatig verzorgen van trainingen voor medewerkers."

De economische nadelen van cyberaanvallen vormen zeker een motiverende factor voor bedrijven. Maar collectief gezien is er nog "enorm veel werk aan de winkel" om ervoor te zorgen dat iedereen beveiliging serieus neemt, aldus Mason. "Dit is met name belangrijk voor leidinggevenden, omdat zij veranderingen kunnen doorvoeren en ervoor kunnen zorgen dat de boodschap binnen het hele bedrijf wordt uitgedragen."