Nu veerkracht door steeds meer regelgeving wordt vereist, hoe kan elke organisatie hieraan bijdragen?

Door Kate O'Flaherty

Bedrijven in het Verenigd Koninkrijk worden geconfronteerd met een zorgwekkend probleem: cyberaanvallen hebben nu een meetbare impact op het bbp. Rapporten van het Britse Cyber ​​Monitoring Centre (CMC) en het ONS suggereren dat de hack bij Jaguar Land Rover (JLR) de bbp-groei heeft afgeremd . De economie groeide in het kwartaal van juli tot september met slechts 0.1%, doordat de autoproductie naar het laagste niveau in 73 jaar daalde.

Ernstige cyberincidenten kosten de Britse economie jaarlijks 14.7 miljard pond (ongeveer 0.5% van het bbp), en alleen al IP-gerelateerde aanvallen kunnen tot 8.5 miljard pond kosten, volgens onderzoek van het ministerie van Wetenschap, Innovatie en Technologie en Alma Economics.

Als individuele, grote incidenten zoals de JLR-aanval de economische impact meetbaar kunnen beïnvloeden, is het cumulatieve effect van duizenden kleinere aanvallen waarschijnlijk nog veel groter. Het is een zorgwekkend beeld dat cyberbeveiliging herdefinieert als een systemisch economisch risico, dat verder reikt dan alleen bedrijven en IT.

Nu steeds meer regelgeving de noodzaak tot weerbaarheid benadrukt, hoe kan elke organisatie haar steentje bijdragen om de impact van cyberaanvallen op de Britse economie te minimaliseren?

De kostenimpact

De cijfers van het ONS zijn nieuw, maar de kostenimpact was er altijd al. Elke keer dat er losgeld wordt betaald voor dataverlies of een bedrijf wordt opgelicht, is de impact ongeveer vijf keer zo groot als de waarde van de gemiste kansen en de herstelkosten, vertelt Harry Mason, hoofd klantenservice bij managed IT-dienstverlener Mason Infotech, aan IO.

Hij noemt de JLR-hack als voorbeeld. "De aanval legde de productie enkele weken stil, waardoor er een enorme achterstand ontstond die moest worden weggewerkt toen de productie weer op gang kwam. Dit werd bovendien verergerd door reputatieschade door de berichtgeving in de pers en verlies van vertrouwen bij de consument."

Hoewel de kosten van cyberaanvallen voor het mkb wellicht lager liggen, zijn ze "niet minder schadelijk" en kunnen ze uiteindelijk leiden tot het faillissement van bedrijven, waarschuwt hij.

Moderne ransomware, aanvallen via zakelijke e-mail, cloudconfiguratiefouten en datadiefstalcampagnes leiden tegenwoordig tot "langere hersteltijden en hogere herstelkosten", aldus Dominic Carroll, portfolio director bij e2e Assure, tegenover IO . "Aanvallers vernietigen bovendien steeds vaker back-ups of blijven inactief totdat de bewaartermijn voor logbestanden is verstreken. Hierdoor kunnen organisaties niet gemakkelijk reconstrueren wat er is gebeurd of een volledig herstel uitvoeren, wat de bedrijfsstoringen verder verlengt."

De spraakmakende aanslagen op het Verenigd Koninkrijk dit jaar hebben aangetoond hoe cruciaal deze organisaties zijn voor de economie, zegt Carroll. "We kunnen het ons simpelweg niet veroorloven om dat soort productiviteit te verliezen, noch om afhankelijk te zijn van overheidssteun", waarschuwt hij.

Een van de grootste gevolgen voor de bredere economie heeft te maken met investeringen. In een markt die toch al risicomijdend is, wordt het aantrekken van investeerders nog moeilijker als er een risico bestaat op een cyberaanval of andere IT-gerelateerde uitval, aldus Mason. "Voor individuele bedrijven betekent dit dat ze zich volledig moeten richten op een beveiligingsstrategie om klanten en investeerders aan te trekken – en bestaande klanten te behouden."

Kaderwerken voor cyberweerbaarheid en naleving

In deze uitdagende economische omgeving zijn cyberweerbaarheid en compliance-frameworks zoals ISO 27001 , Network and Information Systems 2 (NIS 2) en Cyber ​​Essentials belangrijker dan ooit voor alle bedrijven.

Dergelijke raamwerken bieden gestructureerde richtlijnen en beste praktijken om organisaties te helpen bij het identificeren, beheren en verminderen van de impact van cyberrisico's, aldus Emma Hastings-Bray, juridisch directeur bij Blacks Solicitors.

De implementatie ervan kan ook aantonen dat een bedrijf zich inzet voor naleving van de regelgeving en verantwoording aflegt aan klanten, partners, raden van bestuur en toezichthouders. "De raamwerken kunnen helpen ervoor te zorgen dat cyberweerbaarheid op bestuursniveau wordt ingebed, en bieden meetbare indicatoren om de prestaties te beoordelen en te voldoen aan de Britse vereisten voor gegevensbescherming", voegt Hastings-Bray toe.

Deze regelgeving is met name belangrijk omdat ze zich richt op de toeleveringsketen – een belangrijke factor voor het versterken van de nationale veiligheid, aldus Carroll.

Hij wijst erop dat NIS2 nu van de betrokken entiteiten vereist dat zij een risicoanalyse uitvoeren van kritieke toeleveringsketens. Ondertussen is in de VS de Cybersecurity Maturity Model Certification (CMMC 3.0) geïntroduceerd, die vanaf oktober 2026 de beveiliging van de toeleveringsketen verplicht stelt voor alle contracten van het Ministerie van Defensie.

Dichter bij huis formaliseert de Cyber ​​Security and Resilience Bill de beveiliging van de toeleveringsketen voor organisaties die onder de wet vallen, aldus Carroll.

Gestructureerde planning voor veerkracht

Omdat cyberaanvallen de economische groei verder dreigen te schaden, zal een gestructureerde planning voor weerbaarheid helpen om de cumulatieve impact te verminderen.

Volgens Carroll zorgt een gestructureerde planning voor veerkracht ervoor dat organisaties de vicieuze cirkel van economische terugval als gevolg van cyberaanvallen kunnen doorbreken. "Wanneer bedrijven routinematig hun detectiedekking valideren, aanvalssimulaties uitvoeren en snelle inperking in hun bedrijfsvoering integreren, leiden incidenten niet langer tot wekenlange storingen, maar tot kortstondige onderbrekingen. Alleen al die verschuiving voorkomt een enorme hoeveelheid verloren productie in de economie."

Gestructureerde planning voor veerkracht kan de economische impact van cyberaanvallen verzachten door te voorkomen dat incidenten uitgroeien tot langdurige verstoringen, beaamt Kerry Parkin, oprichter van The Remarkables. "Wanneer organisaties zowel de technische als de communicatieve respons plannen, herstellen ze sneller."

Als onderdeel hiervan helpt een duidelijke communicatiestrategie het management om snel te handelen, mensen op de hoogte te houden en de verwarring te voorkomen die het vertrouwen in de toeleveringsketens schaadt, zegt ze.

Het nationale beeld van veerkracht

Nu cyberbeveiliging en compliance hoog op de nationale agenda staan, telt de bijdrage van elk bedrijf mee in het bredere plaatje van bedrijfsveerkracht.

Bedrijven gaan er vaak vanuit dat ze te klein zijn om ertoe te doen, maar "één zwakke schakel kan een heel netwerk blootleggen", benadrukt Parkin.

Met dit in gedachten versterkt het opzetten van basismaatregelen voor cyberhygiëne, het hebben van een geoefend communicatieplan en het eerlijk zijn over kwetsbaarheden de organisatie – en de economie in het algemeen, zegt ze.

De regelgeving schrijft al voor dat bedrijven de dreigingen van cyberaanvallen moeten erkennen en zich daarop moeten voorbereiden. Zo zijn alle organisaties volgens de Britse wetgeving inzake gegevensbescherming wettelijk verplicht om passende maatregelen te treffen ter bescherming van persoonsgegevens, aldus Hastings-Bray. "Veerkracht zou een prioriteit moeten zijn voor elk bedrijf, van het beoordelen van toeleveringsketens en het uitvoeren van due diligence tot het opleiden van interne beveiligingsexperts en het regelmatig verzorgen van trainingen voor medewerkers."

De economische nadelen van cyberaanvallen vormen zeker een motiverende factor voor bedrijven. Maar collectief gezien is er nog "enorm veel werk aan de winkel" om ervoor te zorgen dat iedereen beveiliging serieus neemt, aldus Mason. "Dit is met name belangrijk voor leidinggevenden, omdat zij veranderingen kunnen doorvoeren en ervoor kunnen zorgen dat de boodschap binnen het hele bedrijf wordt uitgedragen."