Fabrikanten zijn de afgelopen vier jaar het populairste doelwit geweest voor wereldwijde cyberaanvallen. De sector was in 2024 ook nummer één voor ransomware, aldus IBM-gegevensToen Jaguar Land Rover (JLR) begin september meldde dat het slachtoffer was geworden van digitale afpersers, kwam dat dus niet als een grote verrassing. Maar het was wel een tijdige herinnering aan de potentieel ernstige impact van dergelijke aanvallen op de bedrijfscontinuïteit.

Beveiligingsteams moeten dit als een kans aangrijpen om bij het bestuur te pleiten voor meer investeringen in cyberweerbaarheid.

De nasleep gaat door

Het Verenigd Koninkrijk is dit jaar getroffen door een reeks cyberafpersingsaanvallen. Ze lijken allemaal voort te komen uit een losse groep Engelstalige cybercriminelen, bekend als Scattered Spider, Shiny Hunters en nu Scattered Lapsus$ Hunters. Eerst was er de aanval op retailers zoals M&S en Co-op. Daarna volgde een supply chain-campagne gericht op Salesforce-instanties. En daarna een reeks gerelateerde aanvallen op Salesforce-klanten, gericht op hun Salesloft Drift-integratie. De groep is nu naar verluidt opscheppen op zijn Telegram-kanaal over het hacken van JLR.

Hoe dit precies gebeurde, is momenteel nog niet bevestigd, hoewel sommige berichten melding maken van een kwetsbaarheid van SAP NetWeaver. Een kritieke bug in de software werd in april door SAP gepatcht en waarvan bekend is dat ze zijn gebruikt door ransomware-groepen, met openbaar beschikbare exploitcode. Los van tactieken, technieken en procedures (TTP's), weten we echter precies wat er op het spel staat voor JLR.

Vanaf dag één gaf het bedrijf toe dat zijn "detailhandels- en productieactiviteiten ernstig verstoord zijn". Een week later onthulde JLR: "Sommige gegevens zijn aangetast en we informeren de relevante toezichthouders." Personeel in de vestigingen van het bedrijf in Solihull, Halewood, Wolverhampton en buiten het Verenigd Koninkrijk kan nog steeds niet werken. het is geschat dat de gevolgen JLR wel £ 5 miljoen per dag aan winstverlies zouden kunnen kosten.

En dan hebben we het nog niet eens gehad over de impact op een uitgebreide toeleveringsketen die voor haar levensonderhoud afhankelijk is van JLR. Vakbonden hebben opgeroepen voor overheidssteun na meldt dat sommige leveranciers failliet dreigen te gaan. Tot overmaat van ramp is september een van de drukste maanden van het jaar voor autofabrikanten en hun partners, aangezien deze maand samenvalt met de introductie van nieuwe kentekenplaten. JLR heeft de heropening van zijn faciliteiten al meerdere keren uitgesteld. Op het moment van schrijven zou de laatste productiestop de onderbreking verlengen tot 1 oktober.

Wat veerkracht betekent

Dit alles zou een aantal belangrijke lessen moeten opleveren over de noodzaak voor organisaties om zich te richten op het verbeteren van hun cyberweerbaarheid. Wat is veerkracht? Volgens NIST is het het vermogen om cyberaanvallen te "anticiperen, te weerstaan, ervan te herstellen en zich eraan aan te passen". Dat betekent dat best practices moeten worden geïmplementeerd om ervoor te zorgen dat cybercriminelen minder mogelijkheden hebben om toegang te krijgen tot kritieke netwerken en resources. Maar ook om ervoor te zorgen dat de organisatie zich snel kan herstellen en normaal kan blijven functioneren, zelfs als er een inbreuk plaatsvindt.

Tim Grieveson, CISO van ThingsRecon, stelt dat beveiligingsmanagers hiervoor eerst inzicht moeten krijgen in de belangrijkste bedrijfsfuncties en bijbehorende systemen van hun organisatie. Dit stelt hen in staat om investeringen te prioriteren op basis van de impact op de organisatie.

"In plaats van te praten over vakjargon zoals 'kwetsbaarheidsscores', zouden CISO's cyberrisico's moeten vertalen naar financiële termen die aansluiten bij de raad van bestuur en het senior management. Dit kan betekenen dat ze de potentiële kosten van downtime, dataverlies of boetes van toezichthouders moeten presenteren", vertelt Grieveson aan ISMS.online.

De strategie van een CISO moet ook gebaseerd zijn op de aanname dat een inbreuk geen kwestie is van 'of', maar van 'wanneer'. Dit verschuift de focus van het bouwen van een ondoordringbare muur naar het bouwen van een systeem dat een aanval kan absorberen, weerstaan ​​en er snel van kan herstellen.

CISO's moeten ook het belang inzien van continue training en opleiding van medewerkers om een ​​beveiligingsbewuste cultuur te creëren. "Hierdoor wordt elke medewerker onderdeel van de beveiligingsverdediging en leren ze potentiële bedreigingen zoals phishingpogingen te herkennen en te melden", zegt hij.

Maar zelfs met de beste training kunnen er inbreuken plaatsvinden. Volgens William Wright, CEO van Closed Door Security, komt het testen met vooraf bepaalde scenario's hierbij van pas.

"Wat is de worstcasesituatie? Als deze situatie zich voordoet, kan de organisatie zich er dan van herstellen? Zo niet, welke hiaten zijn er dan en hoe kunnen die worden gedicht? Deze beoordeling moet alle interne en externe activa omvatten. Hoe kunnen inbreuken op leveranciers bijvoorbeeld mijn activiteiten beïnvloeden? Niet alle aanvallen zijn direct", vertelt hij aan ISMS.online.

“In deze omgevingen zullen, waar haalbaar, alle aanvalsscenario's een kant-en-klaar en ingestudeerd draaiboek hebben voor mitigatie, terwijl er altijd back-ups zullen zijn om de operationele impact van aanvallen te beperken.”

Zero Trust kan ook een nuttige manier zijn om na te denken over het opbouwen van veerkracht, voegt Grieveson toe.

"Een Zero Trust-aanpak gaat ervan uit dat het netwerk al gecompromitteerd is en vereist dat elke gebruiker, elk apparaat en elke applicatie wordt geverifieerd voordat toegang wordt verleend", legt hij uit. "Dit is met name relevant voor fabrikanten die vaak vertrouwen op een combinatie van oude operationele technologiesystemen en nieuwere IT."

Normen kunnen helpen

Grieveson voegt toe dat best practice-normen zoals ISO 27001 en SOC2 ook kunnen bijdragen aan het vergroten van veerkracht door een gestructureerd raamwerk te creëren voor het beheren van informatiebeveiliging.

"Ze bieden concrete verwachtingen over hoe goed het eruitziet, die verder gaan dan alleen het voorkomen van aanvallen", concludeert hij.

In plaats van beveiliging te zien als een reactieve, afgevinkte oefening, moedigt het bedrijven aan om een ​​proactieve, bedrijfsgerichte aanpak te hanteren met de governance, processen en controles die nodig zijn om aanvallen te voorkomen. En om ervoor te zorgen dat het bedrijf kan overleven en snel kan herstellen wanneer zich een onvermijdelijke inbreuk voordoet.