De kritieke nationale infrastructuur (CNI) van het VK wordt niet voor niets zo genoemd. De grote hoeveelheden gevoelige gegevens die providers opslaan, hun lage tolerantie voor storingen en hun kritieke karakter voor de nationale en economische veiligheid maken ze echter ook tot doelwitten. Aangemoedigde actoren van de natiestaat, hacktivisten en financieel gemotiveerde cybercriminelen vinden steeds vaker beveiligingslekken om te exploiteren.

Wereldwijd meldde ruim twee vijfde (42%) van de bedrijven datalekken in het afgelopen jaar, en 93% zag een toename van cyberaanvallen. Met de verwachte nieuwe wetgeving in het Verenigd Koninkrijk in het nieuwe jaar, moeten CNI-bedrijven hun cyberweerbaarheid duidelijk verbeteren. Het goede nieuws is dat er al standaarden bestaan ​​die hen hierbij kunnen begeleiden.

Wat is er gaande?

Er bestaat geen typisch CNI-bedrijf, van nutsbedrijven tot financiële dienstverleners, zorginstellingen en defensiefabrikanten. Veel van deze bedrijven hebben echter te maken gehad met dezelfde bedreigingen, waaronder de massale exploitatie van kwetsbaarheden door Russische actoren en gerichte phishingcampagnes van Iraanse staatshackers.

In het Verenigd Koninkrijk vonden in 2024 aanzienlijke ransomware-aanvallen en datalekken plaats bij een belangrijke NHS-aanbieder (Synnovis) en bij het Ministerie van Defensie , waardoor mogelijk levens in gevaar kwamen. Er zijn ransomware-aanvallen geweest op kinderziekenhuizen en grote transportbedrijven . Maar afgezien van deze geïsoleerde incidenten kunnen we de volgende trends vaststellen:

Bedreigingen van binnenuit: Volgens Thales heeft 30% van de CNI-organisaties het afgelopen jaar te maken gehad met een incident met een bedreiging van binnenuit. Daarnaast waarschuwt Bridewell dat 35% van de beveiligingsmanagers binnen de CNI-sector gelooft dat persoonlijke financiële problemen werknemers ertoe dwingen hun toevlucht te nemen tot datadiefstal en sabotage.

Stress en burn-out: met name leidinggevenden in de beveiligingssector voelen de druk. In 2022 gaf een rapport aan dat 95% factoren ervoer die hen ertoe zouden kunnen brengen hun functie binnen de komende 12 maanden te verlaten.

Stagnatie van budgetten: Het percentage van de IT- (33%) en OT-budgetten (30%) dat in 2024 bestemd was voor cyberbeveiliging, daalde dramatisch ten opzichte van de cijfers van 44% en 43% in 2023.

Afnemend vertrouwen in tools: Bridewell beweert dat bijna een derde (31%) van de CNI-beveiligingsleiders "vertrouwen in cybersecuritytools" als een van de grootste uitdagingen voor 2024 beschouwde, een jaarlijkse stijging van 121%.

De grenzen tussen staatsdreigingen en cybercriminaliteit vervagen: de rol van de Russische staat bij het beschermen en aanmoedigen van financieel gemotiveerde aanvallen op ziekenhuizen en andere kritieke infrastructuur in het VK wordt steeds vaker op het hoogste niveau aan de kaak gesteld.

Het NCSC merkte in zijn jaarverslag op : "Door zijn activiteiten in Oekraïne inspireert Rusland niet-statelijke dreigingsactoren om cyberaanvallen uit te voeren tegen westerse nucleaire wapensystemen. Deze dreigingsactoren staan ​​niet onder formele of openlijke staatscontrole, waardoor hun activiteiten minder voorspelbaar zijn. Dit doet echter niets af aan de verantwoordelijkheid van de Russische staat voor deze ideologisch gemotiveerde aanvallen."

Toenemende verfijning. Hoewel niet specifiek gericht op het VK, toonde de Chinese groep Volt Typhoon geavanceerde methoden in een meerjarige campagne die begin 2024 aan het licht kwam. Tijdens deze campagne infiltreerde de groep Amerikaanse CNI-netwerken om cruciale diensten te saboteren in geval van een conflict.

"Veel CNI-systemen vertrouwen op verouderde technologie, waardoor ze kwetsbaar zijn voor aanvallen en moeilijk te beveiligen zijn. Navigeren door complexe en veranderende regelgevingsvereisten vereist aanzienlijke middelen en expertise", vertelt Chris Harris, technisch directeur voor gegevensbeveiliging van Thales EMEA, aan ISMS.online.

“Bovendien belemmert een gebrek aan bekwame cybersecurityprofessionals het vermogen om effectief om te gaan met en te reageren op bedreigingen. Het in evenwicht brengen van de adoptie van nieuwe technologieën met het handhaven van robuuste beveiligingsmaatregelen is een voortdurende uitdaging.”

Martin Riley, CTO van Bridewell, is het daarmee eens en voegt toe dat operationele technologie (OT) een andere grote uitdaging is voor CNI-bedrijven.

"OT-apparaten missen de strengheid van enterprise security, met aanhoudende zorgen over impact op operaties en gezondheid en veiligheid. Legacy-systemen, waarvan er veel meer dan 20 jaar oud zijn, hebben vaak geen moderne beveiligingsmogelijkheden en de trend van convergentie van OT met IT-systemen vergroot het aanvalsoppervlak", vertelt hij aan ISMS.online.

"Vanwege het tekort aan vaardigheden kunnen CISO's geen beroep doen op OT-specifieke expertise om evenredige cybersecurityplannen te ontwikkelen en IT- en OT-beveiliging te overbruggen om dit risico te verminderen. Vooral de opkomst van edge-apparaten in IT OT- en IoT-infrastructuren is wijdverbreid, die kunnen worden uitgebuit in living-off-the-land-aanvallen, waarbij legitieme tools binnen het systeem het doelwit zijn."

Riley voegt toe dat OT-teams in sommige gevallen door een gebrek aan vaardigheden maatregelen kunnen nemen die onbedoeld de toegang van gebruikers blokkeren, waardoor er schade aan de fysieke infrastructuur ontstaat of er zelfs een risico voor mensenlevens ontstaat.

Wat eisen toezichthouders?

De noodzaak om de weerbaarheid van CNI te versterken blijkt duidelijk uit de bovenstaande trends en incidenten, maar er is ook een groeiende wettelijke verplichting. Britse providers met activiteiten op het continent moeten voldoen aan een strenge nieuwe reeks basisbeveiligingseisen in NIS2 . De richtlijn verduidelijkt tevens dat leidinggevenden binnen bedrijven meer verantwoordelijk zullen worden gehouden voor tekortkomingen op het gebied van cyberbeveiliging, inclusief persoonlijke aansprakelijkheid voor ernstige overtredingen.

In het Verenigd Koninkrijk zal een nieuw wetsvoorstel inzake cyberbeveiliging en -veerkracht de NIS-regelgeving van 2018 actualiseren om meer dienstverleners te omvatten, toezichthouders meer bevoegdheden te geven en incidentrapportage verplicht te stellen. Nog niet alle details zijn uitgewerkt, maar vanuit regelgevend oogpunt in het VK lijkt de trend te wijzen op een strengere controle van CNI-bedrijven.

Wat CNI-bedrijven in 2025 kunnen doen

"Het NCSC is van mening dat de ernst van door staten geleide dreigingen wordt onderschat en dat de cyberbeveiliging van kritieke infrastructuur, toeleveringsketens en de publieke sector moet worden verbeterd", aldus het NCSC in zijn jaarverslag.

Dat is allemaal leuk en aardig, maar hoe kunnen aanbieders specifiek hun beveiliging verbeteren?

"CNI wordt geconfronteerd met diverse bedreigingen, uitdagingen en kansen. Proactieve maatregelen, zoals formele ransomware-reacties en compliance-audits, zijn essentieel", betoogt Harris van Thales.

“Opkomende technologieën zoals 5G, cloud, identiteits- en toegangsbeheer en GenAI bieden nieuwe efficiënties wanneer ze worden geïntegreerd in CNI-activiteiten. Hogere verwachtingen en grotere toewijding aan operationele veerkracht en betrouwbaarheid zullen de beveiliging verbeteren en de vatbaarheid voor CNI-ondernemingen verminderen.”

De best practice-norm ISO 27001 zou voor velen een goed startpunt kunnen zijn, omdat het een ‘robuust raamwerk’ biedt voor het beheren van veiligheidsrisico’s, vervolgt hij.

"Naleving van ISO 27001 zorgt ervoor dat CNI-operators best practices op het gebied van cyberbeveiliging implementeren, waaronder risicobeoordeling, incidentbeheer en continue verbetering", aldus Harris.

Bridewell's Riley ondersteunt ook de beste praktijken in de sector.

"Een best practice cybersecuritystrategie in een typische CNI-provider stemt IT- en OT-risicoregisters af om risico's holistisch te evalueren. Dit zou moeten worden aangestuurd door het combineren en mappen van ISO 27001-controles naar NIST CSF, NCSC CAF, NIS-regelgeving of specifieke OT-frameworks zoals IEC 62443", legt hij uit.

“ISO 27001 alleen is geen drijfveer om de CNI-beveiliging te verbeteren. Veel organisaties hanteren één scope en verklaring van toepasbaarheid die alleen de onderneming dekt. ​​Daarom is het zo belangrijk voor CNI-organisaties om andere frameworks en regelgevingen op te nemen in hun strategie voor een multi-scope ISMS. Het bouwen van een multi-scope ISMS kan ingewikkeld zijn, maar het is niet onmogelijk als OT en IT effectief gescheiden zijn en relevante regelgevingen worden opgenomen.”