Cyberaanvallen: Het belang van een bedrijfscontinuïteitsplan
Een reeks cyberaanvallen en incidenten in de afgelopen periode laat wederom zien hoe kwetsbaar organisaties zijn. Hans Lesscher, partner bij KokxDeVoogd, legt uit hoe belangrijk het is om te beschikken over een sterk bedrijfscontinuïteitsplan.
Begin dit jaar werd de Technische Universiteit Eindhoven getroffen door een cyberaanval, waardoor studenten zich uiteindelijk niet goed konden voorbereiden op tentamens. Ook SURF, de ICT-organisatie voor hogescholen en universiteiten, kreeg te maken met een DDoS-aanval die de dienstverlening verstoorde.
Bovengenoemde incidenten zijn slechts enkele voorbeelden in het onderwijsdomein, maar ook vitale sectoren kunnen door cyberaanvallen worden geraakt. Zo werd vorig jaar de Nederlandse politie getroffen door een aanval waarbij gegevens van 65.000 agenten, inclusief foto’s, werden buitgemaakt. En een jaar eerder legden hackers de websites van meerdere Nederlandse havens uren- tot dagenlang plat, met alle logistieke gevolgen van dien.
Digitale aanvallen ontwrichten
Deze incidenten tonen aan hoe ontwrichtend digitale aanvallen kunnen zijn. Cybercriminelen willen meestal gevoelige informatie stelen, zoals persoonlijke gegevens, financiële informatie of bedrijfsgeheimen, of ze gijzelen organisaties voor losgeld, vaak met behulp van ransomware.
Dit kan leiden tot aanzienlijke operationele verstoringen, verlies van vertrouwelijkheid en financiële schade, en onderstreept de noodzaak voor organisaties om hun cyberbeveiliging op te schroeven.
“Naast de financiële schade die ontstaat, kunnen dergelijke gebeurtenissen een aanzienlijke operationele en reputatieschade veroorzaken”, zegt Hans Lesscher, partner bij KokxDeVoogd. Lesscher beweegt als adviseur vooral binnen het publieke domein, waar hij vaststelt dat veel overheidsorganisaties nog onvoldoende voorbereid zijn op onverwachte aanvallen en verstoringen.
Zorg ook voor een bedrijfscontinuïteitsplan
Terwijl veel aandacht uitgaat naar technische maatregelen om cybercriminelen buiten de deur te houden, benadrukt Lesscher dat een effectief bedrijfscontinuïteitsplan minstens zo belangrijk is: “Als het misgaat – en die kans is altijd aanwezig – is een goede voorbereiding essentieel.”
Een bedrijfscontinuïteitsplan is een strategisch document dat beschrijft hoe een organisatie haar kritieke functies kan blijven uitvoeren tijdens en na een verstoring, zoals een cyberaanval. “Het bevat procedures en instructies om de bedrijfsvoering te waarborgen, zelfs onder uitdagende omstandigheden.”
“Zo’n document is essentieel om de impact van dergelijke incidenten te minimaliseren en de veerkracht van de organisatie te waarborgen”, licht Lesscher toe. “Het geeft inzicht in hoe mensen, processen en beleid moeten handelen na een aanval en zorgt voor duidelijkheid over wat er moet gebeuren, door wie, en hoe wordt omgegaan met de dienstverlening aan klanten en de operatie.”
Vijf stappen voor een robuuste voorbereiding
Wanneer overheidsorganisaties een bedrijfscontinuïteitsplan opstellen, moeten volgens Lesscher vijf stappen worden doorlopen.
Om te beginnen is het essentieel om inzicht te krijgen in de risico’s die een organisatie loopt. “Een grondige risicoanalyse helpt potentiële dreigingen te identificeren en de impact ervan in te schatten”, legt Lesscher uit.
De tweede stap betreft een zogeheten business impact analyse (BIA). “Dit is nodig om vast te stellen welke bedrijfsprocessen cruciaal zijn en wat de gevolgen zouden zijn als deze uitvallen.”
Vervolgens moet een plan worden opgesteld, inclusief concreet beleid en procedures. “Zorg voor strategieën en protocollen, waarmee snel en effectief op incidenten gereageerd kan worden.”
Ten vierde moet een cultuur van waakzaamheid worden gecreëerd. “Organisaties moeten het bewustzijn over cyberrisico’s en verantwoordelijkheden actief stimuleren”, benadrukt Lesscher.
Tot slot moet regelmatig worden geoefend, bijvoorbeeld in trainingen en simulaties. “Regelmatige oefeningen zorgen ervoor dat medewerkers weten hoe ze moeten handelen tijdens een crisis, en verhogen de weerbaarheid van de organisatie.”
Volgens onderzoek van Capgemini werden in 2024 ruim negen van de tien grote organisaties getroffen door een cyberbeveiligingsinbreuk. In veel gevallen, bijvoorbeeld als persoonsgegevens op straat komen te liggen, zijn organisaties verplicht zo’n incident te melden bij de Autoriteit Persoonsgegevens.
