• Bijna 1 op de 2 kmo’s (Nederland: mkb’ers) weet het niet (zeker) of er de laatste 12 maanden zich een incident heeft voorgedaan.   
• Meer dan de helft van de grote bedrijven detecteerde het afgelopen jaar minstens één incident, terwijl maar een kwart van de kmo’s weet heeft van een incident.
• Uit onze survey van 2020 bleek 42% van de kmo’s (*) (Nederland: mkb’ers) slachtoffer van een cyberincident te zijn. Dat aantal daalde in 2021 naar 26% maar ligt nog altijd hoger dan in 2019 (19%).

Heeft uw bedrijf de afgelopen 12 maanden te maken gehad met (een) cybersecurityincident(en)?

Elk bedrijf – groot of klein – vormt een potentieel doelwit

34% van de respondenten heeft weet van een cyberincident (*) dat zich in 2021 binnen hun organisatie heeft voorgedaan. Van de 62% die aangeeft dat er geen incident plaatsvond, beweert slechts 38% daar absoluut zeker van te zijn.

Bijna 9 op de 10 van de respondenten is bezorgd om (opnieuw) slachtoffer te worden van een cyberincident, ook diegenen die in 2021 gevrijwaard bleven van incidenten.

70% van de incidenten bij de respondenten gebeurde opzettelijk

• Social engineering (13%)
• Spam (13%)
• Gestolen of verloren toestellen (9%)

Opvallend is dat 5% van de respondenten aangeeft slachtoffer te zijn van een ernstige gerichte aanval, wat ook bekend staat als Advanced Persistent Threat (APT).

Top 3 cybersecurityincidenten in 2021

Social engineering was in 2021 het meest voorkomde cybersecurityincident. Bij deze techniek gebruiken cybercriminelen de mens om een computersysteem binnen te dringen of vertrouwelijke informatie te ontfutselen. Onder meer phishing en spear-phishing zijn vormen van social engineering. Het zijn fenomenen die we kunnen linken aan het toegenomen telewerk in coronatijden.

Alle getroffen respondenten onderschrijven dat elk incident kosten of een negatieve impact met zich meebrengt. Reputatieschade, kosten voor de rapportering van de incidenten en tijdverlies zorgden voor de meeste onrechtstreekse kosten.

Van de respondenten die weet hebben van een incident, heeft het merendeel ook een cybersecurity-strategie voor het beheer van incidenten. Bij de respondenten die het niet (zeker) weten of ze een incident hebben gehad, is het percentage dat een strategie heeft de helft lager.

Opsplitsing respondenten op basis van incidenten

Ondernemingen met meer dan 250 medewerkers zijn het verst gevorderd wat hun cybersecuritystrategie betreft. Vooral bij de middelgrote kmo’s (mkb) met 50 tot 250 medewerkers is die nog het minst frequent uitgerold, al is een strategie binnen die categorie wel het vaakst in ontwikkeling.

Heeft uw bedrijf een strategie voor het beheer van cybersecurityincidenten?

Grote ondernemingen nemen het voortouw

Heeft uw bedrijf een strategie voor het beheer van cybersecurityincidenten?

Een strategie voor het beheer van cyberincidenten vormt de basis van een uitgekiend risicobeleid en een bedrijfsbrede beveiligingsstrategie. Zo’n strategie is bij 58% van de ondernemingen aanwezig. Dat is een positieve stijging van 9% ten opzichte van ons onderzoeksrapport van vorig jaar. Bij een kwart van de bevraagden is ze in ontwikkeling. Daar tegenover staat dat 13% te kennen geeft er nog geen werk van te maken.

Krijgen medewerkers in uw bedrijf cybersecurity awareness trainingen?

Een goed cybersecurity awareness trainingsprogramma verkleint de kans op menselijke fouten. Medewerkers leren tijdens een training bijvoorbeeld phishing herkennen. Zo gaat uw bedrijf de  strijd aan tegen het nummer 1 cyberincident ‘social engineering’. Een derde van de bevraagde bedrijven voorziet echter helemaal geen trainingen, terwijl 6% die ad hoc uitvoert en 3% zich nog in de ontwikkelingsfase bevindt. Daar tegenover staat dat een derde van de organisaties enkele malen per jaar een training voorziet.

• 59% van de bedrijven zoekt hulp bij externe partijen om de infrastructuur op het vlak van cybersecurity te monitoren en te beheren.
• 38% van de ondervraagde bedrijven vertrouwt op een mix van eigen IT-personeel en een IT-partner. Een even grote groep respondenten stroomlijnt IT-security volledig in eigen beheer, terwijl 21% kiest voor een totale outsourcing.

Wie monitort en beheert uw cybersecurity infrastructuur?

Hebt u een tekort aan cybersecurityspecialisten?

6 op de 10 bedrijven doet een beroep op een externe partij

Meer dan 4 op de 10 bevraagden ervaren een tekort aan cybersecurityspecialisten binnen de IT-afdeling. Van alle bedrijven met een omvang van meer dan 50 medewerkers meldt meer dan de helft een schaarste aan dergelijke profielen.

Percentage ten opzichte van totaal van genoemde prioriteiten

Wat is de top 3 prioriteiten van uw organisatie op vlak van cybersecurity?

De top 3 prioriteiten van de respondenten op vlak van cybersecurity zijn opvallend vaak beleidsmatige keuzes, zoals employee awareness trainingen, cybersecurity verzekeringen en regulering zoals GDPR. Deze onderwerpen vallen onder het Governance, Risk management en Compliancy domein (GRC).

Ook netwerkbeveiling is voor veel bedrijven nog steeds een belangrijke prioriteit. Dit domein wordt op de voet gevolgd door werkplekbeveiliging. Het belang van het beveiligen van de werkplek is al enkele jaren aan het toenemen, onder andere door de opkomst van ransomware en het grote aantal medewerkers dat thuiswerkt.