Aantal werknemers

Van de respondenten die op de hoogte waren van een cyberaanval, registreerde meer dan 80% minder dan 6 incidenten. Bijna twee op de tien van de geïmpacteerde bedrijven registreerde meer dan 5 aanvallen. Opmerkelijk is dat wie geen incidenten detecteert, in 22% van de gevallen niet weet of zijn organisatie al dan niet aanvallen heeft geneutraliseerd.

Grotere organisaties (met 250 of meer medewerkers) vallen vaker ten prooi aan cybersecurityincidenten dan kleine en middelgrote bedrijven (met 10 tot 249 werknemers). Van de zeer grote bedrijven (+ 2.000 werknemers) meldde 45% in de afgelopen 12 maanden een incident te hebben meegemaakt. Dat komt wellicht doordat zeer grote bedrijven beter in staat zijn om aanvallen te detecteren of doordat ze vaker aangevallen worden door het grotere aanvalsoppervlak.

30% van de respondenten geeft aan in 2023 een cybersecurityincident* te hebben meegemaakt en dat percentage ligt in lijn met de resultaten van vorig jaar. Dat ruim een derde van de ‘incidentvrije’ deelnemers toegeeft weinig vertrouwen te hebben in hun vermogen om incidenten te detecteren, wijst mogelijk op een onderschatting.

Door de digitale transformatie, thuiswerk en de opmars van nieuwe technologieën neemt de ‘attack surface’ van cybercriminelen jaar na jaar toe. Tegelijk zijn hackers almaar beter georganiseerd en hanteren ze meer gesofisticeerde aanvalsmodi. Volgens het Internationaal Monetair Fonds is het aantal incidenten meer dan verdubbeld sinds de coronapandemie. Het spreekt voor zich dat ook Belux-bedrijven niet buiten schot blijven.

Bijna de helft van de respondenten meldt een verminderde productiviteit als gevolg van cybersecurityincidenten. Eenzelfde aantal rapporteert kosten gerelateerd aan cyberincidenten, onder meer voor het inlichten van autoriteiten, klanten en belanghebbenden. Reputatieschade, waaronder negatieve publiciteit, verlies van vertrouwen en schade aan het merkimago, treedt eveneens vaak op. Verrassend genoeg gaf ongeveer 30% van de respondenten aan dat ze geen directe financiële gevolgen of schade ondervonden. Dat is mogelijk te danken aan effectieve beveiligingsmaatregelen of incidenten die niet direct van invloed waren op het bedrijfsresultaat.

Bij één op vier van de getroffen doelwitten verhinderden de cyberincidenten medewerkers om hun taken uit te voeren. Dat is een daling ten opzichte van het cybersecurity rapport uit 2023 (30%). In de meeste gevallen beperkt de onbeschikbaarheid zich tot een gering aantal medewerkers voor maximaal een week.

Een kwart van de incidenten is het gevolg van slordigheden of onbewuste fouten van medewerkers. Verkeerde configuraties of onbedoelde kliks kunnen bijvoorbeeld leiden tot een inbreuk op de beveiliging. Bijna 30% van de incidenten zijn opzettelijk gepleegd door interne of externe partijen die doelbewust aanvallen uitvoeren. In 44% van de gevallen gaat het om een combinatie van beide factoren.De resultaten van het 2024 Data Breach Investigation Report van Verizon bevestigt deze cijfers. Zij constateren dat bij 68% van de onderzochte incidenten een onbewuste fout mee aan de basis lag.

Volgens het 2024 Data Breach Investigations Report van Verizon gebeurde 62% van de financieel gemotiveerde incidenten via ransomware of afpersing. Verizon berekende het mediane verlies op $46.000 per inbreuk. Maar financiële schade bij incidenten komt ook onder meer door de beschadiging en vernietiging van gegevens, productiviteitsverlies en diefstal van intellectuele eigendom of persoonlijke gegevens.

IT-verantwoordelijken tonen weinig vertrouwen in hun interne en externe communicatie en public relations rond incidenten. Ze schatten hun vermogen om bedreigingen in te dammen en uit te roeien eveneens matig in.

Identify, Protect, Detect, Respond & Recover is een populair raamwerk van NIST om de cybersecurityaanpak in kaart te brengen. Daaruit blijkt dat bij de ondervraagden het voorspellen en identificeren (Identify) van potentiële risico’s het minst is ingeburgerd. Op vlak van preventie en detectie zit dat al beter, maar is er nog ruimte voor verbetering. Een gemiddelde maturiteit situeert zich op het vlak van het ondernemen van de nodige acties (Respond) en het hersteltraject (Recover).

Grote bedrijven hebben vaker een hogere cybersecuritymaturiteit over de vijf kernfuncties van het raamwerk heen. Bij kmo’s daarentegen is er nog groeimarge, vooral op vlak van Identify en Respond.

Cyberaanvallen kunnen zich manifesteren binnen elke bedrijfsafdeling. Een uitgekiende strategie, die betrekking heeft op de volledige organisatie, is onontbeerlijk.

Meer dan de helft van de respondenten ervaart een tekort aan gespecialiseerd personeel op de beveiligingsafdeling. Dat is beduidend meer dan vorig jaar, toen 36% kampte met een lacune op het vlak van cybersecurityvaardigheden. Dat hogere percentage botst enigszins met de vaststelling dat een significant aantal bedrijven louter op hun eigen IT-afdeling vertrouwt. Wel heeft een aanzienlijk deel van de beslissingsnemers de intentie om de vaardigheidskloof te dichten door middel van outsourcing. Verrassend genoeg hanteert een kwart van de respondenten geen concrete strategie op dat vlak.

De ‘war for talent’ woedt hevig binnen de IT- en cybersecuritysector. Voor veel bedrijven is het moeilijk om de juiste profielen aan te werven en te behouden. Een Agoria-onderzoek toonde aan dat de cybersecuritysector meer dan 1200 openstaande vacatures telde, met een vacaturepercentage van 16% is dat hoger dan de IT-sector. Gezien de almaar toenemende aanvalsintensiteit neemt de kloof tussen de gewenste en beschikbare cybersecuritycompetenties bijgevolg alleen maar toe.

In de snel veranderende wereld van cybersecurity is stilstaan geen optie. Een proactieve aanpak met inbegrip van de nodige reactieve processen prijkt binnen elke organisatie idealiter hoog op de agenda.