Cyberveiligheid bij Belgische kmo's

Het belang van cyberveiligheid

Kleine en middelgrote ondernemingen gaan almaar meer gedigitaliseerd te werk: e-commerce, sociale netwerken, elektronische facturering, website, analyse van grote hoeveelheden gegevens, informatieopslag in de cloud, e-mails, enz. zijn voorzieningen waarvan het gebruik jaar na jaar toeneemt in de bedrijfswereld.

De digitale transitie mag echter niet plaatsvinden zonder rekening te houden met de risico's die er intrinsiek aan verbonden zijn. De opkomst van digitale technologie heeft immers ook geleid tot een toename van criminele handelingen tegen de informaticavoorzieningen van bedrijven. Computerbeveiliging en gegevensbescherming vormen dan ook een nieuw aandachtspunt voor ondernemingen.

De gevolgen van cyberaanvallen lopen uiteen naargelang het doel van de criminelen:

• lekken van min of meer gevoelige privégegevens;
• diefstal van commerciële informatie of intellectuele eigendom;
• onbeschikbaarheid van apparatuur en websites gedurende een bepaalde periode;
• eisen van losgeld, enz.

Dat soort incidenten veroorzaakt aanzienlijke financiële schade en leidt tot imagoverlies voor de onderneming.

Cyberveiligheid en kmo's

Een recente studie van de OESO buigt zich over de digitale transformatie van kmo's, waaronder de mate van digitale veiligheid. Hoewel kmo's nog wat achteroplopen op het vlak van de introductie van digitale technologieën, zetten ze wel resoluut in op de digitale transitie. Doordat ze nauw in contact staan met grotere ondernemingen als klanten, leveranciers of onderaannemers, maar zelf digitaal minder goed beschermd zijn, zijn ze bijzonder kwetsbaar, zelfs als ze niet zelf gevoelige gegevens verwerken. Ze zijn immers de ideale toegang om in te breken in de netwerken van grote ondernemingen of overheidsinstanties.

Uit diezelfde OESO-studie blijkt ook dat een geslaagde cyberaanval kleinere bedrijven doorgaans zwaarder treft dan grote ondernemingen, omdat die laatsten over meer middelen beschikken om de financiële verliezen door een tijdelijke uitschakeling te compenseren of om een verlies aan geloofwaardigheid op te vangen.

Het is dan ook cruciaal dat ondernemingen, en in het bijzonder kmo's, de risico's van digitalisering onder ogen zien en gepaste veiligheidsmaatregelen treffen om die risico’s het hoofd te bieden, en wel vanaf het moment waarop hun digitale transitie aanvangt.

De FOD Economie publiceerde een aantal gidsen voor ondernemingen om hen te helpen inbraakpogingen in hun computernetwerk te voorkomen.

Maatregelen ter beveiliging van informatica-infrastructuur

Meer dan 95 % van kmo's met meer dan 10 werknemers past ten minste één computerbeveiligingsmaatregel toe. Van de micro-ondernemingen (2-9 werknemers) zegt slechts 84,3 % beveiligingsmaatregelen te hanteren. Bijna 15 % van de micro-ondernemingen verklaart dus dat zij geen enkele vorm van digitale beveiliging toepassen. Dat is echter een aanzienlijke verbetering ten opzichte van 2019, toen slechts 78 % van de micro-ondernemingen IT-beveiligingsmaatregelen implementeerde.

Om de digitale bescherming van een onderneming te verzekeren, zijn tal van acties noodzakelijk. Zonder volledig te willen zijn gaat het bijvoorbeeld om:

• De netwerktoegangscontrole is een methode om te voorkomen dat onbevoegde gebruikers en terminals toegang krijgen tot een particulier netwerk. Bedrijven die bepaalde terminals en gebruikers buiten het bedrijf incidenteel toegang tot het netwerk verlenen, kunnen bijvoorbeeld gebruikmaken van netwerktoegangscontrole om te waarborgen dat de terminals voldoen aan de veiligheidsvoorschriften van het bedrijf.
• Het bewaren van gegevens omvat het beheer van back-ups en herstelpunten, het bewaren van informatie, met name in de cloud, en regelmatige tests om de degelijkheid van het proces te controleren.
• Het gebruik van veilige wachtwoorden die lang genoeg zijn en bestaan uit hoofdletters, kleine letters, speciale tekens en cijfers. Om de veiligheid nog te vergroten moeten ze regelmatig worden gewijzigd en mogen ze niet voor andere (privé)doeleinden worden gebruikt.
• Bij tweefactorauthenticatie moet een gebruiker twee afzonderlijke identificatievormen opgeven om toegang te krijgen tot een computerbron.
• Het gebruik van een virtual private network (VPN) voor toegang op afstand.
• Het gebruik van encryptietechnieken: een document kan alleen worden ontcijferd door degenen die over de encryptiesleutel beschikken.
• Authenticatie met behulp van biometrische methoden, zoals vingerafdrukken of gezichtsherkenning.
• Door regelmatig operationele veerkrachttests van IT-services uit te voeren, kunnen risico's worden geïdentificeerd die de continuïteit van essentiële services kunnen belemmeren.

In 2024 zijn het gebruik van veilige wachtwoorden, netwerktoegangscontrole en het bewaren van gegevens de meest gebruikte hulpmiddelen in alle grootteordes van ondernemingen.

Tweefactorauthenticatie wordt op grote schaal toegepast door de grotere kmo-bedrijven: ruim driekwart maakt er gebruik van, terwijl minder dan de helft van de bedrijven met minder dan 50 werknemers dit doet.

Alleen middelgrote bedrijven, met 50 tot 249 werknemers, maken voor meer dan 80 % gebruik van een VPN (virtual private network).

Kleine kmo-bedrijven besteden weinig aandacht aan IT-risicobeoordeling en beveiligingstesten, terwijl 70 % van de grotere bedrijven daarin investeert om hun IT-omgeving te beveiligen.

Encryptietechnieken en authenticatie met behulp van biometrische methoden worden door kmo's nog maar weinig gebruikt, ongeacht hun grootteklasse.

Maatregelen om het personeel bewust te maken van verplichtingen rond ICT-beveiliging

Om het risico op veiligheidsincidenten te beperken, is het essentieel om het personeel van de onderneming in een zo vroeg mogelijk stadium en via verschillende kanalen te sensibiliseren en op te leiden.

De onderneming kan informatiemomenten organiseren voor nieuwe werknemers, regelmatig herinneringen rondsturen via interne berichten (nieuwsbrief …) of ad-hoc-bewustmakingscampagnes ondersteunen. Het is eveneens mogelijk om specifieke clausules op te nemen in arbeidsovereenkomsten. Permanente opleiding van de werknemers en/of de verantwoordelijken voor de informatiebeveiliging om hackingtechnieken, verdachte e-mails en andere voortdurend evoluerende bedreigingen te herkennen en erop te reageren, kan eveneens doorslaggevend zijn om de digitale veiligheid van het bedrijf te waarborgen.

In twee jaar tijd is de sensibilisering van medewerkers aan IT-beveiliging in alle kmo-bedrijven met ongeveer tien procentpunten toegenomen. In 2022 voerde slechts 34 % van hen minstens één bewustmakingsmaatregel door, vergeleken met 45 % in 2024.

Een meer gedetailleerde analyse op basis van de grootte van het bedrijf geeft aan dat 83 % van de middelgrote Belgische bedrijven (50 tot 249 werknemers) zijn personeel rond computerbeveiliging sensibiliseerde in 2024. Slechts 57 % van de kleine ondernemingen en een derde van de micro-ondernemingen deden dat.

In de meeste gevallen blijft de bewustmaking beperkt tot informatie voor het personeel of het aanbieden van de mogelijkheid om zonder verplichting een opleiding te volgen. Clausules in arbeidsovereenkomsten zijn eveneens een methode die kleine en middelgrote ondernemingen hanteren om hun personeel bewust te maken. Opleiding of het verplicht bekijken van informatievideo's zijn daarentegen niet wijdverbreid: 14 % van de kmo’s verplichten hun personeel om opleidingen over digitale veiligheid te volgen.

ICT-beveiligingsincidenten: problemen en verzekeringen

Problemen die zich voordoen na een ICT-beveiligingsincident

Meer dan een kwart (29 %) van de middelgrote Belgische kmo's heeft al te maken gehad met een incident op het gebied van computerbeveiliging, waardoor digitale diensten wegvielen (26,6 %), gegevens werden vernietigd of beschadigd (4,9 %) of vertrouwelijke informatie werd gelekt (3,9 %).

Bij de micro-ondernemingen (2 tot 9 werknemers) heeft meer dan 1 op de 10 al eens een veiligheidsincident meegemaakt. Wanneer we alle kmo’s in aanmerking nemen, bedraagt dat percentage 15 %.

Verzekering tegen ICT-incidenten

Een van de manieren om de gevolgen van veiligheidsincidenten te beperken is het afsluiten van een verzekering. Die kan immers de financiële verliezen die een incident veroorzaakt voor haar rekening nemen. In België had in 2022 slechts een kwart (23,8 %) van de middelgrote kmo's een dergelijke verzekering. Voor bedrijven met 2 tot 9 werknemers is dat slechts 15,7 %.

Enquête over ICT-veiligheid in de ondernemingen

De gegevens op deze pagina zijn afkomstig uit de enquête over ICT-veiligheid bij ondernemingen, een submodule van de enquête naar het gebruik van ICT en e-commerce bij ondernemingen, die jaarlijks wordt opgesteld door Statbel, de Algemene Directie Statistiek van de FOD Economie. Als Belgisch statistiekbureau verzamelt, produceert en verspreidt Statbel cijfers over de Belgische economie, de Belgische maatschappij en het Belgische grondgebied.

De steekproef beperkt zich tot bedrijven die ten minste 2 werknemers in dienst hebben. Alle sectoren van economische activiteit worden geanalyseerd, met uitzondering van de landbouw, het openbaar bestuur, de activiteiten van huishoudens als werkgever en de extraterritoriale activiteiten (respectievelijk de secties A, O, T en U volgens de NACE-code rev. 2). De gegevens over de micro-ondernemingen gaan dus over ondernemingen met 2 tot 9 werknemers v.