Internet en databeveiligingsbeleid vaak geen aandachtspunt bij kleine bedrijven

Uit een wereldwijd onderzoek van Kaspersky Lab blijkt dat kleine MKB-bedrijven met minder dan 25 werknemers het minst geneigd zijn om “IT-strategie” te zien als een belangrijk strategisch aandachtspunt. Slechts 19% van de wereldwijde zeer kleine ondernemingen noemt IT-strategie als een van de 2 belangrijkste strategische aandachtspunten, ten opzichte van 30% van de bedrijven met meer dan 100 werknemers en 35% van de bedrijven met 5.000 of meer werknemers. Deze vaak verwaarloosde zakelijke categorie omvat dus ook het internet en het databeveiligingsbeleid. 

Deze onderzoeksresultaten zijn illustratief voor een belangrijke uitdaging waar het klein MKB voor staat. Een effectieve IT-strategie vormt een essentieel onderdeel van elk succesvol bedrijf en kan, mits goed beheerd, een klein bedrijf in staat stellen om grote resultaten te behalen. De realiteit is echter dat zeer kleine ondernemingen, vaak startups die moeite hebben een voet aan de grond te krijgen, meestal niet beschikken over het budget of de IT-expertise om essentiële IT-componenten zoals beveiligingssoftware correct te implementeren. 

Een nieuwe ondernemer zal alle middelen waarschijnlijk in de groei van de verkoop van core producten of diensten stoppen, omdat investeringen in de zakelijke infrastructuur zinloos zijn als het bedrijf zelf mislukt. Maar wanneer moeten zeer kleine ondernemingen beginnen met het opzetten van een IT- en beveiligingsplan voor de toekomst, en wat zijn de mogelijke gevolgen als ze te lang wachten?

Makkelijk doelwit

Volgens schattingen van IDC zijn wereldwijd meer dan 80 miljoen bedrijven actief met minder dan 10 werknemers. Veel van deze bedrijven hanteren de “beveiliging door onbekendheid” mentaliteit, in de overtuiging dat ze te klein zijn om het doelwit te worden van cybercriminelen en geen data bezitten waar cybercriminelen interesse in zouden hebben. Uit Verizons 2013 Data Breach Investigations rapport, met onder andere gegevens uit wereldwijd forensisch onderzoek, blijkt echter dat van de 621 geanalyseerde datalekken, 193 inbreuken – meer dan 30% – plaatsvonden bij bedrijven met 100 of minder werknemers[1]. Het is redelijk te veronderstellen dat kleine MKB-bedrijven een aanzienlijk deel uitmaken van deze slachtoffers.

Ondernemers moeten begrijpen dat ze, zodra ze beginnen met het verwerken van creditcardbetalingen, klantgegevens opslaan of zelfs maar plannen maken voor nieuwe producten, informatie bezitten die waardevol is voor cybercriminelen. Sterker nog, sommige cybercriminelen hebben misschien wel een voorkeur voor dergelijke “makkelijke doelwitten”, waarvan bekend is dat ze een slechte IT-beveiliging hebben. De resulterende opbrengst is bij elk aangevallen slachtoffer kleiner, maar het kan cybercriminelen minder inspanningen kosten om een aantal kleine MKB-bedrijven aan te vallen dan één grotere onderneming. Een belangrijk verschil is dat grotere bedrijven de middelen hebben om te herstellen van een IT-beveiligingsincident. De kosten van verloren klantgegevens, de tijd die men offline is en de bijkomende opruimkosten kunnen afhankelijk van het type incident echter oplopen tot duizenden euro’s en genoeg zijn om kleinere zaken failliet te laten gaan. 

Klein MKB goed op de hoogte

Volgens het onderzoek van Kaspersky Lab begrijpen zeer kleine ondernemingen de gevaren van online dreigingen. Gevraagd naar hun belangrijkste zorgpunten op het gebied van zakelijke IT, rangschikte 35% van de zeer kleine ondernemingen “databescherming” in hun top 3. Dit was zelfs hoger dan andere bedrijfssegmenten (26% van de middelgrote bedrijven koos “databescherming” in de top 3, en 29% van de enterprises). Bij dezelfde vraag plaatsten zeer kleine ondernemingen ook het “waarborgen van de continuïteit van de dienstverlening voor bedrijfskritische systemen” in de top 3 zorgpunten voor de IT-afdeling. Deze score is vergelijkbaar met die van grotere ondernemingen (slechts 2% lager dan het totale gemiddelde). Het is duidelijk dat kleine MKB-bedrijven zich ervan bewust zijn dat hun IT-strategie een essentiële rol speelt bij het beschermen van gevoelige gegevens en het voorkomen dat hun dagelijkse bedrijfsvoering wordt verlamd door malware en cybercriminelen. 

Het klein MKB is ook goed op de hoogte van de voordelen – en veiligheidsrisico’s – van het gebruik van mobiele apparaten binnen hun bedrijven. 34% van de zeer kleine ondernemingen meldde de integratie van mobiele apparaten in hun IT-systemen gedurende de afgelopen 12 maanden. Het tempo waarin dit plaatsvond is daarmee vrijwel identiek aan grotere bedrijven (32% van de grote bedrijven meldde de acceptatie van mobiele apparaten, naast 35% van de enterprises). Bovendien zijn zeer kleine ondernemingen zelfs toonaangevend wat betreft het bewustzijn op het gebied van beveiliging van mobiele toestellen. 31% van de zeer kleine ondernemingen noemde “beveiliging van mobiele/draagbare computerapparatuur” als een van hun top 3 prioriteiten in IT-beveiliging voor de komende 12 maanden. Dit aantal lijkt verrassend hoog vergeleken met het wereldwijde gemiddelde van 23% van alle bedrijven waarvoor de toekomstige beveiliging van mobiele apparatuur het komende jaar een prioriteit is. Het lijkt erop dat deze gegevens strijdig zijn met alle beweringen dat het klein MKB minder goed thuis is in het gebruik van mobiele apparaten of de mobiele beveiligingsrisico’s dan hun grotere concurrenten.

Concrete beveiligingsmaatregelen

Deze bevindingen tonen aan dat de lage prioriteit die het klein MKB geeft aan IT-strategie, en dan vooral aan IT-beveiliging, niet wordt veroorzaakt door hun geringe bekendheid met belangrijke IT-beveiligingskwesties. Maar waardoor dan wel? Redelijkerwijs kan worden geconcludeerd dat een gebrek aan budget de grootste hindernis blijft voor zeer kleine ondernemingen wat betreft het gebruik van meer geavanceerde IT- en IT-beveiligingsmaatregelen. Daarom adviseert Kaspersky Lab het klein MKB om te investeren in veiligheidsmaatregelen die hen de meest directe voordelen opleveren als het gaat om de dreigingen waarmee zij vaak worden geconfronteerd. Van de onderzoeksrespondenten afkomstig uit het klein MKB die aangaven dat zij bedrijfsgegevens hadden verloren tijdens een cyberaanval, rapporteerde 32% “malware” als oorzaak van hun ernstigste incident, tweemaal zoveel als wat werd gemeld door enterprises (16%). Een andere belangrijke bron van dataverlies voor zeer kleine ondernemingen was terug te voeren op “beveiligingslekken in software”, gemeld door 9% van de respondenten uit het klein MKB, oftewel bijna gelijk aan het wereldwijde gemiddelde van 8% dat deze factor als reden aanvoert. Dit betekent dat kwetsbare software een beveiligingsprobleem vormt dat bedrijven vrijwel identiek beïnvloedt, ongeacht de grootte.