Cyberaanval treft 90% van de productiebedrijven

Je kan beter vragen wie in de industrie niet te maken heeft gehad met een cyberaanval. Volgens Kaspersky ben je dan wel een uitzondering. Uit onderzoek onder 203 Nederlandse directieleden en trekken zij de conclusie dat 94 procent van de industriële organisaties het afgelopen jaar een cybersecurity-incident heeft moeten verduren. In de olie & gas was iedereen de sjaak.

29 procent van de organisaties heeft één keer te maken gehad met een cyberaanval in het afgelopen jaar met operationele downtime. Bijna twee derde (59%) heeft twee of drie keer hier mee te maken gehad en twaalf procent vier of vijf keer. Kijkend naar de verschillende sectoren heeft negentig procent van de organisaties in de productie met een cyberaanval te maken gehad in de afgelopen twaalf maanden. 96 procent in de energiesector en in de olie en gassector was dit zelfs 100 procent.

Zorgwekkende trend

De cijfers benadrukken een zorgwekkende trend: industrieën verschuiven hun focus van het voorkomen van cyberaanvallen naar het beperken van de onvermijdelijke schade. Bovenaan het zorgenlijstje in de industriële sector staat de kwetsbaarheid van verbonden en IoT-apparaten. 22 procent van de respondenten ziet IoT-kwetsbaarheden als hun grootste bedreiging. De snelle acceptatie van IoT in industriële omgevingen heeft het aanvalsoppervlak vergroot, met meer toegangspunten tot gevolg.

Ook blijft de mens zelf een aanzienlijk risico, want 21 procent van de respondenten ziet bedreigingen van binnenuit als een aanhoudend probleem ziet, los van zorgen over fysieke beveiligingsinbreuken (21%) en onbevoegde toegang en diefstal van referenties (20%). Dit onderstreept de noodzaak van strengere toegangscontroles en het monitoren op illegale activiteiten door werknemers.

‘Geld’ niet het belangrijkste obstakel

De enquête bracht ook belangrijke barrières aan het licht die organisaties ervan weerhouden hun cybersecurity noden volledig te begrijpen. Bijna één derde (30%) ziet het bijhouden van het snel evoluerende dreigingslandschap als een obstakel. Een even groot deel benoemt het kwantificeren van cyberrisico’s en het vinden van een evenwicht tussen naleving van de regelgeving en operationele efficiëntie als belangrijkste obstakels. Interessant is dat budgettaire beperkingen, die soms als een belangrijke hindernis worden beschouwd, minder prominent waren (24%). Dit suggereert dat complexiteit en begrip in plaats van kosten, de belangrijkste wegversperring is voor het implementeren van effectievere cybersecurity.

OT vatbaar

Naarmate industriële activiteiten steeds meer afhankelijk zijn van onderling verbonden systemen en automatisering, komen de kwetsbaarheden binnen Operational Technology (OT)-omgevingen steeds meer naar voren. OT waaronder het beheer van fysieke processen en machines valt, is bijzonder vatbaar voor gerichte cyberaanvallen met reële gevolgen. Veel organisaties vinden het moeilijk om deze systemen te beveiligen, waardoor ze worden blootgesteld aan bedreigingen die verschuiven van IT-netwerken naar OT-infrastructuren. Het onderzoek benadrukt het cruciale belang van het dichten van deze kloof voordat deze leidt tot ernstigere incidenten, die zowel productielijnen als de kritieke infrastructuur kunnen treffen. 

‘Security through obscurity’ slecht plan

‘Organisaties denken vaak dat ze minder kwetsbaar zijn omdat hun omgeving uit niet standaard systemen bestaat’, legt Jornt van der Wiel, security-expert bij Kaspersky’s Global Research and Analysis Team uit. ‘Als de aanvallers eenmaal binnen zitten, zijn ze vaak in staat om handleidingen of andere informatie te bemachtigen om zo een beter inzicht te krijgen in de omgeving van het doelwit, waarna zij over kunnen gaan tot de uiteindelijke aanval. Het zogenaamde security through obscurity is dus een slecht uitgangspunt.’

Methodologie

Kaspersky heeft in augustus 2024 een uitgebreide enquête gehouden onder 802 C-level besluitvormers van grote ondernemingen met meer dan duizend werknemers in sectoren als energie, productie en olie en gas in Nederland, België en het Verenigd Koninkrijk. De gegevens in dit persbericht zijn afkomstig van de antwoorden van 203 Nederlandse C-level besluitvormers. De respondenten werden ondervraagd over cyberbeveiligingsmaatregelen binnen hun organisaties, de barrières waarmee ze als managementteams worden geconfronteerd en de uitdagingen die kwetsbaarheden in hun toeleveringsketens met zich meebrengen.