Steeds meer MKB'ers gebruiken de cloud, maar dat maakt ze juist kwetsbaar voor hackers. Afzonderlijk zijn de MKB-bedrijven niet interessant, maar in de cloud valt er ineens meer te halen, omdat de bedrijven daar vaak gebundeld te vinden zijn.
'Dit betekent niet dat de cloudservice slecht beveiligd is. Het komt door de manier waarop MKB'ers binnenkomen. Kleinere bedrijven gebruiken vaak dezelfde wachtwoorden om op verschillende zaken in te loggen. Zo krijgen hackers sneller toegang,' zegt René van Etten van Threadstone Cyber Security. 'Dit gaat vaak fout, je hebt ook private cloudomgevingen'
Bedrijfscijfers, personeelsgegevens, klantenbestanden. Bedrijven verhuizen hun data naar de cloud. Maar daarmee zijn ze wel kwetsbaar voor hackers.
Een stuk complexer
Dankzij de cloud staan bedrijfsgeheimen vaker buiten het bedrijfsnetwerk, bij meerdere aanbieders. De digitale beveiliging wordt hierdoor een stuk complexer, waarschuwen deskundigen. Het advies, "hou je infrastructuur simpel en overzichtelijk."
Nonchalant klapt Melih Berk Eksioglu zijn laptop open. Als ethisch hacker bij Penetra Cyber Security probeert hij op verzoek het netwerk van bedrijven binnen te dringen. Op zoek naar databases met klantgegevens of andere vertrouwelijke informatie.
Stel, Eksioglu zou moeten inbreken bij een grote webwinkel. Dan zou hij weinig verwachten van de hoofdwebsite. 'De digitale voordeur naar een bedrijf is meestal niet zo interessant', legt hij uit. 'Die is doorgaans stevig afgesloten en voorzien van de laatste updates.' Net als in de fysieke wereld, zoeken ook digitale inbrekers liever naar zij- en achterdeuren of half openstaande klapraampjes. Dus wie een webwinkel wil binnen dringen, mikt niet op de hoofdwebsite, maar op een bijpagina. Een inlogportaal voor leveranciers bijvoorbeeld. Of een themasite voor een bepaald product dat per ongeluk in de lucht is blijven hangen. 'Ergens één kleine verkeerde instelling kan genoeg zijn om de rest van het netwerk binnen te dringen.'
Aanbieders van clouddiensten zijn gespecialiseerde bedrijven. Vooral de grote diensten hebben hun beveiliging doorgaans goed op orde. Software in de cloud ontvangt meestal automatisch de nieuwste updates. Beveiligingslekken worden dus eerder gedicht. Cloudaanbieders zijn goed in het maken van back-ups. Na een kwaadaardige aanval met ransomware is de kans groter dat verloren informatie weer terug te halen is.
De cloud
Door de populariteit van de cloud ziet de hacker het risico voor bedrijven groeien. Steeds meer slaan hun informatie buiten het bedrijfsnetwerk op. Ter illustratie, in het tweede kwartaal van dit jaar groeide de omzet bij clouddiensten wereldwijd gemiddeld met 37,6% op jaarbasis, blijkt uit cijfers van marktpeiler Canalys. Doorgaans blijft het niet bij één 'cloudomgeving'. Nee, de boekhouding komt in de cloud bij de maker van boekhoudsoftware terecht. Gegevens over de voorraad belanden bij de ontwikkelaar van voorraadbeheersoftware. Personeelsgegevens bij de softwareleverancier voor human resources. 'Bij sommige bedrijven staat de informatie inmiddels verspreid over meer dan honderd verschillende plaatsen', vertelt Chuck Robbins, ceo bij het Amerikaanse Cisco, dat netwerkapparatuur en aanpalende software maakt. 'Allemaal buiten het eigen netwerk. De beveiliging van netwerken wordt hierdoor veel complexer.' Daar komt bij dat het direct aanvallen van kleinere bedrijven vaak niet interessant genoeg is voor hackers, vertelt René van Etten, general manager van cyberadviseur ThreadStone. Een cloudplatform, met al snel tienduizenden kleine bedrijven tegelijkertijd als klant, trekt de aandacht van criminele hackers wel.
In plaats van één toegangsdeur, kunnen kwaadwillende nu kwetsbaarheden in talloze toegangsdeurtjes uitproberen. Veel kleinere MKB-bedrijven zijn als individuele target niet zo interessant. Samen, bij elkaar bij een aanbieder, zijn ze dat wel. In veel organisaties wordt voor meerdere diensten hetzelfde wachtwoord gebruikt. Eén lek geeft daarmee toegang tot meerdere systemen. Lokale ondernemers zijn daarmeeplotseling een nieuwe doelgroep van cybercriminelen geworden. Vooral dankzij gelekte e-mailadressen en wachtwoorden kunnen hackers met speciale programma's de bedrijven binnendringen. 'En met name medewerkers bij kleinere bedrijven gebruiken vaak voor meerdere toepassingen hetzelfde wachtwoord, waardoor ze extra kwetsbaar zijn.' Precies deze kleinere organisaties maken vaak geen gebruik van 'twee-factorautorisatie', waarbij naast een wachtwoord ook nog een tweede factor, zoals een code op de telefoon moet worden ingevuld. Van Etten ziet regelmatig cybercriminelen die zo gegevens stelen van ondernemers.
Risico's
De risico's verbonden aan de cloud zijn volgens Van Etten geen reden om er helemaal uit weg te blijven. 'Het kan juist ook veiliger worden', vertelt hij. In het tweede kwartaal van dit jaar groeide de omzet bij clouddiensten gemiddeld met 37,6% op jaarbasis, blijkt uit cijfers van marktpeiler Canalys. Zeker de grotere aanbieders van clouddiensten zijn zelf doorgaans goed beveiligd en werken met uitgebreide security teams. Deze gespecialiseerde aanbieders houden hun cloudprogramma's bovendien ook up-to date. Eventuele beveiligingslekken verdwijnen daarmee vanzelf weer, zonder dat de ondernemer zelf updates moet installeren. En wordt een bedrijf in de cloud getroffen door bijvoorbeeld ransomware dan zijn er meestal back-ups beschikbaar om gegevens toch weer terug te halen. Met kleinere cloudbedrijven moeten ondernemers wel uitkijken, stelt Van Etten. Kleinere aanbieders zijn vaak kwetsbaarder omdat zij vaak minder capaciteit en kennis hebben. Zo komt Van Etten nog altijd cloudbedrijfjes tegen die überhaupt geen autorisatie met een tweede factor aanbieden. Met versleuteling van gegevens onderweg zit het overigens meestal wel goed. Het is volgens de adviseur vooral zaak uit te kijken of de cloudbeheerder bijvoorbeeld een ISO27001-certificaat heeft, dat wijst op een gedegen securitymanagement. 'Ook zou ik altijd in het contract laten opnemen dat je als klant zelf de beveiliging mag laten testen. Als het niet in het contract op is genomen, mag zoiets niet', waarschuwt hij.
Wij zien geregeld bedrijven die zonder plan aan de cloud zijn begonnen, vertelt Jeroen Renard, security officer bij IT-bedrijf Previder van de Odin Groep. Zij zijn bijvoorbeeld begonnen met een stukje bij Amazon, daarna wat bij Microsoft Azure en toen weer wat bij Google. Zo'n ondoordachte stap naar de cloud kan aanzienlijk duurder uitpakken dan bedrijven vooraf inschatten. Maar erger nog, 'Vaak hebben deze ondernemers niet helder waar hun eigen geheimen staan. Na een aanval met ransomware weten ze bijvoorbeeld niet welke informatie misbruikt kan zijn.'
Beter is het om eerst na te denken over een algehele infrastructuur voor alle informatie. Hoe belangrijk is de informatie? Waar wil ik die informatie wel of niet hebben? Wie moet wel toegang hebben en wie niet? Op die manier kan een onderneming na een stap naar de cloud meer grip op zijn informatie krijgen dan toen alles nog binnen het eigen bedrijf staat, en dat is een stap vooruit.
Toegangsplatform
Grote ondernemingen kunnen vervolgens het beste een 'toegangsplatform' gebruiken. Zo'n platform regelt de toegang tot andere diensten. Het is een soort wachtwoordmanager maar dan net een stap verder. Waar een wachtwoordmanager slechts wachtwoorden versleuteld opslaat, zorgt een toegangsplatform ervoor dat een medewerker tijdelijk bepaalde diensten kan gebruiken. Zodra die toegang niet meer nodig is, verdwijnt die ook weer volledig, waardoor misbruik achteraf zo goed als onmogelijk wordt. Ontslagen of vertrokken medewerkers verliezen zo met één druk op de knop al hun toegang tot interne systemen. Toegangssystemen zijn er in verschillende soorten en maten. Zo gebruikt Previder de Topicus KeyHub uit Nederland, maar er zijn verschillende alternatieven. Cisco heeft vorig jaar voor $2,4 mrd beveiligingsbedrijf DUO overgenomen. Ook dit bedrijf maakt inlogdiensten. Anderen zijn onder meer Okta, OneLogin, Auth0 en iWelcome.
Zodra een bedrijf goed weet waar het zijn gegevens allemaal heeft neergezet, kan het ook veel beter in de gaten houden of het wordt aangevallen en of het wel goed beschermd is. 'In de cloud werken wij met monitoringssystemen die kleine individuele bedrijven nooit zouden kunnen gebruiken', vertelt Renard. 'Hiermee kunnen we bijvoorbeeld precies nagaan hoe ver indringers bij een aanval zijn gekomen.' Hacker Eksioglu adviseert bedrijven niettemin om hun infrastructuur zo simpel mogelijk te houden en waar mogelijk slechts één cloudaanbieder te kiezen. 'Als je de cloud van Microsoft gebruikt, zie ik geen reden om ook nog Amazon te willen hebben. Waarom zou je het alleen maar onnodig ingewikkeld maken? Het blijft toch een extra toegangsdeurtje.'
Bron: fd, bnr
Reactie plaatsen
Reacties