Safety first: waarom digitale veiligheid een investering is in je merk
In 2024 werd bijna de helft van de Vlaamse bedrijven getroffen door een cyberaanval. Veel ondernemers zien digitale veiligheid vooral als een kostelijke compliancekwestie, maar niets is minder waar. Want in een digitale economie kan een gebrek aan veiligheid een serieuze deuk in het imago van je bedrijf opleveren. In De digitale omslag vertellen Mathias Vissers (Fox&Fish Cyberdefense) en Bart Van den Brande (Sirius Legal) hoe investeren in digitale veiligheid een manier is om je merk te versterken.
De mosterd voor deze blog haalden we bij de tweede aflevering van onze video- en podcastreeks De digitale omslag. Bekijk of beluister de volledige aflevering.
Efficiëntie of veiligheid? Kiezen is verliezen
Veel bedrijven digitaliseren om sneller en efficiënter te werken, maar denken te weinig na over de veiligheid van hun systemen. Belangrijke documenten worden vaak via mail doorgestuurd, ook al geeft ‘gewone’ e-mail je nooit 100% garantie over de afzender, de integriteit van de inhoud, of enige juridische bewijskracht. Een veilig alternatief zoals beveiligde e-mail geeft die garanties bijvoorbeeld wel.
“Ondernemers slaan vaak stappen over in het digitalisatieproces”, zegt Bart. “Om veilig te werken moet je per type document bepalen welk verzendkanaal geschikt. Daarna is het een kwestie van richtlijnen voor gebruik opstellen en implementeren.”
In de praktijk gaat het er anders aan toe, weet Mathias. “Sommige bedrijven staan al ver met hun procedures, bij anderen moeten we de basis nog leggen. Eigenlijk kosten die basics niet eens veel tijd, moeite of geld. Maar veel bedrijven onderschatten hoe digitaal kwetsbaar ze zijn. Hackers gooien virtuele netten uit. Ben je slecht beveiligd? Dan kom je in dat net terecht. Het is dus vooral een kwestie van minder kwetsbaar zijn dan je virtuele buurman.”
Bart vult aan: “Welke buffel wordt slachtoffer van de leeuw? De zwakste van de kudde. Je moet geen gigantische investeringen doen, gewoon iets meer dan je sectorgenoten.”
Wettelijke verplichtingen en verantwoordelijkheden
Volgens de jaarlijkse CS-barometer van de Vlaamse overheid denkt 71% van de bedrijven digitaal goed beschermd te zijn. Vooral kmo’s hebben vaak nog ontoereikende procedures en maatregelen. Bart: “De huidige regelgeving op het vlak van cybersecurity richt zich vooral naar gevoelige infrastructuren, zoals energie- en internetvoorzieningen, banken, verzekeraars en beleggingsinstellingen. Voor de gemiddelde kmo zijn er weinig verplichtingen.”
“Bovendien blinkt de Belgische overheid nu niet bepaald uit in voorlichting en advies. Als jurist kijk ik voor detailinformatie eerder naar de websites van Nederlandse en Franse toezichthouders, dan naar die van de Belgische. Als de informatie voor mij al ontbreekt, dan zeker voor bedrijfsleiders.”
Tegelijk ben je wel aansprakelijk in het geval van een datalek. Bart: “Bij een data breach moet je binnen de 72 uur aangifte doen bij de overheid. Daarbij moet je kunnen aantonen dat je al het redelijke gedaan hebt om het lek te voorkomen.”
Om dat te doen, zijn bedrijven wettelijk verplicht om een Incidence Response Plan (IRP) op te maken. Mathias: “Je moet zorgen dat je op het slechtste voorbereid bent. Wie neemt welke stappen? Wat moeten we doen? Wie moeten we contacteren? Door dat vooraf te simuleren, is iedereen voorbereid én kan je aanpakken wat er nog fout loopt. Zo staan je mensen en je processen de volgende keer sterker.”
Beter voorkomen dan genezen
Maar digitale veiligheid meer dan wettelijke verplichtingen inlossen. Bart: “Het is niet gewoon een papieren certificaatje halen, maar écht zorgen dat je systemen en processen technisch waterdicht zijn. Helaas gaan veel bedrijven daar pas mee aan de slag wanneer het te laat is. Dat kan de reputatie van je bedrijf flink schaden.”
Bart: “We hadden recent een klant die via een platform extralegale voordelen aanbiedt voor het personeel. Daar zijn van een aantal accounts de wachtwoorden gehackt en waardenbonnen gebruikt om aankopen te doen. Nu moeten we alle gebruikers, bijna 100.000 mensen, contacteren om te zeggen dat hun paswoord misschien ook gecompromitteerd is. De impact op het vertrouwen van gebruikers is enorm natuurlijk.”
Derde partijen en de opkomst van AI
Niet enkel je eigen systemen en processen moeten veilig zijn. Het is ook belangrijk om niet met eender welke derde partij in zee te gaan. Bart: “Gegevens toevertrouwen aan een derde partij is het eerste en grootste risico op vlak van dataveiligheid. Zeker als die aan de andere kant van de wereld zit. De Europese Unie is het enige gebied ter wereld dat zo’n hoog niveau van bescherming garandeert.”
Ook AI zorgt voor extra aandachtspunten. Mathias: “Hackers gebruiken AI niet enkel om mails perfect te vertalen of om op schaal aan te vallen. Ze maken ook gebruik van de gevoeligheden van je eigen AI-tools om aan data te komen. Zo kunnen ze een AI-gestuurde chatbot op je website bijvoorbeeld manipuleren om toegang te krijgen tot gevoelige informatie in je gekoppelde systemen. Het is dus belangrijk om grondig onderzoek te doen naar je tools, alvorens ze in gebruik te nemen.”
Nieuwe tool? Denk drie keer na
Wanneer je besluit om te investeren in digitale systemen, doe dan vooraf grondig je huiswerk. Bart: “Wat verwacht je van je leverancier? Weet je waar data naartoe gaan? Biedt men spontaan een overeenkomst waarin garanties gegeven worden? Veiligheid moet even zwaar doorwegen als features en prijs.”
Stel deze 3 vragen voor je in een tool investeert:
- Was de aanbieder eerder al betrokken bij een (ethisch) cyberincident?
- Volgt de aanbieder de Europese regels rond digitale veiligheid?
- Geeft de ontwikkelaar contractuele garanties over de veiligheid van zijn tool?
‘Nee’ op vraag 1 en daarna twee keer ‘ja’? Dan heeft de tool alvast een eerste screening doorstaan!
Benieuwd welke andere inzichten Bart en Mathias nog met ons deelden? Check de volledige aflevering van De digitale omslag.
