Waarom subsidies cyberproblemen niet zomaar oplossen

Om ondernemers te helpen hun digitale beveiliging op orde te brengen, stelt de overheid een subsidie beschikbaar voor maatregelen tegen cyberaanvallen. Via de regeling Mijn Cyberweerbare Zaak kunnen ondernemers tot 30 november maximaal €1.250 subsidie krijgen. Cyberexpert Patrick Jordens, eigenaar van TheTrusted Third Party, noemt de regeling een goed idee, maar vindt dat de overheid verder moet kijken dan alleen financiële steun.

Van losse initiatieven naar één loket

Volgens Jordens zijn er nu te veel verschillende hulpmiddelen.“Er bestaan in Nederland gewoon te veel loketjes, initiatieven, platformpjes, doe-het-zelf dingetjes, checklistjes, scannetjes. Er zijn er te veel”, vertelt hij. Daardoor is het voor ondernemers niet altijd duidelijk waar ze moeten beginnen of waar ze terecht kunnen voor hulp, zoals een subsidie.

Jordens ziet daarom een rol voor de overheid om die initiatieven meer bij elkaar te brengen. Zelf noemt hij Platform Veilig Ondernemen (PVO) als mogelijke plek. PVO richt zich al op het veiliger maken van ondernemingen en houdt zich naast cyberweerbaarheid ook bezig met ondermijning en vermogenscriminaliteit. Volgens Jordens kan zo’n bestaande structuur helpen om ondernemers vanuit één herkenbaar punt te bereiken.

Gebrek aan bewustwording

Naast een duidelijker aanbod is volgens Jordens vooral meer bewustwording nodig. “Veel ondernemers denken dat het hun probleem niet is. Die denken: Ik ben niet interessant. Wie zoekt mij nou?”, vertelt hij. Die gedachte is volgens hem achterhaald. Cybercriminelen gebruiken steeds meer technologie om potentiële slachtoffers te vinden. “Als jouw bedrijfsmiddelen en informatie en data voor jou interessant zijn, dan zijn ze ook interessant voor een hacker.”

Jordens pleit er daarom voor om overheidsgeld niet uitsluitend in subsidieregelingen te steken, maar juist in gerichte campagnes die het risicobesef aanwakkeren. Pas wanneer de urgentie duidelijk is, komt digitale veiligheid daadwerkelijk bovenaan de agenda van ondernemers te staan.

Niet alleen techniek

Naast subsidieregelingen zijn er andere belangrijke zaken die ondernemers op orde moeten krijgen, stelt Jordens. Zo moeten ze beter inzicht krijgen in hun digitale omgeving. Welke systemen en data zijn er, wat moet worden beschermd en waar zitten nog kwetsbaarheden? Zo’n analyse vormt volgens hem vaak het startpunt voor een plan voor een goede cyberweerbaarheid. Een IT-leverancier kan daarbij niet de volledige digitale veiligheid van een organisatie garanderen. “Een IT-bedrijf kan jou niet beschermen tegen een hack. Die kan hooguit zorgen dat jij de juiste IT-middelen hebt die voor meer beveiliging zorgen”, benoemt Jordens.

Een IT-bedrijf beveiligt bijvoorbeeld de kantoorautomatisering en computersystemen, maar een organisatie gebruikt vaak veel meer technologie. Denk aan camerasystemen, klimaatcomputers of andere operationele systemen die met het netwerk zijn verbonden. Die vallen niet automatisch onder de verantwoordelijkheid van de IT-leverancier. Zelf verantwoordelijkheid nemen is van belang.

De medewerker is niet de zwakke schakel

Ook medewerkers spelen een belangrijke rol in cyberweerbaarheid. Phishing, ransomware en social engineering maken gebruik van menselijk gedrag. Toch vindt Jordens het te simpel om de medewerker als de zwakke schakel aan te wijzen. “De mens is niet de zwakste schakel. De mens is het grootste aandachtspunt. Het bestuur is vaak de zwakke schakel.”

Volgens Jordens ligt een belangrijk deel van de verantwoordelijkheid daarom bij het bestuur. Het bestuur bepaalt namelijk welke prioriteit cybersecurity krijgt, welke maatregelen worden genomen en hoeveel er wordt geïnvesteerd in bijvoorbeeld trainingen. Ook bedrijfsprocessen spelen een rol. Een medewerker die een verkeerde betaling uitvoert, is niet het enige probleem als duidelijke procedures en controles ontbreken.

Kortom: financiële steun alleen maakt een onderneming niet digitaal weerbaar. Daarvoor zijn volgens Jordens ook bewustwording, inzicht in de eigen risico’s en duidelijke verantwoordelijkheid binnen de organisatie nodig. Zijn boodschap is duidelijk: “Jongens, het maakt niet meer uit wie je bent. Je wordt gevonden. Dus bereid jezelf voor.”