Cybersecurity in het MKB: Ontdek waarom de digitale voordeur wagenwijd openstaat!

‘Wat me opvalt is de angst die heerst’, zegt Erik van Daatselaar, hoofd cybersecurity bij Vodafone Business. ‘Op een recent evenement boden we ondernemers een kosteloze veiligheidscheck aan. Verschillende ondernemers waren letterlijk bang om de test te doen, bang voor wat er zou kunnen worden ontdekt. Het is als de struisvogel die zijn kop in het zand steekt. Anderen beweerden dat hun systemen volledig veilig waren. De resultaten toonden echter vaak een ander beeld.’

Een professionele sector

Volgens Van Daatselaar is de urgentie van het probleem tastbaar: hacken is allang geen hobby meer. ‘Het is een gevestigde industrie geworden, met bedrijven die succesvol zijn, aandeelhouders hebben, werknemers in dienst nemen, en gebruikmaken van geavanceerde hulpmiddelen.’

‘Tegenwoordig zijn er phishingplatforms te koop, complete pakketten inclusief klantenservice voor slachtoffers die niet weten hoe ze met bitcoins moeten betalen. Op het darkweb zijn winkels waar je klantgegevens kunt aanschaffen. Het is allemaal zeer geautomatiseerd en doelgericht.’

Deze professionalisering heeft zijn impact. Het aantal cyberaanvallen stijgt — in 2024 had één op de vijf Nederlandse bedrijven schade door een cyberaanval — en de gebruikte methoden worden verfijnder door de inzet van AI en automatisering.

‘De enige bedrijven die zich geen zorgen hoeven te maken over hackers, zijn die welke toch al failliet zijn’, zegt Van Daatselaar. ‘Elk bedrijf met omzet loopt risico op hacks omdat er geld mee gemoeid is. Toch denken veel mkb-ondernemers dat het hen niet zal overkomen. Hun bedrijf zou te klein zijn, hun data oninteressant.’

Telefoons vaak over het hoofd gezien

De menselijke factor is volgens Van Daatselaar het grootste risico. ‘We kunnen het hebben over complexe zaken, maar als jouw wachtwoorden eenvoudig zijn zonder multifactorauthenticatie, dan staat je digitale voordeur behoorlijk open.’

‘De beveiliging van laptops is vaak goed geregeld, met de nodige firewalls, programma’s zoals Microsoft Defender, en DNS/URL-filters die schadelijke websites blokkeren. Hier letten veel organisaties op. Maar mobiele apparaten, die net zo’n toegang bieden tot gegevens, worden veel minder beveiligd. Juist op momenten dat je net wakker wordt of voor het slapengaan ben je minder alert en klik je gemakkelijker op een link.’

‘Hackers selecteren zelden specifiek een doelwit’

Xander Koppelmans, ondernemer uit Goes, dacht dat zijn beveiliging in orde was. Zijn reclamebureau was succesvol, had firewalls, antivirussoftware en backups. Tot hij op een ochtend in 2015 zag hoe mappen van zijn servers verdwenen.

De hack vernietigde niet alleen zijn data, maar ook zijn backups. De directe schade was 260.000 euro, de indirecte schade liep op tot meer dan een miljoen. Na tien maanden bezweek hij onder de druk en kreeg een burn-out. Zijn bedrijf ging failliet, hij verloor zijn huis, kantoor en uiteindelijk ook zijn huwelijk.

‘Wat mensen vaak niet beseffen, is dat hackers zelden specifiek een doelwit kiezen’, zegt Koppelmans nu tijdens presentaties. ‘Ze gebruiken geautomatiseerde scripts en zodra jouw beveiliging zwak is, ben je een doelwit. We lopen als het ware met een portemonnee in onze kontzak door de digitale koopstraat.’

Neveneffecten een eyeopener

Patricia Antersijn, mkb-ondernemer en distributeur van PCM Nederland & België, herkent die kwetsbaarheid. ‘Als ondernemer kun je je ongemakkelijk voelen als je zaken niet op orde zijn. Maar het gaat dus niet specifiek om jouw bedrijf. Gegevens worden vroeg of laat ergens gehackt en doorverkocht. Degene die het in handen krijgt, heeft geen idee meer waar het vandaan komt.’

‘Je denkt vaak alleen aan data, maar als je nadenkt over de neveneffecten, dan is dat wel een eyeopener’, zegt Antersijn. ‘Met alleen onze data zal het nog wel meevallen. Maar de nevenschade, daar heb ik geen reëel beeld van.’

Laagdrempelige scan

Uit onderzoek tijdens het NL Changemakers-event onder 350 ondernemers bleek dat een derde van de ondernemingen duidelijke kwetsbaarheden vertoonde. 39 procent van de deelnemers behaalde een A-score op de Vodafone Security Scan, een toegankelijke tool die ondernemers helpt de kwetsbaarheden van hun digitale voordeur — hun bedrijfsdomein — in kaart te brengen.

Nog eens 28 procent scoorde een B. ‘Dat klinkt hoopvol, maar betekent ook dat bijna een derde van de ondervraagde bedrijven nog steeds duidelijke kwetsbaarheden vertoont’, zegt Van Daatselaar.

De Vodafone Security Scan dient als een startpunt, niet als eindpunt, benadrukt Van Daatselaar. ‘Een scan kan nooit kwaad. Hij bekijkt de buitenkant van een organisatie, controleert URL’s en test alle externe poorten die verbonden zijn met het IP-adres. Hij speurt ook op het darkweb naar informatie over een organisatie en naar mogelijk gehackte gegevens.’

Waarom ondernemers het negeren

Toch krijgt cybersecurity bij veel mkb’ers weinig prioriteit. ‘Je bent met andere zaken bezig’, zegt Antersijn. ‘Als ik voor mezelf spreek: ik heb niet altijd zin om me erin te verdiepen. Het is niet mijn kernactiviteit of specialiteit. Dan komt er een klant met een vraag en dan zakt cybersecurity weer op de prioriteitenlijst.’

Van Daatselaar ziet dit patroon vaker. ‘Ondernemers hebben wel het gevoel dat ze meer moeten doen, maar weten niet goed waar te beginnen. Grote organisaties hebben een Chief Information Security Officer (ciso), middelgrote misschien ook, maar kleine organisaties hebben vaak een IT-professional die het erbij doet.’

Wat kunnen ondernemers dan wél doen? Voor mkb’ers beveelt hij aan om een parttime of virtuele ciso in te schakelen die elk kwartaal met ondernemers overlegt. ‘Ga samen zitten en bespreek: waar liggen de zorgen, hoe gebruik je jouw IT-omgeving? Waar moet je investeren? Maak er een vast agendapunt van.’

Who you gonna call?

Basiszaken die volgens Van Daatselaar in ieder geval op orde moeten zijn, zijn: zorg dat al je apparaten zijn bijgewerkt met de laatste softwareversies, activeer multifactorauthenticatie op álle accounts, segmenteer je wifi-netwerk zodat bezoekers niet op hetzelfde netwerk zitten als je bedrijfskritische systemen, en regel een standaard back-up.

En bereid je ook voor op het ergste scenario, adviseert Van Daatselaar. ‘Denk niet alleen na over hoe je je beschermt, maar ook over ‘wat dan?’. Wat als je wordt aangevallen? Wat is dan je noodplan? Bedenk van tevoren wat je moet doen. In de jaren tachtig belde je de Ghostbusters. Wie bel je nu?’

Onderdeel van bedrijfshygiëne

‘Bedrijfscontinuïteit is het allerbelangrijkste voor elke ondernemer’, zegt Jurjen IJska van Lindenaar & Co, een adviesbureau met tien medewerkers. ‘Wij hebben geleerd om cybersecurity te beschouwen als een essentieel onderdeel van bedrijfshygiëne. Net zoals je een prettige werkruimte wilt hebben en de juiste verzekeringen afsluit: het zijn noodzakelijke kosten om je license to operate te waarborgen.’

Uiteindelijk draait het om een simpele vraag: neem je cybersecurity serieus voordat het misgaat of pas nadat de schade is aangericht? ‘Als je je bedrijf serieus neemt, dan moet je erin investeren’, concludeert Van Daatselaar. ‘Je moet er budget voor vrijmaken. Niet op zondagmiddag in paniek, maar proactief, op vaste momenten in de week of maand.’