Cyberaanvallen, gegevens-hacks en phishing-mails: iedereen die online is, kan er mee te maken krijgen. Ook ondernemers in het mkb. Sterker nog, zij zijn kwetsbaar omdat kleine en middelgrote bedrijven vaak geen eigen ICT-afdeling hebben. Maar hoe handel je in geval van nood en hoe word je minder kwetsbaar voor cybercrime? Met de Cybercheck-scan ondersteunen studenten van Saxion, Aventus en ROC van Twente bedrijven in de regio Stedendriehoek en Twente. De scan zorgt bij ondernemers voor bewustwording van de risico’s die ze mogelijk lopen. Tom Smitshoek, verbonden aan het Saxion Centrum van Ondernemerschap (SCvO) en het Centrum voor Veiligheid en Digitalisering (CVD), praat ons bij.
Naast ICT-systemen vormen het personeel en de processen, zoals Tom Smitshoek het treffend samenvat, een grote en vaak onzichtbare risicofactor bij cyberveiligheid. Of beter gezegd -onveiligheid. Waarom dat zo is, komt later aan bod in ons gesprek. Eerst legt Tom uit hoe het SCvO betrokken is bij het CVD. Onder andere met de Cybercheck-scan: “Dit project is voortgekomen uit de Regiodeal ‘Sterker in 3D’ voor de Stedendriehoek, waarbij we op allerlei vlakken vanuit overheid, onderwijs en ondernemerschap de regio willen versterken. De Cybercheck-scan is daar een concreet voorbeeld van. Er was al een landelijke scan vanuit de overheid, van het Nederlands Cybersecurity Coördinatiecentrum (NCC-NL, red.). Daarmee kunnen bedrijven checken hoe het met hun cyberweerbaarheid staat. Hier in de regio zagen we al de grote meerwaarde van zo’n scan voor het mkb Binnen het SCvO vormt het Business Point de verbinding tussen het werkveld, academies en lectoraten. Het CVD is hier een mooi voorbeeld van. De samenwerking laat zien hoe we met het team vanuit het Saxion Business Point vanuit een gericht vraagstuk impact op de regio kunnen maken.’’
Achilleshiel
Door het ontbreken van een eigen ICT-afdeling en goede afspraken over werkprocessen rond de toegankelijkheid van systemen en data, is de cyberweerbaarheid van veel bedrijven in het mkb namelijk minder goed dan men vaak denkt. Een achilleshiel, in tijden van toenemende risico’s op online aanvallen en diefstal van gegevens. Omdat de bestaande, landelijke NCC-scan niet toereikend was voor het mkb, werd vorig jaar een start gemaakt met de ontwikkeling van een aangepaste scan. Eentje die beter toegespitst was op de doelgroep. “We hebben studenten op pad gestuurd naar ondernemers: de bakker om de hoek, een fysiotherapiepraktijk, een bouwbedrijf. Met dit soort ondernemers namen de studenten in twintig minuten een vragenlijst door, die inzicht geeft in de cyberweerbaarheid van de onderneming. Vanuit de pilot hebben we de scan verder toegespitst op het mkb.”
We hebben studenten op pad gestuurd naar ondernemers: de bakker om de hoek, een fysiotherapiepraktijk, een bouwbedrijf.
Bewustwording en vervolgstappen
Waar aanvankelijk Saxion-studenten vanuit het Safety & Security-lab aan de slag gingen met de scan, zitten inmiddels ook studenten uit verschillende opleidingen tijdens hun Smart Solutions Semester bij het regionale mkb aan tafel. Net als studenten van Aventus en ROC van Twente, vertelt Tom. Bedrijven kunnen zich melden via de website van het CVD, maar Saxion zoekt ook actief contact met ondernemers. “Vorig jaar hebben we voorlichting gegeven tijdens bestaande bijeenkomsten en evenementen die we zelf organiseerden. Denk aan bijeenkomsten van businessclubs als Industriële Kring Twente, MKB Twente en het Apeldoorns Business Collectief. Daar geven we graag een specialist of een ervaringsdeskundige het woord. Bijvoorbeeld een expert op het gebied van hacken. Of een ondernemer die zelf slachtoffer is geworden van zo’n hack. Vervolgens introduceren we de Cybercheck-scan en kunnen ondernemers direct terecht bij de aanwezige studenten, die bij hen in zo’n twintig minuten de scan afnemen. Daar komt een rapportje uit, met risico’s en aandachtspunten. Een laagdrempelige actie, die zorgt voor bewustwording en vervolgstappen.”
Tom Smitshoek bij het Centrum voor Digitalisering en Veiligheid in Apeldoorn: "Vorig jaar hebben we voorlichting gegeven tijdens bestaande bijeenkomsten en evenementen die we zelf organiseerden. Denk aan bijeenkomsten van businessclubs als Industriële Kring Twente, MKB Twente en het Apeldoorns Business Collectief."
USB-stick in de werktas
Terug naar de risicofactoren en blinde vlekken in een klein of middelgroot bedrijf. Veel ondernemers zijn zich niet bewust van hun kwetsbaarheid. “Ze hebben, begrijpelijk, hun focus op het ondernemen. Daar steken ze hun tijd en energie in. Maar de manier waarop het eigen personeel omgaat met ICT-zaken, kan zorgen voor extra kwetsbaarheid. Bijvoorbeeld door een phishing-mail niet te herkennen en op een gevaarlijke link te klikken. Of door een USB-stick vol gevoelige informatie mee te nemen in de werktas. Denk ook aan wachtwoorden die bijna nooit vernieuwd worden. Grote bedrijven hebben hier protocollen voor, maar in het mkb kan dat minder goed geregeld zijn. Veel gaat dus ook over het inrichten van werkprocessen, de afspraken die je maakt over hoe je samenwerkt. De scans vormen een laagdrempelig hulpmiddel voor bedrijven om zich bewuster te worden van de risico’s die ze lopen.”
De scans vormen een laagdrempelig hulpmiddel voor bedrijven om zich bewuster te worden van de risico’s die ze lopen.
Incident Response Plan
Het afgelopen anderhalf jaar namen de studenten 223 scans af. Inmiddels wordt er ook gewerkt aan een Incident Response Plan, waar Fast Forward-trainee Shanon Bloemberg zich mee bezighoudt. Na het behalen van haar diploma Social Work bij Saxion doorloopt zij haar traineeship bij het CVD en draagt ze zorg voor de coördinatie van de scans: “Ik merk dat de Cybercheck-scan bedrijven helpt om op een laagdrempelige en toegankelijke manier inzicht te krijgen in de eigen cybersecurity,” vertelt Shanon. “Ondernemers kunnen gemakkelijker de eerste stappen zetten om hun digitale weerbaarheid te verbeteren.” Inmiddels zijn zeven studenten van het Safety & Security-lab bezig met de ontwikkeling van het Incident Response Plan, zegt ze. “De studenten onderzoeken nu wat er in moet komen te staan. Eén van de onderwerpen is bijvoorbeeld een lijst met de belangrijkste contacten, die je moet kunnen bereiken wanneer je gehackt wordt.”
Fast Forward-trainee Shanon Bloemberg: "Ondernemers kunnen gemakkelijker de eerste stappen zetten om hun digitale weerbaarheid te verbeteren."
Ervaring opdoen
Daarnaast is er samenwerking met Aventus. Het Incident Response Plan is daar al behandeld in de lessen, aldus Shanon. “Het liefst willen we het Response Plan ook meenemen in de workshops die we vanuit het CVD geven, om alvast ervaring op te doen. We hopen dat het Response Plan van de Saxion-studenten in juni klaar is voor gebruik. Ondertussen testen zij hun prototype bij ondernemers. Met de studenten van Aventus willen we zo snel mogelijk aan de slag om het plan in te zetten.” Zelf noemt Shanon haar periode als Fast Forward-trainee bij het CVD een hele waardevolle tijd, waarin ze kan verkennen wat ze leuk vindt.
Learning community
Uit de analyses van de Cybercheck-scan kunnen in de toekomst vervolgopdrachten voortkomen. Niet alleen op het gebied van technische ondersteuning, maar ook als het gaat om juridisch, bedrijfskundig of bestuurskundig advies. Ook daar liggen mooie kansen voor samenwerking met het onderwijs, ziet Tom Smitshoek. “Binnen het CVD komt echt de samenwerking tussen kennisinstellingen, het bedrijfsleven en de overheid tot stand. Doordat we dit project binnen de Regiodeal kunnen opstarten, raken we zoveel vlakken. Met Shanon hebben we al onze tweede Fast Forward-trainee in huis. Het is mooi te zien hoe enthousiast ze is. Shanon coördineert de studenten, die rechtstreeks praktijkervaring op kunnen doen bij bedrijven. Op hun beurt profiteren bedrijven van deze dienstverlening en kunnen zij vervolgstappen zetten om hun cyberweerbaarheid te vergroten. Je kunt echt spreken van een learning community. We komen er als regio op alle manieren sterker uit.”
Centrum voor Veiligheid en Digitalisering
Onze maatschappij digitaliseert in rap tempo. Dat brengt prachtige innovaties, maar ook grote risico’s met zich mee. Het Centrum voor Veiligheid en Digitalisering (CVD) versterkt de digitale veiligheid door praktijkgerichte kennisontwikkeling en het opleiden van professionals die bijdragen aan een weerbare samenleving. In samenwerking met partners uit het bedrijfsleven en de publieke sector brengt het CVD theorie en praktijk samen om digitale weerbaarheid te vergroten en maatschappelijke impact te realiseren.
Het CVD is een netwerkorganisatie, gevormd vanuit de initiatiefnemers Hogeschool Saxion, de Politieacademie, de Universiteit Twente, de gemeente Apeldoorn, Aventus en het NIPV. Daarnaast is er een nauwe samenwerking met het Opleidings- en Kenniscentrum van de Koninklijke Marechaussee, Koninklijke Landmacht, Apeldoorn IT, Centraal Beheer Achmea, Belastingdienst, Kadaster en Saab Nederland.
Fotografie Tom Smitshoek: Thomas Busschers - Dienst Marketing Communicatie
Fotografie Shanon Bloemberg: eigen foto
