Wat komt de RDI tegen in de praktijk en waar kan en moet het beter? 

Op deze pagina delen we de basismaatregelen die organisaties helpen hun digitale weerbaarheid te versterken. Deze sluiten aan op de vijf  Basisprincipes voor digitale weerbaarheid (zie website het Nationaal Cyber Security Centrum (NCSC). De RDI ziet in toezichtonderzoeken en gesprekken met organisaties een duidelijk patroon. Veel incidenten en verstoringen in digitale dienstverlening ontstaan niet door geavanceerde cyberaanvallen, maar doordat bekende basismaatregelen onvoldoende zijn ingericht of niet structureel worden toegepast. 

De principes zijn bekend, maar de praktijk laat zien dat juist de consequente toepassing ervan het verschil maakt tussen een incident dat kan worden opgevangen en een incident met grote gevolgen. De RDI ziet deze maatregelen dan ook als een belangrijk uitgangspunt voor organisaties die hun digitale weerbaarheid willen versterken. 

5 Basisprincipes digitale weerbaarheid

Basisprincipe 1. Breng risico's in kaart 

Wat zien we in de praktijk: beperkt zicht op systemen, datastromen en afhankelijkheden 

Een eerste terugkerend aandachtspunt is het ontbreken van volledig inzicht in de eigen digitale omgeving. 

Organisaties weten niet altijd precies welke systemen actief zijn, waar data zich bevindt, hoe informatie door de organisatie stroomt of van welke leveranciers en ketenpartners zij afhankelijk zijn. Zonder dat overzicht is het lastig om risico’s goed te beoordelen of passende beveiligingsmaatregelen te treffen. 

Terwijl juist dat inzicht in de eigen systemen de basis vormt van iedere beveiligingsstrategie. Het maakt duidelijk welke processen kritisch zijn, waar kwetsbaarheden kunnen ontstaan en welke impact een incident kan hebben. 

Daarnaast is het hebben van dit inzicht steeds belangrijker in het kader van wet- en regelgeving, waaronder de Cyberbeveiligingswet. 

Basisprincipe 2. Bevorder veilig gedrag 

Wat zien we in de praktijk: de menselijke factor blijft een bepalend risico 

Een groot deel van de incidenten begint nog altijd met phishing, social engineering of andere vormen van digitale misleiding. 

Technische maatregelen zijn belangrijk, maar ook menselijke alertheid is minstens zo bepalend. Eén klik op een schadelijke link of één inlogactie op een overtuigend nagemaakte website kan voldoende zijn om aanvallers toegang te geven tot systemen of gegevens. 

Organisaties investeren daarom steeds vaker in awarenessprogramma’s. Toch zien wij dat bewustwording pas echt effectief wordt wanneer deze structureel onderdeel is van de organisatiecultuur met regelmatige herhaling, praktische oefeningen en realistische scenario’s. 

Cybersecurity blijft uiteindelijk ook mensenwerk. 

Basisprincipe 3. Bescherm systemen, applicaties en apparaten 

Wat zien we in de praktijk: updates en patches zijn niet altijd structureel geborgd 

Kwetsbaarheden in software en systemen blijven een van de meest gebruikte toegangspunten voor aanvallers. 

In de praktijk ziet de RDI dat het tijdig doorvoeren van updates en patches niet overal stevig genoeg is ingebed in processen. Daardoor blijven bekende kwetsbaarheden soms langer openstaan dan nodig. 

Dat risico neemt toe doordat aanvallen steeds verder geautomatiseerd plaatsvinden. De tijd tussen het openbaar worden van een kwetsbaarheid en actieve exploitatie wordt steeds korter. 

Organisaties doen er dus goed aan de periode tussen het bekend worden van een kwetsbaarheid en het installeren van de bijbehorende patch zo kort mogelijk te maken. Structureel patchmanagement, gecombineerd met veilige standaardconfiguraties, verkleint het aantal kwetsbare ingangen aanzienlijk. 

Basisprincipe 4. Beheer toegang tot data en diensten 

Wat zien we in de praktijk: Toegangsrechten zijn vaak ruimer ingericht dan noodzakelijk 

Een ander aandachtspunt is toegangsbeheer. 

In veel organisaties hebben medewerkers, systemen of externe partijen toegang tot meer data of functionaliteiten dan strikt noodzakelijk is voor hun werkzaamheden. Dat vergroot de potentiële impact van een hack of incident. 

Geen enkele organisatie kan uitsluiten ooit geraakt te worden door een cyberincident. Juist daarom is het beperken van de gevolgen minstens zo belangrijk als preventie. 

Het toepassen van het principe van minimale toegang is daarbij essentieel. In combinatie met meer-factor-authenticatie (MFA), goed ingericht Identity & Access Management (IAM), logging, monitoring en netwerksegmentatie kunnen organisaties voorkomen dat een aanvaller zich na een eerste toegang ongehinderd verder door systemen beweegt. 

Basisprincipe 5. Bereid je voor op incidenten 

Wat zien we in de praktijk: Incidentrespons vraagt voorbereiding vóórdat het misgaat 

Niet elk incident is te voorkomen. Maar organisaties kunnen wel bepalen hoe goed zij erop voorbereid zijn. 

De RDI ziet in de praktijk nog regelmatig dat incidentresponsplannen ontbreken, verouderd zijn of beperkt getest worden. Daardoor ontstaat tijdens een incident onduidelijkheid over rollen, verantwoordelijkheden en besluitvorming. 

Organisaties die vooraf scenario’s hebben uitgewerkt en hun respons regelmatig oefenen, zijn aantoonbaar beter in staat schade te beperken en sneller te herstellen. 

Een goed incidentresponsplan gaat daarbij verder dan techniek alleen. Het omvat ook communicatieprotocollen, juridische afwegingen, escalatieroutes en afspraken met externe partijen zoals leveranciers, crisispartners en toezichthouders. 

Van basisprincipe naar praktijk

Onderstaande bronnen bieden concrete handvatten voor organisaties die hun digitale weerbaarheid willen verbeteren: 

NCSC: Vijf basisprincipes voor digitale weerbaarheid 

  • Praktische uitgangspunten en maatregelen, geschikt voor elke organisatie, ongeacht omvang of sector. ncsc.nl/basisprincipes 

NCSC: Hoe stuur je op effectieve informatiebeveiliging? 

RDI: Cyberbeveiligingswet (Cbw) 

  • De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn in Nederland en stelt verplichtingen aan zorgplicht en meldplicht voor organisaties in essentiële en belangrijke sectoren. Op de RDI website leest u meer over deze wet. www.rdi.nl/cbw  

NIST Cybersecurity Framework 2.0 

  • Voor organisaties die hun aanpak structureel willen inrichten biedt het NIST CSF 2.0 een internationaal erkend raamwerk. nist.gov/cyberframework 

ISO/IEC 27001 

  • De internationale norm voor het inrichten van een informatiebeveiliging managementsysteem (ISMS). iso.org: ISO 27001 

Center for Internet Security (CIS) Controls 

  • De CIS Controls is een geprioriteerde lijst van beveiligingsmaatregelen, geschikt als implementatiestartpunt. cisecurity.org/controls