Accountant moet bestuur bevragen over cybersecurity
De accountant moet bestuurders en interne toezichthouders bevragen over cybersecurity en de belangrijkste conclusies daarover opnemen in de managementletter. Ook moet de accountant cliënten indelen naar cybersecurity-risico en op basis daarvan de controleaanpak aanpassen. Dat schrijft de NBA in een publicatie over risico's van cybersecurity.
De accountant moet bijdragen aan de bewustwording in de organisatie ten aanzien van digitale risico’s, aldus de NBA. Het opnemen van de belangrijkste conclusies over cybersecurity in de managementletter is in lijn met de wettelijke verplichting om bevindingen over betrouwbaarheid en continuïteit van geautomatiseerde gegevensverwerking te melden.
Medewerkers zwakste schakel
Voor elk organisatie die online actief is geldt niet zozeer de vraag of je wordt gehackt, maar wanneer en hoe vaak. In 2015 groeide het aantal cybersecurity-incidenten met bijna 40 procent. De meeste incidenten hebben betrekking op DDoS aanvallen, misbruik van gebruikersrechten, toegang tot gevoelige gegevens en het omzeilen van beveiligingsmaatregelen.
Ook mkb-bedrijven, gemeenten, zorginstellingen, energiebedrijven en particulieren worden steeds vaker getroffen door cybercrime. Vaak blijken medewerkers de zwakste schakel in de beveiliging te zijn. Aanvallers maken gebruik van zogenaamde social engineering (zoals spearphishing) om medewerkers te verleiden bedrijfskritische gegevens met hen te delen.
Kroonjuwelen
Cybersecurity hoort op elke bestuursagenda te staan, meent de NBA. Bestuurders moeten cybersecurity beter inbedden in hun strategie en risicobeleid en verankeren in de organisatie. Daarbij moet de focus worden gelegd op vitale onderdelen, processen en data.
De digitale beveiliging van veel bedrijven gaat uit van een aanpak die gelijk is voor alle digitale bedrijfsmiddelen, zonder onderscheid naar belang en waarde. De ‘kroonjuwelen’ van de organisatie, zoals de webshop, operationele of financiële data en de persoonsgegevens van klanten, verdienen een aparte aanpak. Risico’s moeten hiervoor beter in kaart worden gebracht. Op grond daarvan kunnen scenario’s gedefinieerd worden die potentiële aanvallers bewandelen.
Publicatie
De publieke managementletter over cybersecurity Van hype naar aanpak is onderdeel van een reeks uitgaven van de NBA, waarin signalen en aanbevelingen aan sectoren worden afgegeven. Eerder zijn onder andere publicaties uitgebracht over Vastgoed, Glastuinbouw, Gemeenten, Goede doelen, Transport & Logistiek, het MBO onderwijs, Life Sciences, Banken, de Zorg en de Horeca.
Gerelateerd
Nederlandse banken verbeteren beveiliging, na waarschuwingen over AI-model Mythos
Nederlandse banken geven gehoor aan de waarschuwingen van toezichthouders over AI-model Mythos. Banken in de eurozone moeten van de Europese Centrale Bank (ECB)...
Bedrijf achter Canvas sluit akkoord met hackers
Instructure, het Amerikaanse bedrijf achter onderwijsplatform Canvas, heeft een akkoord gesloten met de hackers die recent de software van het bedrijf wisten binnen...
Universiteiten getroffen door cyberaanval, VU koppelt systemen los
Zeven Nederlandse universiteiten zijn geraakt door een cyberaanval op Instructure, het bedrijf achter onderwijssoftware Canvas. De VU in Amsterdam heeft de eigen...
Cyberincidenten tonen kwetsbaarheid keten en belang van communicatie
Bij cyberincidenten moet sneller en transparanter worden gecommuniceerd. Ook is er meer overleg nodig tussen organisaties in sectoren die een sterke ketenafhankelijkheid...
Banken roepen sociale media op tot meer actie tegen onlinefraude
Banken in Nederland roepen big tech en socialmediaplatforms op om meer te doen tegen onlinefraude. Volgens de Nederlandse Vereniging van Banken (NVB) is fraudebestrijding...