Softwareontwikkelaar Dockfklow en de Antwerp Management School werkten samen een Digital Maturity Model uit. Logistiekbedrijven hebben op het gebied van cybersecurity nog wel wat huiswerk te maken, merkt Founder & Tech Lead Michiel Valee.
Een blik op de firewall van Dockflow.com leert me dat er in de afgelopen 24 uur tot wel 83 kwaadaardige aanvallen geblokkeerd werden. Een degelijk beleid rond cybersecurity is vandaag dus niet meer weg te denken voor bedrijven met een digitale ambitie. Maar hoeveel budget moet dan voorzien worden voor cybersecurity?
Als softwareontwikkelaar ben ik er rotsvast van overtuigd: alles is te hacken. De vraag is alleen: hoeveel moeite, tijd en geld wil je er als hacker in steken? Het antwoord op die vraag hangt af van het type hack en het verwachte resultaat, waar ik grofweg drie categorieën in zie. Een eerste is de generieke aanval: het bedrijf wordt niet specifiek getarget, maar bepaalde systemen van het bedrijf zijn kwetsbaar en vallen zo ten prooi aan een hack. Het kwetsbare systeem komt zo onder controle van een externe partij die er mee kan doen wat hij wil. De meest voor de hand liggende defensieve strategie hiertegen is het regelmatig updaten van software en het nemen van back-ups. Een tweede is een gerichte operationele hack: de hacker heeft het specifiek op één bedrijf gemunt, en zoekt een manier om een deel van de operaties stil te leggen, om zo naar losgeld te kunnen vragen. Een mitigatie hier is het uitwerken van procedures en afspraken om met tijdelijke systeem-pannes om te gaan, het uitwerken van redundantie. Hoe communiceren we wanneer systeem A of B uitvalt? Het hebben van die processen haalt de hefboom van de hacker om losgeld te vragen grotendeels weg. Een derde zie ik in het commerciële lek: de hacker probeert commercieel gevoelige informatie uit de systemen te halen. Denk aan prijsafspraken, klanten, leveranciers en dergelijke. Om dit te voorkomen, investeren bedrijven in encryptie, uitgebreide toegangsrechten en -controles.
Wat opvalt is dat het investeren in cybersecurity niet draait rond het investeren van een bepaald budget. Wel is er een oefening nodig rond welke risico’s afgedekt dienen te zijn. Een no-brainer daarbij is het voorkomen van het eerste type hack. Het updaten van software, nemen van back-ups en degelijk wachtwoordbeheer kost niets, vereist nauwelijks extra aandacht en voorkomt het gros van de mogelijke aanvallen. De eerste stap in cybersecurity is dan ook niet het voorzien van budget, maar een duidelijk en consistent commitment van het management. Pas na het toepassen van deze “cyberhygiëneregels” doorheen het bedrijf, kunnen verdere investeringen in cybersecurity renderen.
Samen met AMS deed Dockflow onderzoek naar de digitale maturiteit van expeditiekantoren, waaruit het Digital Maturity Model voortkwam. De vraag daarbij is hoever bedrijven staan met digitalisatie, en in welke mate het ook wenselijk is van hierin blijvend te investeren. Conclusie is dat niet iedereen hierin een frontrunner hoeft te zijn. Ook in cybersecurity geldt dat: de waarde van de data in de logistiek is veelal snel te verwaarlozen. Zo zal de data van bestellingen en volumes van een aantal jaren geleden slechts weinigen iets waard zijn. De investering in de beveiliging daarvan zal dus geen topprioriteit zijn. Dat ligt anders wanneer het gaat over commercieel gevoelige afspraken of niet-publieke partnerships: daar zal een hacker toch al meer budget en tijd voor vrijmaken om die te bemachtigen, en dus zal de beveiliging daarvan ook meer kosten.
