Microsoft Beveiliging
Op dit moment wordt ergens een board bijgepraat over ransomware. De CISO licht toe wat er is gebeurd, wat het heeft gekost en welke maatregelen zijn genomen als reactie. De briefing klopt. Maar mist wel de kern van het verhaal. De meeste gesprekken die boards over ransomware voeren, beginnen op de verkeerde plek: bij het incident zelf in plaats van het systeem erachter.
Het belangrijkste gesprek over ransomware vindt niet plaats in security operations centers. Het vindt plaats in de boardroom.
Veel te veel ransomwarebriefings beginnen op het moment van versleuteling. Tegen die tijd is de aanval al in de laatste fase beland. Initiële toegang is waarschijnlijk al weken daarvoor ingekocht. Inloggegevens zijn buitgemaakt. Laterale beweging vond ongemerkt plaats. Het bedrijf werd niet ineens een doelwit. Er is een geïndustrialiseerde criminele marktplaats die is ingericht om bedrijven zoals die van jou op te sporen en uit te buiten.
Dat onderscheid is belangrijk, omdat het bepaalt waar boards in investeren.
Wanneer boards zich alleen richten op het endpoint-incident, ligt de focus al snel op herstel ná de impact. Herstel is absoluut belangrijk. Maar alleen herstel verandert de economische prikkels voor aanvallers niet. Bedrijven die ransomware voor willen blijven, richten zich niet alleen op het opvangen van een verstoring. Ze investeren om de aanvalsketen te onderbreken voordat er schade ontstaat.
Die verschuiving wordt steeds belangrijker, omdat ransomware is uitgegroeid tot een criminele economie.
Tegenwoordig worden geavanceerde aanvallen niet meer gekenmerkt door geavanceerde aanvallers. Initiële toegang is net zo eenvoudig te kopen als snoep uit een automaat. Phishing-as-a-service-platforms worden per abonnement verkocht, net als streaming- of entertainmentdiensten. Malware-signingdiensten laten kwaadaardige code legitiem overkomen. AI versnelt verkenning, personalisatie en social engineering in elke fase van de inbraakcyclus.
De CISO’s die de meeste impact maken bij hun board geven niet alleen uitgebreidere dreigingsbriefings. Zij positioneren ransomware als een vraagstuk van operationeel en economisch risico.
Hier lees je hoe.
1. Dit is een gesprek over bedrijfsrisico’s, niet alleen over beveiligingsrisico’s.
Ransomware is tegelijkertijd een operationeel risico, financieel risico, reputatierisico en continuïteitsrisico. Raden van bestuur hebben al een goed beeld van supply-chainrisico’s en marktrisico’s. Ransomware is niet anders. Zodra ze het zo zien, wordt de vraag niet 'hoe herstellen we sneller', maar 'hoe stellen we ons minder bloot voordat er verstoring optreedt'. Beide zijn belangrijk. Maar slechts één verandert de kosten-batenverhouding van de aanval.
Het ransomware-ecosysteem opereert inmiddels met de efficiëntie van een volwassen markt: gedeelde infrastructuur, gespecialiseerde dienstverleners en AI-ondersteunde tactieken drukken de kosten voor aanvallers in elke fase. Microsofts ontmanteling van Fox Tempest laat dit direct zien. Het was geen ransomware-aanvaller. Het was een gedeelde infrastructuur waarop honderden criminele operaties vertrouwden om kwaadaardige payloads legitiem te laten lijken. Door die infrastructuur uit te schakelen, verzwakte Microsoft de capaciteit van het hele ecosysteem in één keer. Verdedigers moeten hetzelfde doen: gedeelde infrastructuur van aanvallers al in een vroeg stadium aanpakken, niet alleen reageren wanneer de schade al is aangericht.
Organisaties die hierop anticiperen, geven prioriteit aan identiteitsbescherming, detectie van access brokers, inzicht in aanvalspaden en continue informatiewinning om aanvallen te verstoren vóórdat ransomware wordt uitgerold. Ook investeren ze in veerkracht die herstel mogelijk maakt als het toch misgaat.
Elke organisatie wordt vroeg of laat een doelwit. Het verschil zit niet in de vraag óf een inbraak plaatsvindt, maar of het bedrijf verstoring kan indammen, kan blijven draaien en kan herstellen zonder catastrofale impact op de business. Daarvoor is investering nodig in bedrijfscontinuïteit en herstel na noodgevallen, onveranderbare en gesegmenteerde back-ups, strategieën voor identiteitsinsluiting en tests van operationeel herstel. En daarvoor moet je meten wat echt telt: niet alleen de hersteltijd, maar ook de periode tussen de eerste compromittering en het indammen ervan. Die periode bepaalt of een inbraak uitmondt in een bedrijfscrisis.
Raden van bestuur hebben al een goed beeld van supply-chainrisico’s en marktrisico’s. Ransomware is niet anders. Zodra ze het zo zien, wordt de vraag niet 'hoe herstellen we sneller', maar 'hoe stellen we ons minder bloot voordat er verstoring optreedt'.
Microsoft volgt en publiceert sinds 2020 over het ransomware-as-a-service-ecosysteem.
De responsstrategie die in 2020 nog voor de hand lag, is inmiddels niet meer voldoende. En een boardgesprek dat nog steeds vastzit in het dreigingslandschap van 2020 ook niet.
Elke week tot en met september brengt Microsoft cybercriminaliteit in real time in kaart en worden inzichten gedeeld die onze analisten bij meer dan 65 financieel gemotiveerde actoren zien in een gecoördineerd crimineel ecosysteem. Hot Cybercrime Summer is bedoeld om precies dit soort intelligence bloot te leggen: vertaald naar de taal waarmee security leaders ermee kunnen handelen én waarmee ze de mensen meenemen die de respons financieren.
Volg de serie. En neem deze informatie mee naar je volgende boardgesprek. De kaart ligt er al. De vraag is of jouw organisatie er gebruik van maakt. Microsoft Beveiliging-blog | Ransomware Threat Intelligence
CISO's worden persoonlijk verantwoordelijk gehouden voor risico's die hun board nog niet met de beschikbare data kan beoordelen. Die kloof dichten is een van de belangrijkste dingen die een securityleider kan doen."
Volg Microsoft Beveiliging