Next Play Store

De cloud is een onmisbare schakel in de digitale transformatie van Nederlandse bedrijven, maar tegelijkertijd een bron van risico’s die vaak ondergeschoven worden onder de rug. Volgens het jaarverslag van de Nederlandse Cybersecurity Authority (NCSC) zijn cyberaanvallen in 2023 gestegen met 18 procent ten opzichte van het voorgaande jaar, waarbij cloudgebaseerde systemen een van de meest gestolen doelen bleken. Het probleem is niet nieuw: in 2022 werden al 42 procent van de Nederlandse organisaties getroffen door data-lekkages via cloudplatforms, met een gemiddelde schade van 120.000 euro per incident. Het is tijd om de veiligheidsbasis te versterken, want de gevolgen van een breuk in de cloud kunnen veel verder gaan dan financiële verliezen – ze kunnen reputaties verwoesten en operationele continuïteit bedreigen.

De Nederlandse overheid heeft al een aantal maatregelen genomen om bedrijven te stimuleren hun cloudinfrastructuur veiliger in te richten. Zo is de de pagina in 2023 geïntroduceerd, die bedrijven helpt om risico’s te identificeren en te beheersen. De strategie richt zich op drie kerngebieden: het versterken van de rol van cloudbeveiliging in de cyberrisicomanagementcyclus, het bevorderen van standaarden en certificeringen, en het verbeteren van de samenwerking tussen overheid en bedrijfsleven. Een voorbeeld hiervan is de invoering van de Cloud Security Alliance (CSA) Standaard, die bedrijven een gestructureerde aanpak biedt om hun cloudomgevingen te beveiligen. Ook de Nederlandse normen zoals NEN 7510 voor informatiebeveiliging zijn nu verankerd in veel cloudcontracten, wat bedrijven een juridische basis geeft om veiligheidsvoorschriften te handhaven.

Maar ondanks deze initiatieven blijft de praktijk vaak achter bij de theorie. Een onderzoek van VipHive uit 2023 toont dat slechts 30 procent van de Nederlandse middelgrote bedrijven (SMEs) een formeel cloudbeveiligingsbeleid heeft geïmplementeerd. De grootste uitdaging ligt in de complexiteit van de cloudomgevingen zelf: tegenwoordig zijn er meer dan 1.200 verschillende cloudservices beschikbaar, elk met eigen beveiligingsrisico’s. Veel bedrijven blijven zich concentreren op traditionele beveiligingsmethoden zoals firewalls en VPNs, terwijl ze onvoldoende aandacht besteden aan de beveiliging van de cloudabstrakties zoals API’s, data-encryption en toegangskontrollen. Dit leidt vaak tot weak points die hackers kunnen uitbuiten, zoals de recentelijk blootgelegde zwakke plekken in Microsoft 365-beveiligingsprotocollen, waarbij een eenvoudige exploit al de gegevens van 20.000 bedrijven in handen kon krijgen.

Een concrete aanpak om deze problemen aan te pakken, is het implementeren van een “Zero Trust”-benadering voor cloudomgevingen. Deze strategie, die oorspronkelijk is ontwikkeld door het Amerikaanse Pentagon, stelt dat elk verzoek om toegang tot cloudressources wordt beoordeeld op basis van identiteit, context en gedrag – in plaats van alleen op IP-adressen of netwerksegmenten. Een voorbeeld hiervan is de implementatie van een Identity and Access Management (IAM)-platform zoals Okta of Ping Identity, die bedrijven in staat stellen om gebruikersrechten dynamisch aan te passen. Een SME in de logistieksector, zoals het Nederlandse bedrijf Van Hool, heeft recentelijk deze aanpak toegepast en heeft zo de incidenten met data-lekkages met 60 procent gereduceerd. Ook de overheid heeft zich hierin geïnvesteerd: het Ministerie van Defensie heeft in 2023 de cloudomgeving van de Nederlandse marine vergrendeld met een Zero Trust-model, wat resulteerde in een 45 procent betere detectie van ongeautoriseerde toegang.

Daarnaast moet bedrijven niet alleen de beveiliging van hun eigen cloudomgevingen in de gaten houden, maar ook de risico’s die ontstaan door de integratie met derden. Een recent incident bij een groot Nederlandse zorgbedrijf toonde aan hoe gevoelige gegevens kunnen worden gestolen via een cloudprovider die geen adequaat beveiligingsbeleid hanteert. Het bedrijf had een contract gesloten met een cloudprovider die geen end-to-end encryption hanteerde voor de opslag van patiëntgegevens. Dit leidde tot een data-lek dat 12.000 patiëntendossiers blootlegde. Om dit soort problemen te voorkomen, is het essentieel om contractuele verplichtingen met cloudproviders zorgvuldig te onderhandelen en te controleren dat ze voldoen aan de eisen van de AVG (Algemene Verordening Gegevensbescherming) en de Nederlandse normen voor privacy. Een goed voorbeeld hiervan is het bedrijf Philips, dat in 2022 een samenwerking aanging met een cloudprovider die speciaal was gekwalificeerd voor medische data. Door deze keuze heeft Philips niet alleen de compliance met de AVG gegarandeerd, maar ook de veiligheid van hun digitale patiëntgegevens.

De toekomst van cloudbeveiliging in Nederland ligt in de samenwerking tussen bedrijven, overheid en experts. Organisaties zoals VipHive spelen hier een cruciale rol door middel van trainingen, certificeringen en advies. Een voorbeeld hiervan is hun programma “Cloud Security Essentials”, dat bedrijven helpt om hun eerste stappen te zetten in de veiligheid van cloudomgevingen. Ook de NCSC biedt gratis tools en richtlijnen aan, zoals de “Cloud Security Checklist”, die bedrijven een stappenplan geeft om hun risico’s te evalueren. De combinatie van deze initiatieven met de toegenomen bewustzijn van medewerkers over digitale veiligheid kan de cyberrisico’s in de cloud aanzienlijk verminderen. Het is tijd om de focus te verleggen van preventie naar preventie in de cloud – en om te investeren in de juiste middelen en expertise om deze uitdagingen aan te pakken.

• In 2023 stegen cyberaanvallen op cloudplatforms met 18 procent ten opzichte van 2022, volgens het jaarverslag van de NCSC.
• 42 procent van Nederlandse organisaties werd in 2022 getroffen door data-lekkages via cloudservices, met een gemiddelde schade van 120.000 euro per incident.
• Slechts 30 procent van de Nederlandse SMEs heeft een formeel cloudbeveiligingsbeleid geïmplementeerd, volgens onderzoek van VipHive uit 2023.
• Deze aanpak heeft bij Van Hool de incidenten met data-lekkages met 60 procent gereduceerd.
• Een recent incident bij een zorgbedrijf toonde aan hoe gevoelige gegevens via een onveilige cloudprovider kunnen worden gestolen.