Russische roulette met Zweedse IT-beveiliging

Om de digitale veiligheid van bedrijven en organisaties te bevorderen, moeten we doen wat nodig is om de kloof in beveiligingsvolwassenheid tussen bedrijven te dichten. Dit vereist concrete ondersteunende maatregelen, schrijft Johan Malmliden, President en CEO Omegapoint.

Beveiligingsproblemen in kleine en middelgrote bedrijven

In een onzekere tijd van oorlog in Europa en het Midden-Oosten, waar georganiseerde cyberoorlogvoering steeds gebruikelijker is geworden, kan Zweden het zich niet veroorloven om passief toe te kijken, schrijft Johan Malmliden, President en CEO Omegapoint.

Nieuwe cijfers van de Zweedse Veiligheidsindex 2025, aangezien het IT-beveiligingsbedrijf Omegapunt Uit een in februari gepubliceerd rapport blijkt dat er aanzienlijke beveiligingslacunes zijn bij kleine en middelgrote Zweedse bedrijven. 59 procent heeft geen functionerend leveranciersmanagementbeleid en 41 procent vertrouwt op externe certificeringen om beveiligingsrisico's bij hun leveranciers te beheren. In een tijdperk van cyberoorlogvoering, waarin kleinere en gespecialiseerde IT-bedrijven een sleutelrol spelen in de toeleveringsketens van bedrijven, moeten we nu een holistische benadering hanteren, waarbij de veerkracht van de hele keten centraal staat.

Bedreigingen voor digitale toeleveringsketens

De outsourcing en de wijdverbreide afhankelijkheid van onderaannemers door bedrijven zorgen tegenwoordig voor lange en complexe toeleveringsketens. Volgens MSB-rapport Bedreigingen voor digitale toeleveringsketens Dit geldt in het bijzonder voor informatiestromen, zacht– en hardware en digitale diensten. Onderaanneming en toenemende specialisatie onder IT-leveranciers hebben een landschap gecreëerd dat MSB wordt omschreven als ”een web van nichespelers”, waarbij verschillende IT-bedrijven unieke expertise inbrengen die potentieel gevaarlijke afhankelijkheden creëert.

Als uw bedrijf vandaag de dag een IT-systeem aanschaft, kunt u verwachten dat een aantal leveranciers met gespecialiseerde expertise de verschillende onderdelen van het systeem hebben ontworpen. Als een van deze spelers, bijvoorbeeld een kleinere leverancier met beperkte middelen en ontoereikende beveiligingsprocedures, wordt blootgesteld aan een cyberaanval, kan dit leiden tot een totale IT-crash in de gehele toeleveringsketen.

De Solarwinds Hack 2020 is een angstaanjagend voorbeeld. Daar slaagde een cybercrimineel erin om schadelijke code in de Amerikaanse IT-bedrijf Solarwinds monitoringtool Orion. Hierdoor liepen maar liefst 18.000 gebruikers, waaronder diverse Amerikaanse overheidsinstanties en grote bedrijven, het risico dat hun digitale netwerken werden vernietigd toen ze een software-update downloadden met schadelijke code.

Thuis in Zweden Wij zagen er eentje die erop leek. incident bij Tietoevry vorig jaar. De IT-provider, die gevoelige gegevens en digitale diensten voor een aantal Zweedse bedrijven beheert, werd getroffen door een ransomware-aanval die resulteerde in verschillende storingen en mogelijke datalekken bij hun klanten, waaronder Rusta, Filmstaden, Region Uppsala en Systembolaget.

De kloof in beveiligingsvolwassenheid tussen kleine en grote bedrijven

Het kwetsbaarheidsrisico van digitale toeleveringsketens is daarom geen nieuw probleem. Het feit dat toeleveringsketens lang en complex worden, is misschien wel een noodzakelijk kwaad, aangezien de moderne economie specialisatie en outsourcing bevordert. Wat we echter zien in Zweedse Veiligheidsindex 2025 Het verschil in beveiligingsvolwassenheid tussen kleine en grote spelers wordt steeds duidelijker. Grotere bedrijven hebben de middelen om hun leveranciers te auditen, eisen te stellen en beveiligingsroutines te implementeren.

Kleinere bedrijven, met beperkte budgetten en expertise, moeten vaak vertrouwen op certificeringen – wat mogelijk niet voldoende is. De Zweedse Veiligheidsindex 2025 laat zien dat 41 procent van de mkb-bedrijven... bedrijf neigen naar certificeringen om risico's van derden te beheersen, vergeleken met 30 procent bij grotere bedrijven. De kloof tussen deze groepen groeit, wat leidt tot aanzienlijke verschillen in de beveiliging van de toeleveringsketen.

De noodzaak van een holistische benadering van cyberbeveiliging

Dreigingsactoren zijn zich hiervan bewust. Door een kleine speler in de toeleveringsketen aan te vallen, krijgen ze toegang tot grotere activiteiten een paar stappen verderop in de keten. Het gevolg is dat kleine bedrijven zich moeten verdedigen tegen dreigingen die feitelijk gericht zijn op hun klanten. Dit is niet vol te houden. We moeten daarom stoppen met het beschouwen van beveiligingswerkzaamheden als losstaand van onze eigen activiteiten en in plaats daarvan de veerkracht van de gehele toeleveringsketen als cruciaal beschouwen.

Met de Wet Bescherming Persoonsgegevens en de komende Cybersecuritywet Zweden heeft belangrijke stappen in de goede richting gezet. Deze regelgeving kan een drijvende kracht zijn voor verbetering, maar alleen als deze correct wordt geïmplementeerd en opgevolgd. Om de beveiliging in de praktijk te verbeteren, is een holistische strategie vereist, waarbij elk onderdeel van de toeleveringsketen kan worden beoordeeld en beveiligd. Om ervoor te zorgen dat zelfs de kleinste IT-leveranciers in de keten aan de beveiligingseisen voldoen, is het volgende nodig:

• Bedrijven en organisaties moeten duidelijke eisen stellen bij de inkoop IT-diensten, en doe uw eigen due diligence bij het kiezen van leveranciers.
• Overheden en grotere bedrijven moeten ervoor zorgen dat kleinere leveranciers de begeleiding en middelen krijgen die ze nodig hebben om hun beveiligingsroutines op te bouwen.

In een onzekere tijd van oorlog in Europa en het Midden-Oosten, waar georganiseerde cyberoorlogvoering steeds gebruikelijker wordt, kan Zweden het zich niet veroorloven om stil te blijven staan. Om de digitale veiligheid van bedrijf Als individuen en organisaties moeten we doen wat nodig is om de kloof in beveiligingsvolwassenheid tussen bedrijven te dichten. Dit vereist concrete ondersteunende maatregelen.

Het alternatief is om Russisch roulette te blijven spelen met de Zweedse cyberveiligheid. De vraag is: kunnen we ons dat risico veroorloven?