Cybercrime, zoals hacking, ransomware en phishing, zijn in de eerste helft van 2019 de oorzaak van slechts 4% van de datalekken die bij de Autoriteit Persoonsgegevens zijn gemeld. Toch krijgen de meeste bedrijven klamme handen bij de gedachte aan één van deze incidenten. En met reden: datalekken door kwaadwillend handelen van derden zijn juist de beveiligingsincidenten die organisaties vaak de meeste schade toebrengen. “Deze vorm van criminaliteit is sterk in opkomst, met name het fenomeen ransomware”, vertelt Rosalie Brand, advocaat bij Kennedy Van der Laan.
Wat is ransomware?
Ransomware is een verzamelterm voor kwaadaardige software (malware) die een computer, server of database binnendringt en versleutelt. Vervolgens houdt de software de gegevens ‘gegijzeld’ totdat losgeld wordt betaald. “Deze vorm van cybercriminaliteit is geen fictie of ver-van-mijn-bed show”, zegt Brand. Talloze organisaties zijn er al slachtoffer van geworden, waaronder ziekenhuizen, banken, gemeenten en rechtbanken. Eind september gaf een Deense hoortoestellenfabrikant aan dat ze door een ransomware infectie tussen de EUR 75 miljoen en EUR 85 miljoen aan schade verwacht te hebben geleden. In 2017 veroorzaakte het Non-Petya virus voor een wereldwijde schade van ongeveer $10 biljoen.
Een ransomware aanval kan op verschillende manieren schade veroorzaken
Ten eerste, lijdt een bedrijf in bijna alle gevallen schade doordat de bedrijfsvoering nagenoeg altijd (tijdelijk) stil komt te liggen. Dit komt doordat de data hersteld moet worden met back-ups. Indien dit niet mogelijk is, dient er een besluit te worden genomen over het wel of niet betalen van losgeld. Daarnaast dient de data altijd gecontroleerd te worden op juistheid. Vaak heeft dit gedurende een langere periode effect op een bedrijf. Bijvoorbeeld in de vorm van misgelopen verkoop en afgeremde groei. Ten tweede, wat minder meetbaar is, maar net zo belangrijk, is de mogelijke reputatieschade. Een cyberincident kan anderen laten twijfelen aan de betrouwbaarheid van een organisatie. Kennelijk heeft de organisatie de beveiliging niet zo goed op orde. Tot slot, ransomware aanvallen kwalificeren vaak ook als datalekken die gemeld moeten worden bij de Autoriteit Persoonsgegevens.
Wacht, een datalek?
“Ja, als er persoonsgegevens betrokken zijn bij de ransomware aanval, zoals HR-gegevens, is in de regel sprake van een datalek’, zegt Brand. In dat geval is snel handelen geboden. Een datalek moet binnen 72 uur gemeld worden bij de Autoriteit Persoonsgegevens. Is bij de datalek mogelijkerwijs ook een hoog risico voor de rechten en vrijheden van de personen van wie het de gegevens betreft? In dat geval moet er ook aan die personen gemeld worden.
Boetes en publieke bekendmaking van datalekken
De drie dagen om te melden aan de toezichthouder lijkt misschien lang. In de praktijk is dat vaak juist erg kort. Niet alleen dienen de juiste personen in de onderneming te worden geïnformeerd. Ook is het noodzakelijk onderzoek en verschillende (risico)inschattingen te doen en besluiten te nemen. Dat deze besluiten van belang zijn, toont de boetepraktijk van toezichthouders. Uber kreeg in Nederland EUR 600.000 boete voor een niet gemeld datalek. In het Verenigd Koninkrijk zijn boetes van EUR 110 miljoen en EUR 205 miljoen opgelegd voor (tijdig) gemelde datalekken. Daarnaast kan door de melding aan de betrokkenen het datalek publiek bekend worden.
First Response Team biedt hulp bij een cyberincident
Met behulp van een First Response Team, zoals aangeboden via de Cyberverzekering van MS Amlin, kan uw organisatie na een cyberincident meteen in actie komen. Zo kunt u de eerste 72 uur optimaal benutten, weloverwogen beslissingen nemen en negatieve gevolgen van een cyberincident beperken.
Meer weten over ransomware?
Neem contact op met Rosalie Brand.
