Het verminderen van het risico AVG begint in de inbox

E-mail vormt een groot risico voor de gegevensbeveiliging, omdat het een van de meest gebruikte toegangspunten tot een bedrijf is. Of het nu gaat om gegevens in de inbox van de gebruiker, gedeelde mailboxen, toegang tot schijven of systemen van derden zoals CRM-platforms: de inbox kan het startpunt zijn voor tal van inbreuken. 

Een e-mailinbreuk vormt een toegangspoort tot de gegevens van uw bedrijf

Een van die gevallen betrof eenadvocatenkantoor dat via een Outlook-e-mailaccount was gehackt.De aanvaller kon vervolgens betalingen die bestemd waren voor begunstigden in een erfrechtzaak omleiden. 

Daarom is een solide beveiligingsaanpak die begint bij de inbox niet alleen essentieel voor de algehele beveiliging, maar helpt deze uw bedrijf ook rechtstreeks bij het nakomen van zijnAVG . 

Dit is echter geen uitdaging die alleen met technologie kan worden opgelost. Er zijn de juiste hulpmiddelen nodig, in combinatie met goed opgeleide gebruikers, die samenwerken aan een gecoördineerde aanpak van e-mailbeveiliging. 

Mensen zijn de grootste oorzaak van datalekken — begin daar 

Naar schatting 90% van de beveiligingsinbreuken wordt veroorzaakt door menselijke fouten, dus daar ligt de grootste ruimte voor verbetering. Nue-mailbedreigingen steeds geavanceerder en gerichter worden, is het belangrijker dan ooit dat gebruikers weten waar ze op moeten letten bij phishingaanvallen.  

Datatilsynet, de Deense gegevensbeschermingsautoriteit, meldt vergelijkbare bevindingen en schrijft meer dan 80% van de recente incidenten toe aan menselijke fouten. Daarvan was phishing de belangrijkste oorzaak van inbreuken.   

Hieruit blijkt duidelijk dat een goede beveiliging begint bij je gebruikers:   

• Zorg voor effectieve training. Eenmalige, formele naleving per jaar is niet voldoende. Trainingen moeten actueel en boeiend zijn en regelmatig worden gegeven. Met hulpmiddelen die trainingen kunnen automatiseren en inhoud aanbieden die blijft hangen, kunnen gebruikers beter omgaan met de bedreigingen waarmee hun inbox te maken heeft. Ondersteun dit met quizzen om te testen wat ze onthouden hebben en om zwakke punten op te sporen.  

• Breng de training in de praktijk. Maak phishingsimulaties die verder gaan dan de theorie en kijk hoe gebruikers reageren op phishingpogingen in hun inbox. Ontdek welke pogingen gebruikers mogelijk hebben misleid en breng hiaten in de training aan het licht, zodat u uw aanpak kunt verbeteren.  

• Rapporteer en pas aan. Hoe groter de organisatie, hoe meer gegevens je kunt gebruiken. Identificeer trends, houd testscores bij en ontdek waar gebruikers in de praktijk tegenaan lopen. Het is niet alleen een nuttige bron van bruikbare informatie, maar het toont ook een cultuur van training en duidelijke processen aan, die beide vereist zijn voorrichtlijnen zoals NIS2.  

Goede gegevenspraktijken vormen de basis voor AVG 

Naast het trainen van gebruikers in het herkennen van bedreigingen, is het van cruciaal belang om AVG in het dagelijks gedrag te verankeren. Dit helpt problemen te voorkomen voordat een phishingpoging tot een incident leidt. 

VoorAVG is het de moeite waard om bepaalde gedragingen met betrekking tot gegevens specifiek te benadrukken. Het gaat hier om bedrijfsmiddelen en die moeten ook als zodanig worden behandeld. 

Bij een datalek telt elke seconde. Goede gegevensgewoonten kunnen de gevolgen van een aanval gedeeltelijk beperken en zorgen er in ieder geval voor dat de blootstelling tijdens een incident wordt vertraagd. 

• Moedig het gebruik van bedrijfssystemen aan. Gegevenskomen vaak verspreid terecht in spreadsheets, papieren dossiers en persoonlijke opslagruimtes. Dit maakt het moeilijker om ze te beveiligen en te beheren. Zorg ervoor dat gebruikers door het bedrijf goedgekeurde tools gebruiken, zoals CRM-systemen, marketingsystemen en ticketingsystemen, om hun gegevens op te slaan. 

• Stuur nooit gevoelige gegevens via e-mail, ook niet intern.Zelfs intern zorgt e-mail voor blijvende kopieën die moeilijk te controleren zijn. Sla gegevens op in gecentraliseerde systemen zoals CRM-platforms of SharePoint. Gebruik bij het extern delen gecontroleerde mechanismen waarmee de toegang kan worden gecontroleerd en ingetrokken. Moedig intern het delen via SharePoint of OneDrive aan. Alle gegevens die tijdelijk voor een specifiek doel worden opgeslagen, moeten worden verwijderd zodra het doel is bereikt.   

• Pas waar nodig bewaarbeleid toe.Op bedrijfsniveau kunt u regels voor het bewaren van gegevens vaststellen en gebruikers tegelijkertijd de mogelijkheid bieden om de bewaartermijn van e-mails handmatig te beperken. Als een e-mail gevoelige informatie bevat die slechts voor een kortstondig doel dient, moedig gebruikers dan aan om zelf een strenger bewaarbeleid in te stellen voor de verzonden e-mail. 

De beste poging tot inbraak is er een die de inbox nooit bereikt

U hebt uw teams getraind, trainingen gegeven en rapporten opgesteld. Het moet echter uw eerste verdedigingslinie blijven om te voorkomen dat phishingpogingen überhaupt de inbox van een gebruiker bereiken. 

Tijdens het Kaseya Local Connect-evenement in Londen kwamen MSP’s het podium op omte bespreken hoe de toenemende dreiging van e-mailsgrotendeels te wijten was aan AI. Ze benadrukten echter ook dat AI net zo belangrijk is bij de verdediging daartegen. 

AI kan conversatieanalyses uitvoeren om de bedoeling van een e-mail te achterhalen, QR-codes scannen om verborgen URL’s op te sporen en te openen, en met behulp van machine learning eerdere spam- en phishing-e-mails herkennen en zich direct aanpassen aan toekomstige inkomende e-mails. 

Je kunt gebruikers ook regelmatig een handje helpen doore-mails in categorieën in te delen en hun risiconiveau aan te geven, zodat ze bij elk bericht rekening houden met de beveiliging. 

Storingen kunnen veel geld kosten

Organisaties kunnen bij overtreding van AVG een boete krijgen van maximaal 4% van de wereldwijde jaaromzet of 20 miljoen euro (of 17,5 miljoen pond). Ook de reputatieschade kan verwoestend zijn. 

E-mailbeveiliging is slechts één onderdeel van AVG , maar wel een cruciaal onderdeel. Uit een onderzoek van Kaseya bleek dat 56% van de kleine en middelgrote ondernemingen te maken had gehad met phishingberichten, waarbij 40% aangaf eerder te maken te hebben gehad met incidenten op het gebied van Business Email Compromise (BEC). Tegen die achtergrond wordt de kans op een AVG steeds groter.  

 Of u nu een bedrijf bent dat zijn naleving AVG NIS2 wil verbeteren, of een MSP die diensten aan zijn klanten levert, uw prioriteiten zijn min of meer dezelfde. Handmatige processen volstaan niet, en u kunt niet uitsluitend vertrouwen op menselijk gedrag of op technologieën alleen. 

Een gecombineerde aanpak is essentieel. In elke fase moet u ernaar streven uw trainingen, rapportages en mogelijkheden voor dreigingsdetectie te automatiseren, om ervoor te zorgen dat het technologische aspect van uw aanpak naar behoren functioneert in het kader van AVG .