4.6.2Cybersecurity

Cybersecurity verwijst naar het beschermen van computers, servers, netwerken, mobiele toestellen, software, elektronische systemen en data tegen cyberaanvallen. Een cyberaanval is een kwaadwillige inbreuk op de veiligheidssystemen van een onderneming met als motief computersystemen onklaar te maken of persoonlijke of confidentiële gegevens te verkrijgen. Cyberaanvallen zijn er in diverse gradaties, gaande van phishing (frauduleuze berichten) of malware (kwaadaardige software), tot hacking en DDoS (distributed denial-of-service) waarbij netwerksystemen worden geïnfiltreerd of zelfs vergrendeld.

De mate van cybersecuritymaturiteit van ondernemingen wordt in belangrijke mate bepaald door een combinatie van maatregelen. Ten eerste kunnen ondernemingen technische maatregelen nemen, zoals toegangscontrole instellen of cryptografie gebruiken om bedrijfsgegevens te beschermen. Ten tweede kunnen ondernemingen opleidingen voorzien om de kennis en het bewustzijn omtrent het beschermen van informatie, toestellen, systemen en netwerken bij het management en de medewerkers te verhogen. Ten derde kunnen ondernemingen verschillende beheerprocedures implementeren waarmee ICT- en operationele systemen worden gebruikt, beheerd en onderhouden. De cybersecuritymaturiteit van een onderneming neemt toe naarmate het bedrijf op elk van deze drie domeinen maatregelen neemt.

Figuur 3 geeft de adoptiegraad van het aantal cybersecuritymaatregelen (i.e., technische maatregelen en/of opleidingen) weer. Het aandeel ondernemingen met geen of een gering aantal cybersecuritymaatregelen is aanzienlijk en blijft vrijwel stabiel overheen de beschouwde periode. Daartegenover staat dat het aandeel ondernemingen met het maximaal aantal cybersecuritymaatregelen een lichte stijging vertoont. Ondernemingen kunnen een breed spectrum aan technische maatregelen nemen om een hogere cyberveiligheid te bewerkstelligen. Deze maatregelen gaan van eerder basis (zoals paswoordauthenticatie of software-updates) tot vrij geavanceerd (bijvoorbeeld biometrische authenticatie of encryptietechnieken). Al naargelang de complexiteit vertoont de adoptie van deze technische maatregelen sterke verschillen. Het regelmatig doorvoeren van software-updates, te beschouwen als een basismaatregel, wordt het meest toegepast. Een bijna even vaak toegepaste maatregel is het maken van een data back-up naar een aparte locatie of in de cloud. Een protocol voor toegangsbeheer tot het ondernemingsnetwerk voor toestellen of gebruikers, sterke paswoordauthenticatie, en Virtual Private Networks (VPN’s) zijn eveneens stevig verankerd in de bedrijfswerking De adoptie van meer geavanceerde technische maatregelen is minder verspreid. Concreet gaat het hierbij om maatregelen rond het bijhouden van log files om cyberaanvallen te analyseren, periode ICT-veiligheidsanalyse, en ICT-veiligheidstesten. Een minderheid past encryptietechnieken toe op data, documenten en/of e-mals of gebruikt biometrische technieken ter identificatie en authenticatie van gebruikers (vingerafdrukken, stem- en/of gezichtsherkenning). Minder dan de helft van de Vlaamse ondernemingen biedt zijn werknemers opleidingen of activiteiten aan om hen bewust te maken van het belang van cybersecurity.

Figuur 4 geeft de implementatiegraad van vijf beheerprocedures weer. Deze beheerprocedures –onderdeel van het NIST-kader – beslaan vijf elementen van een systematische cybersecuritybeleid (identificeren, beschermen, detecteren, reageren, herstellen) die cumulatief ondernemingen helpen cyberaanvallen te identificeren en detecteren en richtlijnen bieden om preventief en reactief te antwoorden op cyberaanvallen en er van te herstellen. Terwijl procedures om te beschermen tegen cyberaanvallen en te herstellen van cyberaanvallen geïnstalleerd zijn bij de meerderheid van de Vlaamse ondernemingen, ligt de implementatiegraad van procedures om cyberaanvallen te detecteren, veiligheidsrisico’s te identificeren en te reageren op cyberaanvallen aanzienlijk lager.

Voor meer informatie over de bevraging en resultaten, verwijzen we naar de volgende rapporten:

Andries, P., Evens, T., Maes, M., Reynaerts, J., Schuurman, D., & Georges, A. (2021). CS barometer: maturiteit in cybersecurity bij Vlaamse bedrijven.

Andries, P., Lecocq, C., Standaert, T., & Evens, T. (2023). Cybersecurity-barometer. Cybersecurity-maturiteit bij Vlaamse bedrijven. Situatie 2022.

Standaert, T., Lecocq, C., Andries, P., & Evens, T. (2024). CS-barometer. Maturiteit in cybersecurity bij Vlaamse bedrijven. Situatie 2023.

Standaert, T., Lecocq, C., Andries, P., & Evens, T. (2025). CS-barometer. Maturiteit in cybersecurity bij Vlaamse bedrijven. Situatie 2024.