Informatiebeveiliging en cyberrisico’s één van belangrijkste risico’s voor financiële instellingen

Gepubliceerd op 6 januari 2022 om 15:00

De Nederlandsche Bank ziet informatiebeveiliging en de daarmee samenhangende cyberrisico’s als een van de belangrijkste strategische risico’s bij financiële instellingen. Dat blijkt uit de 2021 editie van DNB’s IB-monitor. De toezichthouder stelt dat ruim 15% van de Nederlandse pensioenfondsen en verzekeraars het afgelopen jaar te maken heeft gehad met aanzienlijke financiële schade door beveiligingsincidenten en datalekken.

Daarnaast kampte ruim 5% van de instellingen in dezelfde periode met een geslaagde cyberaanval. DNB merkt op dat cyberaanvallen in frequentie toenemen en dat eveneens de ontwrichtende impact van deze aanvallen toeneemt. In de IB-monitor 2021 presenteert de toezichthouder zijn bevindingen op het gebied van informatiebeveiliging en cyberrisico’s, gebaseerd op toezichtonderzoeken en -uitvragen binnen de Nederlandse financiële sector.

Risico management cyclus informatie beveiliging

Zo concludeert DNB dat de risicomanagement cyclus binnen instellingen gericht op informatiebeveiliging onvoldoende effectief is. Volgens de toezichthouder wordt er niet altijd (of tijdig) geëvalueerd of het risicomanagement-raamwerk voldoende toereikend is om daadwerkelijk fundamentele verbeteringen in de beheersing door te voeren en om het effect ervan op informatie beveiligingsrisico’s te meten. Daarnaast maakt het informatie beveiligingsrisico volgens de toezichthouder vaak geen integraal onderdeel uit van het overkoepelende risicomanagement-raamwerk van een organisatie.

“Het beheersen van informatiebeveiliging in de gehele uitbestedingsketen is cruciaal” zo luidt een tweede conclusie uit het rapport. DNB beaamt dat uitbesteding en ketensamenwerking niet meer weg te denken zijn uit de bedrijfsvoering van financiële systemen, maar dat het beheersen van informatiebeveiliging bij uitbesteding specifieke kennis en maatregelen vergt. De toezichthouder waarschuwt echter dat instellingen moeite (kunnen) hebben om deze beheersing van de gehele keten inzichtelijk en adequaat in te richten.

Tot slot concludeert DNB dat de weerbaarheid tegen cyberaanvallen versterkt moet worden. “De combinatie van preventieve, detectieve en correctieve maatregelen én het uitvoeren van cyber resilience testen is voor instellingen van groot belang om weerbaar te zijn tegen cyberaanvallen en de gevolgen hiervan te beperken”, schrijft de toezichthouder. Een deel van de instellingen heeft hiervoor (op onderdelen) geen volwassen beheersmaatregelen ingericht, stelt DNB.

DNB ziet verdere samenwerking binnen de sector als essentieel om voldoende weerbaar te zijn. “Dat is ook begrijpelijk, want aanvallers werken steeds geraffineerder en aanvallen worden steeds complexer. Daarnaast vragen wij aandacht voor en zien we ruimte voor verbetering van kennis binnen het bestuur en intern toezicht, om het onderwerp informatiebeveiliging voldoende te borgen."

Recent gerapporteerde kwetsbaarheden met potentieel grote impact onderschrijven volgens de toezichthouder het belang voor een goed fundament op gebied van informatiebeveiliging, in de gehele uitbestedingsketen, alsook de noodzaak tot samenwerking met partijen.

Sterk fundament

Tot slot stelt DNB dat technologie in alle activiteiten een grote rol speelt in praktisch alle activiteiten van financiële instellingen. Om het hoofd te kunnen bieden aan ontwikkelingen in cyberbedreigingen, is het voor hen dan ook van groot belang dat zij kunnen steunen op een sterk fundament van informatiebeveiliging. “Een fundament dat enerzijds een solide structuur vormt om de beheersing van risico’s te organiseren maar anderzijds ook meebeweegt met actuele ontwikkelingen.”

“Beheermaatregelen hierin zijn niet statisch”, vervolgt DNB zijn uitleg. “Van belang blijft een risicogebaseerde aanpak die ertoe leidt dat beheersmaatregelen worden aangepast aan de trend van toenemende cyberdreigingen. Net als de ESG-factoren is de Technologie (‘T’)-factor een onderwerp die bij instellingen het afgelopen jaar meer centraal stond in het bepalen van (beleids)beslissingen.”

De volledige analyse van het onderzoek kunt u hier onder bekijken of downloaden.

Ib Monitor 2021
PDF – 667,5 KB 215 downloads

Bron: dnb.nl, banken.nl

Actuele aanvallen overzicht per dag

Ernstige kwetsbaarheden

 

Meer rapporten bekijken of downloaden

 

Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met de politie. Telefonisch via het nummer 0900-8844 of online via het meld formulier. Uiteraard kunt u daarnaast ook tips melden bij Cybercrimeinfo.

Meer nieuws

Ransomware weekoverzicht 09-2021

REvil Ransomware bende lanceerde een service voor contact met nieuwsmedia: "Voor de beste afpersing zonder kosten en met DDoS functionaliteit", 15 scholen in Nottinghamshire verlamd door een cyberaanval en ransomware kost Amerikaanse ziekenhuisketen 67 miljoen dollar. Hier het overzicht van de nieuwste ransomware vormen en het nieuws van dag tot dag.

Lees meer »

Cybercrime nieuwsbrief 148 (week 09-2021)

Zeroday exploits in Microsoft Exchange Server worden actief misbruikt in Nederland, niet alle 'Virtual Private Networks' zijn veiligen een match made in heaven (of hel?): verliefd op een dating fraudeur. Dit en meer lees je in nieuwsbrief 148. Nog niet ingeschreven voor deze gratis nieuwsbrief over cybercrime en darkweb? Schrijf je dan hier in.

Lees meer »

Digitale fraude, oplichting meldingen week 09-2021

Het melden van 'digitale oplichting' pogingen is belangrijk, door het melden kunnen we andere potentiële slachtoffers behoeden voor het te laat is. Heb je een phishing mail, smishing bericht of werd je gebeld en vertrouw je het niet? Laat het ons, of onze collega's van Opgelicht?!, Radar, Kassa, of Fraudehelpdesk dan weten, want Samen bestrijden we cybercrime / digitale fraude. Liever anoniem? Klik dan hier. Ben je slachtoffer geworden van oplichting doe dan 'altijd' aangifte bij de politie.

Lees meer »

De slechtste wachtwoorden van 2020

De hitparade van de slechtste wachtwoorden van het jaar is al een soort traditie geworden. Weet je nog dat we in 2019 een beoordeling van de 100 meest ongelukkige hebben gepubliceerd? 2020 zal geen uitzondering zijn, vooral omdat experts meer dan 5 miljard gelekte wachtwoorden hebben geanalyseerd en er iets is om verrast te worden.

Lees meer »

Kiezen tussen twee kwaden

Ambtenaren van het ministerie van Justitie en Veiligheid werken nog altijd aan een plan om encryptie af te zwakken. Daardoor willen ze berichten kunnen onderscheppen en inzien om cybercriminelen aan te pakken. Het onderwerp wordt pas na de verkiezingen behandeld, wat betekent dat het aan een volgend kabinet is om al dan niet iets met de plannen te doen.

Lees meer »

Een match made in heaven (of hel?): verliefd op een dating fraudeur

Veel mensen zijn actief op dating websites en apps. Juist nu, in een tijd waarin het lastig is om nieuwe mensen te ontmoeten door de corona-regels bieden zulke platforms een uitkomst. Ze vereenvoudigen de zoektocht naar liefde: met een paar muisklikken kunnen singles uit heel Nederland bereikt worden. Voor velen met succes, want steeds meer koppels ontmoeten elkaar online. Op het internet is echter niet alles wat het lijkt. De prins of prinses op het witte paard kan online oprecht overkomen, maar eigenlijk helemaal niet bestaan. Dat is waar dit artikel over gaat: online dating fraude.

Lees meer »

Niet alle 'Virtual Private Networks' zijn veilig

De persoonsgegevens van 21 miljoen gebruikers van SuperVPN, GeckoVPN en ChatVPN zijn buitgemaakt door een hacker. Hij biedt hun gegevens te koop aan op een populair forum voor hackers. Een klein deel van de gestolen gegevens was al opgenomen in de database van Have I Been Pwned.

Lees meer »