Gebrek aan informatie bemoeilijkt de aanpak van cyberveiligheid

Het is vaak onduidelijk wat de financiële én maatschappelijke gevolgen van digitale aanvallen en spionage zijn. Deze onduidelijkheid wordt veroorzaakt doordat organisaties:

1) niet iedere aanval opmerken;

2) niet iedere aanval publiek bekend willen maken; en

3) niet altijd kunnen inschatten wat de gevolgen zijn van een aanval op de lange termijn.

Bedrijven en overheid hebben daardoor een onvolledig beeld van de kosten en baten van investeringen in cyberveiligheid. Het investeringsniveau kan dan te hoog of te laag zijn. Dit staat in de Risicorapportage cyberveiligheid economie 2019 (pdf 41 pagina’s) die het Centraal Planbureau (CPB) zojuist publiceerde.

Hoewel bedrijven meer maatregelen nemen om hun ICT te beschermen, lijken de risico’s op maatschappelijke schade door cyberincidenten in de toekomst te stijgen door toenemende digitalisering. Het is onduidelijk welke maatregelen vanuit de overheid effectief zijn om de cyberveiligheid te waarborgen. Dit probleem doet zich bijvoorbeeld voor bij de borging van de veiligheid van vitale processen. Door de toenemende digitalisering en de verknoping tussen vitale processen (zoals de drinkwatervoorziening en de luchtverkeersleiding) en andere ‘niet-vitale’ processen (zoals hostingbedrijven of softwareleveranciers) is het onderscheid tussen die twee typen processen steeds moeilijker te maken.

(Bron CPB - 2019)

De risico's op ontwrichtende cyberincidenten zijn niet afgenomen. Vitale processen zijn afhankelijk van ICT. Technologische ontwikkelingen zoals 5G zullen deze afhankelijkheid van digitale processen, zowel binnen als buiten de vitale infrastructuur, alleen maar vergroten

Een ander voorbeeld is de overheidsvoorlichting over cyberveiligheid. De effectiviteit hiervan is onbekend en, doordat er meerdere voorlichtingskanalen naast elkaar bestaan, bestaat het risico op versnippering. Het gebrek aan goed inzicht in cyberrisico’s vormt ten slotte een belemmering voor de verdere ontwikkeling van een verzekeringsmarkt. Zonder betrouwbare gegevens over risico’s kunnen verzekeraars geen risico-gebaseerde premie aanbieden en kunnen bedrijven geen cyberverzekering afsluiten.

De snelle ontwikkelingen op het gebied van kunstmatige intelligentie (KI=AI= Artificial Intelligence) zorgen voor nieuwe risico’s, maar ook voor nieuwe kansen voor cyberveiligheid. Onzekerheid en onvolledige informatie bemoeilijken beleid voor cyberveiligheid. Het versplinterde landschap van initiatieven op het gebied van samenwerking en voorlichting kan informatievoorziening belemmeren. Nederlandse bedrijven hebben in het afgelopen jaar meer maatregelen genomen ter verhoging van weerbaarheid. Huishoudens blijven kwetsbaar: 8,5 procent was in 2018 slachtoffer van een digitaal misdrijf.