Grote bedrijven worden bovengemiddeld vaak getroffen door cyberaanvallen. Bij bedrijven met 250 of meer werkzame personen werd 39 procent minimaal één keer getroffen door een cyberaanval in 2016, zoals een hack of DDoS-aanval. Van de bedrijven met 2 tot 10 werkzame personen werd 9 procent dat jaar geconfronteerd met een ICT-incident dat van buitenaf werd veroorzaakt. Dit meldt het CBS op basis van de Cybersecuritymonitor 2018.
Voor beide groepen bedrijven geldt dat dergelijke incidenten bij de helft tot kosten hebben geleid. Verder blijkt uit de Cybersecuritymonitor dat van de bedrijven met 250 of meer werkzame personen 23 procent last had van uitval van bedrijfsprocessen door cyberaanvallen van buitenaf. Bij kleine bedrijven met 2 tot 10 werkzame personen was dat 6 procent. Van alle ICT-incidenten kwam uitval door storingen bedrijven van elke omvang het meeste voor. Ook daar hadden grotere bedrijven met 55 procent meer last van dan kleine bedrijven (21%).
Kans op incident groter bij groot bedrijf
ICT-incidenten kunnen in de definitie van het CBS zowel ontstaan door een aanval van buitenaf als door een interne oorzaak - zoals verkeerd geïnstalleerde soft- of hardware of onbedoelde onthulling van gegevens door een medewerker. Dat grotere bedrijven meer last hebben van ICT-incidenten, kan samenhangen met het feit dat daar meer mensen met een computer werken, wat de kans op incidenten groter maakt. Daarnaast hebben grotere bedrijven ook vaak een complexere ICT-infrastructuur, waarmee meer mis kan gaan.
Het aantal ICT-incidenten verschilt per bedrijfstak. Zo geven vooral de kleine bedrijven in de ICT-sector (12 procent) en de industrie (10 procent) vaak aan last te hebben van ICT-incidenten door aanvallen van buitenaf. Kleine bedrijven in de horeca (6 procent) en de gezondheids- en welzijnszorg (5%) hadden minder vaak te kampen met cyberaanvallen.
Bij kleiner bedrijf vaker interne oorzaak
Ten opzichte van grotere bedrijven hebben ICT-incidenten bij kleine bedrijven vaker een interne oorzaak. Bij kleine bedrijven met 2 tot 10 werkzame personen hadden twee op de drie ICT-incidenten een interne oorzaak. Bij grotere bedrijven met 250 of meer werkzame personen was dat twee op de vijf. ICT-incidenten bij kleine bedrijven in de gezondheids- en welzijnszorg hadden het vaakst een interne oorzaak (84%). Bij de ICT-sector is dit aandeel 60 procent.
Van de bedrijven met een ICT-incident meldt 7 procent dit bij één of meerdere instanties zoals de politie, de Autoriteit Persoonsgegevens, een securityteam of hun bank. De grootste bedrijven melden ICT-incidenten veel vaker (41%) dan de kleinste bedrijven (6%). Grote bedrijven melden deze ICT-incidenten het vaakst bij de AP (een datalek dient verplicht gemeld te worden). Daarna worden bij de politie de meeste meldingen gedaan. De kleinste bedrijven melden incidenten het vaakst bij hun bank.
Hoe kleiner hoe onveiliger
Kleine bedrijven krijgen minder vaak met ICT-incidenten te maken en treffen in vergelijking met grote bedrijven minder veiligheidsmaatregelen. Gedacht moet worden aan het installeren van antivirussoftware, een beleid voor sterke wachtwoorden en authenticatie via een software- of een hardware-token. Van de kleine bedrijven neemt 60 procent drie of meer van de gevraagde maatregelen, terwijl dit voor de bedrijven met 250 of meer werkzame personen 98 procent is.
