Nou vraag ik me af of deze aanvallen ook daad werkelijk aan het NCSC gemeld zijn :P.

Als ik het rapport (9 bladzijden) lees, dan vraag ik me toch af wat er nu precies gemeten is. De eerste vraag legt al een voedingsbodem voor onduidelijkheid:

1. Bent u bekend met het fenomeen cybercrime?

Wat is echter cybercrime? Wat valt er wel onder, wat valt er niet onder? Als ik het aan 10 CIO's vraag, dan hebben ze allemaal een andere definitie, mede doordat het bijna een hype status heeft verkregen en is gekaapt door sales mensen die er "een oplossing voor hebben". Valt het meenemen van bestanden op USB stick door eigen of externe medewerkers hieronder? Is de scope beperkt door mensen in de boze buitenwereld die de vertrouwelijkheid, integriteit of beschikbaarheid van data/ systemen/ applicaties willen schaden? Het bewust beschadigen van de naam van de organisatie, is dat ook cybercrime?

De opmerking "Bijna 81% zegt dat het niet met aanvallen van internetcriminelen te maken kreeg." is grappig. De security monitoring van het middenbedrijf is slecht geregeld, zonder enige twijfel. Ook als de security monitoring is uitbesteed aan hiervoor "gespecialiseerde bedrijven" is het niveau om te huilen. Verkeerde triggers die zijn ingesteld, verkeerde events die worden gemonitord, geen technical state monitoring, processen niet ingericht, rapportages die ontbreken of die onbelangrijke dingen weergeven waar niemand wat mee kan, event collectors die problemen veroorzaken en ga zo maar door. Het middenbedrijf weet niet eens wanneer ze worden gehackt, zeker niet als een aanvaller eventuele bewijslast netjes opruimt en low profile op het systeem te werk gaat in plaats van zich richt op b.v. defacements.

Ik ben benieuwd hoe anderen dit onderzoek beoordelen.

Ik ben het met Overcome eens. Een groot deel van de 81% weet niet dat ze slachtoffer van cybercrime zijn geweest.

"De opmerking "Bijna 81% zegt dat het niet met aanvallen van internetcriminelen te maken kreeg." is grappig."

Dat is ook maar net hoe je zo'n vraag interpreteert. Gaat het alleen om gerichte aanvallen, of ook wanneer je bijvoorbeeld een generiek spam/phishing mailtje hebt ontvangen. Het feit dat 81% op de vraag 'nee' antwoord wil helemaal niet zeggen dat deze mensen (allemaal) dom en onwetend zijn.

Durf zelfs te stellen dat er niet 1 onderneming zelf, of via een medewerker, te maken heeft gehad met cybercrime. Zoals hierboven al is gemeld: ze weten het simpelweg niet. Dat is het trieste ervan.

Overcome slaat de spijker op zijn kop.

Vergeet niet dat inzicht ook enorm slecht is, een middenbedrijf weet niet eens wat er zich op het netwerk, de server(s) of de WIFI af speelt want daar heeft een middenbedrijf de resources niet voor. "Uitbesteed aan hiervoor gespecialiseerde bedrijven" is een maandelijkse mcAffee web-scan op de webshop, that's it :P