86 procent van de kleine en middelgrote bedrijven kreeg het voorbije jaar te maken met minstens één cybersecurityincident. Phishing, misbruik van softwarekwetsbaarheden en externe toegang waren de meest voorkomende aanvalsvectoren.
Kaspersky baseert zich voor zijn onderzoek op 1.800 gesprekken met IT-beveiligingsspecialisten in achttien landen van zowel organisaties met minder dan 500 werknemers als grotere ondernemingen. Gemiddeld kreeg elke organisatie te maken met drie verschillende soorten beveiligingsincidenten. Bijna negen op tien kmo’s kreeg te maken met minstens een aanval.
Kmo’s blijven doelwit van aanvallers
Slechts 14 procent van de bedrijven met minder dan 500 werknemers bleef het voorbije jaar incidentvrij. Phishing trof twintig procent van de kmo’s, gevolgd door het misbruiken van softwarekwetsbaarheden met zeventien procent en externe toegang met zestien procent. Ook zero day-exploits en aanvallen via vertrouwde relaties kwamen voor, telkens bij acht procent van de organisaties.
De verdeling van incidenten verschilde weinig volgens bedrijfsgrootte. Massale malware, ransomware, zakelijke e-mailfraude en misbruik van kwetsbaarheden in AI kwamen wel iets vaker voor bij ondernemingen met meer dan 500 werknemers. Volgens Kaspersky maakt de digitalisering van kleinere bedrijven hen aantrekkelijker voor aanvallers, terwijl de kost om aanvallen uit te voeren daalt.
Menselijke factoren wegen zwaar
De belangrijkste risicofactoren liggen volgens de respondenten bij mensen en processen. 24 procent wees op een gebrek aan expertise bij IT-beveiligingsmedewerkers, terwijl 23 procent onvoldoende veiligheidsbewustzijn bij niet-technische werknemers aanhaalde. Onvoldoende beveiligingsbeleid en verouderde software of hardware kregen elk 21 procent.
Bedrijven reageren daarop met extra investeringen. Zeventig procent wil de IT-beveiligingsfunctie versterken en 75 procent van de kmo’s verhoogde dit jaar al het cybersecuritybudget. 41 procent gebruikt extra geld voor IT- en beveiligingsteams, terwijl dertig procent investeert in oplossingen zoals XDR, NDR en SIEM. Kaspersky wijst tegelijk op budgetbeperkingen en het tekort aan beveiligingsexperts.
Aandacht voor processen en opleiding
Kaspersky raadt bedrijven aan toegangsrechten strikt te beheren en die bij het vertrek van werknemers meteen in te trekken. Dagelijkse back-ups moeten kritieke data beschermen tegen incidenten en ransomware. Daarnaast zijn eenvoudige richtlijnen voor wachtwoorden, veilig surfen en nieuwe software nodig.
Opleiding moet werknemers leren om phishing, deepfakes en vishing te herkennen. Kaspersky verwijst ook naar oplossingen voor kleine kantoren, grotere IT-omgevingen en organisaties die externe monitoring nodig hebben. De aanbevelingen tonen vooral dat technologie alleen niet volstaat: processen, kennis en opvolging bepalen mee hoe groot de schade wordt.
De cijfers tonen dat kleinere bedrijven niet langer buiten beeld blijven. Aanvallers gebruiken vergelijkbare methodes tegen kmo’s en grote ondernemingen, terwijl menselijke fouten en verouderde systemen toegang blijven bieden. Extra budgetten kunnen helpen, maar zonder duidelijke processen en opleiding blijven nieuwe beveiligingslagen kwetsbaar.