Modemerk Xandres: “Cyberveiligheid is een verplichting aan je klanten”

Bedrijfscontinuïteit

De IT-infrastructuur van Xandres is heel divers. Bart Heyvaert: “We hebben de klassieke kantoor-IT, maar ook systemen voor onze winkels, ons ERP-systeem, onze webshop en B2B-omgeving en verschillende koppelingen met externe partners.” Als bepaalde systemen uitvallen, heeft dat al snel een impact op de werking van het bedrijf: “Cyberveiligheid gaat voor ons over meer dan data beschermen of een aanval voorkomen. Beschikbaarheid en bedrijfscontinuïteit zijn minstens even belangrijk.” 

Bart: “Maar we beseffen dat je nooit kan garanderen dat er niets zal gebeuren. Daarom moet je niet alleen inzetten op preventie, maar ook weten wat je moet doen als er wél iets gebeurt. Voor ons is cybersecurity een continu proces waarin technologie, procedures en mensen een rol spelen.” 

Cybersecurity specialist Axians begeleidde Xandres om het volledige plaatje en de prioriteiten in kaart te brengen. VLAIO komt tussen voor 50% in zo’n cybersecurity verbetertraject. Bart: “Cybersecurity vraagt investeringen waarvan het rendement niet altijd onmiddellijk zichtbaar is. Je investeert eigenlijk voor een stuk in problemen vermijden of beperken. De subsidie verlaagt de drempel om die oefening grondig te maken.” 

Externe blik 

De eerste stap in het traject: de volledige omgeving grondig in kaart brengen. Marc Brouckaert (accountmanager bij Axians): “We bekijken niet alleen de technische kant, maar ook de documentatie, procedures en het risicobeheer. We doen een GAP-analyse en een vulnerability test en op basis daarvan kreeg Xandres een maturiteitsscore en een uitgebreide lijst met mogelijke verbeterpunten.: waar staan we vandaag? Waar willen we naartoe en wat moeten we doen om daar te geraken?”

Een reality check, vertelt Bart. “Je hebt zelf het gevoel dat je met bepaalde maatregelen al vrij goed bezig bent, maar zo'n assessment bekijkt cybersecurity vanuit een enorm brede waaier aan aandachtspunten. Een externe partij kijkt bovendien objectiever naar je omgeving dan wanneer je die oefening volledig zelf doet.”

Prioriteiten en roadmap

Het grote voordeel? Je blijft niet achter met een lange lijst problemen. Marc: “We hebben samen bekeken welke risico’s prioritair zijn, wat quick wins zijn en welke zaken grotere projecten vragen. Zo kwam we tot een concreet en haalbaar plan van aanpak.”

Bart: “Cybersecurity is zo breed dat je onmogelijk alles tegelijk kunt aanpakken. Het traject helpt ons bepalen waar de grootste risico's zitten, welke maatregelen het meeste effect hebben en in welke volgorde we die best uitvoeren. Je krijgt geen theoretische lijst van honderden aandachtspunten, maar een roadmap waarmee je effectief aan de slag kan”.

Intussen is de firewall al vernieuwd, voerde Xandres verdere netwerksegmentatie door, scherpten ze de multifactorauthenticatie aan, vernieuwden ze de beveiligde toegang vanop afstand en herbekeken ze de procedures voor de toegangsrechten. Andere zaken zijn nog in uitvoering, want zo’n traject is niet plots af. 

Bart: “Het doel is dat cybersecurity veel structureler onderdeel wordt van hoe we IT beheren. 100% veiligheid kan niet, maar je kan je cyberweerbaarheid verhogen: de kans op een incident verkleinen, een probleem sneller detecteren, de impact beperken en zo snel mogelijk opnieuw operationeel zijn. Je moet uiteraard proberen te voorkomen dat er iets gebeurt, maar je moet er tegelijkertijd van uitgaan dat er ooit toch iets kan mislopen. Hoe snel merk je dat dan op? Wie moet wat doen? Welke systemen zijn prioritair? Kunnen we onze data herstellen? Zijn onze back-ups daarvoor geschikt en hebben we dat ook getest? Wie moet intern en extern verwittigd worden? Dat zijn vragen die je beter beantwoordt vóór je ze nodig hebt.”

Breder dan de IT-afdeling

Het gaat ook veel verder dan een firewall, antivirus of MFA. Marc: “Je kan technisch heel wat beveiligen, maar je medewerkers moeten ook weten welke risico's er bestaan, hoe ze verdachte situaties herkennen en wat ze moeten doen als iets fout lijkt te lopen.”

Ook het management van Xandres is betrokken. CEO Willem Wijnen: “Cyberveiligheid is niet enkel iets van de IT-afdeling. Het management moet betrokken zijn voor het geval er iets gebeurt. En ook alle medewerkers moeten alert zijn. We maken nieuwe medewerkers bewust over cyberveiligheid tijdens de onboarding en sturen geregeld phishing mails om alle medewerkers te testen.”

Geen bedrijf is bovendien te klein om hierop in te zetten. Willem Wijnen: “Ik ben ervan overtuigd dat elke kmo de stap naar cybersecurity moet zetten, ook de kleinere spelers. Je moet je echt beschermen voor je eigen bedrijfscontinuïteit en als een verplichting aan je klanten.”