Wanneer een ransomware-incident plaatsvindt, richten de krantenkoppen zich op losgeldeisen, gestolen gegevens en downtime. Een nieuwere onderzoekslijn kijkt naar wie de druk opvangt. Werk van RUSI en de Universiteit van Kent, uitgelicht in een ProCircular-artikel over de nieuwe afpersingseconomie, vond dat incidenten ertoe leiden dat IT- en beveiligingspersoneel te maken krijgt met stress, uitputting en burnout, en in sommige gevallen ernstige gezondheidsproblemen. De impact van ransomware op beveiligingspersoneel is reëel, en verdient een plek in hoe organisaties zich op aanvallen voorbereiden.

Wat het RUSI- en Kent-onderzoek vond

Volgens de samenvatting van het onderzoek eisen ransomware-incidenten een meetbare tol van de mensen die erop reageren. De gerapporteerde effecten omvatten stress, uitputting en burnout, en voor sommige responders ernstige gezondheidsproblemen. Het bronmateriaal is beknopt, dus het splitst deze bevindingen niet verder uit, en wij zullen niet gokken naar cijfers buiten wat gerapporteerd is.

De kernboodschap is nog steeds duidelijk. Het is makkelijk om te focussen op systemen, gegevens en losgeldeisen en de mensen die er middenin zitten te vergeten. Die mensen zijn vaak een klein intern team dat gevraagd wordt om de bedrijfsvoering te herstellen, het leiderschap te woord te staan en tegelijkertijd het onderzoek voort te zetten.

Hoe afpersing zonder versleuteling de druk opvoert

Het ProCircular-stuk plaatst dit binnen een bredere verschuiving: ransomware heeft geen versleuteling meer nodig om te werken. Wanneer aanvallers gegevens stelen en dreigen deze te publiceren, eindigt de druk niet wanneer systemen weer online komen. Herstellen vanuit back-ups lost misschien de beschikbaarheid op, maar draait een diefstal niet terug.

Dat verandert het werk voor verdedigers. In plaats van één duidelijk hersteldoel staan ze voor open-einde onzekerheid: wat is er meegenomen, wie moet er worden geïnformeerd, en zullen aanvallers hun dreigementen doorzetten. Onze eerdere berichtgeving over hoe 50+ ransomware-datalekken een nieuw draaiboek voor gegevensdiefstal onthullen laat zien hoe gangbaar deze aanpak is geworden.

De economie erachter verschuift ook. Gegevens van Coveware, behandeld in ons stuk over hoe 64% van de slachtoffers nu weigert losgeld te betalen, suggereren dat meer organisaties weigeren te betalen. Dat kan een verstandige beslissing zijn, maar het betekent ook dat het responseteam langer bezig kan zijn met het beheersen van de gevolgen van gelekt of bedreigd gestolen data.

Waarom verdedigers de menselijke tol dragen

Verschillende factoren verklaren waarom IT- en beveiligingspersoneel zoveel van de last draagt:

  • Zij staan aan het front. Responders zijn doorgaans de eersten die het incident detecteren en de laatsten die afbouwen.
  • De verantwoordelijkheid komt bij hen terecht. Of een gat nu hun schuld was of niet, zij voelen zich vaak verantwoordelijk voor de uitkomst.
  • Het werk is meedogenloos. Onderzoek, herstel, communicatie en druk van leidinggevenden en toezichthouders overlappen elkaar.
  • De dreiging blijft komen. Analyse van Black Kite, behandeld in ons rapport dat er wekelijks een nieuwe ransomware-groep opduikt, wijst op een omgeving waarin het volgende incident nooit ver weg is.

Het ransomware-as-a-service-model draagt hieraan bij. Zoals we uitlegden in ons stuk over hoe ransomware-as-a-service hacken in een bedrijf verandert, betekenen lagere technische drempels meer aanvallers en meer pogingen, wat meer aanhoudende belasting voor verdedigers betekent.

Het aanvalsoppervlak verkleinen om de impact van incidenten te beperken

Een praktische manier om personeel te beschermen is om incidenten kleiner te maken. Een datalek dat minder systemen bereikt betekent minder om te onderzoeken, minder om te herstellen en minder slapeloze nachten. Twee maatregelen springen eruit:

  • Netwerksegmentatie. Een netwerk opdelen in afzonderlijke zones beperkt hoe ver een indringer kan bewegen, zodat één gecompromitteerde machine minder snel een organisatiebrede crisis wordt.
  • Veilige externe toegang. Het strikt controleren van hoe werknemers en leveranciers verbinding maken, met sterke authenticatie en beperkte rechten, vermindert het aantal makkelijke deuren naar de omgeving.

Deze maatregelen elimineren risico niet, maar ze verkleinen de omvang van wat responders moeten hanteren.

Wat dit voor u betekent

Als u in IT of beveiliging werkt, is het onderzoek een herinnering dat uitputting na een incident een erkend patroon is, geen persoonlijk falen. Meld zorgen over werkdruk en herstel vroegtijdig, en dring aan op realistische roosters en rust tijdens de respons.

Als u een team leidt of een bedrijf runt, plan dan voor de mensen én de systemen. Bouw incidentresponseplannen die voorzien in verlichting voor responders, duidelijke beslissingsbevoegdheid en ondersteuning na het incident. Als u een dagelijkse gebruiker bent, onthoud dan dat achter elke datalekmelding een team schuilt dat er mogelijk onder zware druk doorheen heeft gewerkt.

Belangrijkste punten

De impact van ransomware op beveiligingspersoneel is onderdeel van de werkelijke kosten van afpersing, en die groeit naarmate aanvallers leunen op gegevensdiefstal en druktactieken in plaats van alleen versleuteling. Om er iets aan te doen:

  1. Begrijp hoe moderne afpersing werkt. Begin met onze berichtgeving over het draaiboek voor gegevensdiefstal en de Coveware-bevindingen over weigeringspercentages.
  2. Gebruik netwerksegmentatie en veilige externe toegang om de omvang van elk incident te beperken.
  3. Schrijf het welzijn van personeel in uw incidentresponseplan voordat u het nodig heeft.

Kleinere incidenten en beter ondersteunde teams zorgen voor een sterkere respons, en beide zijn binnen bereik.