10 inzichten van CISO’s in de banksector

Leestijd: 6 minuten

Categorie: Opinion

Auteur: Yuri Bobbert

Samenvatting

In deze blog delen CISO’s uit de banksector inzichten over hoe je echt slim in cybersecurity kunt investeren. Het gaat onder andere over te veel tools, hoe een SOC echt werkt, personeelstekorten, druk van regelgeving en verwachtingen van het bestuur. Ook laten ze zien hoe banken cybersecurity kunnen omvormen van een ‘noodzakelijke uitgave’ naar echte strategische waarde. Daarnaast wordt uitgelegd hoe de Zero Trust-strategie de kosten van datalekken tot wel 75% kan verlagen en concrete bedrijfsresultaten oplevert.

Inhoudsopgave

Vorige week sprak ik met CISO’s van Amerikaanse banken in Omaha over de financiële kant van cybersecurity. Eén thema werd meteen duidelijk: meer budget betekent niet automatisch betere bescherming. Alleen geld uitgeven aan de nieuwste tools en trends is niet genoeg.

Wat ik van de CISO’s hoorde, is dat beproefde economische modellen banken kunnen helpen te bepalen welke cybersecurity-investeringen echt iets opleveren. Aan het eind van het event hadden we een goed beeld van hoe je het meeste uit je cyberbudget kunt halen – en hoe Zero Trust daar een grote rol in kan spelen.

Tijdens de rondetafelgesprekken deelden CISO’s uit de eerste hand welke druk ze dagelijks ervaren en welke bredere uitdagingen er spelen op het gebied van cybersecurity in het bankwezen.

Hier zijn tien belangrijke inzichten van en voor CISO’s:

1. Een zwakke basis blijft de boosdoener

Zwakke of standaardwachtwoorden, systemen die niet up-to-date zijn en een wildgroei aan tools veroorzaken nog steeds de meeste incidenten. Focus op deze basisprincipes, dat helpt meer dan steeds de nieuwste tools proberen.

2. Te veel tools en een kopersmarkt putten budgetten uit

Banken gebruiken nu gemiddeld 20 tot 45 beveiligingstools, met elk hun licenties, integratie en afstemmingskosten. Leveranciers blijven nieuwe oplossingen aanbieden die niet goed op elkaar afgestemd kunnen worden, waardoor de markt complex blijft en er flinke informatiekloven ontstaan. (Voor meer informatie, zie dit artikel).

3. Slimmer investeren met betrouwbare data

Je hebt geen bergen aan actuariële data nodig om cyberrisico’s in te schatten. Met betrouwbare gegevens kunnen CISO’s goed afwegen wat potentiële verliezen zijn versus de kosten van beveiligingsmaatregelen.

4. 24/7 operations zijn arbeidsintensief

Om 24 uur per dag alles in de gaten te houden, heb je minimaal vier ploegen en goede verlofregelingen nodig. Realistisch gezien heb je minstens twee analisten per monitoringsconsole nodig om alert fatigue te voorkomen. Dat drijft de kosten snel op.

5. Tekort aan talent maakt het lastiger

Het verloop onder analisten ligt in veel regio’s rond de 30-35%, wat extra kosten veroorzaakt omdat personeel vervangen moet worden. Zelfs met hogere salarissen denkt maar 38% van de leidinggevenden dat ze het juiste talent kunnen vinden.

6. De druk vanuit de regelgeving neemt toe  

Frameworks zoals GDPR, DORA, PCI DSS, NIS 2 en de cyberdisclosure-regels van de SEC zorgen voor een zware rapportagelast. De meeste interne SOC’s worstelen om dit goed te automatiseren of te integreren.

7. Investeringsbeslissingen moeten risico gestuurd zijn, niet compliance-gestuurd

Budgetten zouden moeten passen bij de risicobereidheid van de bank. Als cybersecurity alleen een kwestie van compliance is, beperk je de kans om strategisch te investeren.

8. Besturen willen bedrijfswaarde, geen jargon

Leidinggevenden geven om meetbare resultaten: vermeden verliezen, kostenbesparingen en risicobeperking. Het vertalen van technische complexiteit naar zakelijke termen is essentieel om steun te krijgen.

9. Het “IKEA effect” ondermijnt de besluitvorming

Het IKEA-effect, waarbij interne oplossingen worden overschat, leidt tot sunk cost bias en het ‘not invented here’-syndroom. CISO’s waarschuwen dat deze vooroordelen banken kunnen opzadelen met dure, ineffectieve projecten.

10. SOC’s zijn langdurige investeringen van miljoenen dollars

Een 24/7 SOC opzetten en runnen kost miljoenen en gaat verder dan één post op de begroting. Inzicht in de totale kosten en wat er operationeel nodig is, is cruciaal voor duurzame beveiliging.

Cybersecurity in een nieuw kader: wat CISO’s moeten doen

Over één ding waren alle CISO’s het eens: banken kunnen cybersecurity niet langer als een afvinklijstje zien. Om er echt iets mee te bereiken, moeten we onze kijk op cybersecurity in een nieuw kader zetten.

Hoe ziet dat eruit? Een verschuiving van:

  • ‘noodzakelijke uitgaven’ naar strategische investeringen
  • ‘bodemloze put’ naar meetbare waarde
  • ‘hopelijk zijn we gedekt’ naar veerkrachtig door ontwerp

Cybersecuritystrategieën zoals Zero Trust kunnen echt van pas komen, omdat ze je helpen prioriteiten te stellen bij investeringen en de kosten van inbreuken flink te verlagen. Werkt dat echt? Ik ben ervan overtuigd van wel: uit recente analyses blijkt dat Zero Trust as a Service (ZTaaS) de kosten van inbreuken met wel 75% kan verminderen door de kans op incidenten én de impact ervan kleiner te maken (voor meer info, zie How to Reduce the Cost of a Breach).

Praktische benaderingen en frameworks zoals deze helpen je om de inzichten van CISO’s ook echt in actie om te zetten. Wil je meer weten? Neem contact met ons op en ontdek hoe je ze in jouw organisatie kunt toepassen.

Wil je meedoen aan ons volgende evenement? Houd ons in de gaten voor updates over events zoals de ronde tafel in Omaha. Misschien zien we je daar!

FAQ

Wat zijn momenteel de grootste uitdagingen op het gebied van cybersecurity voor banken?

Volgens CISO’s zijn de grootste uitdagingen de wildgroei aan tools, hoge SOC-kosten, personeelstekorten en toenemende regelgeving zoals GDPR, DORA, PCI DSS, NIS 2 en SEC-regels.

Waarom zorgen grotere budgetten niet altijd voor betere bescherming?

Meer geld gaat vaak naar nog meer tools, waardoor het juist ingewikkelder wordt in plaats van veiliger. De CISO’s benadrukken dat je beter kunt focussen op basisprincipes zoals patchbeheer, credential hygiene en efficiënte SOC-activiteiten. Dat levert meer meetbare bescherming op dan steeds nieuwe tools toevoegen.

Wat zijn de kosten van het runnen van een 24/7 SOC?

Een Security Operations Center runnen is een miljoeneninvestering. Je hebt minimaal vier ploegen, redundantie en meerdere analisten per console nodig om ‘alert fatigue’ te voorkomen.

Hoe kan Zero Trust helpen de kosten van inbreuken te verminderen?

Zero Trust as a Service (ZTaaS) kan de kosten van inbreuken met wel 75% verminderen, doordat zowel de kans op incidenten als de impact ervan kleiner wordt. Zo worden investeringen in cybersecurity veel effectiever.

Hoe kunnen CISO’s de steun van de raad van bestuur krijgen voor investeringen in cybersecurity?

Besturen willen weten wat het oplevert voor het bedrijf, en hebben minder interesse in de technische details. CISO’s moeten cybersecurity uitleggen in termen van minder of geen financiële verliezen, verbeterde efficiëntie en sterkere veerkracht. Door investeringen te koppelen aan kostenbesparing en gereedheid voor regelgeving, zien leidinggevenden cybersecurity als strategische waarde in plaats van een technische kostenpost.