Cyberbeveiliging in de accountancy: bedreigingen, best practices en toekomstige trends

Accountantskantoren zijn een aantrekkelijk doelwit voor cyberaanvallen vanwege de financiële privégegevens die ze beheren. Als dergelijke gegevens worden gestolen of blootgelegd, kan dit het welzijn van klanten en de reputatie van accountantskantoren in gevaar brengen. Tegelijkertijd nemen cyberaanvallen met de populariteit van cloud computing en software toe. 

Het goede nieuws is dat er innovatieve ontwikkelingen zijn om deze aanvallen te voorkomen. Toch moeten accountantskantoren proactief zijn in het beschermen van gegevens van klanten door zich bewust te blijven van bedreigingen en de juiste beveiligingsmaatregelen te nemen om ze te voorkomen. 

Dit artikel geeft een overzicht van cyberbedreigingen, best practices en toekomstige trends die de moeite waard zijn om in de gaten te houden — zodat je jezelf kunt wapenen met zowel de middelen als de kennis om je praktijk en klanten te beschermen.

Belangrijke cyberbeveiliging bedreigingen in accounting

Wist je dat de financiële dienstensector 300 keer meer kans heeft  om het doelwit te worden van cyberaanvallen dan welke andere sector dan ook?

In de accountancybranche komen sommige cyberaanvallen vaker voor dan andere. Het gaat dan om berekende methoden om toegang te krijgen tot gevoelige financiële informatie en deze te stelen. 

Een succesvolle aanval kan ertoe leiden dat een bedrijf geconfronteerd wordt met:

• Bedrijfsverstoring
• Reputatieschade
• Gegevensverlies
• Financieel verlies

Daarom is het essentieel om de verschillende bedreigingen en de risico’s die ze vormen te begrijpen.

Phishing

Phishing-aanvallen zijn speciaal ontworpen om een doelwit te misleiden, zodat er gevoelige informatie wordt prijsgegeven. Dit kunnen financiële gegevens, inloggegevens en persoonlijke details zijn. 

Phishing komt veel voor in de financiële sector, waarbij de aanvallen vaak gepersonaliseerd zijn in een poging het vertrouwen van het doelwit te winnen. 

Phishing-methoden kunnen zijn:

• E-mails van een afzender die zich voordoet als een bekend iemand 
• Links naar nep websites die er legaal uitzien

Klanten, medewerkers en bedrijfseigenaren kunnen hier het doelwit van zijn. Dit maakt phishing tot een cyberbeveiligingsbedreiging die constante waakzaamheid vereist. 

Ransomware

Ransomware is een soort malware (kwaadaardige software) die is ontworpen om waardevolle informatie van een systeem te verkrijgen. Eenmaal verkregen, kan het de gegevens ontoegankelijk maken totdat de eigenaar losgeld betaalt.

Deze bedreiging kan moeilijk te detecteren zijn, omdat het proces “op de achtergrond” kan plaatsvinden nadat een doelwit de ransomware onbewust downloadt en installeert — vaak via phishing-methodes.

Omdat een ransomware-aanval er meestal toe leidt dat het slachtoffer de controle over zijn systeem verliest (en de gegevens die erop zijn opgeslagen), kan dit ervoor zorgen dat een accountantskantoor te maken krijgt met volledig verlies van gegevens als ze het losgeld niet betalen. 

Insiderbedreigingen

Insiderbedreigingen hebben betrekking op datalekken die kunnen ontstaan door onbedoelde of toevallige acties van huidige en voormalige werknemers van een organisatie. 

Voor accountantskantoren kan dit het volgende inhouden:

• Nalatigheid met wachtwoorden
• Onzorgvuldige bekendmaking van gevoelige informatie
• Medewerkers van het bedrijf die standaard operationele procedures met betrekking tot beveiliging niet opvolgen

Bedreigingen van binnenuit verwijzen ook naar de opzettelijke acties van huidige of voormalige medewerkers die de cyberbeveiliging bedreigen en die gemotiveerd kunnen zijn door diefstal of sabotage.

Cyberbeveiliging best practices voor accountantskantoren

Je kunt het risico op een cyberaanval aanzienlijk verkleinen door ervoor te zorgen dat je bedrijf de best practices voor cyberbeveiliging opvolgt. 

In het kort komt het erop neer dat je je team zowel de kennis als de middelen geeft om financiële gegevens veilig te beheren, zodat je bedrijf en klanten zo goed mogelijk worden beschermd.

Blijf geïnformeerd over nieuwe bedreigingen en beveiligingsmaatregelen

Het eerste wat je moet doen is op de hoogte blijven van de ontwikkelingen op het gebied van cyberbeveiliging. Dit zijn onder andere de nieuwste soorten bedreigingen en de maatregelen die je bedrijf nodig heeft om deze tegen te gaan. 

Hoe eenvoudig het ook klinkt, op de hoogte blijven van nieuwe bedreigingen en beveiligingsmaatregelen is op zichzelf al een effectieve verdedigingsstrategie — omdat het het verschil kan betekenen tussen het van tevoren herkennen van een potentiële cyberdreiging en een nieuwe cyberaanval waar je niet op voorbereid was.

Het is ook net zo belangrijk om geïnformeerd te blijven op het gebied van cyberbeveiligingsnaleving en regelgeving, waar we later dieper op in zullen gaan.

Stel je beveiligingseisen vast

Beoordeel de activiteiten van je bedrijf van boven naar beneden om alle gebieden te identificeren die het risico op een datalek kunnen vergroten. Dit zijn onder andere:

• Zwakke wachtwoorden
• Uitgeschakelde spamfilters
• Onversleutelde back-ups van gegevens
• Een gebrek aan standaard operationele procedures voor het omgaan met gevoelige gegevens
• Een gebrek aan toegangscontrole voor gevoelige systeemgegevens
• Gebruik van software met onvoldoende beveiligingsfuncties
• Het niet gebruiken van geüpdatete software, waaronder antivirus- en anti-malwareprogramma’s
• Geen gebruik maken van multi-factor authenticatie (MFA)
• Geen firewall gebruiken 
• Geen veilige manieren om bestanden te delen gebruiken

Als je eenmaal alle risicogebieden hebt geïdentificeerd, kun je beginnen met het vaststellen van de beveiligingseisen die je moet verbeteren of implementeren.

Train je personeel 

Bewustwording van medewerkers kan een effectieve eerste verdedigingslinie zijn. Omdat een datalek kan worden veroorzaakt door menselijke fouten, is het van vitaal belang om je personeel te trainen op cyberbedreigingen en best practices. Deze omvatten: 

• Hoe je beveiligingsrisico’s herkent
• Hoe je veilig met gevoelige gegevens omgaat
• Hoe je best practices voor beveiliging handhaaft — zoals het gebruik van sterke wachtwoorden en het inschakelen van multi-factor authenticatie

Je kunt ook een incidentbestrijdingsplan opstellen dat je team kan volgen. Dit kan de schade beperken of zelfs voorkomen voordat de dreiging zich ontwikkelt.

Overweeg een cyberverzekering

Een cyberverzekering beschermt je bedrijf tegen financieel verlies in het geval van een cyberaanval. Dit is dus zeker het overwegen waard. 

Zoals bij elke verzekering variëren de dekkingsvoorwaarden, waardoor het belangrijk is om een plan te kiezen op basis van het risico dat je loopt. Vermeldenswaard is dat sommige verzekeraars een eerste risicobeoordeling uitvoeren, zodat je inzicht krijgt in het risiconiveau van je bedrijf.

In sommige gevallen zorgt een cyberverzekering er ook voor dat je bedrijf aan bepaalde wettelijke en regelgevende eisen voldoet. 

Kies voor vertrouwde software met robuuste beveiliging 

Naast het gebruik van antivirus, anti-malware en anti-phishing software is het van vitaal belang om te kiezen voor toonaangevende software die uitgebreide beveiliging biedt.

Een goed voorbeeld hiervan, namelijk TaxDome — onze praktijkbeheersoftware voor belasting-, boekhoud- en accountantskantoren — maakt gebruik van een aantal branchenormen beveiligingsmaatregelen om de bescherming van alle gegevens te waarborgen, inclusief: 

• Fysieke serverbeveiliging en dataretentie: TaxDome maakt back-ups van gegevens op Amazon AWS, dat wordt beschouwd als ’s werelds veiligste cloud computingplatform
• SSL: TaxDome versleutelt alle interacties met klanten via Secure Sockets Layer (SSL) en heeft hiervoor een A-score gekregen van Qualys SSL Labs.
• Nalevingsnormen: TaxDome voldoet aan PCI DSS, GLBA, SSAE 16 SOC, HITRUST, PIPEDA, FPIS, eIDAS en SOC 2, waardoor het beveiligingsbeleid voor het beheer van gegevens aanzienlijk is verbeterd.
• Two-factorauthenticatie (2FA): TaxDome stelt gebruikers in staat om twee-factor authenticatie in te schakelen, wat een extra beveiligingslaag toevoegt voor inloggen
• Toegangsrechten: TaxDome biedt de mogelijkheid om de toegang van medewerkers tot accounts en gegevens van klanten te beheren, inclusief account- en contactgegevens, chat- en sms-berichten, e-mails, tijdinvoer, taken en meer.

Met uitgebreide beveiligingsmaatregelen zoals hierboven beschreven, kunnen jij en je teamleden de software vol vertrouwen gebruiken in de wetenschap dat je gegevens beschermd zijn tegen cyberaanvallen en datalekken.

Praktijkvoorbeelden van cyberbeveiligheidsincidenten

De impact van een cyberaanval kan enorm zijn, soms met blijvende gevolgen. 

Hier zijn een paar voorbeelden uit de praktijk van cyberbeveiligingsincidenten in de accountancybranche, waarbij het type aanval en de gegevens die gecompromitteerd zijn, worden benadrukt:

Deloitte cyberaanval

Deloitte, een van de wereldberoemde “Big Four” accountantskantoren, was in 2017 het doelwit van een cyberaanval. Deze veroorzaakte een datalek van e-mailadressen, gebruikersnamen, wachtwoorden, IP-adressen en gevoelige documenten — waardoor klanten van Deloitte het risico liepen op identiteitsdiefstal.

De cyberaanval, veroorzaakt door een gebrek aan twee-factorauthenticatie op een account van een beheerder, resulteerde in een langdurige, grootschalige reactie van Deloitte. Deze bestond uit het indammen van de cyberaanval, het waarschuwen van overheidsinstanties, het onderzoeken van de omvang en de reden van de cyberaanval en een volledige revisie van de cyberbeveiligingsinfrastructuur. 

Het datalek riep ook vragen op over de beveiliging van Deloitte en schaadde de reputatie van het bedrijf bij klanten en investeerders. 

“Acme”

Klanten van accountantskantoren kunnen ook risico lopen op cyberaanvallen. Dat is wat CFO Selections, een financieel dienstverleningsbedrijf gevestigd in Washington, beschrijft in dit waargebeurde verhaal over een van haar klanten die door een datalek bijna $ 50.000 verloor.

Acme, een pseudoniem in het verhaal om de identiteit van het bedrijf te beschermen, merkte in zijn cloudgebaseerde crediteurenlijst een leverancier op waar sprake was van een verdachte verandering van bankgegevens.

Een onderzoek leidde tot de ontdekking van een poging tot financiële fraude. De oplichter achter de aanval was in het systeem van Acme geïnfiltreerd door een riskante combinatie van zwakke wachtwoorden, geen multi-factor authenticatie en minimale toegangsrechten.

Accounting Today: Als je klant gehackt wordt

In dit cyberaanvalverhaal in Accounting Today verteld door CPA-verzekeraar Camico, heeft een hacker de identiteit van een klant gebruikt om een registeraccountantskantoor aan te vallen — waarmee weer wordt benadrukt hoe klanten, en niet alleen werknemers, het slachtoffer kunnen worden van phishing.

Door middel van gepersonaliseerde phishing-methoden en mogelijk zwakke beveiligingsmaatregelen kon de hacker de communicatie tussen de klant en het accountantskantoor onderscheppen. Hierdoor konden ze communiceren via het e-mailaccount van de klant. 

Dit leidde ertoe dat het geld van de klant werd doorgestuurd naar de bankrekening van de hacker. Er waren al aanzienlijke bedragen overgemaakt voordat het kantoor zich realiseerde dat het had gereageerd op frauduleuze e-mails.

Naleving en regelgeving op het gebied van cyberbeveiliging

Compliance of naleving op het gebied van cyberbeveiliging houdt in dat je je houdt aan wetten en regels die zijn opgesteld om de privacy en beveiliging van gegevens te beschermen. Deze regels zijn opgesteld door bestuursorganen om ervoor te zorgen dat bedrijven zich houden aan actuele normen voor het beschermen van gevoelige informatie.

De nalevingsvereisten verschillen per branche en locatie. Voor bedrijven die actief zijn in de Europese Unie (EU) is naleving van relevante regelgeving zoals de General Data Protection Regulation (GDPR) essentieel om juridische en financiële risico’s te vermijden.

Hoewel naleving een uitdaging lijkt, biedt het aanzienlijke voordelen. Het helpt namelijk voorkomen.

Hoewel compliance misschien ontmoedigend klinkt, biedt het veel voordelen. Het kan je bedrijf niet alleen helpen om cyberaanvallen te voorkomen, maar het kan ook je reputatie versterken en het vertrouwen van klanten in je bedrijf vergroten.

Hieronder staan enkele van de belangrijkste regels en normen voor cybercompliance waarvan accountants op de hoogte moeten zijn:

GDPR

De General Data Protection Regulation (GDPR) is van toepassing op bedrijven die actief zijn in de Europese Unie (EU). Het is ontworpen om persoonlijke gegevens en de rechten van klanten te beschermen. Enkele van de nalevingsvereisten voor GDPR compliance omvatten het aanstellen van een functionaris voor gegevensbescherming, het beheren en evalueren van gegevensverzameling en het regelmatig bijwerken van het privacybeleid.

NIS2-richtlijn

NIS2-richtlijn breidt de eisen van de EU op het gebied van cyberbeveiliging uit naar een groter aantal sectoren. Het richt zich op het versterken van risicobeheer, het melden van incidenten en algehele veerkracht.

ISO/IEC 27001

Deze wereldwijd erkende norm voor informatiebeveiligingsbeheer biedt een kader voor de bescherming van gevoelige gegevens. Het wordt in Europa op grote schaal gebruikt voor robuuste maatregelen op het gebied van cyberbeveiliging.

PSD2

De Payment Services Directive 2 (PSD2) is van cruciaal belang voor bedrijven die creditcardtransacties verwerken. Compliance zorgt voor een veilige verwerking van betalingsgegevens, waardoor het risico op inbreuken wordt beperkt.

Toekomstige trends in cyberbeveiliging voor de accountancy

Om je bedrijf te beschermen tegen cyberaanvallen is het net zo belangrijk om toekomstige trends in de gaten te houden als om op de hoogte te blijven van nieuwe bedreigingen en beveiligingsmaatregelen.

Voor 2024 zijn hier een paar interessante toekomstige cyberbeveiligingstrends die je in de gaten moet houden:

Cyberbeveiligingsverzekering

We noemden hierboven al een cyberverzekering als een methode om je bedrijf te beschermen, omdat deze financiële dekking kan bieden in het geval van een cyberaanval. 

Maar als je het nog niet hebt of overweegt te nemen, is het een vermeldingswaardige trend. Dit omdat de wereldwijde cyberverzekeringsmarkt volgens de prognoses in 2025 zal groeien naar $ 22 miljard (Statista).

Deze groei kan worden toegeschreven aan de toename van cybercriminaliteit, waarvan wordt voorspeld dat deze de wereld in 2024 $ 9.5 biljoen zal kosten (Cybersecurity Ventures).

Blockchain

De discussies in de accountancybranche over het gebruik van blockchaintechnologie — digitale grootboeken die vooral worden gebruikt voor het opslaan van crypto-currencytransacties — nemen toe. 

Dit is niet alleen te danken aan de populariteit van blockchain, dat naar verwachting aan het eind van 2027 meer dan $ 94 miljard aan inkomsten zal hebben (CompTIA), maar ook hoe het accountants kan helpen om het grootboekonderhoud en de kosten te verminderen dankzij de fraudebestendige “blokken” van blockchain waarin transactieregistraties permanent worden opgeslagen.

Door ook andere voordelen te bieden, zoals duidelijke audit trails, slimme contracten en AI-mogelijkheden voor rapportage, compliance en meer, zou blockchaintechnologie sneller dan verwacht een grotere rol kunnen spelen in de accountancybranche.

Gedragsbiometrie

AI deep learning-algoritmen produceren steeds meer overtuigende deepfake media, gezichts- en stemherkenning zijn de komende jaren misschien niet meer zo veilig — vooral in de financiële sector.

Gelukkig is dat waar gedragsbiometrie — een nieuwe technologie die gebruikersgedrag kan analyseren om het te onderscheiden van cybercriminele activiteiten — financiële dienstverleners en accountantskantoren de middelen kan bieden om dergelijke bedreigingen te voorkomen.

Op dit moment wordt de markt voor gedragsbiometrie op $ 2,13 miljard geschat met in 2029 een verwachting van $7,22 miljard  (Mordor Intelligence). 

Conclusie

Het aantal cyberaanvallen gaan omhoog — maar dat geldt ook voor de cyberbeveiligingsmaatregelen die je tot je beschikking hebt om je bedrijf en klanten te beschermen.

Het komt erop neer dat je je praktijk proactief moet uitrusten met de kennis en technologie om cyberaanvallen te voorkomen. Dit houdt in dat je je personeel moet trainen in best practices, op de hoogte moet blijven van nieuwe bedreigingen en praktijkbeheersoftware moet gebruiken die uitgebreide beveiligingsfuncties en beleidsregels voor gegevensbescherming biedt.

Op zoek naar meer veiligheid voor je bedrijf? Boek een gratis demo en ontdek waarom de innovatieve functies van TaxDome niet alleen je boekhoudworkflows vereenvoudigen, maar ook de gegevens van je bedrijf beschermen.