‘Digitale dreigingen zijn feit van onze tijd’

Angelo van der Sijpt is fellow security & connected devices bij Luminis. Als engineer en architect heeft hij een neus voor het herkennen van patronen en vormen van succesvolle applicatietechnologieën. Hij ziet security en privacy als de grootste bedreiging – en daarmee als kans.

Van der Sijpt verdiept zich dagelijks in uitdagende onderwerpen die op hun kop zijn gezet door het internet, goedkopere maar capabele hardware, mobiele telefoons en last but not least het internet of things (IoT). Recent gaf hij bij iSense ICT Professionals een presentatie over hoe bedrijven en it’ers verschillend naar security kijken. ‘Security is ieders verantwoordelijkheid.’

Verantwoordelijkheden in het midden

‘Wat je in de praktijk ziet, is dat het management van een organisatie denkt: we moeten iets met security’, aldus Van der Sijpt. ‘Tegenover het management staat de it-afdeling, zij lopen tegen problemen aan waarvan zij niet weten wat zij ermee moeten. Daarom blijven de verantwoordelijkheden vaak in het midden liggen. Een engineer kan een mooi systeem bouwen, maar als hij dat niet op een veilige manier uitrolt, niet juist installeert of als het niet juist gebruikt wordt, levert dit beveiligingsrisico’s op.’

Van der Sijpt maakte recentelijk bij een webstore een account aan en kreeg daarna een accountbevestiging met daarin zijn wachtwoord. ‘Dit vertelt mij dat die organisatie niet zorgvuldig met mijn wachtwoord (en mogelijk andere gegevens) omgaat. Ik vermoed dat een projectmanager ooit dacht: dat is handig! Vervolgens heeft de engineer zijn schouders opgehaald en gebouwd wat de projectmanager heeft gevraagd. Als laatste heeft de system administrator een systeem opgezet waar de database op draait. De verantwoordelijkheid voor de data blijft hiermee in het midden liggen, terwijl het ieders verantwoordelijkheid is: signalerend, aansturend of oplossend.’

Digital security ondergesneeuwd

Blijkbaar is het slecht gesteld met de digital security van Nederlandse bedrijven. Waarom denkt Van der Sijpt dat Nederlandse bedrijven achterlopen op dit gebied? ‘De gevolgen voor bedrijven door het onzorgvuldig omgaan met persoonsgegevens waren tot voor kort niet gekwantificeerd. Hierdoor is het onderdeel digital security bij bedrijven redelijk ondergesneeuwd.’

De conclusie dat het slecht gesteld is met de digital security van Nederlandse bedrijven heeft volgens Van der Sijpt te maken met onbekendheid. ‘In de praktijk willen bedrijven vaak dat het wel veilig is. Wat betekent veilig? Security is een veelomvattend probleem. Je kunt dit vergelijken met het beveiligen van jouw huis, dat je beveiligt door op elk raam een zwaar slot te zetten. Maar als jij één raam vergeet, dan maakt het niet uit hoe goed de beveiliging op al die andere ramen is, want een inbreker zal altijd het raam kiezen dat niet beveiligd is. Hetzelfde geldt voor security-incidenten, het is altijd de zwakste schakel die geraakt wordt. Staat er een firewall open? Is een productiewachtwoord gelijk aan een testwachtwoord en staat dit wachtwoord in een database? Zo zijn er ontzettend veel risico’s en het is moeilijk om deze allemaal in kaart te brengen.’

GDPR

Tegenwoordig wordt in Nederland de wet- en regelgeving rondom digital security duidelijk. Dankzij de General Data Protection Regulation (GDPR) kunnen bedrijven tegenwoordig verantwoordelijk gehouden worden voor het onzorgvuldig omgaan met persoonsgegevens. Doen zij dit? Dan kunnen zij een boete krijgen die kan oplopen tot vijf procent van de wereldwijde jaaromzet.

‘Dit valt voor mij als persoon wel mee’, meent Van der Sijpt, ‘maar voor een bedrijf hakt dit behoorlijk in de marge. Mede om die reden verwacht ik dat we verbeteringen zullen gaan zien bij Nederlandse bedrijven als we het hebben over security.’

Ransomware als WannaCry

In deze tijd hebben we echter met meer typen cyberaanvallen te maken. Neem ransomware. Hoe kunnen bedrijven zichzelf zo goed mogelijk beschermen tegen attacks zoals WannaCry? Van der Sijpt: ‘Naar mijn idee zit de beste beveiliging aan twee kanten: de voorkomende kant en de oplossende kant. Het leuke is: beide zijn niet technisch! Aan de voorkomende kant heb je eenvoudige zaken zoals het gebruik van e-mailfilters, maar denk vooral ook aan een security awareness training. Wat sommige grote bedrijven regelmatig doen is intern een phishing mail uitsturen en kijken wie er op klikt. Op het moment dat jij klikt kom je terecht in een zes uur durende security awareness training Geloof mij, er is altijd wel iemand die er in trapt. Eén persoon die op een verkeerde link klikt is genoeg om een compleet bedrijf over te nemen. Ditzelfde gebeurde met WannaCry.’

Aan de oplossende kant heeft Van der Sijpt ook nog wel wat aanbevelingen. ‘Zorg ervoor dat jij als bedrijf een recovery-plan hebt, bijvoorbeeld met goede backups die zijn getest. Het hoeft niet complexer te zijn dan dat. Welke maatregelen je ook treft, het kan alsnog misgaan! Het kan namelijk ook opzet zijn, zoals bij Yahoo waar een system administrator was omgekocht door hackers.’

Tijdperk vol cyberattacks

Als het zo eenvoudig is om een gerichte aanval op een organisatie uit te voeren, is WannaCry dan nog maar slechts het begin van een tijdperk vol cyberattacks? ‘Sterker nog, we leven al in een tijdperk vol cyberattacks’, laat Van der Sijpt weten. ‘Als jij een apparaat onbeveiligd aan het internet hangt, dan is dat apparaat, afhankelijk van het type, binnen negentig seconden overgenomen. Zo werkt het Mirai-botnet bijvoorbeeld.’

Van der Sijpt verwacht daarom dat aanvallen agressiever zullen worden. ‘WannaCry was wat mij betreft een buitencategorie-aanval. Het maakte gebruik van een aantal geavanceerde kwetsbaarheden die een tijd daarvoor van de NSA gestolen waren. Deze kwetsbaarheden zaten al lang in Windows, ik vermoed dat de NSA hier nuttig gebruik van heeft gemaakt.’