Gisteren vond in Brussel het Checkup evenement van SecureLink plaats. De presentaties gingen alle richtingen uit, maar de rode draad vatten we samen via vier kernwoorden. Trends die voor uw bedrijf als it-afdeling van tel zijn.
Check up is een soort van mini-Infosecurity. Het event is georganiseerd door SecureLink, intussen naar eigen zeggen al een van de grootste onafhankelijke security integrators in Europa. Het is intussen al aan zijn negende editie toe. Het evenement (met 650 aanwezigen dit jaar) geeft een goed beeld van wat er vandaag leeft in de wereld van security.
IoT
Enkele weken geleden had op internet een van de zwaarste cyberaanvallen ooit plaats. Een van de slachtoffers was de website KrebsOnSecurity.com, die werd bestookt met liefst zeshonderd tot zevenhonderd gigabits data per seconde. Achteraf bleek het om een internet of things-botnet (IoT) te gaan. In tientallen verschillende landen bleken gehackte apparaten onderdeel van het botnet te zijn. ‘Alsof je beveiligingscamera thuis andere websites aanvallen’, illustreert Erwin Geirnaert van Zion Security.
IoT is een heet hangijzer in security. Alles is intussen verbonden en dus kwetsbaar ‘De Tesla Model S P85 is onlangs gehackt. Hackers konden van een rijdende auto de remmen bedienen’, vertelt Geirnaert. ‘Of wat dacht je van een medisch apparaat voor diabetes-patiënten waarbij de bediening via radio frequency communiceerde. Maar die connectie was niet geëncrypteerd, waardoor de dosis insuline kon worden aangepast. Levensgevaarlijk allebei’, vertelt hij.
Bedrijven moeten dringend meer security in de basis inbouwen, alleen gebeurt het niet. “Het maturity model in software security van Mc Graw bestaat al meer dan tien jaar. Het bevat twaalf belangrijke activiteiten, verdeeld in vier domeinen. Ik denk dat een doorsnee Belgisch bedrijf er daar maar twee of drie effectief toepast.’ Het zit ook in de aanwezigheid van specialisten, vindt Geirnaert. ‘Voor elke specialist in security software zijn er zestig softwareontwikkelaars.’
Regulering
‘Ik ben geen voorstander van regulering, maar hier zal het wel moeiten’, vertelt Mikko Hyppönen van F-Secure. ‘De overheid zal moeten verplichten dat veel van die IoT-apparaten gewoon veel beter beveiligd worden’, vindt Hyppönen.
Op het Checkup-event dook het aspect wetgeving ook op bij een presentatie van twee broers – één met een it-profiel en één met een medisch profiel – de link gelegd tussen deze twee werelden met focus op crisissen. ‘In de medische wereld is veel wetgeving intussen danig verouderd. Maar ze is er wel’, vertelde Karel Decaluwé, die onder meer hoofdverpleegkundige is op een spoeddienst.
Terwijl de wetgeving in de wereld van healthcare al jarenis geregeld, onder vorm van noodplannen, materiaal en opleiding, moet die in de it-wereld vaak nog komen. ‘Je merkt wel dat we met name voor de nakende GDPR-wetgeving (General Data Protection Regulation) veel vragen krijgen’, stelt Jo Vander Schueren, general manager bij SecureLink Belgium. ‘Zo speelt bijvoorbeeld de verplichting om binnen de 72 uur een datalek te rapporteren. Het zijn allemaal zaken die bedrijven op de agenda moeten zetten.’
Service
Als ook één element bleek op het seminarie is het dat de security-wereld verschuift van technologie en producten naar diensten. ‘Dat is ook hoe ons bedrijf zelf is geëvolueerd. Security was vroeger een kwestie van het installeren van wat producten, zoals antivirus en firewall. Maar vandaag ligt dat anders. Security is veel meer een proces geworden’, vertelt Jo Vander Schueren.
Onder service kan ook de verder opmars van de cloud worden aanzien, maar ook het aanbod in de markt. Op het seminarie lanceerde SecureLink een nieuwe dienst: rapid response service, die bedrijven snel ter hulp kan snellen als zij (of het eigen analyse-team van SecureLink) onregelmatigheden zien op hun bedrijfsnetwerk of -toepassingen. ‘Je kan het beschouwen als een virtuele variant van een ambulance’, vergelijkt Wim De Smet, cto van SecureLink in België. ‘Wij hebben een soort van black box ontwikkeld, die bestaat uit verschillende technologieën die op een netwerk van een klant kunnen kijken en luisteren of er effectief iets aan de hand is en wat we er aan kunnen doen.’
De rapid response service geeft duidelijk aan dat bedrijven zich niet zozeer de vraag moeten stellen óf een incident zich kan voordoen, maar wanneer. ‘En dat je dan maar beter voorbereid kan zijn’, aldus De Smet.
Hoop
Ondanks deze boodschap en alle alarmerende berichten in de media werd op Check Up vooral de focus gelegd op een geloof in een veiligere toekomst. ‘Als securitybedrijf mag je niet in de val trappen om steeds als doomdenker te worden aanzien en alsmaar op gevaren te wijzen. Je moet realistisch zijn, maar ook positief’, oppert Jo Vander Schueren van SecureLink Belgium.
Bovenal wilde Check-up aantonen dat er effectief ook oplossingen voor een degelijke aanpak in beveiliging. ‘Ik heb het voorbije half jaar vijftien landen bezocht. Ik kom in alle continenten. In EMEA, en vooral dan in Europa, heb je het beste niveau van security expertise’, zo oppert David Holmes, security evangelist F5 Networks. ‘Veel van die oplossingen kunnen hier dus ook zeker gevonden worden.’
