Bewustwording is de eerste en beste verdedigingslinie tegen cybercriminelen: ‘Zet cybersecurity bovenaan de agenda’

Je bent goed bezig, nog een kwartiertje en dan is het rapport klaar. Net op tijd, vanmiddag is de afspraak met je klant. En dan gebeurt het, je scherm springt op zwart. Niet alleen bij jou, je ziet andere collega’s in de kantoortuin ook verschrikt om zich heen kijken. Enkele minuten later is duidelijk dat er helemaal geen stroom meer is. De liften werken niet, het licht is uit. Niet alleen in dit kantoorgebouw, als je naar buiten kijkt zie je de totale chaos. Verkeerslichten werken niet, trams staan stil, auto’s toeteren, mensen staan verbijsterd om zich heen te kijken. Wat is hier aan de hand?

Wat er aan de hand is dat de elektriciteitsmaatschappij is gehackt. Het grootste deel van Gelderland ligt plat. Toekomstmuziek? Nee, harde realiteit. Al in 2015 lukte het hackers om een elektriciteitscentra in de Oekraïne plat te leggen. Zo’n 700.000 mensen zaten uren zonder stroom. In 2016 werd de elektriciteitsvoorziening van de Amerikaanse staat Vermont aangevallen. Gelukkig werd de hack snel opgemerkt en kon een ramp worden voorkomen. Het leidde wel tot vragen over de veiligheid van Amerikaanse nutsbedrijven. De bron van alle ellende bleek een Russische hackersoperatie.

‘In 2016 werd de elektriciteitsvoorziening van de Amerikaanse staat Vermont aangevallen’

MACHTIG WAPEN

Rusland is niet de enige staat die zich van deze methoden bedient, ook China kan er wat van. In Shanghai bevindt zich het Chinese hoofdkantoor voor cyberspionage. Het computerbeveiligingsbedrijf Mandiant leverde het bewijs, dat door Amerikaanse beveiligingsspecialisten al snel werd bevestigd. Volgens het bedrijf zit het Chinese leger achter deze ‘Shanghai Groep’. Mandiant ontdekte dat de hacks een lange looptijd hebben. Gemiddeld blijft de groep een jaar in een gehackt computernetwerk actief om inzicht te krijgen in technologische plannen, productieprocessen, tests, prijsafspraken, onderhandelingsstrategieën of andere strategisch belangrijke informatie. De groep stal info bij ruim honderd Amerikaanse klanten in zo’n twintig verschillende bedrijfstakken, van defensie tot chemie en mijnbouw tot telecommunicatie. Hacken om te ontregelen of waardevolle informatie te stelen, worden die praktijken alleen door Russen en Chinezen gebruikt? Het antwoord is een volmondig nee. Amerikaanse cyberspionnen hebben samen met Israël kwaadaardige software ontwikkeld (Stuxnet) in een poging het Iraanse atoomprogramma te ontregelen. Hacken is  zo langzamerhand een belangrijke (militair) wapen dat op afstand voor enorme schade kan zorgen. Bovengenoemd voorbeeld betrof een aanval op een elektriciteitscentrale, wat als hackers het hebben voorzien op onze infrastructuur (Schiphol of de NS-verkeersleiding in Utrecht) of de werking van sluizen en gemalen verstoren, de landelijke media platleggen en zo alle communicatie onmogelijk maken?

CYBERSECURITY

Cybersecurity omvat alle zaken die te maken hebben met het beveiligen en verdedigen van digitale systemen, van je smartphone tot enorme databanken en alles wat daartussen zit. De dreiging waartegen cybersecurity moet beschermen is drieledig: cyberwar (vaak politiek gemotiveerd), cybercrime (voor financieel gewin) en cyberterreur(met als doel paniek te veroorzaken). Hackers gebruiken verschillende methodes om computers en netwerken te infiltreren. De bekendste zijn: virussen, wormen, spyware en trojans. Virussen en wormen kunnen zichzelf kopiëren en bestanden of systemen beschadigen, terwijl spyware en trojans vaak worden gebruikt om stiekem gegevens te verzamelen. De gemiddelde gebruiker komt doorgaans in aanraking met schadelijke code via een ongevraagde e-mailbijlage of door het downloaden van programma’s die er legitiem uitzien, maar in feite malware bevatten. Bedrijven en instellingen worden platgelegd via DDos-aanvallen.

‘Cybercrime is een probleem dat elk jaar groeit, bovendien worden hackers steeds slimmer’

IMAGOSCHADE

Cybersecurity heeft alle aandacht van de overheid, omdat men zich volledig bewust is van de omvangrijke gevaren. De Amerikaanse regeling besteedt jaarlijks zo’n 20 miljard aan cybersecurity en dat bedrag groeit elk jaar weer. Het bedrijfsleven doet zijn best om bij te blijven, maar veel particuliere gebruikers van digitale apparatuur lijken zich geen zorgen te maken en dat is volledig onterecht. De consument is zich nog steeds onvoldoende bewust van de gevaren waaraan hij zich dagelijks blootstelt. Dat kwam prachtig naar voren tijdens een onlangs door Interpolis en Rabobank georganiseerd cyber-event. De aanwezigen kregen de schrik van hun leven, toen een hacker op een scherm een lijst met 06-nummers tevoorschijn toverde. Veel van de eigenaren van dienummers zaten in de zaal! Wat hadden ze fout gedaan? Gebruik gemaakt van een onbeveiligd wifi-netwerk, waardoor de hacker niet alleen hun nummer achterhaalde, maar ook kon meelezen wat ze met hun telefoon deden, zoals internetbankieren (en daarmee was hun password ook bekend). Tijdens het event werd duidelijk dat volgens overheidsschattingen jaarlijks zo’n 40% van alle ondernemers op de een of andere manier slachtoffer wordt van cybercrime. De schade die ze daardoor lijden is moeilijk in te schatten. Je hebt het dan over de directe schade, zoals een productieproces dat stilvalt, maar er kan ook ernstige imagoschade ontstaan. Hoe leg je je klanten uit dat hun persoonsgegevens in handen van derden zijn gekomen?

‘Laat ethische hackers met regelmaat je beveiligingssysteem checken’

VOORKOMEN

Cybercrime is een probleem dat elk jaar groeit, bovendien worden hackers steeds slimmer en vinden ze nieuwe en effectievere wegen om hun doelen te bereiken. Politie en justitie lopen altijd achter de feiten aan, je kunt pas actie ondernemen als er een slachtoffer is gevallen, er een nieuwe worm of een nieuwe vorm van spyware is ontdekt, dat is dus altijd reactief. Toch kun je zelf veel doen om ellende te voorkomen. Het begint er mee dat cybersecurity altijd op de agenda van het management en elke medewerker moet staan. Bovendien moeten de genomen veiligheidsmaatregelen voortdurend worden gecheckt en geüpdatet. Cybersecurity zou onderdeel moeten zijn van het bedrijfsveiligheidsbeleid. Wie heeft toegang tot wel onderdeel van het systeem, wie mag met gevoelige informatie werken en hoe controleer je dat? Hoe voorkom je dat medewerkers via usb-sticks of privé devices toegang krijgen tot het systeem, bijvoorbeeld omdat ze soms vanuit huis werken. Zo kunnen ze eenvoudig en onbedoeld spyware in je systeem planten. Haal professionele hulp in huis, mensen die verstand hebben van ict-beveiliging, eventueel ethische hackers die je systeem met regelmaat op lekken checken. Het belangrijke van allemaal: bewustwording. Bewustwording is de eerste en beste verdedigingslinie tegen cybercriminelen. Zorg dat de hele organisatie goed is doordrongen van de gevaren die schuilen in een hack. Het heeft vele bedrijven aan de rand van de afgrond gebracht.