'Nederland niet goed beveiligd tegen cyber-terrorisme''
5 februari 2013 -
Door een ontoereikende beveiliging van ICT-systemen krijgen overheden en bedrijven in 2013 steeds vaker met cyberterrorisme te maken. Het lukt criminelen om onopgemerkt kwaadaardige software (malware) in systemen te implementeren. De veiligheid van nationale databases en elektronische medische dossiers zijn in het geding. Voor systemen van banken en verzekeraars en cloud-diensten geldt hetzelfde. Dat zegt Sher Khattak van het internationaal opererende SQNetworks.
Volgens Khattak loopt cyber crime stapsgewijs over in het veel bedreigender en maatschappelijk ontwrichtende cyber terrorisme: "Het accent ligt nu nog op beveiligingsproblemen van banken waardoor alleen al in Nederland jaarlijks tientallen miljoenen euro's naar criminelen weglekken. Maar in het verlengde van cyber crime dient zich het cyber terrorisme aan. Dat is heviger en gaat om de diefstal van gevoelige informatie door middel van gerichte, langdurige en goed voorbereide aanvallen.
Het cyber terrorisme krijgt vaak een kans omdat de zogenoemde end point beveiliging bij gebruikers of klanten niet wordt afgedicht. Zij verkeren in de veronderstelling dat een traditionele firewall/IPS/IDS voldoende bescherming biedt. Volgens Khattak ten onrechte: "De praktijk wijst uit dat de gebruiker de zwakste schakel is. Zonder het te weten biedt die cyber terroristen een route om in systemen van bedrijven en organisaties in te breken."
Besmetting
Het besmetten van systemen via de pc, smart-Phone of tablet van gebruikers gebeurt stapsgewijs en op een slimme manier. Infecties blijven onopgemerkt voor scanningsmechanismen. Met als gevolg dat niet duidelijk is welke informatie criminelen gedurende hun hack buit hebben gemaakt. Doel van de aanvallen is het plat leggen van systemen en daarna ontvreemden van kennis en geld. Khattak stelt dat bedrijven en overheden de dreiging van cyber terrorisme nog steeds onvoldoende serieus nemen. Gevoelige projecten als het Elektronisch Patiëntendossier en de database van de Nationale Politie kunnen de dupe worden van een ontoereikende beveiliging. En daarmee een doelwit van cyber terroristen. Dat zijn doorgaans géén zestienjarige nerds op een zolderkamertje, maar criminele organisaties met zowel technisch als financieel een groot bereik.
Structurele aanpak
Khattak bepleit een structurelere beveiligingsaanpak: "Door het nog steeds toenemend gebruik van internet groeit de afhankelijkheid en ook de kans op misbruik. Internet is een open applicatie en wordt niet centraal, op basis van breed onderschreven spelregels over gebruik en beheer gemanaged. Het accent ligt nu vooral op het oplossen van problemen. En te weinig op het voorkomen." Die preventie kan onder meer bestaan uit het gebruik van zogenoemde dynamische online security services die elke aanval nauwkeurig monitoren.
In de optiek van SQNetworks zijn vooral personal data van levensbelang voor de internet-economie. Het ontbreekt te vaak aan het besef dat die vitale informatie optimaal beveiligd moet zijn. Er wordt mede vanwege de kosten ad hoc en niet op basis van een gedegen strategie en structuur gewerkt. Sher Khattak: "Als er niets gebeurt, gaat die aanpak zich wreken en bestaat de kans dat onze economie enorme schade oploopt."
Als ik dit soort artikelen belees dan kan ik daar een tikje droevig van worden. Sinds het eerste werkelijke verspreide virus, genaamd 'I Love You', is er op het gebied van virus en malware zeer veel ontwikkeld.
Menig een denkt dat met het installeren van wat virus protectie, de problemen wel de baas te zijn. Slechts een enkeling kijkt beter en zegt dan ook met regelmaat dat men zichzelf een tikje voor het lapje houd.
Virusmakers en verspreiders en AV ontwikkelaars, houden elkaar in een houdgreep. Zo is dat nu eenmaal. Wat vreemder is is dat maar weinig mensen binnen de corporate en overheid bereid zijn te accepteren dat dit nu eenmaal FEIT is en er structureel ook iets aan en mee doen.
Het is namelijk noodzaak dat een AV alleen al niet meer genoeg is. Ook het continue onderhouden van bewust worden en zijn, zorgvuldig met data en middelen om te gaan, is een niet te onderschatten noodzaak.
We kennen allemaal de grote voorbeelden wel. Het neerzetten bij vuil van een pc tot vergeten USB sticks. Van de hele happening bij de KPN vs een hacker tot Dom tot de conclusie komen dat veiligheids certificaten van de overheid, helemaal niet veilig waren, zijn daar toon en voorbeelden van.
Als men niet het oog en moeite wil nemen nauwgezet naar een zeer eenvoudige inrichting van processen en procedures te kijken, dan is het niet de vraag 'OF' de volgende grootschalige incidenten zich voor zullen doen maar 'WANNEER'.
Met het omgaan van resources en middelen, zoals men ten tijde van crisis aan het doen is, vind er een groter gevaar plaats. Namelijk dat men kennis en ervaring de organisatie uit snijd met als gevolg dat deze reeds betaalde kennis, niet meer van nut zal zijn voor de organisatie.
En .... zal het wachten zijn op het volgende grootschalige incident. Dat is een garantie die ik met een gerust hart hier durf te geven.
