Accent beveiliging ligt te veel op preventie

De Wetenschappelijke Raad voor het Regeringsbeleid (WRR) signaleert dat Nederland over het algemeen goed is voorbereid op fysieke calamiteiten, maar dat bij cyberbeveiliging het accent met name ligt op preventie. De aanbevelingen van de WRR zijn met name voor de politiek en beleidsmakers van belang en uiterst relevant. Maar wat kunnen organisaties bij wijze van spreken morgen al doen om de risico’s van een cyberaanval of datalek te voorkomen?

Het recent gepubliceerde rapport van de Wetenschappelijke Raad voor het Regeringsbeleid (WRR) over de digitale veiligheid heeft – terecht – de afgelopen weken veel aandacht gekregen. Volgens de WRR is ons land slecht voorbereid op grootschalige digitale ontwrichtingen. Die leiden volgens de raad gemakkelijk tot problemen bij cruciale diensten als het betalingsverkeer, de elektriciteitsvoorziening en de medische zorg. Een recent voorbeeld was de omvangrijke storing van het landelijke noodnummer 112 en het landelijke servicenummer van de politie 0900-8844 in juni van dit jaar, waardoor brandweer, politie en ambulances niet of nauwelijks te bereiken waren.

De WRR signaleert dat Nederland over het algemeen goed is voorbereid op fysieke calamiteiten, maar dat bij cyberbeveiliging het accent met name ligt op preventie. De raad pleit voor meer paraatheid, betere signalering en meer samenwerking tussen overheid en bedrijfsleven als het mis gaat in het digitale domein. Verder is de WRR sterk voor een publiek debat over de voorbereiding die de samenleving nodig heeft om ernstige digitale ontwrichtingen goed te doorstaan. Het is te prijzen dat de WRR dit rapport volledig op eigen initiatief heeft opgesteld en zo cybersecurity op de agenda houdt.

Algemene kaders

Dat is beslist geen overbodige luxe, gezien de talloze incidenten en de enorme kosten die gepaard gaan met cybersecurity-incidenten. De aanbevelingen van de WRR zijn met name voor de politiek en beleidsmakers van belang. Zij bieden uitstekende algemene kaders. In de tussentijd is er bij individuele bedrijven zeker ook behoefte aan praktische adviezen. Met andere woorden: wat kunnen zij bij wijze van spreken morgen al doen om de risico’s van een cyberaanval of datalek te voorkomen?

Wat mij betreft begint dat weinig verrassend met wat we de ‘brilliant basics’ kunnen noemen. Dat zijn al die maatregelen waarvan iedereen zegt dat ze voor de hand liggen, maar waar maar weinig organisaties écht werk van maken. Een voorbeeld is actief beheer van gebruikers en toegang via een identity & access management-platform (iam). Onderzoek laat zien dat elke euro die je in zo’n platform steekt, loont. Andere voorbeelden van basics zijn een solide patchproces en awareness-trainingen. Ongepatchte software is zoals bekend uiterst kwetsbaar voor aanvallen en medewerkers blijven onder alle omstandigheden de zwakste schakel, wat de noodzaak van bewustwording van risico’s in de digitale wereld krachtig onderstreept.

Testen en innovatie

Naast deze basics moet je als organisatie continu testen hoe goed je beschermd bent. Vergelijk het met een calamiteitenoefeningen van de brandweer. In sommige sectoren, zoals het bankwezen, zijn penetratie- en stresstesten al heel gewoon. Abonneezender Netflix gaat nog een stap verder en heeft een speciaal team dat niets anders doet dan proberen de productie-omgeving (!) onderuit te halen. Het bedrijf heeft wellicht dankzij die aanpak nauwelijks storingen, terwijl het een enorme massa content beheert en volledig moet steunen op cloudtechnologie en het openbare internet.

Naast continu testen, is het zaak om innovatie te omarmen. Dat doen hackers namelijk ook. Investeer daarom in artificial intelligence (ai) en machine learning (ml), want zij bieden de enige route naar het beheren en verminderen van risico’s. Infrastructuren worden met de dag complexer, waardoor het voor securityteams onmogelijk is om alle componenten handmatig te volgen. Nieuwe tools, waaronder ai en ml, zijn daarom nu al onmisbaar om de veelheid van securitymeldingen en de verwerking ervan te automatiseren.

Tot slot zal het nodig zijn – zoals de WRR ook voorstelt – om meer binnen sectoren samen te werken en incidentdata snel en schaalbaar met elkaar te delen. Idealiter gebeurt dat ook over landsgrenzen heen. Maar dat betekent niet dat we op Europa moeten gaan wachten. Wat op termijn eventueel Europees kan, kan morgen in Nederland. Dat hoeft niet per se meteen een maatregel te zijn, zoals de WRR voorstelt om de overheid toegang te geven tot een bedrijf waar een incident zich voordoet. Het kan ook door organisaties en sectoren te bewegen om incidentdata direct te delen, waarbij de overheid eventueel de rol op zich kan nemen van centraal punt, zoals dat nu al gebeurt door het Nationaal Cyber Security Center (NCSC).

Met de basis op orde,  voortdurende ‘pressure testing’, oog voor innovatie en meer onderlinge samenwerking is iedere organisatie morgen alweer veiliger te maken dan vandaag.