Wat ik vaak bij organisaties neerleg zijn de onderbelichte kanten van security. Zoals bijvoorbeeld het Internet of Things. De meeste mensen zien dat als een consumentenontwikkeling: domotica thuis. Maar het Internet of Things doet ook zijn intrede bij organisaties, zoals ziekenhuizen. Er komen steeds meer apparaten die connected zijn of kunnen zijn. Denk naast thermostaten, in huizen én bedrijfspanden, ook alarmsystemen. Die apparaten geven ons voordelen, laten ons kosteneffectief werken. Maar ze brengen ook risico’s met zich mee.
Over deze blogger
Jort Kollerie is sinds 2000 werkzaam bij Dell en heeft diverse sales-functies gehad binnen het segment van local & central government. In 2009 heeft hij zich gespecialiseerd binnen het Public Security & Defence team op onder andere Digital Forensics en biometric/rugged solutions. Vanaf 2012 is Jort als Enterprise Security Specialist verantwoordelijk voor het security portfolio binnen Dell Benelux. Met als uitgangspunt het optimaliseren, vereenvoudigen en verhogen van security, adviseert hij relaties op het gebied van Network Security, Identity & Access Management en Data Protection & Encryption .
Gebrek aan richtlijnen
Veel producten worden tegenwoordig zó snel op de markt gebracht dat security onderbelicht is. Daar zijn helaas ook geen richtlijnen voor. Voor stofzuigers bijvoorbeeld wel: die moeten qua vermogen en brandgevaar aan bepaalde regels voldoen. Voor de securitykant van connected devices is dat er helemaal niet. Terwijl er allang gespecialiseerde zoekmachines zijn die kwetsbare systemen in kaart brengen.
Uiteenlopende apparaten vallen af te luisteren, te manipuleren of zelfs geheel van malafide firmware te voorzien. In de Verenigde Staten zijn er al incidenten geweest in ziekenhuizen. Security-onderzoekers hebben daar niet alleen verkeerd geconfigureerde pc’s ontdekt, maar ook via internet benaderbare pacemakers, anesthesiesystemen en andere medische apparatuur. Europol heeft al gewaarschuwd dat we binnenkort de eerste cybermoord kunnen verwachten.
Regeren is vooruitzien en dat is moeilijk
Organisaties zijn qua security namelijk vaak bezig met ‘pleisters plakken’. Dat is een reactieve aanpak. Ze kijken niet voorbij de horizon. Regeren is vooruitzien, maar vooruitzien kan bijna niet in de IT. We weten niet wat eraan komt. Toch moeten we meer vooruitkijken, want de wereld verandert flink en snel. Vandaag de dag bezitten de meeste mensen gemiddeld twee devices: een smartphone en een laptop/tablet. Daar komt het Internet of Things straks nog bij. Onderzoeksbureau Gartner voorspelt dat we tegen 2020 wereldwijd 26 miljard connected devices hebben.
Ondanks die groei aan apparaten blijft de mens de zwakke schakel. Denk aan te simpele wachtwoorden, waarvan er complete databases in omloop zijn op underground-fora. Het komt dan ook grotendeels neer op opvoeding. Het is een probleem zoals de politie ook heeft: 100 procent veilig bestaat niet. Maar we kunnen en moeten daar wel naar blijven streven. Ik vroeg laatst bij een klant: wat doe je preventief? Wat doe je als je een nieuwe medewerker in dienst neemt? Het antwoord was: account aanmaken, rechten toekennen, toegangspasje geven, en klaar. Daar ontbreekt dus bijvoorbeeld een securitytraining: wat er wel en niet mag in de organisatie.
Het gaat om mensen
Je kunt wel de nieuwste of beste securitytechnologie in huis hebben, maar het gaat erom hoe mensen omgaan met data, devices en dergelijke. Als iemand voorkeur heeft voor een iPad en dan bestanden overhevelt via een eigen Dropbox-account om deze te bekijken, heb je al een mogelijk securityprobleem. Het probleem is dat niemand werknemers training geeft. Wel hoe je je werk moet doen, om het bedrijf winst te bezorgen. Maar niet hoe je dat securityminded moet doen.
Ondertussen probeert de IT-afdeling krampachtig om de hele organisatie veilig te houden. De kosten daarvoor zullen alleen maar de pan uitrijzen, tenzij organisaties echt op security gaan hameren. Iedereen denkt ‘Dat is een probleem van IT’, maar het is een kwestie voor de hele organisatie. Pleisters plakken kan iedereen. We moeten kijken waar we naartoe willen.
