Je bent een rund als je met IT-security stunt

Wie kent de jaarlijks terugkerende Sire-campagne ‘Je bent een rund, als je met vuurwerk stunt’, niet? Het heeft mij bewust gemaakt dat vuurwerk geen speelgoed is en je dus veiligheidsmaatregelen moet treffen. Als security-expert zie ik dagelijks dat it-beheerders roekeloos omspringen met data. Financiële of imagoschade door gebrekkige it-security kan je onderneming de kop kosten. Kortom: je bent een rund als je met it-security stunt.

We zijn in toenemende mate afhankelijk geworden van it. Een website die offline is door een DDoS-aanval, is een ramp voor de webshopeigenaar. Hij loopt zo omzet mis. Een verzekeraar wiens data gegijzeld wordt middels ransomware, loopt een groot imagorisico. Een hartpatiënt met een pacemaker is in levensgevaar, wanneer het besturingssysteem in verkeerde handen valt. Is men net zo bewust van de gevaren van malafide it-security als van de gevaren van vuurwerk? Ik betwijfel het.

Extra slot op datacenter

De invoering van de Meldplicht Datalekken in januari 2016, heeft er zeker toe bijgedragen dat security wat hoger op de agenda is komen te staan bij veel bedrijven. Maar hoe je nu echt optimaal je beveiliging inricht, zodat je ook daadwerkelijk compliant bent, dat is voor veel ondernemers en it-beheerders nog een grijs gebied.

In veel gevallen zien we dat ondernemingen druk bezig zijn met het plaatsen van extra sloten in hun datacenter. Als het achter slot en grendel staat, dan is het veilig. Een zeer plausibele gedachte, ware het niet dat data altijd, vroeg of laat, in beweging komt. Zo wordt data verzonden naar een ander datacenter of naar een ander endpoint, zoals een laptop, usb-stick of smartphone.

Dit dataverkeer verloopt veelal via glasvezelverbindingen, zodat de informatie in een mum van tijd op de plaats van bestemming is. Wat veel mensen niet weten is dat dit dataverkeer, vaak onmerkbaar en haast kinderlijk eenvoudig afgetapt kan worden. Met alle gevolgen van dien.

Dense Wavelength Division Multiplexing

Encryptie zorgt dat data versleuteld is, ook wanneer het via glasvezel het datacenter verlaat. Hierbij krijgen alleen de geautoriseerde gebruikers met de juiste sleutel de data te zien. Kwaadwillende die de data aftappen kunnen niks met de gestolen gegevens, omdat dit door encryptie voor hen onleesbaar is geworden.

Er zijn meerdere methoden om dataverkeer via glasvezel te versleutelen. Mijn persoonlijke favoriet is Dense Wavelength Division Multiplexing. Dit is een technologie waar verschillende datakanalen gecombineerd over een langere afstand worden getransporteerd. Het komt er op neer dat er over één glasvezelverbinding meerdere signalen via verschillende golflengtes verstuurd worden. Data wordt zo op de optische laag versleuteld, per datastroom kan de securitygraad bepaald worden en aangezien er meerdere datastromen via één verbinding gaan, wordt deze oplossing ook nog eens financieel aantrekkelijk.

SIRE-campagne

Wie met it-security denkt compliant te zijn door alleen de voordeur op slot te draaien, is net zo riskant bezig als een jongere die zonder de gebruiksaanwijzing te lezen het illegaal verkregen vuurwerk gaat afsteken. De kans is groot dat er iets misgaat en dat de gevolgen niet te overzien zijn. Bij een vuurwerkongeluk is de schade direct zichtbaar, maar bij cybercriminaliteit en zeker bij datalekken is het in veel gevallen niet direct zichtbaar dat je slachtoffer bent. De verscherpte regelgeving zorgt er vervolgens wel voor dat jouw onderneming opdraait voor de gevolgen. Kortom, ‘Je bent een rund als je met it-security stunt’, niet eens zo’n gekke suggestie voor een volgende SIRE-campagne.