‘Phishing blijft veruit de grootste dreiging’

Anne Karine Hafkamp is commercieel eindverantwoordelijke voor de Benelux bij het Europese cybersecuritybedrijf mnemonic. Dit jaar buigt ze zich voor het eerst als jurylid over de inzendingen voor de Computable Awards.

Hafkamp is van origine econoom, en was al snel gefascineerd door de toepassing van technologie en het tempo waarmee technologie organisaties en markten kan veranderen. ‘Dat is ook precies waarom ik graag als jurylid meedoe aan deze awards. Ik krijg veel energie van hoe nieuwe generaties een andere manier van denken meebrengen, met andere ideeën en andere soorten oplossingen komen, wat gisteren nog niet mogelijk leek. Neem iemand die op social meda ziet dat jongeren moeite hebben met het plannen van hun studie. Diegene bouwt met ai binnen een paar dagen een eenvoudige planningstool, zet die online en test via social media meteen of mensen ervoor willen betalen. Dat vind ik typerend voor deze generatie. Ze denken minder lang na en gaan sneller bouwen, testen en aanpassen.’

Haar huidige werkgever mnemonic helpt grote en vaak internationaal opererende organisaties om digitale risico’s te begrijpen, te voorkomen en te beheersen. Hafkamp houdt zich bezig met organisaties in de grootzakelijke markt, in vrijwel elke sector. ‘We brengen in kaart welke digitale veiligheidsrisico’s er voor een organisatie zijn, rekening houdend met elke denkbare dreiging. Van geopolitieke spanningen tot de continuïteit van onze vitale voorzieningen zoals gas, water en licht. Dat doen we in de volle breedte van het it – én ot-landschap. Vanuit onze Noorse wortels zijn we altijd al veel actief geweest in de energiemarkt, waar ot al langer een grote rol speelt. Juist in complexe organisaties leveren we maatwerk om zoveel mogelijk inzicht te krijgen. Bij ons draait het security operations center dan ook met meer dan honderd man, 24/7 eyes on glass, wereldwijd.’

Welke ontwikkelingen zie je in cybersecurity?

‘De cybersecuritymarkt is met de komst van ai flink veranderd. Het type aanvallen verandert mee en het aanvalsoppervlak wordt complexer. Ai maakt aanvallers sneller, maar ons ook. We kunnen enorme hoeveelheden informatie veel sneller analyseren en patronen herkennen die een mens niet zo snel allemaal zelf kan zien. Dat vind ik een van de interessantste ontwikkelingen in ons vak. Tegelijk geloof ik sterk dat technologie de professional ondersteunt en niet vervangt. Uiteindelijk wil je dat een ervaren collega begrijpt waarom iets gebeurt en welke beslissing daarbij hoort. Wat mij bezighoudt, is dat Europa technologisch soms langzamer beweegt doordat we terecht veel eisen stellen aan privacy en datagebruik. In China zie je bijvoorbeeld dat veel meer data aan elkaar gekoppeld kan worden en dat daardoor bepaalde toepassingen sneller tot ontwikkeling komen. Ik vind dat we daar niet naïef over moeten zijn. De vraag is hoe we in Europa veel ambitieuzer worden in technologie en innovatie, zonder onze waarden te verliezen.’

Zie je verschillen tussen sectoren in de volwassenheid waarmee ze met cybersecurity omgaan?

‘Zeker. De verschillen tussen sectoren zijn groot. Zorginstellingen en gemeenten hebben bijvoorbeeld te maken met beperkte capaciteit, complexe organisatiestructuren en veel concurrerende prioriteiten. Tegelijkertijd worden ze steeds afhankelijker van technologie. Daardoor groeit de urgentie om cybersecurity structureler te organiseren. En we hebben in Nederland veel familiebedrijven, vaak productiebedrijven, die internationaal zijn gaan opereren zonder zich ervan bewust te zijn dat ze eigenlijk zijn uitgegroeid tot een multinational. Hun cybersecurity groeide niet altijd in hetzelfde tempo mee, totdat ze geraakt werden door ransomware en niet wisten wat ze moesten doen. Vooral op het gebied van operational technology – alles wat in de fabriek staat – is dat lang onderschat, en moet er nu alsnog fors geïnvesteerd worden, passend is het risicoprofiel van vandaag. Maar investeren is één ding; je hebt ook mensen nodig, en die zijn er nog onvoldoende voor opgeleid. We missen nog steeds veel personeel in deze branche, ook aan klantzijde.’

Moeten organisaties dan ook meer gaan investeren?

‘Een vast percentage voor cybersecurity is lastig te geven, want dat hangt af van je risicoprofiel. Sommige bedrijven kiezen er bewust voor weinig zichtbaar te zijn naar buiten toe, want hoe zichtbaarder je bent en hoe maatschappelijk je rol is, hoe meer motieven er zijn om je aan te vallen, vanuit concurrentie, chaos of gewoon voor de lol. Hoe zichtbaarder je bent, hoe hoger de muur moet zijn, en dus hoe meer je moet investeren. In Nederland zien we bijvoorbeeld dat het aantal DDoS-aanvallen de afgelopen drie jaar sterk is toegenomen. Met name bij financiële instellingen en bij overheidsorganisaties is het bijna wekelijks raak. Het doel daarvan is vooral chaos creëren. Inmiddels zijn daar zoveel maatregelen tegen genomen dat de dienstverlening gewoon bereikbaar blijft, ook al neemt het aantal aanvallen toe. Daarom geloof ik ook niet zo in de vraag: hoeveel procent moeten we aan security uitgeven? De betere vraag is: welk risico vinden we acceptabel en wat moeten we organiseren om daar te komen?’

Nemen aanvallen toe in soort en aanpak?

‘De basis verandert eigenlijk minder snel dan de manier waarop aanvallers die toepassen. Phishing en social engineering blijven bijvoorbeeld een van de belangrijkste manieren om een organisatie binnen te komen, maar de uitvoering wordt steeds geraffineerder. Het gaat allang niet meer alleen om een verdachte e-mail. We zien ook smishing via sms, vishing via telefoon, berichten via andere digitale kanalen en steeds overtuigendere aanvallen met behulp van ai. De bekende e-mails zien er tegenwoordig heel geloofwaardig uit. Je kunt nog steeds op de standaardpunten letten: klopt het e-mailadres, heb je er wel of niet om gevraagd? Maar ook dat wordt lastiger, want aanvallers spelen slim in op het moment om je tot een handeling te verleiden. Denk aan phishingmails over pakketjes rond de kerstperiode, precies wanneer je die verwacht.’

Waar let je op bij de nominaties voor de Computable Awards?

‘We zijn als land technologisch ingesteld en ondernemend, en dat vertaalt zich in innovatief denken over hoe we dreigingen benaderen of voorkomen. Vergeleken met andere Europese landen lopen we daarin voorop. Dat heeft ook met mentaliteit te maken, en ik hoop dat terug te zien in de inzendingen voor de awards. Ik kijk vooral of er potentie in de oplossing zit. Het moet waarde creëren voor een situatie die er nu is.’

Breng je stem uit!

Stem direct op de genomineerden ..

Of lees eerst de toelichting op de nominaties per categorie: