Cybersecurity
News 8 september 2020

'Cyber Security Awareness moet ook in huidige tijden prioriteit zijn'

Het massale thuiswerken waar we sinds medio maart met z'n allen ingerold zijn, begint steeds vanzelfsprekender te worden als de nieuwe standaard. Tegelijkertijd blijft de huidige situatie uitzonderlijk, en is kennis en kunde over informatieveilig werken – cyber security awareness – nog net zo belangrijk als een half jaar geleden. "Misschien zelfs belangrijker, want in veel organisaties zijn de prioriteiten nu even ergens anders komen te liggen, terwijl de tegenpartij bepaald niet stil zit", zegt Michael Heering, Marketing Director bij SANS Institute. Kwaadwillenden in cyberland hebben de vervelende gewoonte om altijd één stap voor te lopen, en cybercriminelen houden geen 1,5 meter afstand.

Awareness en cyberweerbaarheid

Het verhogen van weerbaarheid tegen cyberdreigingen is geen eenmalige actie, geen stap die je één keer zet om vervolgens alles onder controle te hebben. Fraudeurs vinden continu nieuwe aanvalstechnieken uit en bij iedere update van IT en OT worden nieuwe kwetsbaarheden geïntroduceerd. “Onder criminelen vind je vaak de meest innovatieve mensen”, zegt ook René de Vries, Havenmeester en Port Cyber Resilience Officer. “Ze lopen altijd een stap vooruit. Ik vergelijk het graag met John Dillinger, een beroemde misdadiger in het Chicago van de jaren 30. Die reed, nota bene voor bankovervallen, als een van de eersten in een T-Ford – jaren voordat de politie de overstap maakte. De sheriff zweerde bij zijn paard, en ook de vakbonden waren lang tegen automobilisering."

“Het zijn echt pioniers, dus het is erg jammer dat ze hun vaardigheden verkeerd gebruiken. Ze zijn bovendien minder gebonden aan regels en richtlijnen, en kennen geen moraal. Ook in cyberweerbaarheid moet daarom doorlopend geïnvesteerd worden."

In gesprek met Michael Heering wordt dat standpunt onderschreven. "Kijk alleen maar naar de ontwikkelingen nu we minder op kantoor zitten. Het aantal aanvallen op servers die thuiswerken faciliteren blijft groeien, en ook ons Internet Storm Center (een afdeling van het SANS Institute dat het niveau van kwaadwillende activiteiten op internet bewaakt, met name met betrekking tot grootschalige infrastructuurevenementen, red.) ziet een significante toename, met veel downtime en dus verloren tijd en kosten als gevolg." 

Sinds augustus worden verschillende organisaties in Nederland getroffen door DDoS-aanvallen die in sommige gevallen hebben geleid tot verstoring van onlinedienstverlening, meldde ook het NCSC deze week. De DDoS-aanvallen richten zich met name op de gedeelde infrastructuur van onze doelgroeporganisaties, zowel Rijk en vitaal. De impact van de aanvallen kan dus potentieel groot zijn doordat de netwerken van ISP’s worden geraakt en, zowel de ISP’s als de eindgebruikers hier last van ondervinden.

| Lees ook: Toename aan intensiteit en aantal DDoS-aanvallen

Thuiswerken

Daarnaast zijn er de algemene risico's gebonden aan de nieuwe situatie thuis. "We hebben het allemaal drukker, zijn allemaal gestresster. Je wordt thuis eenvoudiger afgeleid, klikt misschien op een link waar je niet op moet klikken, of let even niet op als er een verdachte bijlage verstuurd wordt." Daar bovenop blijft men de zeer realistische risico's rond cybercriminaliteit massaal onderschatten. De kans dat een organisatie of een individu slachtoffer wordt van cyberfraude, ransomware of een datalek wordt nog altijd heel eenvoudig afgedaan. "Dat overkomt ons toch niet?"

Hoe dan ook, het belang van de cybersecurity awareness factor is nog altijd zeer actueel. Datzelfde zien we helaas nog regelmatig in de Rotterdamse Haven. Zelfs onze Port Cyber Resilience Officer moet die vraag nog wel eens beantwoorden – wat doet een Havenmeester met cybersecurity? Moet ik mij niet gewoon bezig houden met schepen, lading, planningen en brandjes blussen? In de begindagen van FERM kon hij zich die vragen goed voorstellen. "Toen ik door de Burgemeester gevraagd werd als Cyber Resilience Officer moest ik ook even schakelen. Het is tenslotte een nieuw speelveld voor mij. Maar dat geldt voor heel veel partijen in de haven. Terminals, industrie, schepen, MKB en het havenbedrijf; we hebben vroeg of laat allemaal met cybercriminelen en hackers te maken. En bij de meeste van ons is de kennis hoe we ons hiertegen kunnen beveiligen best beperkt. Daarom moeten we de krachten ook bundelen en de samenwerking tussen bedrijfsleven en de overheid versterken. En dan is de Havenmeester wel weer een logische keuze tussen havenbedrijfsleven, gemeente, politie en openbaar ministerie in. Het is mijn ambitie om de samenwerking tot stand te brengen en als Rotterdamse haven weerbaar zijn tegen cybercrime en terreur."

| Lees meer over de volgende stappen van FERM: van awareness naar cyberweerbaarheid

Een vergelijkbare ambitie leeft bij SANS, maar dan op een grotere schaal (lees: niet alleen in de Rotterdamse Haven). Met name het belang van trainingen door deskundigen uit het zakelijke leven kan niet vaak genoeg worden benadrukt. "Onderdelen van de bedrijfsvoering die in deze tijden als eerste stop worden gezet, zijn de trainingsbudgetten. Want 'dat kan altijd later'. En dat is begrijpelijk, maar wel een beetje link", zegt Heering.

"Tegelijkertijd zijn we gelukkig niet terug bij af. Dankzij aandacht in de media is de vanzelfsprekendheid van investeringen in cybersecurity de afgelopen jaren verhoogd. En er wordt nu wel scherp gekeken naar budgetten voor awareness trajecten, maar we zien bijvoorbeeld wel een toename in assessments, dus een focus van organisaties om te kijken waar nu de druk ligt, en waar de verbeterpunten."

Ook zijn trainingen in de voorbije jaren stevig doorontwikkeld, met bijvoorbeeld veel meer gamification, variatie en interactie en om de boodschap om een beklijvende manier voor het voetlicht te brengen. "Capture the flag, toernooien, de mogelijkheden van cyber ranges waar medewerkers tegen elkaar, met elkaar of individueel in een online omgeving met diverse uitdagingen aan de slag gaan – noem maar op. We proberen heel veel in onze trainingen te verwerken, en onze instructeurs zijn altijd externe en onafhankelijke adviseurs van bijvoorbeeld overheid, politie, Bellingcat, FBI – de echte frontlinie, waar ze weten wat er speelt. Zo zitten we dicht op de laatste ontwikkelingen."

Security Awareness Work-from-Home Kit

Om het belang maar vooral ook de beschikbaarheid van awareness trainingen te onderstrepen, heeft SANS Institute er aan het begin van 'het nieuwe normaal' voor gekozen om kennis en expertise te delen. Bijvoorbeeld door de eigen SANS Security Awareness Work-from-Home Deployment Kit voor iedereen gratis aan te bieden.

"Thuiswerken brengt niet alleen nieuwe uitdagingen met zich mee voor organisaties die niet beschikken over de processen en technologieën die nodig zijn om een afgelegen personeelsbestand te beveiligen, het legt een nog grotere last op gezinnen die zich snel moeten aanpassen aan een nieuwe manier van werken en leren vanuit thuis. Daarom hebben we deze Kit uitgebracht, die een grote verscheidenheid aan adviezen, middelen en hulpstukken gratis beschikbaar stelt."

Meer informatie via onderstaande video en op de website van SANS Security Awareness.