Cyberweerbaar zijn betekent bijblijven en vooruitkijken

Steeds meer processen, systemen en informatie worden door overheden, bedrijven en individuen online verwerkt. Naast de vele voordelen, leidt dit ook tot risico’s. Door diverse soorten aanvallers worden op grote schaal websites platgelegd, gevoelige gegevens gestolen en geld buitgemaakt. Aandacht voor cybersecurity is dus van levensbelang om weerbaar te zijn tegen cyberdreigingen.

Wat betekent de term cybersecurity volgens jullie?

Ron: ‘Cybersecurity heeft vooral te maken met hoe weerbaar je als organisatie of individu bent tegen digitale aanvallen. Denk aan maatregelen om je digitale systemen te beschermen tegen hackers. Omdat we als samenleving steeds meer online verbinden, is het belang van cybersecurity toegenomen. Het is constant een kat-en-muisspel tussen aanvallers en verdedigers. Waar criminelen vroeger een paar duizend euro in een overval buitmaakten, gaat het nu om miljoenen via digitale hacks. Als we als SSC-ICT beveiligingsmaatregelen bedenken, vinden hackers weer nieuwe manieren om binnen te komen. Daar moeten wij ons vervolgens weer tegen weren.’

Nardie: ‘Daar sluit ik me bij aan. Het gaat bij cybersecurity met name om cyberweerbaarheid: het vermogen om adequaat te kunnen reageren op cyberincidenten. Daar horen ook fysieke dreigingen bij, want die zijn vaak verweven met cyberdreigingen. Bijvoorbeeld wanneer iemand zich ongeoorloofd toegang verschaft tot een rijkskantoor, vervolgens een laptop vindt die niet is vergrendeld en daarna het systeem binnendringt. Dan is de fysieke weerbaarheid niet op orde, in combinatie met de cyberweerbaarheid. We hebben er allemaal mee te maken. Ook jij en ik. Het is een breed maatschappelijk probleem, want er zijn altijd kwaadwillende actoren die proberen toegang te krijgen tot systemen en gegevens van organisaties en individuen.’

Is SSC-ICT voldoende voorbereid op cyberdreigingen?

Nardie: ‘De kwaadwillende groep wordt groter en dreigender. Met geopolitieke ontwikkelingen, zoals de oorlog in Oekraïne, zien we dat cyberdreigingen toenemen. Er worden miljoenen gespendeerd om partijen zoals SSC-ICT aan te vallen. We proberen te voorspellen wat er gaat gebeuren en werken hiervoor goed samen met andere overheidsorganisaties. Met alle maatregelen die we nemen proberen we volledig ‘in control’ te blijven, ondanks een continu veranderend speelveld. We willen aantoonbaar op orde zijn en blijven, bijvoorbeeld door te blijven investeren in mensen, processen, technologie en door rijksbrede samenwerking. Daarin moet je als Rijksoverheid heel veel tijd, geld en energie steken en vooral: effectief samenwerken.’

Ron: ‘We kunnen niet achteroverleunen. Het is belangrijk te realiseren dat we veilig zijn zolang we bijblijven met de ontwikkelingen om ons heen. Maar zelfs dan kunnen er altijd nieuwe kwetsbaarheden ontstaan, want dreigingsvormen veranderen continu. Het is een dynamisch veld. Wat vandaag veilig lijkt, kan morgen weer een risico vormen. Dat vraagt om voortdurende investeringen in cybersecurity, om de veiligheid op orde te houden en te voorspellen wat de dreiging van morgen is. Dit betekent dat het een steeds groter deel van ons budget zal innemen.’

Op welke wijze voorspellen we de dreiging van de toekomst?

Nardie: ‘Het SOC (Security Operations Center) monitort 24 uur per dag en 7 dagen per week op allerlei activiteiten, zoals het identificeren van ongebruikelijke activiteiten. We hebben overal sensoren staan om het netwerkverkeer te monitoren. Er wordt hierbij niet alleen gekeken naar afwijkend gedrag op het netwerk of het in de gaten houden van verdachte websites. We kunnen ook op automatische wijze cyberdreigingen voorspellen, aan de hand van patroonherkenning en andere Artificial Intelligence (AI-technieken). Voorbeeld: midden in de nacht wordt afwijkend gedrag op het netwerk waargenomen, omdat iemand ongeoorloofd toegang probeert te krijgen tot een netwerkschijf. Op basis van die activiteit hebben we dan al voorspeld wat er elders gaat gebeuren, en kan automatisch een bepaalde server of de verbinding daarmee uitgezet worden. We leren continu en passen het geleerde weer toe om steeds beter te kunnen voorspellen.’

Ron: ‘Voorspellingen hebben uiteindelijk ook invloed op de hele organisatie en ons verzorgingsgebied. Neem kwantumcomputers. Het is aannemelijk dat kwantumcomputers over een paar jaar in staat zijn de huidige cryptografische beveiligingsalgoritmen razendsnel te ontsleutelen. Met de huidige techniek zou dat miljoenen jaren kosten. Daarom moet de beveiliging nu al zo worden ingericht, dat die niet gehackt kan worden door een kwantumcomputer. Maar dit betekent dus ook dat we nu al beveiligingsdeskundigen opleiden en trainen om de hacker van de toekomst het hoofd te bieden.’

Veranderen we op basis van deze kennis ook onze dienstverlening?

Ron: ‘Jazeker. Zo is op basis van de analyses van onze securityspecialisten onlangs besloten om het minimale aantal tekens van de werkplekwachtwoorden te verhogen naar 16 karakters. Dat vinden gebruikers niet altijd leuk, maar het is wel nodig om cyberweerbaar te blijven. Met campagnes proberen we gebruikers tips te geven hoe ze zich zo snel mogelijk kunnen aanpassen aan dergelijke veranderingen. Soms kunnen we zelfs meer gebruikersgemak bieden, zonder dat de security eronder lijdt. Een voorbeeld hiervan is DWR 2.0, de nieuwe werkplek die we binnenkort uitrollen bij de departementen. Daarbij kun je de laptop ontgrendelen met gezichtsherkenning of een vingerafdruk in plaats van een lang wachtwoord. Deze gegevens worden beveiligd lokaal opgeslagen. Zo verhoog je het gebruikersgemak en heeft security en privacy er niet onder te lijden.’

Wat gaat de komende jaren een grote rol spelen in security?

Nardie: ‘Het op orde houden van de eigen bedrijfsprocessen en dienstverlening. Bijvoorbeeld door continu met de nieuwste versies van programma’s te werken, waardoor we minder kwetsbaar zijn. Daarnaast gaan nieuwe technologieën zoals AI een grote rol spelen. Tot slot blijft de menselijke factor cruciaal. De mens is nu eenmaal kwetsbaar en kan onbewust op een verkeerde link klikken, en zo een hacker toegang geven tot kritische bedrijfsprocessen.’

Ron: ‘In ons geval betekent het dat we de medewerkers niet in de gelegenheid moeten stellen om kwaad te kunnen doen. Of ze dat nu bewust of onbewust doen. Een grote ontwikkeling hierin is de nieuwe beveiligde beheeromgeving en het Privileged Access Workstation (PAW). Dat gaat ons en de klant enorm helpen. De lokale beheertoegang wordt beperkt tot het minimaal vereiste om een taak uit te voeren. Hoewel het minder gebruiksvriendelijk is, is dit een noodzakelijke controle om gebruikers, waarvan het account schade kan toebrengen aan organisaties, te beschermen. Al met al is het een hele boeiende tijd. Enerzijds vanwege de technologische mogelijkheden, en anderzijds vanwege de uitdagingen die er zijn op het vlak van security.’