‘Security officer moet LinkedIn controleren’

Als het aan beveiligingsonderzoeker Herbert Thompson ligt, krijgt de de chief information security officer (CISO) binnen grote ondernemingen er een aantal taken bij. Thompson kwam recent in het nieuws door zijn opmerking dat LinkedIn een beveiligingsrisico vormt. Computable interviewde hem tijdens een beveiligingsconferentie van RSA in Londen.

U vindt dat het ontwikkelaars en andere werknemers vaak ontbreekt aan bewustzijn op het gebied van beveiligingsrisico's.
‘Studenten softwareontwerp wordt geleerd om software-eisen te maximaliseren zoals een hoge prestatie, goede onderhoudbaarheid en duidelijk commentaar. Veel van die software-eisen staan echter beveiliging in de weg. Neem bijvoorbeeld performance.  Meer beveiliging betekent meestal ook extra controles, en dat heeft een negatieve invloed op de prestatie. Hetzelfde geldt voor gebruiksvriendelijkheid. Ontwikkelaars weten niet altijd goed hoe ze al die software-eisen met elkaar in evenwicht kunnen brengen. Het ís ook een behoorlijke uitdaging. Softwarebedrijven gaan echter steeds meer inzien dat beveiliging een integraal onderdeel moet uitmaken van de producten die ze bouwen. Maar ontwikkelaars die net van school afkomen zijn vaak wel goede code-schrijvers, maar ze zijn niet getraind om veilige code te schrijven.'

Hoe schrijf je veilige code?
‘Beveiliging heeft meer te maken met beperkingen dan met functionaliteit. Je kunt dus software schrijven die aan alle gestelde functionaliteitseisen voldoet, maar toch niet goed beveiligd is. Ict'ers hebben geleerd om functionaliteitseisen te schrijven, niet functionaliteitsbeperkingen. De meeste requirements zeggen: bij een gegeven input A, verwachten we B als uitkomst. Maar beveiliging gaat daarnaast over de afwezigheid van uitkomst C, D en E. Ik kan je een voorbeeld geven uit mijn eigen leven. Laatst werd ik gebeld door de automatische doktersdienst, die me herinnerde aan een bepaalde afspraak. Ik belde de dienst terug, en kreeg een ingesprektoon. Ik probeerde het opnieuw: weer een bezettoon. Maar de derde keer dat ik belde kreeg ik eerst een serie piepjes te horen, en toen een boodschap die voor iemand anders bedoeld was. Over medicijnen die hij moest afhalen, bij die en die apotheek, vanaf zus en zo laat. Met naam en toenaam! Medische gegevens! Het probleem was, dat het systeem voordat het iemand belde niet controleerde of er een kiestoon aanwezig was. En daarnaast had het natuurlijk nooit mogen gebeuren dat het telefoonnummer van de automatische beldienst voor mijn telefoon zichtbaar was.'

U beweert dat LinkedIn een beveiligingsrisico vormt.
‘Ja, daar heb ik onderzoek naar gedaan samen met een collegawetenschapper. Stel, er bloeit iets moois op tussen twee bedrijven, dan kan een buitenstaander dat ook waarnemen, op basis van nieuwe connecties in het sociale netwerk van werknemers van dat bedrijf. Tijdens een voorbereidend onderzoek van LinkedInprofielen van werknemers vonden we een verband tussen een plotselinge groei van het aantal aanbevelingen dat werknemers ontvingen of gaven, en het omvallen van hun bedrijf. Ook op dit moment hebben we een aantal voorspellingen lopen, over bedrijven waarvan de kans groot is, op basis van de LinkedIn-profielen van hun werknemers, dat ze op de fles gaan of binnenkort fuseren met een ander bedrijf.'

Om welke bedrijven gaat het?
‘Dat kan ik nog niet zeggen, maar wanneer ons onderzoek afgerond is, gaan we daarover publiceren.'

Wat kunnen bedrijven aan dit nieuwe beveiligingsrisico doen?
‘Binnen grote ondernemingen betekent het een uitbreiding van de rol van de chief information security officer (CISO) of van de chief risk officer (CRO). En er is ook deels overlap met het werkterrein van een human resources manager.'

Hoe moeten die personen dat aanpakken?
‘Deels houden deze beroepsgroepen zich al bezig met dit onderwerp. Ze laten zich bijvoorbeeld vaak al Google Alerts toesturen, over websites waarop de naam van hun bedrijf opduikt. Daarnaast zouden ze gerichte zoekopdrachten kunnen uitvoeren naar de online activiteiten van individuen die zich op sleutelposities binnen hun bedrijf bevinden. Alhoewel je daarmee meteen ook aan allerlei taboes raakt, zoals de scheiding tussen werk- en privézaken. Is het redelijk om vanuit zakelijk oogpunt privé-activiteiten van werknemers online te onderzoeken? Wanneer die persoon expliciet publiceert over zijn bedrijf, is die afweging duidelijk. Maar wanneer hij of zij onbedoeld informatie uitzendt via bijvoorbeeld sociale netwerken, dan kom je in een interessant schemergebied terecht. Hoe dan ook is het belangrijk om werknemers bewustzijn bij te brengen van dit soort risico's.'