‘Beveiliging is een kwestie voor de directie’

Heel vaak denkt de directie van een bedrijf of organisatie dat de beveiliging van de geautomatiseerde systemen een kwestie is voor de it-afdeling. Het 'C-level' houdt zich liefst afzijdig en vermoedt dat het alleen om techniek gaat. Een gesimuleerde aanval op de bedrijfssystemen door T-Systems laat zien dat er heel wat vragen ontstaan die een directie moet beantwoorden. 'Wil je nu de politie erbij halen, en het risico lopen dat ze jouw servers in beslag nemen?', vraagt prof. dr. Marco Gercke, directeur van het Cybercrime Research Institute, streng. Hij leidt de fake aanval.

Het mag dan zo zijn dat de DDoS-aanvallen met 15 procent zijn afgenomen in het tweede kwartaal van dit jaar ten opzichte van het kwartaal ervoor (Akamai State of The Internet Q2 2014), het aantal volumetrische aanvallen (gericht op de OSI-lagen 1-4) is toegenomen. Het wordt er niet veiliger op. Reden om in de Troonrede al te zeggen dat Europa meer moet doen aan het tegengaan van cybercrime. Koning Willem-Alexander gaf aan dat er tal van zaken zijn die grensoverschrijdend moeten worden aangepakt.  Zoals het energie- en klimaatbeleid. Maar dus ook de georganiseerde misdaad, inclusief cybercrime.

Eerder had zijn moeder in de Troonrede van 2007 al gezegd dat ‘het bestrijden van criminaliteit via internet en van fraude in 2008 meer aandacht moet krijgen’. Beveiliging van systemen is meer dan eens nodig.

Temeer daar uit een recent, wereldwijd onderzoek van BT blijkt dat databeveiliging en het vertrouwen in cloud-gebaseerde diensten een snelgroeiende zorg vormen voor it-beslissers bij grote organisaties. Hoewel 70 procent van de ondervraagden wel gebruik maakt van cloud-opslag en web-applicaties, is hun vertrouwen in cloud-beveiliging nog nooit zo laag geweest.

Geen wonder dat onder meer T-Systems testen kan uitvoeren om de technische onvolkomenheden in geautomatiseerde systemen bloot te leggen. Maar met de Cyber Incident Simulation gaat het bedrijf een stap verder: het wil laten zien hoe gebrekkig de organisatorische aspecten rond beveiliging zijn geregeld.

Aanval

Prof. dr Marco Gercke, directeur van het Cybercrime Research Institute, vertelt regelmatig te worden ingeschakeld door de Navo en de Duitse overheid. Hij werkt nauw samen met T-Systems bij het opstellen van de simulaties. Soms, zoals in dit geval, leidt hij de nagebootste aanval.

Het begint met een eenvoudige e-mail aan de uitgeverij, die eist dat er een positief artikel moet worden gepubliceerd over een bepaalde actiegroep in een van de uitgaven van het bedrijf. Zo niet, dan volgen acties die gevolgen zullen hebben voor de bedrijfsvoering.

De eerste vraag van Gercke is: ‘Jij bent de cio. Het mailtje komt bij jou binnen. Wat ga je doen?’. Een vraag die herhaaldelijk wordt gesteld gedurende het rollenspel: ‘Wat ga je doen?’. Je zet natuurlijk de it-technici aan het werk om na te gaan waar de mail vandaan komt (blijkt niet te achterhalen), of er vreemd verkeer is geconstateerd en dergelijke. Om te voorkomen dat de hacker de web-uitgaven gaat vervalsen, komt de vraag naar voren of alle internetverbindingen van het bedrijf moeten worden afgesloten. ‘Of ga je in op de eis van de hacker? Wil je een positief artikel publiceren? Hoe dan ook: hier liggen meteen twee vragen voor de directie. Want toegeven aan chantage is een beleidsbesluit. En dat geldt ook voor het afsluiten van alle internetverbindingen. Er zijn immers contractuele verplichtingen met adverteerders op de online uitingen.’

Gaandeweg tijdens de hack, blijkt dat de aanvallen een tweet hebben rondgestuurd vanaf het adres van de uitgeverij met de inhoud dat Obama grondtroepen stuurt naar Irak in de oorlog met IS. De tweet heeft meteen gevolgen voor de beursnoteringen van bedrijven. Ondertussen komen er steeds dreigender mailtjes binnen. De fake cio zit tijdens deze fake aanval heftig te zweten om het gevaar af te wenden. ‘Je ziet dat dit geen zaak van de cio alleen is’, stelt Gercke vast. ‘Steeds moeten er beleidsbeslissingen worden genomen.’

Draaiboek

Knut Schönfelder, verantwoordelijk voor Cyber Security Strategy and Programs bij T-Systems International, zegt dat zijn bedrijf regelmatig door organisaties benaderd te worden om een hack simulatie te doen. ‘Dat doen we ter plekke en met gegevens en systemen van het bedrijf zelf’, zegt hij. ‘We pakken dat heel serieus aan. Het doel is dat er een draaiboek ontstaat waarin is vastgelegd welke mogelijke aanvallen er kunnen zijn. En welke respons dan geboden is. Daarbij geef je aan – niet onbelangrijk – waaruit die respons moet bestaan en wie daarbij betrokken zijn. Elke keer als wij bij een organisatie de test doen, ervaren ze dat als een eye opener. Ze denken vaak alles in orde te hebben; de firewalls, intrusion prevention systemen en zo, maar Twitter bijvoorbeeld wordt vaak buiten beschouwing gelaten.’

Hij vertelt dat het bedrijf helpt bij het opstellen van het draaiboek, en dat de organisatie, net zoals bij brandoefeningen, regelmatig in de praktijk moet nagaan of alles nog naar behoren is geregeld.