Sinds de onthullingen over de praktijken van de NSA zijn veel ondernemingen voor het eerst echt bang dat hun communicatie grootschalig wordt afgeluisterd. Die angst is gegrond. Het is immers een feit dat cyber-spionage en het bespioneren van concurrenten alleen al in Nederland jaarlijks een schadepost veroorzaken van miljarden euro’s.
Waar het bij PRISM & Co om het afluisteren van uitgaande datastromen naar het internet gaat, daar zijn beveiligingsgaten in hard- en software een veel grotere bedreiging voor vertrouwelijke informatie binnen het netwerk van een onderneming. Het gaat daarbij immers voor het meest waardevolle dat veel firma’s bezitten: hun kennis.
Het is schrikbarend als je ontdekt hoeveel van de beschikbare netwerkapparatuur behoorlijke gaten in de security kent. Dat kan liggen aan verkeerde software, aan ontoereikende beveiligingsmechanismen of foute testtrajecten. Vooral bij goedkope imitatieproducten, waarbij de lage prijs vaak weinig speelruimte biedt voor grootschalige borging van de kwaliteit, spelen deze problemen.
Echt kritiek wordt het als de centrale verbinding met het internet, de router, veiligheidstekorten kent. Exploits zijn aan de orde van de dag: hackers benutten systematisch alle bekende vulnarabilities (zwakke plekken), om binnen te dringen in apparaten en netwerken. Ze gebruiken de tijd tussen het bekend worden van een zwakke plek en het dichten ervan met een patch. Razendsnel wordt via zo’n gat in de beveiliging een schadelijk programma naar binnen gesluisd, met vaak onafzienbare gevolgen.
Soms is er niet eens sprake van een productiefout, bijvoorbeeld als er gaten zitten in de beveiliging van een systeem, maar is er bewust voor gekozen. Dat zijn de zogenaamde Backdoors, of achterdeuren, die enkele fabrikanten gebruiken als interface voor bijvoorbeeld updates of een andere service. Andere leveranciers zijn door wet- of regelgeving verplicht zulke Backdoors in hun netwerkproducten in te bouwen. Op die manier kunnen medewerkers van justitie of de geheimedienst de communicatie via het netwerk volgen. Al deze varianten hebben echter een ding gemeenschappelijk: ze bieden hackers een meer of minder bekende en vaak makkelijk te openen ingang tot netwerken van ondernemers en overheden en tot de kennis die in de systemen te vinden is. Vaak gebeurt het, dat indringers maanden tot zelfs jaren ongemerkt de bestanden van ondernemingen kunnen bekijken en er waardevolle kennis of gevoelige informatie uit halen.
Hoe groot de bedreiging juist voor industriële ondernemingen is, blijkt uit een recent onderzoek van de Bijzondere Commissie georganiseerde misdaad, corrupte en witwassen (CRIM) van het Europese Parlement. Zij rapporteren dat cybercriminaliteit jaarlijks een schade van 290 miljard euro oplevert. In 2012 schatte TNO dat cybercrime Nederland jaarlijks zeker 10 miljard euro kost.*
Vandaar dat het eigenlijk onbegrijpelijk is, dat veel ondernemingen aan de ruggengraat van hun IT – de infrastructuur van hun netwerk – niet veel meer aandacht besteden. Ze zetten de deur open voor hun concurrenten en voor cybercriminelen. Vooral in het MKB komt het daarnaast vaak voor, dat consumentenproducten worden ingezet, in plaats van professionele IT-implementatie. Een oplossing die slechts op de eerste blik goedkoper is. Maar ook bij specifiek zakelijke producten is het lonend te analyseren in welk land de IT-apparatuur gebouwd is en welke update-strategie de leverancier hanteert. Het is nuttig relevante Blogs over het onderwerp te lezen. Dit alles om te voorkomen dat een ongenode gast ongemerkt door een open achterdeur binnendringt.
Maximale zekerheid bieden leveranciers die hun eigen firmware ontwikkelen, zodat niet onbewust en ongewild schadelijke code verwerkt wordt – een risico dat speelt bij netwerkapparatuur die op Open Source gebaseerd is. Regelmatige (gratis!) updates horen uiteraard ook door de leverancier uitgevoerd te worden. En ten slotte zijn er herkomstlanden waar security en privacy zwaar wegen en streng worden beoordeeld, zoals Duitsland. De Duitse BSI geeft pas een certificering af als de zekerheid en betrouwbaarheid van producten volledig in orde zijn. Dat is een belangrijk argument én wapen tegen een bedreiging uit de cyberspace. Uiteindelijk is een betrouwbare netwerkinfrastructuur de basis voor een succesvolle securitystrategie.
Ralf Koenzen. founder en managing director Lancom Systems
Alles valt of staat met een definitie van cyber crime. In het rapport van de CRIM ( bron: http://www.europarl.europa.eu/document/activities/cont/201210/20121016ATT53718/20121016ATT53718EN.pdf ) gaat het voor een belangrijk deel om zogenaamde IP diefstal: de handel in illegale films, muziek en software. Dit heeft weinig of niets van doen met het beveiligen van bedrijfsnetwerken. De opmerking dat cyber-spionage en het bespioneren van concurrenten alleen al in Nederland jaarlijks een schadepost veroorzaken van miljarden euro’s een feit is, is (voor zover ik kan nagaan) gebaseerd op een niet nader onderbouwde estimate van Interpol (bron: http://www.interpol.int/Crime-areas/Cybercrime/Cybercrime ). Zelf zet ik grote vraagtekens bij zulke cijfers, gebaseerd op onduidelijke definities, en niet onderbouwde estimates. Verder doen ze er weinig toe in de discussie of, waarom en hoe bedrijven hun netwerken en data zouden moeten beveiligen. Er zijn belangrijkere, en beter te kwantificeren redenen om dat te doen. Het zou de discussie sieren om zich op die redenen te focussen in plaats van de FUD van de cybercrime cijfers op te zoeken.