Security draait om mensen

Dat betoogt Willem Janssens, productmanager cybersecurity bij Telenet Business. De security-specialist sprak tijdens Cybersec Europe, het evenement in Brussel Expo dat nog tot donderdag is te bezoeken. Het aantal nieuwe kwetsbaarheden is zo groot dat het onmogelijk is overal op te reageren. Security-experts moeten afwegen waar de prioriteiten liggen, wat voor de business het belangrijkst is. Het komt aan op het maken van de juiste keuzes. Ook als tijdig updates zijn doorgevoerd, kan het misgaan. Andere afdelingen willen nog weleens verzoeken om updates negeren. Ze klikken algauw op ‘herinner me later’. Medewerkers moeten begrijpen hoe belangrijk het is adequaat te reageren.

Zwaar te verduren
Bij de verdediging tegen aanvallen is de mens nog altijd een cruciale factor. Maar defensie alleen is niet voldoende. Systemen voor monitoring, preventie, detectie en response zijn broodnodig. Veel bedrijven besteden dit werk uit aan een security operations center (soc). Soc-teams hebben het echter zwaar te verduren, aldus Janssens. Ze worden geconfronteerd met meer aanvallen. De complexiteit wordt groter, terwijl de impact van aanvallen aanzienlijk kan zijn. 

Het personeel dat in deze centra werkt, ervaart continu druk. ‘Het is een zware job’, zegt de productmanager. ‘Bijkomend probleem is dat de monitoring vaak te veel informatie oplevert. Het wordt moeilijk tussen de bomen het bos te zien. Mensen weten soms niet meer waar ze naar moeten kijken. De werkdruk is enorm. Burnouts zijn geen uitzondering.’ 

Security-experts verdienen over het algemeen behoorlijk, zeker als ze goed zijn. ‘Maar hun inkomens vallen in het niet bij succesvolle hackers. In Amerika verdient een ciso gemiddeld 180.000 dollar, een cybersecurity-specialist 76.000 en een pentester 69.000 per jaar. Maar de best verdienende cybercriminelen harken bijna twee miljoen dollar binnen. Een modale crimineel komt met 900.000 dollar thuis, terwijl het eenvoudige voetvolk 42.000 pakt.’

Het kan nog erger. Janssens noemde als schrijnend voorbeeld de hackers van GandCrab die 150 miljoen dollar per jaar wisten te verdienen; zoveel dat ze ermee stopten. Maar volgens Janssens doet niet iedereen het voor het geld. Ook ideologie of een bepaalde geloofsovertuiging kan een rol spelen. Hij wijst op IT Army of Ukraine, een groep vrijwilligers die al uit driehonderd duizend deelnemers bestaat. Samen voeren ze aanvallen uit op de infrastructuur van Rusland. 

Volgens Janssens stijgt het bewustzijn hoe catastrofaal cyberaanvallen kunnen uitpakken. Bij een ransomware-aanval op een Duits ziekenhuis werd besloten de eerstehulpafdeling voor spoedgevallen tijdelijk te sluiten. ‘Een patiënte werd daarom doorverwezen naar een ander ziekenhuis, een uur verder rijden. Tijdens de ambulancerit overleed de vrouw. Haar nabestaanden klaagden het ziekenhuis aan omdat de infrastructuur niet veilig en niet ‘up and running’ was. Bij de rechtszaak werd het ziekenhuis vrijgesproken.’

Voor de gezondheidszorg was het wel een wake-upcall. 'Als systemen plat gaan, kan dat mensenlevens kosten. Zo dicht raakt cybersecurity thans aan mensenlevens.'