Alert Online 2020: doorbreek de kip en het ei inzake digitale veiligheid

Gisteren (donderdag 26 september) was de kick off meeting van Alert Online. Een publiek – private samenwerking met het volgende doel: “Alert Online is een initiatief dat overheid, bedrijfsleven, onderwijs, wetenschap en consumenten in Nederland faciliteert en stimuleert samen te werken aan cybersecurity én hen meer cyber secure te laten handelen”. Voor de zevende keer geeft Alert Online het startschot in Nederland van de Europese cybersecurity maand oktober.

Terecht stelde de presentator dat digitale veiligheid, we moeten dit woord gaan gebruiken en laat MKB Cyber Advies Nederland dit begrip al sinds jaar en dag in onze tweets aanhalen, een onderwerp is dat 365 dagen, 24/7 aandacht behoeft. Digitale ongevallen zitten in de allerkleinste hoekjes. Een secretaresse die een op straat gevonden usb stick in de printer stopt, een administratieve medewerker die op een verkeerde link klikt, de directeur die gegevens prijsgeeft aan een vertrouwenwekkend persoon, etc.

Ja, het is ontzettend belangrijk dat iedereen in de samenleving leert dat net als in het analoge leven het digitale leven gevaren met zich meebrengt. Zoals ik eerder schreef, in tegenstelling tot de voordeur die wij zien, dus op slot doen of bij de auto die weliswaar geen voorrang heeft, maar duidelijk door gaat rijden, we zelf remmen om een ongeluk te voorkomen, herkennen we digitale gevaren vaak niet. Soms kunnen we ze ook niet zien, omdat we er geen enkele controle over hebben.

Hoe belangrijk het trainen van personeel -en onszelf als individu- ook is, daar exclusief de nadruk op leggen, creëert een schijnveiligheid. Iemand droeg tijdens de kick off bij en ik blijf voor nu vaag om de onthulling niet weg te geven, dat zijn organisatie was gehackt via een product met een zwak wachtwoord dat de leverancier had ingesteld. Dit leidde tot aanzienlijke, maar door tijdige detectie niet tot fatale schade. Daar bleef het niet bij. Gebleken is dat alle vergelijkbare organisaties die werken met dit systeem hetzelfde, zwakke wachtwoord hebben en net zo kwetsbaar zijn. Wat als zij een zwakker of geen detectiesysteem hebben?, dacht ik. Dit voorbeeld is toepassing op vele, industriële en administratieve systemen, weet ik inmiddels uit ervaring.

Mijn bijdrage aan de discussie was de volgende. Naar mijn mening is dit de kern van het probleem. Het bedrijfsleven dat producten levert die eenmaal online uiterst kwetsbaar zijn en kwaadwillenden alle mogelijkheid bieden om hun kwaadaardige zaken ongemerkt uit te voeren. De enorme kosten die digitale beveiliging met zich meebrengt, zijn voor een groot deel hierop terug te voeren. Hoe goed bedoeld en belangrijk ook, de secretaresse die weet dat ze een usb stick die voor het bedrijf op straat ligt daar moet laten liggen of beter oppakt en in de prullenbak deponeert, gaat de inherente zwakheden in de producten waarmee zij werkt niet verhelpen.

Het is daarom van het grootste belang dat producten veilig worden. “Maar mijn klanten vragen daar niet naar”, is vaak het antwoord van ondernemers. Nee, men vroeg ook niet om autogordels, tot dat men begreep dat dit mogelijk was en het vervolgens wettelijk verplicht werd gesteld. Het verkrijgen van digitale veiligheid is een collective action problem (degene die het moet uitvoeren heeft er geen direct baat bij, dus wie begint er dan?) en een kip-ei situatie (ik doe het niet, want men vraagt er niet om en men vraagt er niet om omdat men het probleem letterlijk niet ziet noch begrijpt.) “Cyber? Dat gaat niet over mij”. Misschien niet, maar bedrijfscontinuïteit en verlies van omzet wel en daar hebben wij het over als we over digitale veiligheid met u praten. Vraagt u Maersk maar eens hoeveel kosten zij heeft bespaard op het niet uitvoeren van een Microsoft update, want was de reden dat de ransomware kon toeslaan bij het bedrijf (en backups die niet werkten).

Dus als Alert Online een thema voor volgend jaar zoekt, heb ik het aangeboden. Het stellen van de juiste vragen bij de aanschaf van producten. Van de zaagmachine tot het koffieapparaat en de externe boekhouding tot de keuze van de aanstaande mobiel van de zaak, het verbindt uw werkomgeving en productielijnen met het internet. Voldoen ze aan bepaalde standaarden op het gebied van digitale veiligheid? U zou dit moeten willen weten. Het lijkt mij een onderwerp om alvast samen met de overheid en de Consumentenbond voor te bereiden voor 2020. Ik weet zeker dat dit tot creatieve oplossingen en innovaties gaat leiden, juist omdat de vraag gecreëerd en vervolgens gestimuleerd wordt.