Security (b)log: Angst, onzekerheid en twijfel

“Het risico op een virus is levensgroot als iemand je telefoon gebruikt. Velen denken dat een virusscanner voldoende is maar daar bereik je niets mee.” Dit heeft iemand als commentaar achtergelaten bij mijn blog met de titel Mag ik op je telefoon?, waarin ik ervoor pleitte om je apparatuur – en zeker je zakelijke apparatuur – niet door huisgenoten, collega’s of wie dan ook te laten gebruiken.

Ik vind dat commentaar wat kort door de bocht. Omdat enige nuance of nadere toelichting ontbrak, ga ik het commentaar maar zelf ontleden. Daarmee wil ik FUD bestrijden: fear, uncertainty and doubt. De term FUD wordt gebruikt wanneer mensen angstig en onzeker worden gemaakt en aan het twijfelen worden gezet: “Wát, heb jij <product x> nog niet?!? Maar ben je dan niet bang dat <iets ergs> en dat je <iets nog ergers>?” Verkopers passen deze techniek graag toe, zij het wat beter gecamoufleerd, zodat je doorgaans niet in de gaten hebt dat er met FUD wordt gestrooid. Maar laat ik me hier even beperken tot FUD in de informatiebeveiliging.

“Het risico op een virus is levensgroot als iemand je telefoon gebruikt.” Als je deze zin van FUD ontdoet, dan blijft het volgende over: “Net als bij andere computers bestaat bij het gebruik van een smartphone de kans dat je een virusbesmetting oploopt. Als je je telefoon door iemand anders laat gebruiken, dan heb je geen zicht op wat die persoon allemaal binnenhaalt op je toestel, waardoor de kans op besmetting mogelijk toeneemt.” De zin is juist langer geworden, zie ik je denken. Dat komt natuurlijk door de nuancering, waarvoor bij FUD geen plaats is. Ook gebruik ik niet de term ‘risico’ maar spreek ik van ‘kans’. Risico is namelijk gedefinieerd als kans maal impact. Laten we eens kijken of we dat rekensommetje kunnen maken. Er bestaan ontzettend veel computervirussen, dat moge duidelijk zijn. Alleen al in 2017 werden 121.661.167 nieuwe virussen geboren, en sinds 2014 ligt de jaarlijkse omvang van nieuw ontwikkelde malware ruim boven de honderd miljoen*. Let wel, deze getallen gaan over nieuwe malware, maar oude malware blijft natuurlijk ook gewoon in omloop en werkt nog steeds.

Scherm vastzetten: tik op de punaise

om de voorste app vast te zetten

Van deze enorme berg ongewenste software richt 6,5% zich op Android-devices. In maart van dit jaar waren er in totaal 121.661.167 malware-programma’s voor Android bekend. Maakt dat de kans op besmetting ‘levensgroot’? Dat ligt er maar net aan. Als de meeste verkeersongelukken op provinciale wegen gebeuren, waar ik zelden kom, dan zijn die ongevallenstatistieken amper op mij van toepassing. Bovendien ben je in het verkeer niet alleen afhankelijk van je eigen rijkunsten, maar ook op die van anderen. Maar zolang je niemand anders op je telefoon laat, is het schoon houden daarvan alleen afhankelijk van je eigen gedrag. Daarom heeft het ook geen zin om het aantal virussen te delen door het aantal telefoons of zo. Enkele hygiënetips: installeer apps uitsluitend uit de officiële winkels (Google Play, iOS App Store etc.); installeer een virusscanner op je device (voor je iPhone of iPad zul je er geen vinden); áls je je toestel uit handen geeft, spreek dan op z’n minst af wat de ander ermee mag doen en wat hij vooral moet laten. Voor dat laatste biedt Android trouwens een mooie functie genaamd ‘scherm vastzetten’. Daarmee zet je de laatst gebruikte app vast op het scherm, die je dan door iemand anders kunt laten gebruiken. Hij kan nergens anders heen. Om het scherm weer los te maken, moet het toestel ontgrendeld worden.

Met deze maatregelen breng je de kans op besmetting terug van ‘levensgroot’ naar ‘valt reuze mee’. De kans kun je dus beïnvloeden. De impact kan dan echter nog steeds heel groot zijn, bijvoorbeeld doordat je toestel door een besmetting onbruikbaar wordt of doordat de bestanden die je hebt opgeslagen uitlekken of niet meer beschikbaar zijn. Bevat je toestel informatie die je niet kunt missen? Maak er dan regelmatig een back-up van en verlaag zo het risico op gegevensverlies.

De tweede zin uit commentaar luidde: “Velen denken dat een virusscanner voldoende is maar daar bereik je niets mee.” De FUD-elementen hierin zijn “velen denken” (dan is het dus waar), “maar” (je bent bij voorbaat kansloos) en “niets” (lekker stellig). Ik denk eerder dat “velen denken” dat een virusscanner op een mobiel apparaat niet nodig is. Hoeveel mensen ken jij die er wel eentje hebben? Een virusscanner is zeker niet alleenzaligmakend, maar het helpt wel. Zoals zo vaak is effectieve beveiliging ook op je mobiel slechts te bereiken met een stelsel van maatregelen. Eentje alleen is zelden genoeg.

FUD busted.

*: Bron van alle in deze blog genoemde getallen: AV-TEST Security Report 2017/18. Er is sprake van enige schijnnauwkeurigheid: het gaat hier om de bij AV-TEST bekende malware.