“Wij hebben de veiligheid van klantgegevens hoog in het vaandel staan.” Als je een mailtje ontvangt dat zo begint, dan weet je bij de meeste bedrijven dat ze tot gisteren helemaal niet zo bezig waren met de veiligheid van jouw gegevens. Die zijn namelijk uitgelekt.
Onder informatiebeveiligers doet een grap de ronde: er zijn twee soorten
bedrijven – bedrijven, die gehackt zijn, en bedrijven, die niet weten dat ze
gehackt zijn. Natuurlijk heeft deze knipoog-uitspraak een serieuze ondertoon:
er wordt zoveel gehackt, dat het bijna niet anders kan dan dat op z’n minst
iemand geprobeerd heeft om jouw bedrijf te hacken. Net zoals we als individu
allemaal kennis hebben gemaakt met phishing.
Je moet er dus als bedrijf op zijn ingesteld dat hackers proberen bij je
binnen te dringen. Met welk doel ze dat nastreven, hangt af van de aard van de
hacker én van de aard van het bedrijf. Sommige hackers doen het gewoon omdat
het kan – zo is het ooit begonnen. Anderen doen het om er geld aan te verdienen
of om te spioneren, al dan niet in opdracht van hun regering. Het is dus zaak
om je daar in alle redelijkheid tegen te beschermen. In alle redelijkheid,
omdat de inspanning in balans moet zijn met het te verwachten geweld: elk
bedrijf zou bestand moeten zijn tegen een huis-tuin-en-keukenhack, maar van een
klein, onbelangrijk bedrijf kun je moeilijk verwachten dat het weerstand kan
bieden tegen statelijke actoren. Die zijn waarschijnlijk ook helemaal niet in
zo’n bedrijfje geïnteresseerd.
Tenzij… Ja, tenzij zo’n bedrijfje zaken doet met een bedrijf dat wél
interessant is voor een inlichtingendienst. Dan kan dat onbeduidende bedrijf
wel eens als springplank worden gebruikt. Bijvoorbeeld door de mailserver te
hacken en vervolgens een mailtje naar dat belangrijke bedrijf te sturen, dat er
dan uitziet als legitieme mail van het gehackte bedrijf. Als je zelf een
belangrijk bedrijf hebt, is het goed om je te realiseren dat je
toeleveringsketen als aanvalsroute naar jouw systemen kan worden gebruikt.
Ik dwaal af. Het ging immers om bedrijven die na een hack opeens
toeteren hoe belangrijk jouw privacy wel niet voor ze is. Ik word altijd wat
kregelig van kruipende zinnetjes als “We value your privacy”. Ja, nu opeens wel
hè, denk ik dan, omdat je met de billen bloot moet, omdat de AVG voorschrijft
dat je mij erover informeert als een hacker mijn gegevens bij jou heeft
gestolen. Had dan beter opgelet!
Als ergens iets misgaat, of als iemand iets stoms doet, dan heb ik –
ondanks mijn ergernis over het gebeurde – altijd de neiging om de zaak ook
vanuit het perspectief van de ander te bekijken. Ah, je hebt je bord niet in de
vaatwasser gezet omdat je dacht dat die vol was? Ja, dan begrijp ik het wel.
Maar ja, die aanname had je niet moeten doen, je had het even moeten checken.
Oh, je hebt je beveiliging de laatste drie jaar niet gecontroleerd omdat je
ervan uitging dat die nog wel goed zou zijn? Ja, vanuit die aanname snap ik
het, maar tenzij je de laatste tien jaar afgesneden was van de bewoonde wereld,
had je kunnen weten dat cybercrime zich razendsnel ontwikkelt en dat
beveiligingsmaatregelen regelmatig moeten worden geëvalueerd en bijgewerkt.
Doe je dat niet, dan ben je nalatig. Niemand kan zich tegenwoordig nog
beroepen op “wist-ik-veel”. Een bedrijf heeft allerlei verplichtingen, en het
principe van goed huisvaderschap is er daar een van. Ik vertrouw jou mijn
gegevens toe, dan wil ik ook dat jij ze een redelijke mate van beveiliging
biedt. Redelijk als in: voldoende bescherming tegen de dreigingen die je
redelijkerwijs zou moeten kunnen weerstaan.
Laatst kreeg ik zo’n mailtje van een gehackt bedrijf. Het begon met het
gebruikelijke jeukzinnetje, maar verderop in het mailtje werd mijn stemming
toch iets milder. Ja, mijn NAW-gegevens waren buitgemaakt, maar ze gaven ook
aan dat mijn wachtwoord én mijn bankrekeningnummer versleuteld waren opgeslagen
en dus geen gevaar liepen. Het versleutelen van wachtwoorden is een open deur,
maar dat ook het bankrekeningnummer was versleuteld, betekende dat bij dat
bedrijf daadwerkelijk iemand had nagedacht over informatiebeveiliging. Of het
een meesterzet was om het rekeningnummer te versleutelen laat ik even in het
midden, waar het om gaat is dat er meer is gedaan dan het minimale, en nog wel
bij een bedrijf waarvan ik het niet op voorhand had verwacht.
En in de grote boze buitenwereld …
- betaalde RTL losgeld, ondanks dat ze hun met ransomware besmette systemen zelf konden herstellen met intacte back-ups.
- onderzoekt de overheid of ze verzekeraars kan verbieden om losgeld te vergoeden bij een ransomware-aanval.
- kan een klein tekstbestand op de website een bedrijf helpen om geholpen te worden.
- stelen criminelen ook van criminelen.
- negeren sommige iPhone-apps de wens van gebruikers om hen niet te tracken.
- introduceert Apple tweefactorauthenticatie voor diensten van derden.
- maant de AIVD ons om belangrijke gegevens nu al te beschermen tegen aanvallen met quantumcomputers.
- waarschuwt het Litouwse NCSC voor Chinese smartphones.
- heeft het vorige bericht in Nederland tot Kamervragen geleid.
- lanceert Facebook een zonnebril met ingebouwde camera.
- brengt de terugkeer naar kantoor beveiligingsrisico’s met zich mee.
- werken Nederland en Duitsland samen aan een digitale identiteit.
