 |
| Afbeelding via Pixabay |
Op niet zomaar een donderdagmiddag – het was immers de verjaardag van
mijn zoon – zat ik in een wat benauwende, want langwerpige en volgepakte
vergaderzaal van ons kantoor. Niet dat het er voor dit verhaal veel toe doet,
maar omdat je toch nieuwsgierig bent naar wat we daar deden: we deden een
risicoanalyse, of in liefkozend jargon: een IRAM’etje.
Wat deze bijeenkomst vooral memorabel maakte, was dat een van de
deelnemers tijdens zijn uitleg van de getroffen beveiligingsmaatregelen bij
wijze van verklarend excuus toevoegde: “We zijn defensief, maar niet
paranoïde.” Die zin bleef zichtbaar in de lucht zweven, waarna ik hem in mijn aantekeningen
opsloot en verkondigde dat de spreker niet raar moest opkijken als hij deze
uitspraak in een blog zou tegenkomen. Bij deze is dat dreigement waargemaakt.
Waarom heeft deze uitspraak mijn aandacht getrokken en vastgehouden?
Waarom neem ik de moeite om daar een heel verhaal omheen te bouwen? Omdat hij
perfect weergeeft wat ik als de kerngedachte van informatiebeveiliging
beschouw: je moet optimaal beveiligen – niet maximaal. Niet te weinig, maar dus
ook niet te veel. Het eerste moge duidelijk zijn, het tweede vergt wellicht
enige toelichting.
Je zou namelijk gemakkelijk kunnen denken: hoe meer beveiliging, hoe
beter; hoe meer verschillende maatregelen, hoe groter de zekerheid dat er geen
ongelukken gebeuren. Maar vertel mij eens, hoeveel remmen heeft jouw auto? Een
stuk of vier? En allemaal van hetzelfde type? Waarom zijn verreweg de meeste
auto’s niet uitgerust met een remparachute, of met van die uitklapbare
spoilers, die je kent van vliegtuigen? Of andere ingenieuze constructies?
Allereerst omdat dat niet nodig is: de moderne autorem is dermate effectief en
betrouwbaar, dat het voldoende is – althans, bij normaal gebruik van het
voertuig, dat wil zeggen: normale snelheden en fatsoenlijk gedrag bij zowel jou
als de andere verkeersdeelnemers.
En voor het geval de remmen dan toch niet afdoende zijn, heb je enkele
extra’s aan boord, zoals veiligheidsgordels, airbags en stalen balken in de
portieren. De remmen zijn preventieve maatregelen, de andere onderdelen zijn
repressief van aard – ze moeten de schade, die sowieso zal ontstaan, beperken.
Maar behalve de remmen heb je dus geen extra vertragingsmechanismen aan boord
(oké dan, je kunt op de motor remmen, maar dat is geen expliciete
beveiligingsmaatregel).
Een remparachute zou een auto niet alleen een stuk complexer maken, het
zou ook een onhandige maatregel zijn. Als je in de stad hard moet remmen voor
een overstekend konijn, dan rijd je (hopelijk) te langzaam om zo’n parachute
tot ontplooiing te laten komen; hij zou als een slappe vaatdoek achter je auto
over het asfalt slepen. Een remparachute werkt alleen goed bij hoge snelheden.
Auto’s, waarmee in Amerikaanse woestijnen snelheidsrecords aan flarden worden
gereden – díé hebben een remparachute. En sommige vliegtuigen. Maar in een
gewone auto zou zo’n ding alleen onnodige complexiteit toevoegen. En zo kun je
ook in de ICT maatregelen bedenken die weliswaar hip lijken, maar effectief een
last zijn. Zoals het verplicht periodiek wijzigen van je wachtwoord, om er maar
eens eentje te noemen.
En natuurlijk zou de auto er ook een stuk duurder door worden, wat mij
bij het tweede argument brengt om niet maximaal te willen beveiligen. Soms wil
of kun je gewoon niet meer geld uitgeven. Of is het niet economisch om dat te
doen, omdat een extra preventieve maatregel duurder zou uitpakken dan een
reparatie, áls er al iets kapot gaat.
Mijn derde en laatste argument is dat je misschien reeds al het
mogelijke hebt gedaan om je systeem te beschermen. Je hebt de modernste
schijfremmen onder je auto zitten en je laat ze keurig volgens het voorschrift
van de fabrikant onderhouden. Geconstateerde mankementen worden bijtijds
opgelost (en dat is niet per se ‘onmiddellijk’, geheel in lijn met dit betoog).
Er zijn geen verdere zinvolle maatregelen denkbaar die niet strijdig zijn met
bovenstaande argumenten. Dan ben je gewoon klaar.
En dat brengt mij weer, om met Goethe te spreken, bij des Pudels Kern: wees evenwichtig in de
keuze van je maatregelen. Doe wat je moet doen, niet meer en niet minder. Dan
beveilig je effectief en efficiënt.
Volgende week vrijdag sta ik een
gastcollege te geven terwijl ik dan eigenlijk een nieuwe Security (b)log zou
moeten schrijven…
En in de grote boze buitenwereld …
- is een bestand, dat jij gewist hebt, niet per se weg - ook niet na 26 jaar.
- wil Europa deepfakes aanpakken.
- doen ex-militairen het goed als informatiebeveiliger.
- mogen zelfs inlichtingendiensten niet onbeperkt privégegevens bewaren.
- heb je een probleem als je softwareleverancier alleen biometrische authenticatie biedt.
- blijven cybercriminelen steeds langer in je bedrijfsnetwerk rondhangen.
- biedt deze ransomwarebende een nieuwe service: klanten en medewerkers van bedrijven, die hun slachtoffer zijn geworden, kunnen checken of ook hun gegevens gestolen zijn.
- barst het werkveld van de cloud security van de acroniemen.
- heeft je digitale portemonnee misschien wel een achterdeurtje.
- vrezen experts dat de Europese digitale identiteit leidt tot overidentificatie.
- blijft het hacken van digitale auto’s de gemoederen bezighouden.
