 |
| Afbeelding via Pixabay |
Je huurt een vliegtuigje, vliegt ermee naar Moskou en parkeert het op het Rode Plein. De toen 18-jarige Duitser Mathias Rust zette de Sovjet-Unie in 1987 lelijk in haar hemd.
In
die tijd hing het IJzeren Gordijn nog strak in de plooi en was de
luchtverdediging van de Sovjets onverbiddelijk. Dat ervoer vijf jaar eerder
Korean Air vlucht 007, een Boeing 747 op weg van New York naar Seoel. De
piloten maakten een navigatiefout, waardoor het vliegtuig in een verboden
gebied van het Sovjet-luchtruim belandde. Het werd genadeloos neergeschoten;
alle 269 inzittenden kwamen daarbij om het leven.
Uiteraard
was de wereld boos. Rust profiteerde daarvan, want het Rode Leger werd wat
voorzichtiger als het om mogelijk civiele vluchten ging. Hij werd opgemerkt
door de luchtafweer en kreeg zelfs gezelschap van een MiG-straaljager, maar er
werd geen toestemming gegeven om hem uit de lucht te schieten. Kennelijk werd
er ook niet echt gecommuniceerd tussen de legeronderdelen, want een eind
verderop wisten ze van niks en dachten ze dat het bliepje op de radar van een
leerling-piloot was die vergeten was de transponder aan te zetten (een apparaat
dat een vliegtuig identificeert). Weer verderop dachten ze achtereenvolgens een
reddingshelikopter en een trainingsvliegtuig te zien.
En zo
kwam het dat Rust in de vroege avond van 28 mei 1987 boven het Kremlin cirkelde
en zijn Cessna uiteindelijk in het hart van Rusland aan de grond zette. Hij
deed dat in zijn rol als vredesactivist, en volgens de geschiedschrijving zou
hij de val van de Sovjet-Unie versneld hebben doordat hij met zijn actie president
Gorbatsjov argumenten gaf om politieke en vooral militaire tegenstanders te
ontslaan. Overigens verbleekte Rusts heldenstatus al gauw nadat hij, na
vijftien maanden gevangenisstraf, terugkeerde in Duitsland, waar hij in de
media als wereldvreemd en psychisch labiel werd neergezet en allerlei dingen
deed die hem in aanraking met de rechter brachten.
Laten
we nog even stilstaan bij de Russische defensie. Hun radar had Rust al na een
paar minuten gespot, maar pas een uur later kreeg hij gezelschap van die
straaljager. En die deed dus niets, ondanks het feit dat de Cessna
overduidelijk een West-Duits toestel was. Ze vertrokken gewoon weer – naar
verluidt omdat een vliegtuigcrash van een dag eerder voor verwarring zorgde.
Bij de achtereenvolgende gelegenheden waarbij hij werd opgemerkt, zorgden foute
aannames voor het negeren van deze mogelijke dreiging.
Want
dat was het natuurlijk wel, vanuit Sovjet-perspectief gezien. Hoe zou onze
defensie reageren als er een Russische drone boven het Binnenhof verscheen? Dat
is hopelijk de verkeerde vraag, want als het goed is, dan wordt zo’n ding
natuurlijk al lang voordat het daar aankomt onderschept – zelfs al ver buiten
onze landsgrenzen. Maar áls een (bewapende) drone daadwerkelijk zo ver zou
kunnen komen, dan is dat natuurlijk een grote bedreiging voor het bestuur van
het land. En zo moeten ze dat destijds in het Kremlin ook gevoeld hebben. Geen
wonder dat Gorbatsjov moeiteloos honderden mensen uit de legertop kon
wegsturen. Zij hadden gefaald.
In
dit historische verhaal zitten een paar leerpunten die ook buiten het militaire
domein toepasbaar zijn. Om te beginnen: je hebt overzicht nodig. Als een
dreiging meermaals wordt gesignaleerd, maar steeds (onterecht) als onbelangrijk
wordt afgedaan en niet wordt gerapporteerd, dan is de omvang van de dreiging
niet duidelijk. Een voorbeeld uit mijn wereld: een computervirus op enkele
computers, dan onschadelijk wordt gemaakt door de virusscanner, is geen
probleem. Worden het er echter erg veel, dan heb je te maken met een
virusuitbraak en wordt het tijd voor andere maatregelen. Maar dan moet je dus
wel dat overzicht hebben.
Aannames
doen (“het zal wel een reddingshelikopter zijn”) is ook gevaarlijk. Was er een
gebrek aan heldere instructies, of was er misschien sprake van
onverschilligheid? Wederom vertaald naar de wereld van de
informatiebeveiliging: als je een wat vreemd mailtje krijgt en denkt dat het vast
wel in orde zal zijn, en als je dan toch op die link klikt of die bijlage
opent, dan maak je dezelfde fout als die Sovjets achter hun radarschermen: je
ziet de dreiging, maar je sluit je ogen ervoor.
Als
de actie van Rust de val van de Sovjet-Unie inderdaad heeft versneld, dan is
dat een voorbeeld van een kleine actie met grote gevolgen. Tegenwoordig zie je
dat met ransomware: een ondoordachte handeling van één medewerker kan de
ondergang van een hele organisatie betekenen.
De
naam Rust spreek je overigens uit als Roest. Laten we de lessen uit zijn actie
niet wegroesten. Bescherm je eigen Rode Plein.
En in de grote boze buitenwereld …
- Slaat Rusland terug met drones en een
oorlogsbodem. [Deens, maar je browser vertaalt het graag voor
je]
- Weet dit Britse bedrijf hoe duur een cyberaanval kan uitpakken.
- Kan een softwarefout zich tegen je eigen organisatie keren.
- Bevatte de beveiliging van Entra ID van Microsoft een zeer ernstige fout.
- Veroorzaakt een cyberaanval op een softwareleverancier problemen op diverse Europese luchthavens.
- Bestaat er een app om mensen te rapporteren die slecht spreken over Charlie Kirk. Die app heeft nu gegevens van zijn eigen gebruikers gelekt.
- Is de overheid erg afhankelijk van Amerikaanse clouddiensten.
- Woedt er een cookie-discussie in Brussel.
- Is het altijd goed om na te blijven denken.
- Houden sommige security-testers het wel erg lang vol.
