Het Rode Plein

Afbeelding via Pixabay

Je huurt een vliegtuigje, vliegt ermee naar Moskou en parkeert het op het Rode Plein. De toen 18-jarige Duitser Mathias Rust zette de Sovjet-Unie in 1987 lelijk in haar hemd.

In die tijd hing het IJzeren Gordijn nog strak in de plooi en was de luchtverdediging van de Sovjets onverbiddelijk. Dat ervoer vijf jaar eerder Korean Air vlucht 007, een Boeing 747 op weg van New York naar Seoel. De piloten maakten een navigatiefout, waardoor het vliegtuig in een verboden gebied van het Sovjet-luchtruim belandde. Het werd genadeloos neergeschoten; alle 269 inzittenden kwamen daarbij om het leven.

Uiteraard was de wereld boos. Rust profiteerde daarvan, want het Rode Leger werd wat voorzichtiger als het om mogelijk civiele vluchten ging. Hij werd opgemerkt door de luchtafweer en kreeg zelfs gezelschap van een MiG-straaljager, maar er werd geen toestemming gegeven om hem uit de lucht te schieten. Kennelijk werd er ook niet echt gecommuniceerd tussen de legeronderdelen, want een eind verderop wisten ze van niks en dachten ze dat het bliepje op de radar van een leerling-piloot was die vergeten was de transponder aan te zetten (een apparaat dat een vliegtuig identificeert). Weer verderop dachten ze achtereenvolgens een reddingshelikopter en een trainingsvliegtuig te zien.

En zo kwam het dat Rust in de vroege avond van 28 mei 1987 boven het Kremlin cirkelde en zijn Cessna uiteindelijk in het hart van Rusland aan de grond zette. Hij deed dat in zijn rol als vredesactivist, en volgens de geschiedschrijving zou hij de val van de Sovjet-Unie versneld hebben doordat hij met zijn actie president Gorbatsjov argumenten gaf om politieke en vooral militaire tegenstanders te ontslaan. Overigens verbleekte Rusts heldenstatus al gauw nadat hij, na vijftien maanden gevangenisstraf, terugkeerde in Duitsland, waar hij in de media als wereldvreemd en psychisch labiel werd neergezet en allerlei dingen deed die hem in aanraking met de rechter brachten.

Laten we nog even stilstaan bij de Russische defensie. Hun radar had Rust al na een paar minuten gespot, maar pas een uur later kreeg hij gezelschap van die straaljager. En die deed dus niets, ondanks het feit dat de Cessna overduidelijk een West-Duits toestel was. Ze vertrokken gewoon weer – naar verluidt omdat een vliegtuigcrash van een dag eerder voor verwarring zorgde. Bij de achtereenvolgende gelegenheden waarbij hij werd opgemerkt, zorgden foute aannames voor het negeren van deze mogelijke dreiging.

Want dat was het natuurlijk wel, vanuit Sovjet-perspectief gezien. Hoe zou onze defensie reageren als er een Russische drone boven het Binnenhof verscheen? Dat is hopelijk de verkeerde vraag, want als het goed is, dan wordt zo’n ding natuurlijk al lang voordat het daar aankomt onderschept – zelfs al ver buiten onze landsgrenzen. Maar áls een (bewapende) drone daadwerkelijk zo ver zou kunnen komen, dan is dat natuurlijk een grote bedreiging voor het bestuur van het land. En zo moeten ze dat destijds in het Kremlin ook gevoeld hebben. Geen wonder dat Gorbatsjov moeiteloos honderden mensen uit de legertop kon wegsturen. Zij hadden gefaald.

In dit historische verhaal zitten een paar leerpunten die ook buiten het militaire domein toepasbaar zijn. Om te beginnen: je hebt overzicht nodig. Als een dreiging meermaals wordt gesignaleerd, maar steeds (onterecht) als onbelangrijk wordt afgedaan en niet wordt gerapporteerd, dan is de omvang van de dreiging niet duidelijk. Een voorbeeld uit mijn wereld: een computervirus op enkele computers, dan onschadelijk wordt gemaakt door de virusscanner, is geen probleem. Worden het er echter erg veel, dan heb je te maken met een virusuitbraak en wordt het tijd voor andere maatregelen. Maar dan moet je dus wel dat overzicht hebben.

Aannames doen (“het zal wel een reddingshelikopter zijn”) is ook gevaarlijk. Was er een gebrek aan heldere instructies, of was er misschien sprake van onverschilligheid? Wederom vertaald naar de wereld van de informatiebeveiliging: als je een wat vreemd mailtje krijgt en denkt dat het vast wel in orde zal zijn, en als je dan toch op die link klikt of die bijlage opent, dan maak je dezelfde fout als die Sovjets achter hun radarschermen: je ziet de dreiging, maar je sluit je ogen ervoor.

Als de actie van Rust de val van de Sovjet-Unie inderdaad heeft versneld, dan is dat een voorbeeld van een kleine actie met grote gevolgen. Tegenwoordig zie je dat met ransomware: een ondoordachte handeling van één medewerker kan de ondergang van een hele organisatie betekenen.

De naam Rust spreek je overigens uit als Roest. Laten we de lessen uit zijn actie niet wegroesten. Bescherm je eigen Rode Plein.

 

En in de grote boze buitenwereld …

• Slaat Rusland terug met drones en een oorlogsbodem. [Deens, maar je browser vertaalt het graag voor je]
• Weet dit Britse bedrijf hoe duur een cyberaanval kan uitpakken.
• Kan een softwarefout zich tegen je eigen organisatie keren.
• Bevatte de beveiliging van Entra ID van Microsoft een zeer ernstige fout.
• Veroorzaakt een cyberaanval op een softwareleverancier problemen op diverse Europese luchthavens.
• Bestaat er een app om mensen te rapporteren die slecht spreken over Charlie Kirk. Die app heeft nu gegevens van zijn eigen gebruikers gelekt.
• Is de overheid erg afhankelijk van Amerikaanse clouddiensten.
• Woedt er een cookie-discussie in Brussel.
• Is het altijd goed om na te blijven denken.
• Houden sommige security-testers het wel erg lang vol.