De drie biggetjes

Afbeelding via Pixabay

Er waren eens drie biggetjes, die de wijde wereld in trokken en daar elk een eigen huis bouwden. Het eerste biggetje maakte zich er gemakkelijk van af en bouwde een huis van stro. Het tweede bouwde een wat steviger houten huis, terwijl het derde zich uitsloofde en een solide stenen huis metselde.

Je kent dit sprookje waarschijnlijk wel, maar voor de volledigheid maak ik het nog even af. De grote boze wolf had trek in een karbonaadje en blies het huisje van stro omver, waarna hij de bewoner verslond. Na een tijdje had hij weer honger en belde hij aan bij het houten huis. De bewoner zag via z'n slimme deurbel wie er voor de deur stond en deed niet open. De wolf haalde heel diep adem en wist ook dit bouwsel omver te blazen. Ook biggetje nummer twee werd met huid en haar verorberd. En zoals dat in sprookjes nu eenmaal gaat, was niet lang daarna ook het derde huis aan de beurt. De bewoner, die de wolf al via z'n beveiligingscamera's had zien aankomen, deed natuurlijk niet open. Toen de wolf merkte dat hij dit stevige huis onmogelijk omver kon blazen, klom hij op het dak en liet zich door de schoorsteen naar beneden glijden. Het biggetje was zich echter bewust van deze kwetsbaarheid en had maatregelen getroffen: onderaan de schoorsteen stond een pan kokend water klaar. Wolf erin, deksel erop, en het biggetje leefde nog lang en gelukkig.

De wolf en de drie biggetjes is een Engels sprookje uit de 19e eeuw en heeft een duidelijke boodschap: wie goed z'n best doet, komt beter uit de strijd. Ik verbaas me altijd over de gruwelijkheden waarmee sprookjesschrijvers destijds kinderen bestookten, maar het zal wel de tijdgeest geweest zijn. Het sprookje gaat echter niet alleen over ijver, maar ook over bedreigingen. "Kijk uit, kinderen, er loeren allerlei gevaren op jullie! Hoe beter je je daartegen wapent, hoe groter de kans dat je er zonder kleerscheuren van afkomt."

Ik ben parttime sprookjesverteller. Niet alleen elke vrijdagochtend, als ik deze blog schrijf, maar soms ook tijdens mijn andere werkzaamheden. Net als de onbekende bedenker van bovenstaand sprookje wijs ook ik mensen op bedreigingen en laat ik ze maatregelen implementeren om risico's te verkleinen. Meestal met zakelijke taal en een technische inslag, maar soms veroorloof ik me een verhaal om iets duidelijk te maken. Een van mijn favoriete verhalen is dat van Joost Tonino, voormalig officier van justitie te Amsterdam. Mr. Tonino had zijn met een virus besmette privécomputer als grofvuil op straat gezet, maar een taxichauffeur was de vuilniswagen voor en leverde de pc af bij Peter R. de Vries. Er bleken vertrouwelijke zakelijke gegevens én kinderporno op te staan. Einde carrière als OvJ. Dit verhaal vertel ik als we het tijdens risicoanalyses hebben over het onzorgvuldig weggooien van gegevensdragers. Maar ook in andere situaties haal ik er graag een anekdote of metafoor bij om iets uit te leggen.

Gisteren mocht ik aanschuiven bij een afdelings-MT om het over de naleving van bepaalde regels te hebben. Het ging erom dat die afdeling vaak verzoeken van een andere afdeling ontvangt om iets te doen wat strijdig is met het beveiligingsbeleid. Ze willen dan een ontheffing om dat toch voor elkaar te krijgen, omdat hun systeem anders niet kan functioneren. Als we hen erop wijzen hoe het eigenlijk moet, zeggen ze soms: "Dat kan niet op ons systeem!" Als ze echter de tijd nemen om er serieus naar te kijken, dan blijkt het wel degelijk te kunnen, al moeten ze er soms een beetje moeite voor te doen. Ach, het zijn net kinderen. Die roepen ook vaak dat ze iets niet kunnen, terwijl ze het nog nooit geprobeerd hebben. En als ze het dan, na wat aansporing, toch blijken te kunnen, zijn ze daar apetrots op.

En zo proberen informatiebeveiligers constant het gedrag van mensen zodanig te beïnvloeden dat ze binnen de lijntjes blijven kleuren. Dat gebeurt langs de formele weg - beleid, standaarden, instructies - maar ik zet liever in op bewustwording. Want als ik het voor elkaar krijg dat je begrijpt waarom je iets moet doen of laten, als je snapt dat jij of de organisatie anders risico's lopen, dan zul je eerder bereid zijn om de juiste afslag te nemen.

We zitten nog midden in de cybersecuritymaand. Er zijn dus nog steeds allerlei activiteiten onder de vlag van alert online gaande. Maak er gebruik van en laat zien dat je ook actief aan je beveiligingsbewustzijn werkt.

Met dank aan Wendie voor de inspiratie.

 

En in de grote boze buitenwereld …

• schakelt de politie Frans Bauer in voor de strijd tegen vriend-in-noodfraude.
• trappen ook jongeren in phishing.
• kan een crimineel je natuurlijk ook gewoon bellen en vragen om malware te installeren.
• maken criminelen misbruik van de energiecrisis.
• is het Centrum voor Veiligheid en Digitalisering in Apeldoorn geopend.
• controleren sociale media niet of je echt meerderjarig bent.
• vormt spyware in bepaalde landen een serieus probleem voor journalisten.
• geeft deze website tien lessen over hoe fraude werkt (maar die lessen doen het niet op mijn iPad).
• is de Belastingdienst bij sommige criminelen wél populair.
• moet het kabinet daar tekst en uitleg over geven aan de Tweede Kamer.
• log je met passkeys zonder wachtwoord in op websites.

Veilige producten

Voor zover ik kan nagaan, was het publiek van de Security (b)log van vorige week groter en diverser dan gemiddeld. De titel was toen ‘Zoekt en men zal u vinden’ en het ging over het feit dat de meest gebruikte zoekmachines méér met je zoekopdracht doen dan alleen maar zoekresultaten opleveren. Jouw zoekopdrachten worden te gelde gemaakt en kunnen daarnaast tot heuse datalekken leiden.

Kennelijk dus een onderwerp dat aanspreekt. Grappig, want dit wisten we stilletjes toch allang? We houden ons alleen soms Oost-Indisch blind, want tja, gebruiksgemak. Pas als je er redelijk gemakkelijk te hanteren alternatieven bij noemt, die bovendien een vergelijkbare gebruikservaring geven, zijn gebruikers – jij en ik – mogelijk bereid om ons los te weken uit onze soms wat roestige gewoontes.

Eerder deze week was ik bij een bijeenkomst waar we probeerden in de toekomst te kijken. Wat zijn de belangrijkste ontwikkelingen op security-gebied voor de komende jaren? Ik opperde dat het prima is dat wij als informatie-beveiligers al jaren roepen dat bewustzijn bij de gebruikers – onze zo gekoesterde zwakste schakel – van cruciaal belang is, maar dat het beter beveiligen van ICT-middelen meer zoden aan de dijk zet. Er is nu eenmaal een grens aan wat je de gemiddelde gebruiker kunt leren. Ik heb dat hier al eens eerder genoteerd, maar in deze sessie was het leuk om het instemmende geknik live gade te slaan. In overheidskringen, waar men dit inmiddels ook heeft opgemerkt, wordt gezegd dat we aan de vooravond van het post-awarenesstijdperk staan.

Maar hoe krijg je de industrie zover dat ze intrinsiek veilige hard- en software gaan leveren? Misschien via wetgeving: je mag jouw producten en diensten alleen in de EU – denk groot – aanbieden als ze aantoonbaar een bepaald minimaal beveiligingsniveau hebben. Vroeger bestond het keurmerk Goedgekeurd door de Nederlandse Vereniging van Huisvrouwen, dat je op schoonmaakmiddelen en zo aantrof. We willen iets dergelijks, maar dan wellicht uitgegeven door ENISA (het beveiligingsagentschap van de EU), werd op die bijeenkomst geopperd.

Eleganter is het natuurlijk als wetgeving overbodig wordt doordat de markt zichzelf reguleert of, nóg mooier, doordat producenten goede beveiliging als unique selling point gaan waarderen: hun producten verkopen beter omdat ze wél goed beveiligd zijn. Dat ‘unique’ moet natuurlijk niet te lang duren; andere producenten moeten met hun onveilige rommel blijven zitten en daardoor óf uit de markt verdwijnen, óf hun producten rap aanpassen. Voorwaarde voor dit mechanisme is natuurlijk wel dat de veilige producten niet of nauwelijks duurder mogen zijn, want de meeste consumenten en – hopelijk in mindere mate – bedrijven zullen security voorlopig nog niet als unique buying reason zien (ze blijven nog even Oost-Indisch blind).

Als lichtend voorbeeld voor dit alles dook vorig jaar een veilige, schappelijk geprijsde gloeilamp van Ikea op, die je met je smartphone kunt bedienen. (Vroeger dachten we ook dat een tv-afstandsbediening alleen voor oude mensen nuttig zou zijn, ik ga me dus maar niet afvragen waarom je een connected lamp zou moeten willen hebben.) Ikea toont met dit verlichtingssysteem (de aanduiding ‘gloeilamp’ doet het product te kort) aan dat het gewoon kán – een veilig, betaalbaar IoT-device maken. Ik heb het even gecheckt, het spul is nog steeds te koop. Alleen jammer dat Ikea zelf geen gewag maakt van de mee-ontworpen beveiliging. Zouden de Zweden hun tijd zó ver vooruit zijn dat ze het niet noemenswaardig vinden, want normaal?

Al in 1993 verscheen in The New Yorker de beroemde cartoon met twee hondjes die voor een beeldscherm zitten en tegen elkaar zeggen: “On the internet, nobody knows you’re a dog.” Er is inmiddels een nieuwe variant: “On the internet of things, nobody knows you’re fridge.” Inderdaad, in deze cartoon zijn de hondjes vervangen door een kloeke koelkast, als symbool voor alle IoT-devices die nu al onderdeel uitmaken van onze digitale wereld.

Ik wil graag met je afspreken dat we, als we spullen kopen die een ip-adres hebben, erop letten of die spullen afdoende beveiligd zijn. En dat we ons niet laten verblinden door alle handige eigenschappen van zo’n apparaat. En voor de fabrikanten onder jullie: maak veilige producten en gebruik dat als verkoopargument!

En in de grote boze buitenwereld …

... kan het stopzetten van je krantenabonnement tijdens je vakantie ook al riskant zijn.

https://www.volkskrant.nl/nieuws-achtergrond/hackers-stelen-e-mailadressen-en-rekeningnummers-bij-de-persgroep~b8f3f56e

... kun je natuurlijk ook een superjacht hacken.

https://edition.cnn.com/2018/07/03/sport/is-yacht-hacking-the-next-big-cybercrime-spt-intl/index.html

... waren de USB-ventilatortjes, die journalisten cadeau kregen via de goody bag van de Trump-Kim-top in Singapore, waarschijnlijk geen Trojaanse paarden.

https://www.comparitech.com/blog/information-security/usb-fan-malware-trump-kim-summit/

... kunnen sommige app-ontwikkelaars jouw Gmail lezen. En daar heb je zelf toestemming voor gegeven.

https://www.nrc.nl/nieuws/2018/07/03/google-laat-via-omweg-toch-prive-mails-scannen-in-gmail-a1608777

... kun je dat meelezen ook gewoon voorkomen.

https://webwereld.nl/security/105690-zo-voorkom-je-dat-apps-je-gmails-meelezen

... wordt cybersecurity een verplicht vak bij ICT-opleidingen in het MBO. Maar waarom alleen daar?

https://nos.nl/op3/artikel/2239183-minister-wil-ict-opleidingen-aanpakken-cybersecurity-wordt-verplicht.html

... kan de cloud je veiliger maken, mits je met beide benen stevig op de grond staat.

https://nrclive.nl/de-cloud-ict-in-de-wolken-benen-op-de-grond/

... trekken populaire games malware aan.

https://www.rockpapershotgun.com/2018/07/02/fortnite-viruses-rampant-rainway-find/

... sturen sommige Samsung-telefoons willekeurige foto’s die jij hebt gemaakt naar willekeurige mensen.

https://gizmodo.com/a-bug-in-samsungs-default-texting-app-is-sending-random-1827291759

... heeft de staat Californië nu ook AVG-achtige wetgeving.

https://siliconangle.com/blog/2018/06/28/california-governor-signs-gdpr-like-privacy-law-sign-things-come/

... bejubelt dit interview Mikko Hyppönen, een van de belangrijkste persoonlijkheden in de informatiebeveiliging.

https://www.infosecurity-magazine.com/magazine-features/profile-interview-mikko-hyppnen

... reconstrueert dit artikel de cyberaanval die een jaar geleden heel Oekraïne platlegde.

https://www.volkskrant.nl/nieuws-achtergrond/een-jaar-na-de-cyberaanval-hoe-heel-oekraine-op-zwart-ging-~ba2f4532

... helpt dit NCSC-document je bij het ontwikkelen van veilige software.

https://www.ncsc.nl/actueel/nieuwsberichten/beleids--en-beheersingsrichtlijnen-voor-de-ontwikkeling-van-veilige-software.html

Roekeloos

Op onze laatste dag in Frankrijk gingen we jetskiën. Dat hadden we nog nooit eerder gedaan, maar vanaf onze standplaats zagen we ze regelmatig langs komen scheuren. Dat leek ons ook wel wat en dus trokken we de stoute schoenen uit (je doet zoiets namelijk blootvoets).

We betaalden, kregen een briefing en kozen achter de moniteur diplômé en nog drie andere verhuurde jetski’s het ruime sop. Het apparaat was voorzien van een snelheidsmeter die op een gegeven moment 55 aanwees. Poeh! En tijdens de fotostop hoorde ik dat mijn vrouw zelfs 75 km/h had gevaren. Oei, dat is wel heel hard, dacht ik, want we moesten natuurlijk ook rekening houden met de kinderen die bij ons achterop zaten. En zeker ik, want ik had de jongste bij me. Waar het water vlak was zweefde je, maar o wee als je over de boeggolf van een voorganger ging – dan bonkte en stampte het apparaat behoorlijk. Maar ja, het gat tussen 55 en 75 was wel érg groot en toen het volgens mij wel kon gaf ik toch een dot gas bij. En kwam daarmee ook zo rond de 75 uit, de kreetjes van mijn dochter negerend. Nog harder wilde ik niet, want het begon toch langzaam te voelen alsof we onderweg waren naar Omsk*. Ik schreeuwde voor de zekerheid regelmatig naar achteren: “Ben je er nog?”

Iedereen had genoten van het tochtje. Maar de volgende dag ging ik me toch ook afvragen of ik niet misschien een beetje roekeloos was geweest. Totaal onervaren met zo’n hoge snelheid over het water? Dat was mijlenver buiten mijn comfort zone. Wat gebeurt er eigenlijk met je als je van je waterscooter af stuitert? Die vraag bracht me bij een artikel getiteld “Man verliest bijna zijn geslachtsdeel door jetski”. Brrr. Daarnaast vond ik enkele fora waar de consensus luidde “dat het zeer doet” als je met dergelijke snelheden op het water terechtkomt, vooral als je op je gezicht landt. En als je achter de waterscooter terechtkomt moet je vooral je billen dichtknijpen om te voorkomen dat de krachtige straal uit de wateruitlaat je een ongevraagde darmspoeling geeft.

Ja, denk ik nu, we zijn die middag onbewust roekeloos geweest. Beroepshalve ben ik nogal van de risicoanalyses en ook privé ben ik wat dat betreft tamelijk berekenend. Maar in een onbekende situatie geef je je kennelijk totaal over aan de professionals die je begeleiden en denk je alleen aan het plezier dat je gaat beleven. Achteraf gezien was de briefing een aanfluiting, want er werd met geen woord gerept over de risico’s van bepaalde situaties (zoals het verschil tussen vlak en golvend water). We liepen dus risico’s die we niet konden overzien. Maar risico’s moet je niet lópen, risico’s moet je némen – op basis van goede, complete informatie en weloverwogen keuzes.

Voor veel mensen is ICT-infrastructuur een tamelijk onbekend water. De computer of smartphone is hun jetski. Onwetend geven zij soms teveel gas of slaan zij een rivierarm in die ze zouden moeten mijden. Dat leidt zelden tot kneuzingen, botbreuken of een nat pak, maar de economische en persoonlijke schade kan aanzienlijk zijn. Denk maar aan malware en identiteitsfraude. Informatiebeveiligers, de moniteurs diplômés van de ICT, proberen je zo goed mogelijk te briefen voordat je het water op gaat en te begeleiden terwijl je aan het werk bent. Maar het gaat niet zover dat we bij je achterop de waterscooter zitten en à la minute kunnen ingrijpen.

In Nederland moet je een vaarbewijs hebben om te mogen jetskiën. Veel organisaties bieden hun werknemers digitale beveiligingscursussen aan of stellen die zelfs verplicht (‘digitaal rijbewijs’). Zo is er voor de overheid iBewustzijn, dat je in de modules iBewust Binnen, - Buiten, - Achter je scherm en - In de cloud vertelt hoe je in verschillende situaties veilig werkt en dreigingen kunt herkennen en vermijden. Vraag in je eigen organisatie eens naar zo’n cursus. Daarmee kom je beslagen te, eh, water.

*) Mocht je deze niet snappen, zie dan www.youtube.com/watch?v=rAaL1pO3qAw.     

En in de grote boze buitenwereld …

... zijn er grote verschillen in beveiligingsbewustzijn tussen Amerikanen en Britten.

https://securityintelligence.com/across-the-great-divide-measuring-security-awareness-among-us-and-uk-users/?linkId=41246221

... moet je oppassen met het posten van je boarding pass.

https://www.michalspacek.com/post-a-boarding-pass-on-facebook-get-your-account-stolen

... slaat DMARC nog niet zo aan, waardoor phishers voorlopig hun gang kunnen blijven gaan.

https://www.helpnetsecurity.com/2017/08/24/global-dmarc-adoption/

... is het te gemakkelijk om robots te hacken.

https://www.theregister.co.uk/2017/08/22/smart_robots_easy_to_hack

... is Fox-IT bereid om informatie over beveiligingslekken te delen met opsporingsdiensten. Maar alleen in noodgevallen en we hebben ze niet op de plank liggen, liet Ronald Prins na publicatie van dit artikel via Twitter weten.

https://www.rtlz.nl/tech/fox-it-deelt-bij-noodzaak-softwarelekken-met-opsporingsdiensten

... bevatten honderden Android-apps kwaadaardige advertentiesoftware.

https://tweakers.net/nieuws/128667/onderzoekers-vinden-kwaadaardige-advertentie-sdk-in-500-play-store-apps.html

... kan de regering niet garanderen dat persoonsgegevens van burgers niet in het buitenland terechtkomen.

https://tweakers.net/nieuws/128595/nederlandse-regering-kan-niet-garanderen-dat-uwv-gegevens-niet-in-vs-belanden.html

...  verhindert een app dat een shoulder surfer je pincode afkijkt.

http://engineering.nyu.edu/press-releases/2017/08/22/tricking-eye-defeat-shoulder-surfing-attacks

... heb je met Windows to Go een heel systeem op een USB-stick staan.

http://webwereld.nl/security/100332-zet-windows-op-een-usb-stick-om-data-te-beveiligen