Security (b)log: risicomanagement

Posts tonen met het label risicomanagement. Alle posts tonen

vrijdag 23 augustus 2024

Alarm in het zwembad

Afbeelding via Pixabay

Vroeger verdronken er in Frankrijk jaarlijks 100 tot 150 kinderen. Een aanzienlijk deel van deze tragische ongevallen gebeurde in privézwembaden. Daarom kwam er in 2004 wetgeving, die veiligheidsmaatregelen voorschreef. Het aantal jaarlijkse verdrinkingen in privézwembaden liep hierdoor terug naar 20-50.

Franse privézwembaden moeten tegenwoordig een omheining, afdekking of alarmsysteem hebben. In de vakantie kregen wij met dat laatste te maken, dat bedoeld was om ouders te alarmeren als een kind in het water valt. De eigenares van het huis had ons uitgelegd hoe het werkte: het ene knopje op de afstandsbediening ingedrukt houden, dan het andere indrukken et voilà, het alarm stond uit en je kon zwemmen.

In het begin vergaten we wel eens om het alarm uit te zetten. Als je dan in het water sprong, werd je even later getrakteerd op luid gepiep. Dan moest snel iemand die afstandsbediening erbij pakken en op de knopjes drukken. Al gauw bleek dat dit niet goed werkte: pas na diverse pogingen zweeg het alarm. Het was onduidelijk waar dat door kwam. Op de afstandsbediening ging wel een lampje branden, dus kennelijk waren de batterijen nog goed. De knopjes waren zacht en voelden vaag aan, waardoor je de neiging had om steeds harder te drukken. Misschien was daardoor in de loop der jaren het printplaatje onder de knoppen beschadigd geraakt. Hoe dan ook, dit kon zo niet langer.

Gelukkig was er een alternatief. In de garage hing een magneetje, waarmee je even de alarmkast in het zwembad moest aanraken om het alarm uit te schakelen. Dat werkte feilloos en heeft ons voor heel wat gepiep behoed. Al ging het soms toch nog mis, want als een kwartier lang niemand in het zwembad was geweest, dan werd het alarm automatisch geactiveerd. Als je daar niet aan dacht bij de volgende verkoelende duik, dan had je alsnog prijs.

Wat ook niet echt hielp, waren de lampjes op het alarm. Het waren er twee: het ene rood, het andere groen. Als het groene lampje brandde, mocht je niet zwemmen, en bij rood wel. Vanuit het alarm geredeneerd snap ik het wel: als de beveiliging aan staat, is het zwembad beveiligd, en dus brandt het groene lampje. Alarm uit staat voor onveilig, dus rood. Maar vanuit de gebruiker gezien is dat niet handig, want die steekt doorgaans de weg over bij groen licht.

Nou was het niet zo dat bij een (vals) alarm meteen een bezorgde buurman op de stoep stond. Die woonde namelijk ruim buiten gehoorafstand. Maar hoe zou dit er in een dichter bebouwde omgeving aan toegaan? Dan zal vast niet bij het eerste piepje de hele buurt uitrukken met zwemringen en reddingshaken. Pas als het gepiep aanhoudt zal een licht geïrriteerde buurman wellicht een kijkje komen nemen. Maar is het dan niet al te laat?

En toch blijkt de wetgeving behoorlijk effectief te zijn. Ik denk dat een stevig hekwerk met kindveilige sluiting het beste werkt – preventieve maatregelen voorkómen ellende, terwijl detectieve maatregelen slechts signaleren dat er een (mogelijk) probleem is. Voorkomen is beter dan genezen; niet in het zwembad kunnen vallen is beter dan er half verzopen uit gevist moeten worden.

Ik kan hier nu een gewiekste link naar mijn vakgebied leggen, maar je snapt het zelf ook wel. Een phishingmailtje automatisch weggooien voordat het in je inbox belandt, veroorzaakt minder gedoe dan puin ruimen nadat je tóch op die link hebt geklikt. Toegang tot een malafide website blokkeren is effectiever dan moeten reageren op een malware-besmetting. Gegevens, die je eigenlijk toch niet nodig hebt, niet aan je klant vragen, is sympathieker dan aan je klant te moeten melden dat die gegevens zijn uitgelekt – ja, soms is iets niet doen ook een maatregel.

Natuurlijk is dit geen diskwalificatie van al die beveiligingssystemen die signaleren dat er mogelijk iets mis is. Die hebben we óók hard nodig. Defense in depth houdt in dat je bescherming in laagjes opbouwt. Als iemand het zwembadpoortje open heeft laten staan, dan kan zo’n alarmsysteem alsnog veel verdriet voorkomen. Net zoals het hartstikke belangrijk is dat jij phishing herkent en correct behandelt – voor als de systemen aan de voorkant toch een keer zo’n mailtje doorlaten. Toch jammer dat de Franse wetgeving slechts één maatregel vereist.

En in de grote boze buitenwereld …

vrijdag 29 maart 2024

Symptoombestrijding

Afbeelding via Pixabay

Het is de perfecte tijd van het jaar om verkouden te worden. In de coronatijd hebben we dit jaarlijkse ritueel overgeslagen, want doordat je weinig contact met andere mensen had en bijna nergens kwam, had je ook weinig kans om een verkoudheidsvirus tegen het lijf te lopen. Maar dit jaar doet ook mijn gezin weer ‘gewoon’ mee.

Hoe onschuldig zo’n verkoudheid ook is voor verder gezonde mensen, we weten allemaal dat je er knap beroerd van kunt zijn. Je trekt dan al gauw de medicijnkast open om verlichting te vinden. Neusspray, hoestsiroop, paracetamol – ze staan allemaal paraat om je klachten te verlichten. Plus nog wat huismiddeltjes, zoals stomen, thee met honing drinken of waterijsjes likken.

Wat zo jammer is aan al die middeltjes, is dat ze alleen de symptomen van de ziekte bestrijden. Door de neusspray kun je een poosje vrijer ademen, het ijsje verdooft je keel een beetje en de paracetamol helpt tegen pijn en koorts. Op thuisarts.nl wordt paracetamol trouwens doodgezwegen op de pagina over verkoudheid (“Medicijnen zijn bij verkoudheid niet nodig”). Volledig ten overvloede: het bovenstaande is geen medisch advies.

Waarom bestaat er geen medicijn of vaccin tegen een ziekte die zoveel voorkomt en veel ongemak geeft? Lijkt me een goudmijntje voor de farmaceutische industrie. Maar wat blijkt: er zijn zo ontiegelijk veel virussen waarvan je verkouden kunt worden, dat er geen kruid tegen gewassen is. Bovendien muteren ze snel; een vandaag ontwikkeld vaccin is morgen waardeloos. Overigens wordt er wel degelijk onderzoek gedaan, vooral omdat mensen met astma erg ziek kunnen worden van een verkoudheid.

Natuurlijk vindt symptoombestrijding ook buiten het medische domein plaats. Bijvoorbeeld in mijn eigen vak. Om nog even dicht bij de verkoudheid te blijven: wat dacht je van een virusscanner? Die verlicht de klachten die we van virussen hebben. Niet zoals neusspray bij een verkoudheid, maar preventief: je wordt besmet of je wordt het niet. De verlichting zit ‘m in het aantal besmettingen waar je mee te maken krijgt. Maar het fenomeen computervirussen an sich wordt er niet door bestreden. Juist daarom is het belangrijk om zoveel mogelijk ICT-middelen te voorzien van zo’n digitaal mondkapje.

De stap van symptoombestrijding naar placebowerking is niet zo groot. Als ik een zere keel heb en daarom een raketje eet, dan voel ik me bijna verplicht om een poosje minder pijn te voelen, terwijl mijn verstand echt twijfelt aan het effect. Dat is onschuldig, maar het wordt kwalijk als ik denk dat zo’n ijsje ook de oplossing is voor bijvoorbeeld hevige, aanhoudende buikpijn. Voor sommige kwalen moet je nou eenmaal toch naar de dokter.

Ook in de informatiebeveiliging zijn er tal van placebo’s. Zo wordt de veiligheid van een systeem echt niet beter door het uitvoeren van een risicoanalyse. Pas als je iets doet met de uitkomsten van die analyse, namelijk door maatregelen te treffen, kun je risico’s verkleinen. Een andere vorm van risicobehandeling is risicoacceptatie, maar het moge duidelijk zijn dat je daar niks beter van wordt – hoe legitiem zo’n acceptatie ook kan zijn.

Het voldoen aan regelgeving is er nog zo eentje. Nogal wat organisaties doen allerlei dingen omdat het nou eenmaal moet, terwijl nog geen enkele computer ooit veiliger is geworden doordat iemand een verplicht document heeft geschreven. Pas als de inhoud van dat document gaat leven kunnen we vooruitgang boeken. Helaas stopt het vaak bij het afhechten van een document – maar de auditor zal trots op ons zijn! (Waarschijnlijk – hopelijk! – doe ik nu een bevriende beroepsgroep te kort met deze opmerking.) Ja, ik doe ook allerlei verplichte nummers, maar dan steeds vanuit mijn gedrevenheid om de beveiliging te optimaliseren. Dat ik daardoor ook ergens een groen vinkje op een checklist haal, is mooi meegenomen maar mag niet het doel zijn.

Om verkouden te worden, heb je een virus nodig. Je wordt niet verkouden van op de tocht zitten of met natte haren naar buiten gaan. Net zo min gaat het bij een computer mis door potentiële risico’s. Je hebt pas een probleem als een risico zich daadwerkelijk manifesteert. Maar net zoals ik wat meer afstand houd van een snotterend gezinslid, zo helpt een lijst van voor jouw systemen relevante risico’s bij het ontlopen ervan.

En in de grote boze buitenwereld …

vrijdag 19 januari 2024

Getrapte poëzie

Foto van auteur

Den Haag, Ministerie van Justitie en Veiligheid. Vanaf de bovenste verdieping, de 36^e, heb je een magnifiek uitzicht op de wijde omgeving. Zelfs op een meteorologisch uitdagende dag als afgelopen maandag, met afwisselend zon, sneeuwbuien en harde wind. Als je hier een vergadering hebt, dan moet je enig tijdverlies wegens naar buiten kijken voor lief nemen (roep nou niet “Raamambtenaren!” Jij zou ook naar buiten kijken). Maar er valt meer te beleven.

Een trappenhuis in een kantoor is vaak een saaie bedoening, want tja, zeker in een hoog gebouw komt daar toch amper iemand. Maar daar, aan de Turfmarkt, hebben ze de stootborden van de trap voorzien van spreuken. Op de trap tussen de 35^e en 36^e verdieping is deze te lezen: Een ongeluk zit in een klein hoekje. Het geluk zit in de rest.

Voor mensen zoals ik, die zich beroepsmatig bezighouden met wat er allemaal mis kan gaan, is de relativerende kracht van deze spreuk wellicht nog groter dan voor ‘gewone’ mensen. Wij zitten in dat kleine hoekje te speuren en te peuren, terwijl we over het algemeen toch relatief weinig echt grote ellende zien. Ja, er zijn regelmatig nieuwsberichten over datalekken, ransomware- en DDoS-aanvallen en criminele phishing-acties, maar die zijn niet ontwrichtend. Zelfs in Oekraïne, dat inmiddels al twee jaar zucht onder oorlogsgeweld en waar het cybergedeelte van de oorlog nog veel eerder begon, werkt de digitale maatschappij nog gewoon. Niet kapot te krijgen. Je zou dus kunnen denken dat we over het algemeen niet in dat kleine hoekje zitten, maar op de rest van de trap.

In dat soort situaties roep ik altijd graag het jaar 2000 in herinnering, of nauwkeuriger: de jaarwisseling naar het nieuwe millennium. Die ligt alweer bijna een kwart eeuw achter ons, wat betekent dat er inmiddels een werkende generatie is die deze overgang niet heeft meegemaakt. Welnu, jongelui, er was heel wat gedoe, en dat gedoe had een naam: millenniumbug. Terwijl je deze blog misschien wel op je smartphone leest, die in feite een best wel krachtige computer is, kun je je bijna niet voorstellen dat computergeheugen in de vorige eeuw een schaars goed was. Tegenwoordig is een gigabyte de kleinste eenheid waar we over praten, maar destijds ging het om kilobytes. Dat scheelt zes nullen, oftewel een factor miljoen. Waar je nu een USB-stick van 64 GB voor minder dan een tientje koopt, moesten we het vroeger doen met floppy disks van 512 kB, die je kocht in doosjes van tien stuks. De volgende generatie, waar 1,44 MB op kon (ruim dubbel zoveel!), voelde als een forse sprong vooruit. Als je een applicatie op je pc wilde installeren, was je diskjockey: zo’n product werd geleverd op een stapeltje diskettes – zoals die dingen in het Nederlands heten – die je stuk voor stuk moest invoeren. Downloaden moest nog worden uitgevonden.

Opslaggeheugen was schaars, en er werd op beknibbeld waar het maar kon. Bijvoorbeeld bij de datum. Waarom zou je 1977 schrijven als 77 voldoende was? Zelfs buiten computers om was dat gebruikelijk: ik leerde op school de datumnotatie 24-5-’65. Die apostrof duidde de eeuw aan, maar die kon je net zo goed weglaten. In computers scheelde het toch maar weer mooi twee posities bij iedere datum. Maar toen de eeuwwisseling naderde, kwam een probleem in zicht. Opeens zou 31 niet meer vanzelfsprekend 1931 betekenen, maar kon het ook 2031 zijn. Computers zouden zich daarin verslikken, bijvoorbeeld als ze moesten sorteren. Hemel en aarde werden bewogen om het onheil af te wenden. In Nederland werd daar omgerekend en naar schatting negen miljard euro aan gespendeerd, en wereldwijd driehonderd miljard dollar, aldus Wikipedia.

Toen de kruitdampen van het vuurwerk verwaaid waren, bleek er maar weinig mis te zijn gegaan. Er kwam veel kritiek: hebben we dan al dat geld voor niks uitgegeven? Ik kan me nu nog behoorlijk opwinden over zoveel naïviteit. Want waarom ging het zo goed, denk je? Door die mega-inspanning natuurlijk! Het is zo klaar als een klontje: er is een probleem, je lost het op, gevaar afgewend. Op dit abstractieniveau is het niet moeilijker dan dit.

Terug naar de trap van JenV. Die spreuk, die klopt niet. Het gezegde een ongeluk zit in een klein hoekje betekent: er kan gemakkelijk iets gebeuren. De tweede zin van de trapspreuk doet daarentegen net alsof er amper ongelukken gebeuren en de meeste dingen goed gaan. Dat het in de digitale maatschappij relatief goed gaat, komt door alle maatregelen die worden getroffen om problemen te voorkomen, én door snelle, adequate reactie als er toch iets gebeurt. De spreuk op de trap zou dan ook moeten luiden: Een ongeluk zit in een klein hoekje. Pak een bezem en veeg dat hoekje schoon.

En in de grote boze buitenwereld …

vrijdag 4 november 2022

Beestenboel

Afbeelding via Pixabay

Begeleid door een felle herfstzon wandelde ik afgelopen dinsdag met een teamgenoot door de afdeling Dinosaurussen van de dierentuin in Amersfoort. Gek hè, dat een dierentuin, die over het algemeen levende wezens verzamelt, ook een stukje bos heeft ingericht met beelden van al lang uitgestorven beesten. Net zo gek als de aanwezigheid van een speeltuin, trouwens. Kwam je nou om dieren te kijken of om te wippen?

Als je denkt dat onze aanwezigheid daar, tijdens werktijd, nog veel vreemder is, dan moet je bedenken dat dierentuinen ook ruimtes hebben die ze verhuren voor bijeenkomsten. En wij hadden die middag dus een bijeenkomst van ons organisatieonderdeel, het CTO Office, verantwoordelijk voor de optimale en effectieve inzet van technologie in de hele organisatie. Na een overzichtelijk praatje van onze directeur (de chief technology officer, ofwel CTO) moesten we in groepen uiteengaan om over een bepaald thema te praten. Je kent dat wel: de groepen zijn vooraf zó samengesteld, dat je vooral niet met eigen teamgenoten bij elkaar zit, zodat je ook eens met andere mensen in contact komt. Ik zat – lekker puh – in een groepje waarvan ik twee IT-architecten al kende; de een door het werk, de ander door een praatje bij de koffieautomaat. De anderen, een licentiebeheerder en een contractmanager, kende ik van gezicht.

Het thema, dat op ons bordje lag, heette: snel, beter, veiliger. Technologie moet snel ter beschikking van onze medewerkers komen. Kennelijk mag de kwaliteit daarbij ook wat omhoog en tja, het besef dat het veiliger moet is gelukkig ook doorgedrongen tot de hogere echelons. In menige organisatie betekent dat niet veel meer dan comfortabel abstract roepen dat het veiliger moet, de werkvloer achterlatend in een vertwijfeld “hoe dan?” Want het gat tussen de erkenning dat het veiliger moet en de praktische uitwerking van zo’n oekaze heeft al gauw canyoneske afmetingen. Welkom in het spanningsveld tussen ‘dat mag zo niet’ en ‘maar anders werkt het niet’.

Dat ze ons met dit thema aan het werk zetten, toont zowel lef als de behoefte om er daadwerkelijk invulling aan te geven. Het eerste wat wij opschreven, was dat je niet alleen snel, beter en veiliger moet zijn, maar ook flexibel. Dat is als het ware de katalysator die de andere drie eigenschappen een handje helpt. Flexibel in combinatie met veiliger betekent dat je niet maximaal beveiligt, maar optimaal. Dat betekent ook dat je in bepaalde situaties – ik denk bijvoorbeeld aan testomgevingen – soepeler kunt zijn. Beveiligingsbeleid en -normatiek voorziet daar echter niet in; dergelijke documenten lijken blind te zijn voor de complexe omgeving van een grote ICT-organisatie.

Dat brengt ons bij risicobereidheid (in het Engels pakkend risk appetite geheten). Hoeveel risico wil een organisatie nemen? Een bedrijf, dat dingen produceert met een korte time to market, zal over het algemeen een grotere risicobereidheid hebben dan, zeg, een overheidsinstantie. Dat product moet immers snel in de winkel liggen en dan kun je je geen al te frivole beveiligingsoverhead veroorloven. Kijk maar naar slimme apparaten zoals babyfoons, beveiligingscamera’s en broodroosters, die van het internet of things een gevaarlijke beestenboel maken.

Onze constatering was dat we meer moeten differentiëren in de risico’s waarmee we te maken hebben. Daar hoort onlosmakelijk bij dat eenduidig vaststaat wie waarvoor verantwoordelijk is. Een van de architecten wilde die verantwoordelijkheid zo laag mogelijk beleggen. Ik wist hem ervan te overtuigen dat we toch op z’n minst op het niveau van een afdelingshoofd moeten gaan zitten, omdat anders het eigen belang te zwaar gaat wegen: als een team een doel moet bereiken, dan zal een teammanager over het algemeen eerder bereid zijn om risico’s te accepteren. Risico’s hebben echter de neiging om een bredere uitwerking te hebben dan één team en moeten dus ook in die bredere context gewogen worden. Enige afstand tot de werkvloer helpt daarbij.

Gisteren sprak ik een afdelingshoofd dat vaak te maken heeft met risicobehandeling. We hebben namelijk een proces ingericht dat regelt dat wanneer iemand iets wil dat volgens de regels niet mag maar wel (op dat moment) nodig is om voortgang te waarborgen, moet opschrijven wat dat inhoudt en welk risico de organisatie loopt. En dat formulier moet worden voorgelegd aan het afdelingshoofd. Omdat het de laatste tijd de spuigaten uitloopt, gaat hij actief de boer op om verandering te bewerkstelligen. Het nemen van die risico’s is namelijk in veel gevallen niet echt nodig, mits men zich enige inspanning wil getroosten om aan een robuuste oplossing te werken. Dit afdelingshoofd neemt duidelijk zijn verantwoordelijkheid voor beveiliging, daarbij het belang van de operatie niet uit het oog verliezend. Want beveiliging gaat óók over beschikbaarheid.

Een andere dierentuingroep, die ook met het thema ‘snel, beter, veiliger’ was belast, had opgeschreven: lees de Security (b)log! Dat is natuurlijk een geweldige altijd-goed-actie.

En in de grote boze buitenwereld …

vrijdag 17 juni 2022

Hoeveel remmen heeft jouw auto?

Afbeelding via Pixabay

Op niet zomaar een donderdagmiddag – het was immers de verjaardag van mijn zoon – zat ik in een wat benauwende, want langwerpige en volgepakte vergaderzaal van ons kantoor. Niet dat het er voor dit verhaal veel toe doet, maar omdat je toch nieuwsgierig bent naar wat we daar deden: we deden een risicoanalyse, of in liefkozend jargon: een IRAM’etje.

Wat deze bijeenkomst vooral memorabel maakte, was dat een van de deelnemers tijdens zijn uitleg van de getroffen beveiligingsmaatregelen bij wijze van verklarend excuus toevoegde: “We zijn defensief, maar niet paranoïde.” Die zin bleef zichtbaar in de lucht zweven, waarna ik hem in mijn aantekeningen opsloot en verkondigde dat de spreker niet raar moest opkijken als hij deze uitspraak in een blog zou tegenkomen. Bij deze is dat dreigement waargemaakt.

Waarom heeft deze uitspraak mijn aandacht getrokken en vastgehouden? Waarom neem ik de moeite om daar een heel verhaal omheen te bouwen? Omdat hij perfect weergeeft wat ik als de kerngedachte van informatiebeveiliging beschouw: je moet optimaal beveiligen – niet maximaal. Niet te weinig, maar dus ook niet te veel. Het eerste moge duidelijk zijn, het tweede vergt wellicht enige toelichting.

Je zou namelijk gemakkelijk kunnen denken: hoe meer beveiliging, hoe beter; hoe meer verschillende maatregelen, hoe groter de zekerheid dat er geen ongelukken gebeuren. Maar vertel mij eens, hoeveel remmen heeft jouw auto? Een stuk of vier? En allemaal van hetzelfde type? Waarom zijn verreweg de meeste auto’s niet uitgerust met een remparachute, of met van die uitklapbare spoilers, die je kent van vliegtuigen? Of andere ingenieuze constructies? Allereerst omdat dat niet nodig is: de moderne autorem is dermate effectief en betrouwbaar, dat het voldoende is – althans, bij normaal gebruik van het voertuig, dat wil zeggen: normale snelheden en fatsoenlijk gedrag bij zowel jou als de andere verkeersdeelnemers.

En voor het geval de remmen dan toch niet afdoende zijn, heb je enkele extra’s aan boord, zoals veiligheidsgordels, airbags en stalen balken in de portieren. De remmen zijn preventieve maatregelen, de andere onderdelen zijn repressief van aard – ze moeten de schade, die sowieso zal ontstaan, beperken. Maar behalve de remmen heb je dus geen extra vertragingsmechanismen aan boord (oké dan, je kunt op de motor remmen, maar dat is geen expliciete beveiligingsmaatregel).

Een remparachute zou een auto niet alleen een stuk complexer maken, het zou ook een onhandige maatregel zijn. Als je in de stad hard moet remmen voor een overstekend konijn, dan rijd je (hopelijk) te langzaam om zo’n parachute tot ontplooiing te laten komen; hij zou als een slappe vaatdoek achter je auto over het asfalt slepen. Een remparachute werkt alleen goed bij hoge snelheden. Auto’s, waarmee in Amerikaanse woestijnen snelheidsrecords aan flarden worden gereden – díé hebben een remparachute. En sommige vliegtuigen. Maar in een gewone auto zou zo’n ding alleen onnodige complexiteit toevoegen. En zo kun je ook in de ICT maatregelen bedenken die weliswaar hip lijken, maar effectief een last zijn. Zoals het verplicht periodiek wijzigen van je wachtwoord, om er maar eens eentje te noemen.

En natuurlijk zou de auto er ook een stuk duurder door worden, wat mij bij het tweede argument brengt om niet maximaal te willen beveiligen. Soms wil of kun je gewoon niet meer geld uitgeven. Of is het niet economisch om dat te doen, omdat een extra preventieve maatregel duurder zou uitpakken dan een reparatie, áls er al iets kapot gaat.

Mijn derde en laatste argument is dat je misschien reeds al het mogelijke hebt gedaan om je systeem te beschermen. Je hebt de modernste schijfremmen onder je auto zitten en je laat ze keurig volgens het voorschrift van de fabrikant onderhouden. Geconstateerde mankementen worden bijtijds opgelost (en dat is niet per se ‘onmiddellijk’, geheel in lijn met dit betoog). Er zijn geen verdere zinvolle maatregelen denkbaar die niet strijdig zijn met bovenstaande argumenten. Dan ben je gewoon klaar.

En dat brengt mij weer, om met Goethe te spreken, bij des Pudels Kern: wees evenwichtig in de keuze van je maatregelen. Doe wat je moet doen, niet meer en niet minder. Dan beveilig je effectief en efficiënt.

Volgende week vrijdag sta ik een gastcollege te geven terwijl ik dan eigenlijk een nieuwe Security (b)log zou moeten schrijven…

En in de grote boze buitenwereld …

vrijdag 4 juni 2021

De vermomde bank

In 2011, toen Nederland op het punt stond om afscheid te nemen van de strippenkaart, hackte Brenno de Winter de OV-chipkaart. Het opmerkelijke aan deze hack was de eenvoud ervan, en het feit dat de (toen nog) onderzoeksjournalist er strafrechtelijk voor werd vervolgd. Hem hing een gevangenisstraf van zes jaar boven het hoofd.

Drie jaar eerder hadden Duitse hackers de chip, die nog veel meer toepassingen kent, gekraakt door hem fysiek te ontleden. In datzelfde jaar promoveerde een informaticus in Nijmegen op het klonen van de OV-dagkaart. Brenno kon zijn kaart steeds weer opnieuw van saldo voorzien. Dat kostte hem een investering van slechts drie tientjes, terwijl Translink Systems (het bedrijf achter de OV-chipkaart) beweerde dat de chip hooguit in het laboratorium kon worden gehackt en TNO stelde dat je daarvoor voor zesduizend euro aan apparatuur nodig zou hebben.

Onlangs gaf Brenno een presentatie onder de vlag van de Masterclass IT Security van Nyenrode Business Universiteit. In die presentatie zei hij iets dat bij mij is blijven hangen. Tijdens het verhoor naar aanleiding van drie weken gratis reizen met zijn gehackte kaart had hij tegen zijn ondervragers gezegd: “Ik ben geen zwartrijder, maar een bankrover. Want Translink is geen vervoersbedrijf maar neemt geld aan en verdeelt dat onder de vervoersbedrijven.” Dat vond zijn advocaat niet leuk, maar uiteindelijk gaf het journalistieke belang de doorslag en seponeerde het OM de zaak.

De boodschap van ‘Brenno de bankrover’ was: als je denkt dat je een vervoersbedrijf bent, dan beveilig je jezelf ook alsof je een vervoersbedrijf bent. En niet alsof je een bank bent. Iedereen voelt op z’n klompen aan dat een bank hogere eisen aan informatiebeveiliging stelt dan een andersoortig bedrijf. Doordat Translink zichzelf zag als een kaartjesverkoper, keken ze onvoldoende naar de beveiligingsaspecten van hun kaartjes. Ze hadden kunnen weten dat de chip die daar op zat niet meer veilig was. Voor sommige toepassingen voldeed die chip misschien nog wel, maar de combinatie van het zeer grote aantal gebruikers en de financiële waarde van zo’n kaart maakt de kans, dat iemand ermee gaat knoeien, toch wel erg groot.

Als Translink zich een bank had gevoeld, dan zouden ze veel meer hebben gekeken naar financieel gemotiveerde dreigingen, en zouden ze de kwaliteit van de kaart beter onder de loep hebben genomen. Als je dan tijdens zo’n onderzoek erachter komt dat de chip al door verschillende partijen gefileerd is, dan krab je je eens achter de oren en kijkt of er misschien een robuustere chip op de markt is.

Het verhaal zette mij aan het denken: zouden er nog meer bedrijven zijn, die ‘eigenlijk’ een bank zijn? Ja, concludeerde ik al snel. Neem nou bol.com. Dat bedrijf knip ik even in tweeën: het ene deel heeft een groot magazijn van waaruit het producten naar klanten stuurt. Het andere deel fungeert als bemiddelaar tussen de klant en andere winkels, net als Amazon en AliExpress. En dat deel van bol.com is dus eigenlijk een bank. Ze nemen jouw geld aan en sluizen dat door naar de winkel waar je iets besteld hebt. Stuur je iets retour, dan vloeit het geld de andere kant op. Maar met de goederenstroom bemoeien ze zich niet.

Wat moet je doen als je plots beseft dat je een soort bank bent? Je zult om te beginnen willen weten bij wie het financiële risico ligt. Het is weliswaar jouw geld niet, maar de beide partijen waar jij tussen zit vertrouwen er wel op dat je de transactie in goede banen leidt. Een buitenstaander, bijvoorbeeld een hacker, mag dat proces niet kunnen verstoren. En als dat wel gebeurt, dan gaan de partijen aan weerskanten van de transactie naar jou kijken – beiden willen dat het betaalde geld op de juiste bestemming landt, en desnoods moet dat uit jouw portemonnee komen. Dat werkt ook zo bij echte banken, bijvoorbeeld als aan het licht komt dat iemand boodschappen heeft gedaan met jouw gekloonde creditcard. Bij bol.com trapte onlangs een medewerker in een krakkemikkig nepmailtje waarmee ‘Brabantia’ een nieuw rekeningnummer doorgaf. Er verdween vervolgens 750.000 euro naar deze Spaanse (!) bankrekening. Dit zou niet zijn gebeurd als bol.com zijn processen als een bank had ingericht.

Zoals altijd gaat het ook hier niet om maximale beveiliging, maar om optimale beveiliging: niet teveel, niet te weinig. Bepaal hoeveel risico je wilt nemen en stem daar je beveiligingsmaatregelen op af. En als jouw bedrijf sterk op een bank lijkt, dan moet je daar eens extra kritisch naar kijken.

En in de grote boze buitenwereld …

vrijdag 8 maart 2019

Omgaan met risico

“Ja maar, hoevéél risico’s kun je dan aan? En wie loopt er eigenlijk risico?” Deze vragen stelde een lezer van de vorige Security (b)log, die over risk appetite oftewel risicobereidheid ging. In die blog legde ik uit hoe we deze materie vaktechnisch benaderen. Maar die lezer heeft kennelijk behoefte aan een meer filosofische benadering van het vraagstuk. Ik zet voor de gelegenheid mijn bèta-pet af en probeer hoe een gamma-petje mij staat.

De vaktechnische aanpak kwam erop neer dat je de kans op een bepaalde gebeurtenis in een diagram (de heatmap) uitzet tegen de gevolgen die het daadwerkelijk plaatsvinden van die gebeurtenis heeft (“het manifest worden van de dreiging” noemen we dat als we sjiek willen doen). De term ‘heatmap’ is interessant als je hem letterlijk neemt: hittekaart – hoeveel hitte voel je bij een bepaald risico? En wat vind je nog comfortabel? Als het in huis te warm wordt, dan zet je de thermostaat een graadje lager, en als je het buiten te warm hebt, dan zoek je de schaduw op; wordt het nog heter, dan duik je het zwembad in. Woon je ergens waar het structureel te warm voor je is, dan kun je overwegen om naar een koelere plek op aarde te verhuizen.

Risicomanagement kent vier opties om risico’s te behandelen: maatregelen treffen om de risico’s te verkleinen (“risico’s mitigeren” in sjiek-spraak), accepteren, vermijden en verzekeren. In bovenstaand voorbeeld (waarin het risico oververhitting is) zijn het draaien aan de thermostaat, het opzoeken van de schaduw en de plons in het zwembad voorbeelden van mitigerende maatregelen. Ga je verhuizen, dan vermijd je het risico. Je kunt ook in een hoekje gaan zitten zweten, dan accepteer je het risico – en ga je ervan uit dat je, mocht je daadwerkelijk oververhit raken, de schade kunt beperken en herstellen (dat is een belangrijk uitgangspunt bij risicoacceptatie!). Je kunt je niet verzekeren tegen oververhitting. De ziektekostenverzekering dekt alleen het risico dat je failliet gaat door medische kosten die hoger zijn dan je zelf kunt dragen.

Tegen sommige risico’s kun je je dus niet verzekeren, al zijn wij Nederlanders wel wereldkampioen verzekeren. Je kunt geen fiets, mobieltje of bril meer kopen zonder dat daar een verzekering bij wordt aangeboden. Vraag je je wel eens af of het niet goedkoper is om je níet te verzekeren? Hoe groot is de kans dat je fiets wordt gestolen als je haar alleen thuis, achter het hek van je kantoor en in bewaakte fietsenstallingen stalt? Hoe duur was je mobieltje en na hoeveel maanden uitgespaarde verzekeringspremie heb je het geld voor een nieuw exemplaar bij elkaar gespaard? Iets spannender: durf je een hoger eigen risico op je ziektekostenverzekering te nemen? Historische gegevens spelen daarbij uiteraard een rol: maak je jaar in jaar uit hoge kosten, dan ben je per saldo goedkoper uit met een hogere premie. Ben je zo gezond als een vis, dan kun je hopen dat dat zo blijft én je kunt redeneren dat de premie, die je uitspaart door het extra eigen risico, de kosten dekt die je misschien (!) in een bepaald jaar moet maken als toch je een keer pech hebt. Je kunt ook vooruitkijken: zegt de tandarts dat je over een tijdje aan een kroon toe bent, dan kun je ervoor kiezen om dán wel tandartskosten mee te verzekeren.

Hoeveel risico’s je aankunt is dus, behalve de uitkomst van een koele rekensom met een heatmap, ook – en misschien vooral – een kwestie van gevoel, én van inzicht in je situatie. Als je gewoon bang bent voor gebeurtenissen die je schade kunnen berokkenen, of als je weinig geld of andere resources hebt om ontstane schade te herstellen, dan zul je je tamelijk risicomijdend opstellen. Mensen met een yolo-mentaliteit (you only live once) zullen juist meer en hogere risico’s nemen. Overigens doen die mensen er wel goed aan om toch ook met een schuin oog naar hun portemonnee te kijken.

Dan nog de vraag wie er eigenlijk risico loopt. Nou, primair natuurlijk degene die met de gebakken peren zit als het misgaat. Op het gebied van informatiebeveiliging hebben we het dan bijvoorbeeld over een gegevenseigenaar wiens gegevens foetsie zijn, of uitgelekt. Die eigenaar moet kosten maken om terug te kunnen keren naar de correcte situatie en om zijn imago te herstellen. Secundair kunnen ook derden risico lopen, bijvoorbeeld de mensen waarvan gegevens kunnen uitlekken doordat een bedrijf, waarmee zij zaken doen, zijn beveiliging niet op orde heeft of er een losse privacy-moraal op nahoudt. Deze (potentiële) slachtoffers kunnen zelf amper mitigerende maatregelen treffen. Zij kunnen het risico accepteren of vermijden. In die laatste categorie zie je de laatste tijd steeds meer mensen afscheid nemen van diensten van Facebook en Google. Hoewel ook dat natuurlijk weer risico’s met zich meebrengt…

En in de grote boze buitenwereld …

... maakt Facebook misbruik van het telefoonnummer dat je aan hen gaf voor beveiligingsdoeleinden.

https://www.grahamcluley.com/facebook-2fa-phone-number-look-up/

... belooft Facebook (weer eens) beterschap. Ze gaan zelfs focussen op privacy!

https://tweakers.net/nieuws/149984/zuckerberg-wil-dat-facebook-platform-wordt-met-focus-op-privacy.html

... mogen cookiemuren op websites je niet tegenhouden.

https://tweakers.net/nieuws/150012/autoriteit-persoonsgegevens-cookiemuur-op-websites-mag-niet.html

... is dat cookie-standpunt van de AP in juridische kringen omstreden.

https://blog.iusmentis.com/2019/03/08/en-dan-verbiedt-de-ap-gewoon-even-op-donderdagmiddag-de-cookiemuur/

... probeerde men ook al in vroeger tijden om communicatie te beveiligen.

https://www.atlasobscura.com/articles/what-did-people-do-before-envelopes-letterlocking

... moet je tegenwoordig nadenken over de beveiliging van je slimme huis.

https://securingtomorrow.mcafee.com/consumer/consumer-threat-notices/how-to-secure-your-smart-home/

... mag je niet naïef zijn als het om digitale spionage gaat.

https://www.ictmagazine.nl/columns/spionage-en-naiviteit/

... vinden veel bedrijven beveiliging voor mobiele apparaten moeilijk.

https://www.darkreading.com/mobile/companies-having-trouble-translating-security-to-mobile-devices/d/d-id/1334111

... bewegen hackers juist langzaam weg van telefoons.

https://motherboard.vice.com/en_us/article/evek9z/phones-harder-to-hack-crowdfense-zerodium-buy-router-zero-days-exploits

... is jouw random wachtwoord misschien toch niet zo uniek als je dacht.

https://gizmodo.com/why-ji32k7au4a83-is-a-remarkably-common-password-1833045282

... heeft de politie twee mannen aangehouden voor een hack op een Apeldoornse mbo-school.

https://www.omroepgelderland.nl/nieuws/2401181/Twee-aanhoudingen-na-hack-bij-ROC-Aventus-in-Apeldoorn

... hebben cybercriminelen het gemunt op jonge gamers.

https://www.darkreading.com/threat-intelligence/cybercriminals-target-young-gamers--/d/d-id/1334066

... is het nog niet zo gemakkelijk om een betrouwbaar VPN te vinden.

https://lifehacker.com/how-to-find-a-trustworthy-vpn-1833045522

... geven oude navigatiesystemen binnenkort verkeerde informatie.

https://tweakers.net/nieuws/149878/oude-gps-systemen-kunnen-vanaf-volgende-maand-verkeerde-informatie-weergeven.html

vrijdag 22 februari 2019

Trek in risico

“Guten Appetit!”, wensen Duitstaligen elkaar als ze gaan eten. Appetit vertaalt zich in ‘eetlust’, ze wensen elkaar dus een goede eetlust toe (opdat de bordjes straks leeg mogen zijn).

Vakbroeders, die zich net als ik regelmatig met risicoanalyses bezighouden, snappen waarschijnlijk al dat ik het hier ga hebben over risk appetite. Dat heeft niks met eten te maken, maar is een maat voor hoeveel ‘trek’ een organisatie in risico’s heeft. In goed Nederlands heet dat ‘risicobereidheid’. Hoeveel risico ben je bereid te nemen?

Misschien denk je dat een organisatie per definitie een lage risicobereidheid heeft of hoort te hebben. Toch is dat niet zo. Het hangt er sterk van af in welke business je zit. Een organisatie met veel privacygevoelige gegevens en de onderzoeksafdeling van een hightechbedrijf zijn doorgaans risicomijdend, wat betekent dat ze maar weinig risico willen nemen en dus veel (vaak kostbare) preventieve maatregelen treffen om zich ertegen te beschermen (ook wel mitigerende maatregelen genoemd). De verkoopafdeling van datzelfde hightechbedrijf kan er echter een heel andere risicobereidheid op nahouden. Denk bijvoorbeeld aan een bedrijf dat mobieltjes maakt. Die apparaatjes hebben een vrij korte time to market – er komen om de haverklap nieuwe modellen uit om de hongerige klandizie ter wille te zijn. Men kiest er dan voor om veel risico’s niet af te dekken, omdat dat teveel tijd en geld kost.

En dan is er nog de neutrale risicobereidheid, waarbij vooral wordt gewerkt met signalerende en correctieve maatregelen en waarbij de kosten en de baten ongeveer gelijk opgaan. Deze strategie zou je kunnen toepassen in een organisatie waar het niet heel erg is als de beschikbaarheid, integriteit of vertrouwelijkheid van gegevens geschaad wordt, maar waar je de boel achteraf wel moet kunnen rechtbreien. Ik zou me kunnen voorstellen dat het voor een schroevenfabriek niet zo heel erg is als er tijdelijk iets mis is met de administratie van geproduceerde schroeven, en dat daar dan ook niet massief wordt ingezet op preventieve maatregelen. Als de administratie aan het einde van de maand maar weer klopt.

Ik hintte er al naar: het is natuurlijk een kwestie van geld. Preventief is duur en een deel van die kostbare maatregelen zal nooit tot inzet komen (wanneer heb jij voor het laatst je airbag gebruikt?), waardoor een risico-eigenaar ervoor kan kiezen om het risico te accepteren. Niets doen is goedkoop (en gemakkelijk), maar kan je duur komen te staan. Belangrijk is dat er een weloverwogen keuze wordt gemaakt door de functionaris die daartoe bevoegd is. In grote organisaties kan het nog wel eens moeilijk zijn om die risico-eigenaar te vinden. Is het een teammanager? Een afdelingshoofd? De directeur? De business? Het is niet alleen een kwestie van hiërarchie, maar ook van functioneel op de juiste plek zitten. Je wilt niet dat “zomaar iedereen” risico’s kan accepteren, maar je wilt ook niet dat risico’s worden geaccepteerd door iemand die te ver van de materie af staat.

Risk appetite kun je visualiseren in een heatmap. Dat is een grafiek met langs de ene as de kans op een gebeurtenis en langs de andere as de impact/schade die het optreden van die gebeurtenis veroorzaakt. In het voorbeeld hiernaast is gekozen voor een bepaalde toedeling. Door met de kleuren te schuiven, verandert de risk appetite. Ga er gerust van uit dat risico’s die rood scoren worden aangepakt en dat met alle andere niets gebeurt. Dus hoe groter het rode gebied, hoe lager de risicobereidheid. En hoe minder rood, hoe meer durf.

Risicobereidheid speelt niet alleen in organisaties. Ook in je privéleven heb je ermee te maken. Ikzelf ben van nature risicomijdend, en dat botst soms als je een tienerzoon hebt die freerunning een leuk tijdverdrijf vindt. Gelukkig doet hij (nog) niet de heftige dingen die hij me soms op Youtube laat zien en waarbij ik het gevaar meteen aan mijn water voel. Toen hij jonger was, voelde ik mij de risico-eigenaar en verbood ik menige geplande actie. Naarmate hij ouder wordt, verschuift het risico-eigenaarschap naar hemzelf en vraagt hij bij twijfel om advies.

Risk appetite, ook goed voor thuis. Eet smakelijk.

In verband met vakantie verschijnt er volgende week geen Security (b)log.