Om digitale ontwrichting te voorkomen, is meer inzet van bedrijven en dwingend optreden van overheden nodig

Gepubliceerd op 11 juni 2021 om 07:00

Om digitale ontwrichting te voorkomen, is meer inzet van bedrijven en dwingend optreden van overheden nodig. De aanval met ransomware bij Colonial Pipeline toont de grote kwetsbaarheid van de samenleving.

Toevoer olie, benzine, diesel en kerosine

Russische hackers slaagden er eerder deze maand in om een week lang een groot deel van de toevoer van olie, benzine, diesel en kerosine aan de oostkust van de Verenigde Staten lam te leggen. Ze gijzelden Colonial Pipeline, dat ongeveer 45 procent van het olietransport in dit deel van de VS verzorgt. Veel vitaler kan een infrastructuur niet worden: de afhankelijkheid van brandstof is enorm. Aan de oostkust van de VS werd zelfs een regionale noodtoestand uitgeroepen.

Belgisch ministerie

Ook dichter bij huis zijn de laatste tijd regelmatig incidenten, soms met minder zichtbare maar evengoed schadelijke gevolgen. Zo is volgens Belgische media het federale ministerie van Binnenlandse Zaken twee jaar lang gehackt geweest, waarschijnlijk door China.

Veel mensen nemen de berichten voor kennisgeving aan. Maar de vraag die gesteld moet worden is: valt tegen dit soort incidenten iets te beginnen? Het antwoord is bevestigend. Er zijn oplossingen voorhanden die het hackers in ieder geval moeilijker kunnen maken. Maar op dit moment gebeurt dat structureel nog te weinig.

Veiligheid voedsel en auto’s wel bewaakt

Te vaak ligt de nadruk op de eindgebruiker, groot of klein, die zich beter zou moeten beveiligen. Maar die kan niets uitrichten tegen onveilig verkochte producten of diensten. De oorzaak en daarmee de oplossing van het probleem is complexer. Ook bedrijven en overheden moeten verantwoordelijkheid nemen.

Het internet verbindt vrijwel alles. Dit netwerk van netwerken bestaat en functioneert dankzij door internettechnici goedgekeurde protocollen, zogenoemde ‘internet-standaarden’. Maar deze internet-standaarden zijn al rond 1980 gemaakt – en in beginsel onveilig, zoals Vint Cerf , een van de geestelijk vaders van het internet erkende.

Websites maar ook steeds meer ‘internet of things’ apparaten (IoT), apps en software komen veelal onveilig ontworpen op de markt. Voor auto’s, vliegtuigen of voedsel zou zoiets ondenkbaar zijn. Hackers zoeken naar die kwetsbaarheid. Eén zwakke plek is voldoende om een immens bedrijf als Colonial Pipeline binnen te dringen en, zoals deze maand bleek, op de knieën te krijgen.

Wetgeving of stimulering

Internet-standaarden zijn inmiddels verbeterd en voor bijvoorbeeld websites zijn best practices opgesteld. Maar toepassing blijft vrijwillig en daar zucht de hele digitale infrastructuur onder. Wetgeving of actieve stimulering is nodig.

Dat zou kunnen beginnen bij het wereldwijd aansporen of verplichten van overheden en grote bedrijven om veilig materiaal in te kopen. Zo wordt de vraag naar veilige ICT, IoT en diensten gestimuleerd en groeit de markt. De Nederlandse overheid heeft dit beleid nu al.

Meer transparantie en inzicht in bestaande kwetsbaarheden kan tot druk, dus verbeteringen, leiden. Hier ligt een rol voor minder voor de hand liggende partijen. Hackers, zoals die van Colonial Pipeline, testen systemen 24 uur per dag op zoek naar die ene zwakheid. Waarom doet de maatschappij niet hetzelfde? Stimuleer ‘goede’ hackers meer nog dan nu al gebeurt om wereldwijd 24/7 op zoek te gaan naar zwakheden in voor de samenleving belangrijke systemen.

Media en bonden ook

Consumentenbonden zouden producten structureel op digitale veiligheid kunnen testen: rode vinkjes leiden dan tot vragen bij verkopers en fabrikanten. Media hebben ook een rol. Laat zien hoe veilig de ICT is van een auto die in het tv-programma Top Gear of in een krant getest wordt. Met permanente melden van kwetsbaarheden in producten en diensten leidt tot inzicht en dwang tot verbetering. Breng bovendien kinderen vroeg digitale veiligheid bij.

Waar iederéén vanuit eigenbelang handelt, voelt uiteindelijk niemand zich verantwoordelijk, met verwaarlozing tot gevolg: een klassiek voorbeeld van tragedy of the commons. Normaal gesproken treedt de overheid op als ordenende instantie, maar op internet gebeurt dit onvoldoende. Dit is bevreemdend, gezien de enorme belangen en het grote aantal incidenten van de laatste jaren. Hackers zijn overal binnengedrongen, vaak onopgemerkt. Strategie, kennis en geld lekt weg.

Achterdeurtjes?

Dit leidt tot meer strategische vragen die dringend antwoord behoeven. Voor welke aanpak moet de overheid kiezen? Veilig inkopen of wetgeving en regulering? Zit de business case van sommige ICT-bedrijven een veiliger internet in de weg? Strookt het overheidsstreven naar ‘achterdeurtjes’ bij encryptie met een veilig internet? Is één internet in 2021 nog na te streven als de gevaren zo groot zijn?

Zonder duidelijke antwoorden op deze vragen, is het niet mogelijk gericht beleid op betere bescherming op te stellen noch om succesvol (economische) druk op tegenstanders te zetten. Maar het moet beter; en wel snel. Structureel inzetten op security by design is het makkelijke begin. Laat Colonial Pipeline een wake-up-call zijn.

Bron: netkwesties.nl

Wout de Natris is historicus en adviseur op het gebied van internetveiligheid. Dit artikel is een beknopte samenvatting van het IGF-rapport voor een veiliger internet dat hij met Marten Porte in 2020 schreef. Een versie van dit artikel verscheen ook in NRC Handelsblad van 27 mei 2021

 

Meer info over cybercrime

Tips of verdachte activiteiten gezien? Meld het hier.

Cybercrime gerelateerde berichten

We verwachten in de toekomst meer van 'ThreatNeedle' te zien

Cybersecurity onderzoekers hebben een nieuwe campagne geïdentificeerd van Lazarus, een zeer productieve geavanceerde dreigingsactor. Lazarus is actief vanaf ten minste 2009 en is betrokken geweest bij grootschalige cyberspionage campagnes, ransomware-campagnes en zelfs aanvallen op de cryptocurrency-markt. Waar het zich de afgelopen jaren op financiële instellingen richtte, valt Lazarus sinds begin 2020 de defensie-industrie aan via een aangepaste backdoor genaamd 'ThreatNeedle'.

Lees meer »

"Er kan niet worden gewacht met het delen van incident informatie"

De 'Cyber Security Raad (CSR)' wil versneld incidentinformatie met het bedrijfsleven en burgers delen. In de ogen van de raad is dit ‘een van de belangrijkste instrumenten’ om de cyberweerbaarheid van de samenleving te verhogen. De CSR adviseert minister Grapperhaus om te onderzoeken of het Landelijk Dekkend Stelsel (LDS) van informatieknooppunten via een ‘spoedreparatie’ sneller kan worden doorgevoerd.

Lees meer »

Geruchten WhatsApp, hoe zit dat nu?

WhatsApp gebruikers, dit moet je weten. De app is na 15 mei 2021 nauwelijks meer te gebruiken als je de nieuwe gebruiksvoorwaarden niet hebt geaccepteerd. Nieuwe berichten lezen of versturen is dan niet langer mogelijk: het beleid voor inactieve accounts treedt vanaf die datum in werking.

Lees meer »

‘Iedereen maakt fouten. Wij wachten op die van jullie’

De Nederlandse politie neemt een opvallende stap in de bestrijding van cybercriminaliteit. Op een forum waar veel hackers actief zijn, hebben agenten een waarschuwing geplaatst. Daarin adviseert de politie hen dat ze beter geen gebruik kunnen maken van onze IT-infrastructuur, omdat ze deze goed in de gaten houdt.

Lees meer »

Cyberaanval treft Hogeschool en Universiteit van Amsterdam

De Hogeschool en Universiteit van Amsterdam (HvA en UvA) zijn allebei het slachtoffer van een cyberaanval. Het Security and Operations Centre (SOC) heeft geconstateerd dat ‘onbekende derden’ zichzelf toegang hebben verschaft tot de ICT-omgevingen. Maatregelen zijn en worden genomen om de gevolgen van de aanval te beperken.

Lees meer »

“Dat zal mij niet overkomen”

Internet fraudeurs maken slim gebruik van de coronacrisis. Het OM wil samen met verschillende betrokken partners iets doen aan de exponentiële groei van cybercriminaliteit. ''Op het moment dat het businessmodel lucratief blijft, zul je zien dat steeds meer criminelen zich daarop gaan richten en de omvang alleen gaat toenemen de komende tijd'', zegt Michiel Zwinkels, hoofdofficier van justitie bij het Openbaar Ministerie en landelijk portefeuillehouder Cybercrime.

Lees meer »