Opeens weet je het: ik word ethisch hacker!

Het klinkt natuurlijk als een droombaan. En zeker in het kader van ‘Iedereen is ICT’er’ een gouden kans. Ethische hackers zijn hackers die bewust op zoek gaan naar kritieke kwetsbaarheden of bugs in systemen. Dat kan zijn voor een bedrijf of organisatie. Bij Microsoft hebben we ook ethische hackers aan boord. Maar het kan ook een solo opererende cel zijn die op zoek gaat naar ernstige bugs. Uiteraard gelden er afspraken en spelregels. Als je zo’n kritieke kwetsbaarheid vindt, maak je kans op een beloning, een ‘bug bounty’. En die kan oplopen van een gratis T-shirt tot een eervolle naamsvermelding of zelfs 100.000 euro. 

Geen ‘splendid isolation’ 

Een ecosysteem bestaat uit toeleveranciers en klanten. Tegenwoordig worden meer en meer systemen aan elkaar geknoopt. En waar systemen aan elkaar geknoopt worden, vallen gaten. Onvermijdelijk, ook al doen we er alles aan. Het moet, voor iedereen die ook maar iets met ICT te maken heeft, vragen doen rijzen als: Waar moet ik me zorgen over maken? Ben ik een interessant doelwit en waarom precies? Is mijn leverancier een doorgeefluik voor kwetsbaarheden binnen mijn systeem? Of andersom, geeft mijn organisatie bugs door aan derden? Geen enkele organisatie of persoon opereert en overleeft in ‘splendid isolation’. Supply chains, the Internet of Things (IOT), Operational Technology Devices (denk aan medische apparatuur en machines in fabrieken). Alles staat in verbinding met elkaar. En dat is waar Cyber Security een hoofdrol speelt. 

Balans 

Het is belangrijk problemen zo multidisciplinair mogelijk aan te pakken. Bij Cyber Security bestaat er altijd een interactie tussen technologie, maatschappij, economie en gedrag. We moeten juist vanuit al deze vakgebieden de tegenaanval inzetten. Druk je op de knop ‘economie’, grote kans dat er onder de noemer ‘technologie’ iets onvoorziens ontstaat.  Het gaat om balans en kosten versus baten. Deze aspecten moet je altijd goed doordenken. Zo zouden fabrikanten meer kunnen investeren in Cyber Security. Maar dat moeten consumenten dan weer betalen. Wat het natuurlijk lastig maakt als geen van beiden slachtoffer is, maar een derde partij wel. Het kan gebeuren dat jij een slimme espressomachine in huis hebt waar een kwaadwillende partij een DDOS-aanval opzet, die op enig moment een bepaalde website aanvalt en plat legt. Zonder dat je het merkt! Dit is typisch een situatie waarbij we steeds vaker moeten kijken naar overheden en toezichthouders. Zij kunnen komen met reguleringen en verplichtingen voor fabrikanten.  

Goedkoop is duurkoop 

Het is belangrijk dat er wetgeving komt voor veiligere software en die verantwoordelijkheden definieert. Die zorgt dat systemen zo veilig mogelijk gebouwd worden en dat alles secuur wordt vastgelegd in contracten en protocollen. En als het dan toch misgaat, dat er een waarschuwingssysteem is. Sommige landen werken nu al stap voor stap naar dit soort maatregelen. In Nederland houden onder meer de Autoriteit Consument & Markt en het Agentschap Telecom (voor radioapparatuur) hierop toezicht, zodat iedereen onbeperkt toegang heeft tot veilige, slimme apparaten. En wat kunnen fabrikanten zelf doen? Zij kunnen apparaten uitleveren zonder standaard wachtwoord, denk aan het bekende 0000. Ze kunnen ook regelmatig een slim apparaat of een app updaten en blijven bijwerken. Daarnaast heb je als consument een soortgelijke verantwoordelijkheid. Iedereen snapt natuurlijk dat een bepaald slim apparaat dat wel erg goedkoop is, of volgens reviews zeer matig functioneert, automatisch niet zal uitblinken in Cyber Security. Neem camera-drones, smartphones en virtuele assistenten via goedkope websites. Als consument voel je intuïtief vaak wel of iets klopt, of niet. Als je als consument een reële prijs betaalt, weet je ook dat er meer aandacht is besteed aan zoiets onzichtbaars als online veiligheid en privacy.  

Denken als een crimineel 

Je kunt niet alles voorkomen. Hooguit afwijkende zaken detecteren en dan daarop reageren. Actie en reactie. Maar je kunt het ook zelf opzoeken. Met de eerdergenoemde ethische hackers. Om dingen vooraf technisch te testen of vanuit een bredere veiligheidscontext. De menselijke factor kan zelfs worden meegenomen. Een ethisch hacker wordt dan gepusht te denken als een crimineel. Van kwajongensachtig klieren tot groots opgezette aanvallen. En dat via jouw slimme speakers thuis, een digitale thermostaat of een IOT- frisdrankautomaat op kantoor. Stuk voor stuk potentiële doorgeefluiken om op een bedrijfsnetwerk te komen. Zie jij een baan als ethisch hacker of ‘bug bounty hunter’ nog steeds helemaal voor je?  

Blijf bij de tijd! Bekijk hier het totale overzicht van onze webinars en schrijf je in voor het volgende event!

Abonneer je op ons #SecurityLifeHacks podcastkanaal op Spotify. Iedereen is ICT’er.