Cybervaccinatie

Ik heb naderhand nog sorry gezegd tegen Frank, omdat ik hem voor de gek heb gehouden. Het was 2021 en het Securitycongres van AG Connect kon niet doorgaan. Niet in de normale vorm van een congres, in elk geval, want er heerste corona en nog lang niet iedereen was gevaccineerd. Dus besloten we om er een online Security Game van te maken, met live gestreamde presentaties.

Waaronder een hele goede presentatie van DIVD-grondlegger Frank, over de grote Exchange-kwetsbaarheid ProxyLogon. Hij wist toen nog niet - maar ik wel - dat we live een eigen cyberramp kregen. Nou ja, niet echt, maar dat liet ik niet merken. Mijn rol was om als host van de online-show ineens in onderdrukte paniek voor de camera te verklaren dat er iets gru-we-lijk mis was gegaan.

Frank was net klaar met zijn enthousiaste praktijkverhaal over cybersecurity, met als titel ‘Als je deze waarschuwing leest, is het waarschijnlijk al te laat’. En toen kwam ik. Frank verdient geen Oscar-nominatie, want zijn schrik en verbijstering waren echt. Hij wist van niks en ik speelde het spel mee. Pardon: de cyberoefening. Het hoorde bij de securitygame die we hielden voor onze congresdeelnemers, die allemaal thuis achter hun beeldschermen zaten.

Eigenlijk heb ik de notie van cybervaccinatie ook niet helemaal zelf bedacht. Het idee kreeg ik enkele jaren terug van een andere security-expert. Oscar vertelde me toen over de grote hack bij KPN in 2012, gepleegd door een 17-jarige ‘voor de lol’. Het telecombedrijf onderging de ervaring van een cyberramp, trok daar lessen uit  en is daardoor weerbaarder geworden.

“Soms moet je even gehackt worden om het echt te voelen”, vertelde Oscar me. Hij had het over het cruciale verschil tussen tabletop-scenario’s voor security en de harde werkelijkheid. Natuurlijk wil je een echte, rampzalige hack niet en wens je dat ook anderen niet toe. Maar even wat ziekjes worden, er mild ellendig aan toe zijn, dat kan heel nuttig zijn. Zoals een vaccin waarna je weerbaarder bent tegen die infectie.