Securitynieuws is als de Kardashians

Als er één familie wereldwijd bekend is, dan zijn het wel de Kardashians. Het geringste gebeurt en (bijna) iedereen praat erover. We kennen ze vanwege een eigen serie, hun talloze ondernemingen en de veelvuldige headlines die ze halen. Maar wanneer mensen het over de Kardashians hebben, bespreken ze in feite slechts een façade. Want wie kent de familieleden écht persoonlijk? De informatie die veelal wordt besproken, blijft dus aan de oppervlakte.

Hetzelfde gaat op voor krantenkoppen over cyberaanvallen. Want een doorsnee headline over ransomware laat eenzelfde façade zien. Zo’n kop bevat informatie over het bedrijf of de sector en in welke categorie het incident thuishoort. De overige, essentiële informatie rondom het incident wordt niet gedeeld. En zulke verhalen bereiken tegenwoordig een groot publiek, net als de Kardashians. Echter, omdat geen details over oorzaak en toedracht worden gedeeld, leert de gemiddelde lezer er niets van.

Sharing is caring

Het niet delen van informatie over de oorzaak heeft grote gevolgen. Keer op keer blijkt het delen van (onderzoeks)informatie – terwijl het nieuws al in de kranten staat – een brug te ver. Het incident wordt door security-experts geanalyseerd en waar mogelijk verholpen. Toch vindt dit gehele proces achter gesloten deuren plaats. Het resultaat is dat het grote publiek, evenals het bedrijfsleven, er niets van opsteekt.

In de luchtvaart gaat dat er heel wat anders aan toe. Wanneer een vliegtuig neerstort, wordt het nieuws binnen de kortste keren internationaal gedeeld. De headlines volgen snel. Parallel aan die ramp, wordt er een onderzoek opgezet naar de oorzaak van de crash. De breder gedeelde onderzoeksinformatie maakt de oorzaak duidelijk, verhelpt toekomstige ongevallen én maakt de sector veiliger. Waar lag het aan en hoe had dit voorkomen kunnen worden? Dat zijn de antwoorden die ook binnen cybersecurity naar boven moeten komen.

Goed voorbeeld (om te volgen)

Een bekend incident, waarschijnlijk bijna net zo bekend als de eerdergenoemde celebrity-familie, is de Equifax-breach. Dat voorval heeft het Amerikaanse kredietbedrijf uiteindelijk miljoenen gekost en zowel de CEO als de rest van het bestuur, tot aan de CISO, is vanwege het incident vertrokken. Het nieuwe management moest zodoende het cybersecuritybeleid verbeteren. Een pittige klus, maar wel één die inspiratie biedt.

Het nieuwe managementteam kwam namelijk naar buiten met een volledig rapport waarin ze hun best practices en de geleerde lessen deelden. Met dat rapport lieten ze zien wat er is misgegaan en hoe we het als industrie kunnen voorkomen.  Om zoiets zonder meldplicht al te doen, is een zeer positief signaal. Een voorbeeld dat hopelijk doet volgen. Zo kunnen krantenkoppen over breaches en ransomware de lezer uiteindelijk iets leren. Zodat iedereen in de toekomst alerter is op zwakke plekken binnen de eigen organisatie.