Wapenwedloop in cybercrime

Net als de wapenwedloop in de koude oorlog van de vorige eeuw is er nu en de komende jaren een cybercrimewedloop aan de gang tussen criminelen en bedrijven. Als ik de hacks van afgelopen tijd op me laat inwerken, slaat me de schrik om het hart. Kijk bijvoorbeeld op informationisbeautiful.net voor World's Biggest Data Breaches & Hacks en csis.org voor cybersecurity.

Aart van der VlistMeer van deze auteur

Hardlopen — © Shutterstock

Shutterstock

Dichter bij huis vind je incidenten met ransomware (gemeente Hof van Twente, veiligheidsregio Gelderland en universiteit Maastricht), paniek over Citrix en recent een hele rel over Solarwinds. Loonde het tot nu toe nog om fysiek informatie en geld te stelen, criminele organisaties hebben naar mijn idee de omslag gemaakt naar flink investeren in cybercrime.

Natuurlijk nemen we als CIO’s veel en goede maatregelen. Aansluiten bij het Nationaal Detectie Netwerk, een CERT/SOC, logging/monitoring, awareness-campagnes, pentesten, anti-virus software, ddos-wasstraat, enzovoort. De vraag alleen is of dat allemaal genoeg is voor de komende jaren. Voor overheden voelt de verantwoordelijkheid groot. Wij werken voor de maatschappij en belangrijke dienstverlening en grote dataverzamelingen zijn ons toevertrouwd.

De Cyber Security Raad (CSR) gaf jaren geleden al met een best practice percentage aan dat bedrijven 10 procent van hun IT-budget moeten besteden om bij te blijven op dit gebied. Mijn schatting is dat het de komende jaren naar 15 procent gaat en misschien wel richting 25 procent zal kunnen gaan stijgen. Het Nationaal Cyber Security Center (NCSC) hint die kant ook op. De Strategische I-agenda Rijksdienst en de Nederlandse CybersecurityAgenda (NCSA) onderschrijven het belang van cybersecurity. Laten we nou even aannemen dat we met zijn allen dat geld er voor over (moeten) hebben. Wat gaan we dan doen?

Voor overheden voelt de verantwoordelijkheid groot

Ik onderscheid drie fasen. De eerste is dat je intern orde op zaken brengt en dat je monitort en toetst, denk aan de spelers in de ‘three lines of defence’ (3LoD) zoals een functionaris gegevensbescherming (FG) en een accountantsdienst. De tweede fase is dat je jezelf van buiten laat aanvallen (ethical hacking). De derde fase waar we nu volgens mij massaal naar over moeten gaan is samenwerken tussen bedrijven en overheden. Om kennis te bundelen (denk aan het CIP), snel te kunnen reageren bij incidenten (JSOCs), best practices te delen en waar nodig gezamenlijke beschermingsmaatregelen te nemen. Denk aan ‘veilige bubbles’ die los staan van het open internet van vandaag.

Nederland is bij uitstek een open economie en we werken graag met iedereen samen. Dat is dan ook hoe we onze digitalisering vanuit een open maar kwetsbaar internet hebben gebouwd. Ik denk dat we daarom in Nederland máximaal moeten samenwerken om hiervoor goede oplossingen te vinden en cybercriminaliteit voor te blijven. Mooi punt voor in een nieuw regeerakkoord lijkt mij.