Security-advies VS en Nederland: pak leveranciers harder aan

De huidige situatie is namelijk 'vulnerable by design', zo concluderen de diverse instanties die bezig zijn met security, cybercrimebestrijding en algehele veiligheid. "Technologie is geïntegreerd in bijna elk facet van het dagelijks leven. Internet-gerichte systemen zijn verbonden met kritieke systemen die directe impact hebben op onze economische voorspoed, ons levensonderhoud, en zelfs onze gezondheid", begint de paper. Dit document komt van het Amerikaanse Cybersecurity & Infrastructure Security Agencey (CISA), National Security Agency (NSA), Federal Bureau of Investigation (FBI) en diverse internationale partners, waaronder ook het Nederlandse Nationaal Cyber Security Centrum (NCSC).

Ziekenhuizen die operaties afzeggen

Het punt van tech-impact op gezondheid wordt geduid door te wijzen op hackaanvallen waardoor ziekenhuizen operaties moesten afzeggen en patiënten moesten doorsturen naar andere zorginstellingen. Zulke incidenten hebben wereldwijd plaatsgevonden. "Onveilige technologie en kwetsbaarheden in kritieke systemen kunnen kwaadaardige cyber-indringen uitnodigen, wat leidt tot ernstige potentiële veiligheidsriciso's."

De noodzaak is dus groot en groeiende om een omslag te maken van 'kwetsbaar ontwerp' naar security-by-design. Het ontwerpen en ontwikkelen van techproducten en -diensten moet van begin af aan al geheel gericht zijn op veiligheid en beveiliging. Deze boodschap is niet nieuw, maar vindt in de praktijk nog altijd te weinig navolging. Dit komt mede door een grote mate van legacy; zowel in ontwikkelprocessen, componenten en compatibiliteit bij leveranciers als ook in producten, gebruik en afhankelijkheden bij IT-afnemers.

Veilig ontwerp en veilige instellingen

Tech-leveranciers worden er in de paper op aangesproken dat ze aanzienlijk meer moeten doen om hun producten en gebruik daarvan veiliger te krijgen. De regering van de Amerikaanse president Joe Biden heeft in de nationale cybersecuritystrategie al het hete hangijzer van aansprakelijkheid opgepakt. Biden spreekt van het probleem dat teveel verantwoordelijkheid voor cybersecurity op de schouders ligt van individuele gebruikers en kleine organisaties, schreef Nextgov vorige maand.

Bij de strategie van Biden en de internationale paper nu komen echter niet alleen leveranciers in beeld maar in wezen ook hun klanten. Terwijl IT-leverende bedrijven worden aangespoord om security-by-design en secure-by-default te omarmen, krijgen IT-gebruikende organisaties de oproep om hun security-instellingen en ICT-configuraties te verbeteren. Veel succesvolle hackaanvallen zijn te danken aan verkeerde instellingen, openstaande systemen, en andere beheerfouten. Bovendien zijn IT-gebruikende organisaties vaak zelf indirect ook weer leveranciers.

Securityplannen Nederland en EU

De Nederlandse overheid heeft al ambitieuze plannen uiteengezet om van symptoombestrijding over te gaan naar het aanpakken van oorzaken voor ICT-onveiligheid. Dat is vorig jaar opgenomen in de nieuwe nationale cybersecuritystrategie. Experts hebben tegenover AG Connect lof geuit over die plannen, maar zij plaatsen ook kanttekeningen: mogelijk gaan de overheidsplannen toch niet ver genoeg. Ondertussen zet de Europese Unie ook stappen om IT-leveranciers met wet- en regelgeving te dwingen tot betere beveiliging.