De lessen die wij maar niet leren
Afgelopen maand oktober was het Cyber Security Awareness maand. Ik had graag een column geschreven over wat wij allemaal voor lessen hebben geleerd.
Bijvoorbeeld lessen dat je de beheerinterface van een vriezer niet onbeveiligd aan het internet moet aansluiten. En dat je daarvoor als fabrikant geen standaard wachtwoorden moet gebruiken. En dat als de software End of Life is, dat je dan als fabrikant van vriezers meer moet doen dan alleen een mailtje sturen of een notificatie op je website zetten om jouw klanten hierover te informeren.
Ik had graag een column geschreven met de lessen die we hebben geleerd uit het gegeven dat een CA onder meer een private key hanteerde die simpelweg het cijfer ‘vier’ was. [1]
Lessen uit de situatie dat een organisatie zoals die achter PHP nog bezig is met het maken van patches voor kwetsbaarheden, maar een onderzoeker besluit deze kwetsbaarheden, ondanks embargo, alvast online bekend te maken voor de hele wereld. [2]
Tenslotte had ik graag een column geschreven over de lessen die we kunnen leren als een grote supermarktketen gehackt is. Maar je als security expert de feiten daarover niet kent. Dat we dan gewoon beter niet kunnen gaan filosoferen en speculeren in de media. Of erger, onze eigen producten gaan aanprijzen als “wanneer dit was gebruikt, was het nooit gebeurd!”. [3]
Maar ik ga die column niet schrijven. Want deze lessen zijn eigenlijk allemaal niet nieuw.
Lessen die we allang kennen
We weten dat je beheerdersinterfaces (die slecht beveiligd zijn) nooit zomaar aan het internet moet koppelen zonder gedegen naar de risico’s te hebben gekeken. Tevens weten we dat IoT-gebruikers/afnemers dit soort apparatuur niet zien als IT, maar als een vriezer. En dus moeten we meer moeite doen om bij aanschaf van dit type producten de beveiliging voldoende te borgen. Dat is een verantwoordelijkheid van zowel leverancier als klant wat mij betreft.
We weten dat een private key die alleen maar uit één cijfer bestaat niet voldoende veilig is tegen misbruik.
We weten dat als er een embargo op kwetsbaarheden zit, dit is omdat het grootschalig bekendmaken kan leiden tot massaal misbruik. En dat dit risico afgewogen is ten opzichte van het risico dat er misbruik van gemaakt kan worden terwijl niet alle kwetsbare potentiële slachtoffers dat weten en maatregelen kunnen nemen. Dat is niet jouw afweging als onderzoeker om te maken.
We weten dat speculatie tijdens een crisis niet nuttig is. Waren het de Russen? Was het een scriptkiddie? Dat kan je als externe expert zelden zinnig beredeneren, want hoe complex een aanval is of lijkt, hoeft daar niet per se mee in verband te staan. Zo leert het verleden ons. En de organisatie die in de crisis zit, heeft last van die speculatie, want mag daarover vervolgens vragen gaan beantwoorden.
Genoeg munitie voor 2027
Ik kan wel concluderen dat deze Cyber Security Awareness maand in elk geval geslaagd is als het gaat om het belang van beveiliging onder de aandacht te brengen van zo ongeveer iedereen. We hebben als professionals weer meer dan genoeg casussen om onze bestuurders mee te confronteren als het gaat om de budgetten voor 2027, is mijn verwachting en hoop.
Nu nog de lessen leren die we allemaal al kennen. Anders vrees ik dat we gedoemd zijn dit soort ellende eindeloos te gaan blijven herhalen.
[1] https://community.f5.com/t/the-private-key-was-4-how-emudhra-lost-the-internet-s-trust-and-how-to-handle-it/77625
[2] https://tweakers.net/nieuws/253610/ontdekker-php-kwetsbaarheden-lekte-per-ongeluk-zelf-vroegtijdig-details-uit.html?referrer=https%3A%2F%2Fwww.google.com%2F
[3] https://www.linkedin.com/feed/update/urn:li:activity:7516501010618429440?updateEntityUrn=urn%3Ali%3Afs_updateV2%3A%28urn%3Ali%3Aactivity%3A7516501010618429440%2CFEED_DETAIL%2CEMPTY%2CDEFAULT%2Cfalse%29
Over Fleur
Fleur is een ervaren professional met meer dan 10 jaar ervaring in informatiebeveiliging. Ze is CISO bij de overheid en produceert een podcast voor CISOs, genaamd ‘CISO praat’. Haar passie ligt bij het vinden van oplossingen en het adviseren over strategische vraagstukken binnen informatiebeveiliging.
Met een focus op de technische en strategische aspecten, duikt Fleur graag de diepte in en onderzoekt oplossingen, zoals het veilig gebruik van openbare wifi-netwerken en effectieve bescherming tegen phishing. Ze is vooral geïnteresseerd in de balans tussen gebruiksgemak en beveiliging én de uitdagingen van specialistische kennis in een digitaliserende wereld.
In haar columns behandelt Fleur fundamentele uitdagingen voor informatiebeveiligers, zoals de effectiviteit van beveiligingsmaatregelen en het groeiende aanbod van beveiligingsdiensten. Ze hoopt haar lezers te inspireren tot nieuwe inzichten en innovatieve ideeën.
