Hoe waarschijnlijk is een ‘cyber Pearl Harbor’?

No comments »
AUTHOR:
CTO Dell EMC Nederland
CATEGORIES:

De Staatssecretaris van defensie van de VS, Leon Panetta, sprak onlangs over het gevaar van cyberaanvallen. Hij memoreerde dat als een land onvoldoende is voorbereid op dit soort aanvallen, dit tot een tweede Pearl Harbor kan leiden: een onverwachte grote aanval op de infrastructuur van de VS met een zware impact op de maatschappij.

Nieuwe bedreigingen
Iedereen begrijpt het voorbeeld dat de Staatsecretaris gebruikte, maar het is best moeilijk een voorstelling van zo’n aanval te maken en de gevolgen te kunnen overzien. Cybersecurity is relatief ongrijpbaar omdat het zich afspeelt in de virtuele wereld om ons heen. De infrastructuur is er wel, maar niet of nauwelijks zichtbaar. We zijn er feitelijk 100 procent afhankelijk van geworden, maar kunnen lastig inschatten wat er gebeurt als die infrastructuur opeens wegvalt. Cyberdefensie is een nieuw begrip en onze ervaringen ermee, goede en slechte, zijn beperkt.

We zien in de wereld verschillende landen die zich al jaren sterk maken op het verdedigen tegen cybercrime. Een deel van die cybercrime is gericht op (platte) financiële diefstal en anderzijds op de spionage van nationale of industriële geheimen. We spreken dan over spionage en misdaad, maar nog niet over oorlogsvoering. Onze securitydivisie RSA is dagelijks betrokken bij het leveren van oplossingen en diensten om overheden en bedrijven hiertegen te beschermen.

Het wordt een ander verhaal als terroristen of zelfs overheden cybertechniek gebruiken voor vijandige aanvallen. Dit kunnen bijvoorbeeld aanvallen zijn op onze drinkwatervoorziening, onze waterhuishouding, de elektriciteits- of gaslevering of zelfs fysieke infrastructuur als bruggen, sluizen en gemalen. Dit zijn aanvallen die de maatschappij ernstig zullen verstoren.

Het belang van beveiliging
Het hierboven geschetste beeld is geen utopie. We hebben helaas de afgelopen jaren veiligheidsgaten in onze huidige informatie-infrastructuur laten ontstaan. De eenvoud waarmee we via internet allerlei zaken konden informatiseren en automatiseren, heeft ons afgeleid van het veiligheidsvraagstuk. Veel van die systemen zijn ook lange tijd geleden ontworpen – lang voordat deze gevaren überhaupt in onze gedachten opkwamen.

Daarnaast is de veiligheid van bedrijfssystemen een belangrijk issue. Onze economie is gedigitaliseerd en het lamleggen van een betalingssysteem of het verstoren van onze logistiek geeft enorme economische schade en maatschappelijke verstoring. Als morgen de distributie van benzine stilvalt, komt de maatschappij in een week schokkend tot stilstand. In hoeverre moet de overheid de veiligheid van deze maatschappelijk belangrijke processen strenger reguleren ten aanzien onze veiligheid?

In een vorige blog over de grenzeloze cloud, beschreef ik dat in Europese landen het recht op geweld bij de overheid ligt. Daardoor ligt de actieve bescherming en het eventueel aanvallen en uitschakelen van de cyberagressor eveneens bij de overheid. De vraag die rijst, is natuurlijk of men als land werkelijk een dusdanige cyberdefensie moet opbouwen die in staat is – ter verdediging – actief terroristische groepen of zelfs landen aan te vallen.

Het grote probleem is dat een goede cyberdefensie veel geld kost en dat dit in een tijd van recessie een lastig punt is. Daarnaast wordt op defensie al veel te veel bezuinigd. Maar helemaal niets doen en de andere kant opkijken – in het kader van het pacifistische ‘gebroken geweertje’ – is ook geen optie. Voor ondernemingen en particulieren is het in hun eigen belang om zelf een goede verdediging op te bouwen en te onderkennen hoe men de eigen continuïteit bij dit soort aanvallen – weliswaar beperkt – zou kunnen realiseren.

Openheid
Niemand verwachtte ooit een Pearl Harbor of een 9-11 en het is maar de vraag of dat ooit nog een keer zal gebeuren. Dat neemt echter niet weg dat we ons moeten realiseren dat het niet onmogelijk is en we wel degelijk aandacht moeten besteden aan dit gegeven.  En wellicht eens stil staan bij kritische servers die nog steeds met 20 jaar oude software code draaien, servers met gevoelige informatie die heel eenvoudig via het internet zijn te benaderen of procedures die verhinderen dat als iets slechts is gebeurd dit niet in de openbaarheid mag komen.

Openheid over onze zwakheden is essentieel om onze zwakke plekken te kennen en te repareren. Op die wijze maak je je als maatschappij stapje voor stapje minder kwetsbaar voor cyberaanvallen, van welke soort ook. Cybersecurity is helaas een vast onderdeel van onze digitale maatschappij geworden, of we het nu leuk vinden of niet.

Share on FacebookTweet about this on TwitterShare on Google+Share on LinkedIn

Leave a Reply

Your email address will not be published. Required fields are marked *