De cybersecurity-industrie dweilt met de kraan open (en verdient er goud geld mee)
Ik lees de laatste tijd veel in de media over cybersecurity. Althans, we horen er pas over als er weer ergens een enorme piek in datalekken is ontstaan en er miljoenen gegevens op straat liggen. Meteen daarna schuiven de zogeheten ‘cybersecurityspecialisten’ aan om te vertellen hoe het beter moet. Ik heb mijn buik vol van deze zelfbenoemde experts die, als ze geluk hebben, een simpel certificaatje netwerkspecialisatie bezitten en zichzelf direct een autoriteit noemen.
Zelf heb ik meer dan 40 ICT-certificaten op mijn naam staan. Ik bouwde vroeger met de 8086-microchip eigenhandig een personal computer op — inclusief geheugen en keyboard — en heb ruim 25 jaar ervaring in softwareontwikkeling. Maar juist ómdat ik weet hoe complex deze materie is, durf ik mezelf niet zomaar onder de cybersecurityspecialisten te scharen.
Het riedeltje van symptoombestrijding
In de media lees je continu artikelen waarin experts schrijven over allerlei ‘gaten’ in systemen en wat bedrijven moeten doen om deze te dichten. De oplossing? Weer een extra firewall, aangepaste procedures, updates, of nóg meer software. Totdat ze weer nieuwe gaten ontdekken en het hele riedeltje van voren af aan begint. Het begint er steeds meer op te lijken dat cybersecurity een lucratief businessmodel is geworden, in plaats van een serieuze poging om het probleem écht bij de wortel aan te pakken.
Wanneer ik systemen en beveiliging voor ondernemingen bouwde, ging ik altijd uit van één onwrikbaar principe: alles dicht. Ieder protocol, elk IP-adres en alle poorten worden standaard geblokkeerd. Zowel naar binnen als naar buiten.
Eerst alles dicht, dan pas praten
Pas daarna ga je constructief bekijken welk protocol, IP-adres en poortnummer daadwerkelijk nodig zijn voor een specifiek systeem. Door dit grondig in kaart te brengen, weet een bedrijf tenminste exact waar de potentiële kwetsbaarheden liggen. Op basis daarvan kun je risico’s bepalen en een helder plan opstellen voor wat er moet gebeuren bij een eventuele calamiteit.
Een concreet voorbeeld uit mijn eigen praktijk: het DNS (Domain Name System) staat bij mij volledig dicht. Het staat uitsluitend open voor zaken die vooraf zijn onderzocht en die ik absoluut nodig heb. Het resultaat? Ik kan gerust op een malafide link klikken; die gaat simpelweg nergens naartoe. En ja, ook links waarin een direct IP-adres staat, worden resoluut geblokkeerd.
Een bewuste keuze voor veiligheid
Critici zeggen dan weleens tegen mij: “Maar dan kun je haast geen zoekmachine meer gebruiken, want de helft van de links werkt niet.” Dat klopt als een bus. Maar dat is ook exact de bedoeling.
Voor dat soort risicovolle online activiteiten gebruik ik een aparte computer die volledig buiten het interne netwerk staat. Er staan geen privégegevens of accounts op. Het is een kale basismachine met een browser in een virtuele omgeving. Mocht die besmet raken, dan is er geen man overboord; we gooien de virtuele machine weg en starten een schone op.
De IT-wereld moet stoppen met achter de feiten aanlopen. De enige échte oplossing voor cybersecurity is niet het kopen van nóg meer pleisters voor een lek systeem. De oplossing is rigoureus: eerst de boel volledig op slot, en dan pas heel gericht de benodigde protocollen, IP-adressen en poortnummers openzetten. Al het andere is dweilen met de kraan open.