Huis-tuin-en-keukenhackers
Dat 2020 een bizar jaar is geweest, is tegelijkertijd een cliché en een understatement. Een van de vele gevolgen van de pandemie is dat we dit jaar veel hebben thuisgewerkt. Naast de plezierige effecten (minder files) en de nadelige gevolgen (minder sociale contacten) zit er ook een gevaarlijke kant aan het vele thuiswerken. We loggen namelijk op afstand in op ons kantoornetwerk. En daarmee introduceren we ineens heel veel meer nieuwe ingangen voor hackers. Via jouw vpn – sowieso al niet de meest veilige verbinding – of via de cloud kunnen zij zichzelf toegang verschaffen tot het it-netwerk op kantoor, met alle kwalijke gevolgen van dien.
En dat is niet eens het ergste dat er kan gebeuren. Iedereen heeft de mond vol van Smart Industry. Onderdeel van die push naar digitalisering is een vergaande integratie van it en ot, van kantoorautomatisering en de operational technology op de fabrieksvloer. De risico’s en de consequenties zijn op dat niveau van een heel andere orde. Je hebt het dan niet meer over een vervelende financiële strop en een knauw voor je imago, maar over fysieke schade voor je collega’s, mogelijk zelfs met dodelijke afloop.
Dat ot-netwerk staat toch al onder druk. Door corona worden (of werden) veel fabrieken en installaties in 2020 op afstand bestuurd. Tot maart van dit jaar liepen er nog gewoon operators rond die de machines ter plekke bedienden. Plantmanagers hadden toen de luxe om hun site af te sluiten van de buitenwereld. Nu kunnen ze echter niet zonder die voorheen vervloekte ethernetkabel. Remote access maakt de maakindustrie heel kwetsbaar.
Denk vooral niet dat hackers geen interesse hebben in de industrie. Historisch gezien waren ot-omgevingen lange tijd inderdaad minder aantrekkelijk voor kwaadwillenden dan de mainstream it-wereld. De afgelopen tien jaar is al een duidelijke kentering zichtbaar. En volgens een rapport van Applied Risk, een Amsterdamse specialist in industriële beveiliging, is er zeker de afgelopen twaalf maanden vanuit de hackerswereld juist extra veel aandacht voor industriële partijen, van de olie- en gasindustrie, tot maakbedrijven en energiecentrales. Er is een enorme stijging in het aantal cyberaanvallen; hackers maken van de coronachaos gebruik om zich in allerlei netwerken te nestelen.
Overigens kun jijzelf de zwakste schakel zijn. Via phishing of social engineering proberen hackers misbruik te maken van je honger naar coronanieuws. Natuurlijk proberen we allemaal waakzaam te zijn, maar als je in een onbewaakt ogenblik toch net de verkeerde mailbijlage opent, heeft zo’n cybercrimineel de mogelijkheid om de volledige controle over jouw machines over te nemen. De kans is groot dat je dat niet eens gelijk zult merken. Zodra ze binnen zijn, nemen ze vaak rustig de tijd om het netwerk en de infrastructuur te onderzoeken en hun aanval goed te plannen. Er kan wel maanden overheen gaan.
Hoe slim en oplettend je zelf wellicht ook bent, cyberbeveiliging is een teamsport. Jij hebt wellicht keurig alles dichtgetimmerd en gebarricadeerd, maar zijn al je collega’s even scherp als het gaat om internetveiligheid? Sterker nog, vertrouw je erop dat ook toeleveranciers alle ramen en deuren gesloten houden? Voor service en onderhoud hebben die immers ook toegang tot voor jou kritieke netwerken. Of zoals Jalal Bouhdada van Applied Risk het omschrijft: ‘Je hoeft niet het doelwit te zijn om toch slachtoffer te worden.’ Bedenk dat een cybercrimineel slechts één achterdeurtje nodig heeft om alles in het honderd te laten lopen.
Natuurlijk, er zijn volwassen organisaties, zowel groot als klein, die hun huiswerk hebben gedaan. Alle end point devices, ook de laptop op je keukentafel, krijgen vanuit de it-afdeling regels opgelegd: alle patches worden geïmplementeerd, de antivirussoftware is geüpdatet, et cetera. Als er iets niet in de haak is, wordt dat gelijk gedetecteerd en opgepakt. Maar helaas hebben lang niet alle bedrijven hun zaakjes op orde. Daar worden sommige devices niet eens gecheckt. Soms zijn ze zich nog wel bewust van de gevaren, maar geven ze het geen hoge prioriteit. Ze wachten tot het kalf verdronken is.
Of jouw bedrijf nou bij de eerste of de tweede groep hoort, het blijft een inhaalspel, een race tussen de securityspecialisten in jouw organisatie en de hackers in de boze buitenwereld. Dus wees altijd proactief. Breng in kaart welke systemen er in de organisatie zijn, en hou dat overzicht up to date. Overal waar een verbinding met internet is, moet je extra alert zijn. Zorg voor goede communicatie en maak alle thuiswerkers bewust van de gevaren; iedereen heeft ook een eigen verantwoordelijk voor de beveiliging van zijn thuisnetwerk.
