Informatiebeveiliging moet ook lessen trekken uit incidenten

IoT-apparatuur

Na een groot veiligheidsincident volgt steevast een publiek rapport en worden er lessen getrokken die vaak uitmonden in duidelijke regels. Dit doen we nog niet na een groot incident in de informatiebeveiliging. Het lijkt erop alsof de wereld wacht op de digitale ondergang van een Titanic voor er echt iets verandert.

Als een bedrijf bij een presentatie wil laten zien dat zij een goede partner is voor informatiebeveiliging, dan begint het verhaal doorgaans met statistieken: hoeveel records er elke minuut worden gelekt, wat een gemiddeld incident kost, hoeveel incidenten er zijn, wat de maatschappelijke schade is, hoeveel meldingen er van datalekken zijn gedaan en ga zo maar door. Cijfertjes, cijfertjes en nog meer cijfertjes met als onderliggende boodschap: het is allemaal heel erg gesteld met beveiliging. Deze zorgelijkheid is als sneeuw voor de zon verdwenen, wanneer een hack in het nieuws komt. Dan nemen we het incident voor kennisgeving aan.

 

Aan de grond

Dat verschijnsel is niet nieuw en valt te vergelijken met veiligheidsincidenten. In 1120 liep het Engelse White Ship aan de grond: 300 mensen verloren hun leven. Kamikazes – oorspronkelijke betekenis: ‘goddelijke wind’ – redden Japan tot twee keer aan toe van een Mongoolse invasie. In deze hevige stormen vergingen in 1274 en 1281 diverse Mongolische schepen met meer dan 100.000 doden als gevolg, in 1694 kwamen 498 mensen om het leven toen HMS Sussex in een storm verging, in 1647 liep het Nederlandse schip de Prinses Amelia aan de grond met 86 doden als gevolg en in 1703 kwamen meer dan 1.500 mensen om het leven toen dertien Engelse schepen in het kanaal vergingen. Mensen zagen het probleem wel, waren erdoor getroffen, maar fundamenteel veranderde er niets.

In de ICT meten we niet in omgekomen mensen, maar in records die gelekt zijn. Inmiddels komen met enige regelmaat aantallen van miljoenen inloggegevens of honderden miljoenen creditcardnummers langs, met Yahoo! als voorlopig dieptepunt met 500 miljoen records. Soms kost een datalek daadwerkelijk mensenlevens, maar ook dat blijft een nieuwsfeit. Er is zelfs een lijst met de top-10 van OWASP met meest prominente oorzaken voor hacks. De oorzaken van de hacks wisselen eens in de drie jaar van positie, maar worden niet aangepakt, uitgebannen of fors verminderd. Dat is op zijn minst merkwaardig, aangezien een aantal zaken uit deze lijst zeer simpel te voorkomen zijn.

Om veilig over de digitale oceanen te kunnen varen met anderen, is studie nodig.

Lees het hele verhaal online of in ICT/Magazine van oktober.

Gerelateerde berichten...

X