De huidige staat van it-beveiliging bij de meeste organisaties baart me zorgen. We vormen immers met elkaar het totale netwerk. Al die ellende kan niemand in zijn eentje oplossen.

Het WK Voetbal 2018 is voorbij. Oranje was er niet bij. Ik moest het hebben van de Belgische leeuwen. Maar helaas heb ik het wij-gevoel gemist. Even één voor allen, en allen voor één. Dat is ook hard nodig na het lezen van het zojuist verschenen State of Security Report. Wereldwijd uitgevoerd onder meer dan tweehonderd bedrijven in elf landen. Bijna tienduizend Cyber Defense Center (CDC)-incidenten geanalyseerd, evenals een kleine driehonderd unieke malwarerisico’s en 111 securityproducten. In achttien landen is de wet- en regelgeving omtrent meldplicht van incidenten en over de grens opslaan van gegevens onder de loep genomen. De redenen daarvoor zijn even helder als alarmerend.

De recente historie maakt duidelijk dat iedereen getroffen kan worden door cyberaanvallen. Van overheden en financiële instellingen tot en met ziekenhuizen en social media. Kortom, niemand is meer veilig. Oud-FBI-directeur Robert Mueller zei het ooit heel treffend: 'There are only two types of companies: those that have been hacked and those that will be.' Werd deze uitspraak toentertijd met de nodige scepsis ontvangen, inmiddels weten we allemaal beter. Onze grote banken, maar ook de Belastingdienst, worden regelmatig met DDoS-aanvallen onder vuur genomen. Ziekenhuizen, waar toch al kwetsbare mensen liggen, zijn zeer vatbaar voor cyberaanvallen. Steeds vaker richten de aanvallen zich dan ook op zorginstellingen: 41 procent van het totaal aantal data breaches in 2017 - in 2016 was dat nog 30 procent.

Tekort aan threat response

De huidige staat van it-beveiliging bij de meeste organisaties baart me zorgen. We vormen immers met elkaar het totale netwerk. Al die ellende kan niemand in zijn eentje oplossen. We zullen meer kennis en informatie met elkaar moeten delen, plus slimmer met de technologische mogelijkheden omgaan dan onze tegenstanders.

Ik zie het zo: we hebben een WK te winnen met zijn allen. Dan moet alles kloppen, van het beleid en de trainingsmiddelen tot en met de infrastructuur ter plaatse. En zorgen dat we het hele land achter ons te krijgen. De AVG moedigt ons allen aan. Er is echter meer nodig om cybercriminelen en apt-groepen (advanced persistent threat) te verslaan. Afgelopen jaar zijn meer dan twee keer zoveel data records gestolen als het jaar ervoor. 

De WannaCry-ransomware bezorgde cio’s wereldwijd slapeloze nachten. Als iets blijkt uit het onderzoek, dan is het dat er een schrijnend tekort is aan doeltreffende threat response. Het verdedigingsmechanisme van veel organisaties groeit onvoldoende mee met de toenemende verfijning van de bedreigingen. Hoogste tijd voor volwassen beleid. Maar, zoals gezegd, ook voor hechte samenwerking.