FBI topman wil tweede internet voor kritieke systemen

Het zal nooit lukken om de netwerken van energiebedrijven en banken adequaat te beveiligen, een manier om de systemen te beschermen is het opzetten van een gescheiden en beveiligd internet.

“De uitdaging met het internet is dat je niet weet wie de aanval uitvoert”, aldus de FBI-topman. Een belangrijke maatregel is volgens hem het ontwikkelen van netwerken waar geen anonimiteit bestaat en waar alleen betrouwbare werknemers toegang toe hebben. (bron)

Nu ken ik niet de exacte achtergrond van de stelling die door de FBI-topman geroepen wordt, maar het klinkt toch een beetje vergezocht. Als we er voor zorgen dat alleen betrouwbare werknemers toegang hebben tot het tweede internet, dan kan ons niets gebeuren. Ja ja, maar wie kun je dan vertrouwen en is het niet zo dat iedereen zijn prijs heeft? Wil men dit tweede internet aanvallen dan infiltreert men in de organisaties die daar toegang toe hebben en we kunnen weer van vooraf aan beginnen. Waarschijnlijk wordt dit tweede internet ook wel weer ergens gekoppeld aan het huidige internet en anders dan breken we toch gewoon op een andere manier in bij die organisaties die over kritieke systemen beschikken?

Omdat we de bankovervallen niet kunnen voorkomen besluiten we om alle banken maar te sluiten en in een tweede afgescheiden dimensie onder te brengen. The Matrix…here we come. Maar is dit al niet geprobeerd met “Second Life” en wie hoort daar nog wat van? En als ik als klant van die bank nu wil internet bankieren…mag ik dat dan via het huidige internet of moet men mij eerst betrouwbaar genoeg vinden om toegang te krijgen tot het tweede internet?

Nee, ik hoop toch dat deze FBI-topman er andere gedachten bij heeft. De kritieke systemen kunnen we immers niet los zien van andere systemen, organisaties en processen. Bedenk alleen maar welke organisatie toegang mag hebben tot dit tweede internet. Waarom zij wel en wij niet?

Ik kan me er maar weinig bij voorstellen en ben benieuwd naar de vorderingen op dit gebied. Maar laten we eerlijk zijn, moeten we als organisaties er niet gewoon voor zorgen dat we zelf de boel beter op orde hebben? Natuurlijk zijn er zware technische aanvallen die moeilijk zijn tegen te houden. Maar kijken we naar de recente incidenten en de oorzaken daarvan dan moeten we misschien wel concluderen dat die niet veroorzaakt zijn door ingewikkelde aanvallen maar juist door simpele feiten en doordat veel organisaties de basis gewoon niet op orde hebben.

Voordat we dus gaan investeren in een tweede, veiliger, internet (dat uiteindelijk ook weer aangevallen zal worden), kunnen we er beter voor zorgen dat we de basis geregeld hebben. We kunnen er dus beter voor kiezen om onze voordeur gewoon op slot te doen voordat we besluiten onze waardevolle spullen in een ander gebouw onder te brengen (waar we dan ook de voordeur van moeten sluiten).

75% bedrijven doelwit cyberaanvallen

Driekwart van de bedrijven is de afgelopen maanden doelwit van een cyberaanval geweest. 36 procent beschreef de aanval als enigszins tot zeer effectief. Verder meldde 29 procent van de bedrijven dat het aantal aanvallen de afgelopen twaalf maanden is toegenomen en raakt 43 procent vertrouwelijke of zakelijke informatie kwijt. Dergelijke aanvallen kosten bedrijven gemiddeld 1,5 miljoen euro per jaar. Daarnaast meldden bedrijven dat beveiliging steeds lastiger wordt, als gevolg van onderbezetting, nieuwe IT-initiatieven waarvoor extra beveiliging nodig is en het belang van toezicht op IT.

“Als er een onderwerp is dat IT-managers wakker houdt, dan is het security”. 42% van de respondenten beschouwt beveiliging als de belangrijkste prioriteit, gevolgd door traditionele criminaliteit (17%), brand (17%) en natuurrampen (14%). Over terrorisme maken bedrijven zich met tien procent het minst zorgen (bron).

Kun je nagaan: een dergelijke aanval kost bedrijven gemiddeld 1,5 miljoen euro per jaar. Voor veel bedrijven is het security budget niet eens 1,5 miljoen. Zaak dat we ons meer en meer gaan richten op de kosten/baten-analyse voor beveiliging.

Voor de duidelijkheid. Deze 1,5 miljoen betreft alleen de cyberaanvallen. Kun je nagaan wat andere incidenten kosten. Weten we niet allemaal dat de grootste dreiging van intern komt. Medewerkers hebben al toegang tot het gebouw en delen van de informatie en kunnen vele malen meer schade aanrichten dan het genoemde bedrag.