Cybersecurity subsidie van de overheid: wat zou je doen met een miljoen?

Oktober is cybersecurity maand en dit wordt traditiegetrouw aangegrepen om het bewustzijn rondom de gevaren te vergroten.

Tegelijkertijd heeft de overheid één miljoen uitgetrokken voor ondernemers die cybersecurity-projecten verder willen ontwikkelen. Drie security-experts van ilionx geven antwoord op de vraag: Wat zou je doen met één miljoen.

Het doel van de overheidsbijdrage is het stimuleren van projecten binnen de volgende thema’s:

• Automatisering van bestaande cyberbeveiligingsoplossingen.
• Behoud en scholing van personeel.
• Veilig en privacy vriendelijk delen van data.
• Nieuwe kleinschalige cybersecurity-oplossingen ontwikkelen of opschalen.

Cybersecurity-experts van ilionx geven hun eigen invulling aan dit budget en komen tegelijkertijd met nog een aantal tips voor de overheid zelf. Sonja de Vries, Security Awareness Consultant, benoemt bijvoorbeeld dat er vier pilaren zijn in een adequate cybersecurity: Techniek, Proces en beleid, Cultuur en de Mens. “Wil je in control komen, dan zul je kritisch naar deze vier pilaren moeten kijken binnen je organisatie. Je kunt het technisch wel op orde hebben, maar als het beleid rammelt en je medewerkers zijn niet getraind, dan staat de deur voor de cybercrimineel nog steeds wagenwijd open. ”

Opsporen, uitleveren en vervolgen van cybercriminelen

Je hebt geen grip op wat kwaadwillenden doen, vervolgt Sonja. Cybercriminaliteit is op dit moment low risk en high reward en het is voor veel organisaties ondoenlijk om tegen alle dreigingen hoge weerbaarheid te hanteren. Naast defense moet er ook geïnvesteerd worden in offense. Meer op internationaal niveau samenwerken en hackers, helers van (digitale) gegevens en andere cybercriminelen opsporen en vervolgen. Er moet een einde komen aan dat nog altijd lucratieve businessmodel. Daarnaast zou ik graag zien dat er een langdurig lesprogramma voor de jeugd ontwikkeld wordt om te leren hoe mobiele apparaten, het internet, digital connectivity en het verdienmodel erachter werkt. Door hen mee te nemen in zowel de kansen als de gevaren van alles wat met cyber te maken heeft, bouwen we aan een generatie die digitaal weerbaar is.”

Hou de regie

Marc Brevé, Governance – Risk – Compliance Specialist, gaat verder op de vier pilaren die Sonja noemde. “Hoe zorg je er nu voor dat al die slimme technische en procedurele maatregelen zo goed (samen)werken dat er geen gaten ontstaan? Als informatiebeveiligingsspecialist hebben wij geleerd dat de beste beveiliging komt van de gelaagde beveiligingsmethode. Als een laag dan niet goed werkt ben je altijd nog beschermd met een andere laag. Met één miljoen in mijn zak, zou ik een deel van mijn budget besteden aan een goed werkend en effectief ISMS (Information Security Management System).  Hiermee kunnen organisaties de schier oneindige set beveiligingsmaatregelen beheren. In combinatie met een goede PDCA-cyclus (Plan I Do I Check I Act) op elke beveiligingsmaatregel blijf je de regie houden.”

Marc geeft wel aan dat je de tijd moet nemen om die maatregelen en de controles daarop goed in het systeem vast te leggen. “Deze investering verdien je uiteindelijk terug.  Een goed werkend ISMS neemt de werklast van de Security Officer over. Een ISMS is als een dirigent van een groot orkest van beveiligingsmaatregelen. Als dat goed samenwerkt, klinkt het goed.”

Digitaal weerbaarder

Jasper Brouwer, Lead Security Consultant, raadt de overheid aan om projecten te ondersteunen die organisaties digitaal weerbaarder maken. Denk daarbij aan het toetsen en verbeteren van bestaande securitymaatregelen, bijvoorbeeld met technische risico analyses (penetratietesten). “Daarnaast is het essentieel dat de kennis, het gedrag en het handelen van de medewerkers worden getoetst (security awareness). Vanuit dit assessment kun je met een gericht programma medewerkers en organisaties naar het gewenste niveau krijgen. Besef hierbij dat security geen project is; maak informatiebeveiliging onderdeel van projecten en veranderingen. En naast de menselijk kant, moet er blijvend geïnvesteerd worden in de technische weerbaarheid.”

Jasper draait er niet omheen. Er gaat een moment komen dat beveiligingsmaatregelen hebben gefaald en een kwaadwillende toegang krijgt tot de ‘kroonjuwelen’. “Daarom moet je je als organisatie voorbereiden op een digitaal incident. Stel organisatorische weerbaarheid op de proef en leer van de zwakke plekken. Bijvoorbeeld met de inzet van red teaming met ethische hackers en een cyber crisis preparedness training. Zet vervolgens in op het herstellend vermogen met incident response planning, back-ups en disaster recovery”, besluit Jasper.

Met een miljoen kun je de grote gaten niet helemaal dichten, maar het zet organisaties wel aan het denken. En ook dat is al de winst van de cybersecurity awareness maand.