‘We hoeven niet paranoïde te zijn’

Organisaties en gebruikers lijken weinig opgewassen tegen gesofisticeerde cyberaanvallen. Met gezond verstand, een goede strategie en software kan er veel onheil worden vermeden, zegt de Israëlische beveiligingsexpert Amnon Bar-Lev van Check Point Software.

Het blijft onthullingen regenen over de omvang en de agressiviteit van het Amerikaanse cyberspionage-programma. Voor bedrijven en organisaties lijkt het onmogelijk zich ertegen te beschermen. Ook omdat de Amerikaanse overheid de medewerking heeft afgedwongen van grote technologiespelers die aan andere bedrijven leveren. “Die gesofisticeerde hackers kunnen niet overal zomaar binnen”, weerlegt Amnon Bar-Lev (50) van het Check Point Software. Die specialist in cybersecurity is een pionier in firewalloplossingen. Het is wereldwijd de tweede grootste fabrikant van apparatuur voor netwerkbeveiliging met een jaaromzet van bijna 1 miljard euro. “Check Point werkt met niemand samen en bouwt al zeker geen achterpoortjes in zijn systemen in. We werken volledig onafhankelijk. Dat kan ook niet anders. Als wij geen veilig product kunnen garanderen, mogen we de boeken sluiten. Mensen snappen goed dat de big brothers over hun schouders willen meekijken. Daarom is een goede IT-beveiliging nodig. Maar ze hoeven niet paranoïde te zijn.”

Is die paranoia niet een beetje gerechtvaardigd? Alleen al de economische schade loopt volgens experts in de miljarden euro’s per jaar.

AMNON BAR-LEV. “Zoals in veel andere sectoren wordt veel met cijfers gegoocheld. Dergelijke schattingen moeten we met een korreltje zout nemen. De fundamentele vraag is of je computers en netwerk veilig zijn. IT speelt een steeds belangrijkere rol in ons leven. Niet alleen voor gewone kantoortaken, maar ook voor het beheer van elektriciteit, water en andere basisvoorzieningen is de mensheid afhankelijk van computers. Bovendien staan al die toestellen meer en meer met elkaar in verbinding. Dat levert grote voordelen op, maar het leidt tegelijk tot een grotere kwetsbaarheid.

“Voor mensen met kwade bedoelingen schept dat meer mogelijkheden. Meer dan 20 jaar geleden, toen Check Point werd opgericht, waren het hackers, eenzame programmeurs die enkel hun kunsten wilden tonen. Daarna kwamen er cyberaanvallen door criminele organisaties met financiële motieven. Nu is er ook een politieke dimensie. Anonymous, andere hackerscollectieven en zelfs natiestaten wagen er zich nu aan. De meeste moderne legers hebben cybersoldaten, niet om zich te verdedigen, maar om aan te vallen.”

Uit welke hoek komt het grootste gevaar?

BAR-LEV. “Ik kan niet volledig in detail treden. Eigenlijk zijn alle strekkingen potentieel gevaarlijk. Een grote organisatie kan natuurlijk erg veel investeren in het opsporen van zwakke plekken. Maar zelfs één of twee getalenteerde hackers hebben niet meer nodig dan een computer en een breedbandverbinding. Ik durf niet te zeggen wie van hen nu het gevaarlijkst is.”

Dat is geen geruststellend antwoord.

BAR-LEV. “In cyberveiligheid is er nooit absolute zekerheid. Wat ik wel weet, is dat mensen uiteindelijk hun leven moeten kunnen leiden. Eigenlijk is het perfect te vergelijken met het dagelijkse leven. Er zijn buurten of straten waarvan je weet dat je er beter niet komt, en zeker ook niet op bepaalde tijdstippen. Op het internet is het net hetzelfde. Particuliere gebruikers moeten daarom een aantal basisregels in acht nemen: complexe wachtwoorden gebruiken en die niet recycleren voor andere diensten, onveilige sites vermijden en geen verdachte bijlagen bij e-mails openen. Daarnaast is een virusscanner of andere beveiligingssoftware een absolute must. Consumenten kunnen zich tegen een redelijke prijs beveiligen. Vroeger was dat enkel weggelegd voor bedrijven.”

Bedrijven moeten intussen wel meer maatregelen nemen.

BAR-LEV. “Zij hebben potentieel meer te verliezen en daarom is er een veel intensievere aanpak nodig. Het komt erop aan het netwerk te segmenteren, bijvoorbeeld op basis van de afdelingen: de boekhouding, hr, enzovoort. Daarbij komen er controlepunten bij de afdelingen, waarop dan telkens de juiste beveiligingssoftware draait. Een derde element is het beheer van machtigingen: mag Jan van de boekhouding dat bestand inkijken? Zo’n register is voor elke organisatie verschillend en het is cruciaal dat het niet verouderd raakt. Zo ontstaat er een gelaagde beveiliging.

“Bedrijven investeren ook meestal enkel in detectie en veel te weinig in preventie. Cybersecurity is een informatiespel waarbij men eigenlijk vooraf moet weten of bepaalde inkomende trafiek kwaadaardig is. Vroeger had de beveiligingsstrategie vaak iets weg van de Chinese muur. Een moeilijk obstakel, maar zodra hackers het overwonnen, kregen ze vrij spel. Dat is echt niet meer van deze tijd. Nu moet er met verschillende lagen worden gewerkt, te vergelijken met hoe het er in een hotel aan toe gaat. Er is een portier, een receptionist, een kaart voor de lift en de kamerdeur. Dan is er nog een safe.”

Door USB-sticks, mobiele toestellen en clouddiensten hebben bedrijven wel veel minder controle over waar al hun data zich bevinden.

BAR-LEV. “Het gaat inderdaad niet alleen over het beveiligen van het netwerk, maar ook over de data. Wanneer een toestel ‘in rust’ is, moet dat veilig zijn. Als ik mijn laptop verlies, dan is dat jammer, maar enkel door het verlies van het toestel. De harde schijf is beveiligd. Dergelijke maatregelen zou iedereen in acht moeten nemen, zeker als het over bedrijfsgevoelige materie gaat.”

Bij clouddiensten is dat wel moeilijk.

BAR-LEV. “Het vergt extra software, maar ook daar is een adequate beveiliging mogelijk. Clouddiensten hebben erg veel voordelen, maar uiteindelijk staan je data en processen wel in een datacenter van een derde partij. Het is daarom nodig altijd de risico’s in te schatten en voor een betrouwbare partner te kiezen. Check Point gebruikt ook de cloud, maar niet voor alles. Er zijn zaken die ik daar liever buiten houd.”

STIJN FOCKEDEY

“Bedrijven investeren veel te weinig in preventie”