Defrenne: ‘Securing the human’
Vincent Defrenne, director cyber strategy & architecture en co-founder van NVISO
Volgens een recent rapport van Verizon heeft 74 procent van alle beveiligingsinbreuken te maken met de mens. Het zijn echter niet alleen de mensen die de zwakste schakel zijn in cyberbeveiliging, maar ook de technologie die is ontworpen om hen te beschermen.
De meeste cyberaanvallen zijn gericht op mensen, dat is een feit. Een goed voorbeeld zijn phishingmails, die dankzij ChatGPT nu zelfs in het Nederlands perfect worden geredigeerd. Naast de verantwoordelijkheid van de gebruikers moeten we toch ook kijken naar de verantwoordelijkheid van de engineers: generaties van IT’ers hebben systemen ontwikkeld die gehackt kunnen worden. Als technologie het probleem creëerde, kan technologie het probleem dan ook helpen oplossen?
Neem als voorbeeld authenticatie. Mensen hebben gemiddeld meer dan honderd online accounts, maar weinigen hebben meer dan honderd wachtwoorden. Toch is een gestolen wachtwoord van een gebruikersaccount het begin van de meeste cyberaanvallen. We hebben geprobeerd om dit op te lossen met complexe wachtwoorden die regelmatig veranderen. Hoewel dit het raden van wachtwoorden moeilijker maakte, loste het slechts een klein deel van het probleem op. Een wachtwoord dat op een website is gestolen, kan immers ook worden gebruikt om in te loggen op een professionele mailbox.
Generaties van IT’ers hebben systemen ontwikkeld die gehackt kunnen worden.
Authenticatiesystemen gaan er op technologisch vlak op vooruit en je kunt eenvoudige, ITSME-achtige authenticatiemechanismen op steeds meer systemen implementeren, zelfs zonder of met beperkte investeringen. Het inschakelen van ‘passwordless authentication’ op SaaS-oplossingen zoals Microsoft 365 is veiliger, gebruiksvriendelijker en meestal mogelijk zonder meerkost.
Het is slechts één voorbeeld van hoe technologie het probleem kan oplossen, in plaats van extra druk te leggen op de gebruiker. Het oplossen van het ‘gebruikersprobleem’ in cyberbeveiliging is in de eerste plaats de taak van engineers, niet van gebruikers. Het is onze taak als IT- en cybersecurityprofessionals om beveiliging gebruiksvriendelijk te maken en dit zal een uitdaging blijven voor de komende 10 jaar. Het goede nieuws is dat de hele IT-industrie massaal investeert tegen cyberaanvallen. Als bedrijf is het dan onze verantwoordelijkheid om op de hoogte te blijven van nieuwe cybersecurityfunctionaliteiten.
Naast technologie is er ook de opleiding van de gebruikers, maar werkt het? In bedrijven waar NVISO al meer dan 5 jaar phishingtests doet, zien we nog steeds 5 tot 15 procent van het personeel in phishingmails trappen. Phishingmails in deze organisaties worden wel sneller gerapporteerd – en dus geblokkeerd – omdat de gebruikers geleerd hebben dubieuze e-mails te herkennen. Dus ja, cybertraining maakt wel degelijk een verschil. Gebruikers trainen op cyberveiligheid zou deel moeten uitmaken van elk cyberplan.