Drie manieren waarop de cyberbeveiliging sector kan verbeteren

Tekst: Rob Idink, Managing Director van HP Nederland

Onlangs organiseerde HP een CISO-panel van leidinggevenden uit de sector, waarin werd besproken hoe het best kan worden omgegaan met het veranderende bedreigingslandschap. Bij HP zijn we van mening dat de cybersecurityindustrie moet voortbouwen op de positieve ontwikkelingen. Onder andere door cyberstrategie te begrijpen in de context van goed management, en door de groeiende diversiteit en het gebrek aan vaardigheden binnen de talentenpool aan te pakken.

1. Aanvallers worden aangemoedigd door de toenemende complexiteit van supply chain

De wereld is in slechts twee jaar tijd enorm veranderd. Voor CISO's betekent dit snel aanpassen aan een nieuwe realiteit van bedrijfscomplexiteit, nieuwe manieren van werken en digitale investeringen. De aanvalsmogelijkheden breiden zich exponentieel uit naarmate IT zich ontwikkelt om werk op afstand, nieuwe klantervaringen en veranderende bedrijfsprocessen te ondersteunen. Wat voor invloed heeft dit? Aan de ene kant heeft het bijgedragen aan een recordaantal inbreuken in 2021, terwijl het aantal gepubliceerde kwetsbaarheden naar een recordhoogte is gestegen.

Maar er gaat een interessanter verhaal schuil achter de krantenkoppen. Jarenlang hebben we het gehad over een traditionele verhouding van aanvaller en slachtoffer. In deze één-op-één relatie richt de aanvaller zich op een slachtoffer en slaagt, of niet. Maar nu zien we meer van wat we ‘één-op-veel’-aanvallen kunnen noemen. Aanvallen op de supply chain zijn natuurlijk niet iets nieuws, maar we zien een toename in de ambitie van de tegenstanders. 

Ze kunnen een gemeenschappelijk knooppunt vinden dat honderden of zelfs duizenden potentiële slachtoffers met elkaar verbindt, en schade toebrengen aan dat knooppunt. Voor bijna dezelfde inspanning behalen ze vervolgens een aanzienlijk hogere ROI. Dat is belangrijk, want zelfs nu er sprake is van een ‘vermindering van globalisering’, worden supply chains complexer. Organisaties proberen de risico's voor leveranciers, de stijgende kosten en de spanningen in de wereld na corona te beheersen. Ondertussen groeit het complexe web van onderlinge afhankelijkheden. 

Dit is des te duidelijker in de luchtvaartindustrie. United Airlines VP & CISO, Deneen DeFiore legde tijdens onze CISO round table uit hoe de mindset in cyber verschuift van gegevensbescherming naar veerkracht. Inzicht in de afhankelijkheid van leveranciers is essentieel om risico's effectief te beheren.

2. Samenwerking is de sleutel tot het beheersen van complexiteit

De toenemende complexiteit maakt samenwerking binnen de industrie nog belangrijker. Kurt John, Chief Cybersecurity Officer bij Siemens USA, merkt op dat het mogelijk is dat het slachtoffer van een ‘een-op-veel’ aanval slechts één klein stukje van de puzzel kan zien. Alleen door samenwerking met de juiste organisaties uit de publieke- en particuliere sector kunnen we begrijpen hoe aanvallers te werk gaan. We kunnen het er allemaal over eens zijn dat Indicators of Compromise (IOC's) zo goed als verouderd zijn zodra deze worden gepubliceerd. Dus welke relevante informatie kan er gedeeld worden tussen organisaties?

Tegenwoordig gaat het gesprek soms te veel over de vraag of een organisatie al slachtoffer is geweest van cybercrime. Als inbreuken bijna onvermijdelijk zijn, moeten we ons misschien meer richten op het delen van de bevindingen van inbreuken en resultaten waar anderen echt iets aan hebben. Organisaties moeten anders gaan denken over welke informatie wordt gedeeld. 

De manier waarop CISA (Cybersecurity & Infrastructure Security Agency) het delen van informatie heeft gecoördineerd in de beginfase van de Log4Shell-saga is een handig model. Er werd goed werk verricht door informatie uit verschillende bronnen uit de sector samen te brengen. Laten we daarvan leren. Want Ian Pratt, Global Head of Security voor Personal Systems bij HP Inc, legt uit: cyber criminele organisaties worden nu gerund als bedrijven. Dit betekent dat ze meesters zijn geworden in het delen van kennis, informatie en hulpmiddelen om hun doel te behalen.

3. Cyberbeveiliging heeft een mensenprobleem - we moeten stoppen met het jargon 

De cybersecurity industrie heeft wereldwijd een tekort aan meer dan twee miljoen professionals. Tijdens deze crisis moeten we onze talentenpool vergroten en de drempels tot onze sector wegnemen. De cybersecurity sector zit vol jargon en voorkennis. Dit kan in de weg zitten wanneer we nieuw talent proberen te werven.

Om de cybersecurity-industrie uit te breiden kan ook buiten de sector worden gekeken naar talenten. We zouden niet-traditioneel opgeleide mensen kunnen aantrekken, aangezien niet voor elke functie een universitair diploma nodig is. We kunnen ons richten op werknemers die zich halverwege of laat in hun carrière bevinden en over vaardigheden beschikken op gebieden als risicobeheer of communicatie. 

Daarnaast is er een kans om ook qua diversiteit stappen te maken in security. Een meer divers personeelsbestand door het aantrekken van meer divers talent. Werkgevers moeten beter hun best doen om deze mogelijkheden benutten. Zoals Kurt John aangeeft is diversiteit de belangrijkste manier om creativiteit te stimuleren waarmee we kunnen reageren op de bedreigingen waar we allemaal mee te maken hebben.

Het goede nieuws is dat in boardrooms het belang van diversiteit en cybersecurity steeds vaker in wordt gezien. Ook beginnen CISO's eindelijk te praten over cybersecurity in relatie tot bedrijfsrisico's. Dat biedt zeker reden tot optimisme. Als aanvallers gebruik maken van gedeelde kennis en van macrotrends zoals automatisering en commoditization om wendbaarheid en succes te stimuleren, moeten wij dit ook doen.

Wat steeds duidelijker wordt, is dat leiders in cybersecurity veel meer kans hebben om de juiste beslissingen voor de organisatie te nemen. Dit door cybersecurity te zien in de context van effectief bedrijfsbestuur en door zich te richten op de manier waarop onze cyberstrategie goed bestuur benadrukt en bevordert. Op deze manier kan goed bestuur een cruciale bijdrage leveren aan het verkrijgen van een voordeelpositie van cybersecurity teams.