IT security: terug naar de tekentafel

Geplaatst door op 7, May, 2012 in Communicatie, Internet, Technologie | 0 reacties

Het is een simpele conclusie, samengesteld door Wired, maar met genoeg effect: We zijn nu zo ongeveer allemaal wel een keer gehacked. Dit bericht heeft de afgelopen dagen al verschillende blogs en berichten opgeleverd op het internet, maar heeft ook een soort verlichting gebracht. Eindelijk wordt de realiteit onder ogen gezien. Maar hoe kunnen we hier nou richting de toekomst mee omgaan?

Vrijwel dagelijks komen er criminele activiteiten op het internet ter sprake in nieuwsberichten. De ene keer is het malware, de andere keer is het de beveiliging van een klein of groot bedrijf met alle gevolgen van dien. In oktober wist Webwereld er zelfs elke dag een tevoorschijn te toveren, wat overigens niet heel veel moeite kostte. Recent hebben we de inbraak van KPN meegemaakt (Waarbij bleek dat zelfs jonge talenten al dergelijke inbraken uit kunnen voeren) die veel reacties teweeg heeft gebracht.

Maar het woord is eruit. Het is een illusie om te denken dat je omgeving veilig genoeg is om nooit gehacked te zullen worden. Zelfs Apple kwam hier laatst achter. En daarin zijn zij niet de enige. Vrijwel alle grote bedrijven (Google, RSA) en zelfs overheden hebben meldingen gemaakt van inbraken. Inbraken op het internet zijn iets van alledag en daarnaast iets waar beveiligingsexperts moeilijk grip op krijgen. We moeten daarom anders kijken naar onze beveiliging.

We zijn tegenwoordig zeer informatie behoevend. Internet volmaakt een cultuur waarin we informatie willen delen, verwerken en toegankelijk maken voor een groot publiek en zoveel mogelijk systemen. Dat is geen slechte gedachte, maar ook niet altijd de veiligste. We moeten nadenken over de informatie die we willen delen en hoe makkelijk dit eigenlijk moet zijn. Tegenwoordig wordt vrij veel gevoelige informatie aan het internet gehangen, waarbij té vaak té weinig wordt gekeken of dit wel daadwerkelijk noodzakelijk is.

Dan Kaminsky praat over het zo klein mogelijk maken van infrastructuren als operationeel mogelijk is en deze laten communiceren. En dat lijkt een goede aanpak. Een andere goede aanpak komt vanuit de hackerscommunity en Anonymous. In een reactie op de filtering van Pastebin is een website ontwikkeld waarop de server feitelijk geen idee heeft welke informatie er op zijn server staat dankzij encryptie. Ook dat is een benadering die security alleen maar kan verbeteren. Veiligheid begint direct al bij de technische infrastructuur van een bedrijf en daar moet dan ook veel meer aandacht aan besteedt worden. Shawn Henry(Crowdstrike Services) gaf daarbij aan dat we onze instelling moeten veranderen.

“We have to assume that the adversary is on the network and if we assume that they’re on the network, then that should change the way we decide what we put on the network and how we transmit it”

Dat is inderdaad de gedachte waarmee we zullen moeten gaan denken. Niet direct operationeel, maar zeker in de opzet van een infrastructuur om te bepalen welke informatie waar aanwezig moet zijn en vooral waar niet. In het verleden is te vaak vertrouwd op de capaciteit van beveiligingsmethoden en vooral de kundigheid van (jonge) hackers is vaak onderschat. Het is echter een geruststelling dat nu iedereen dat begint in te zien.

Artikelen: