H9: CYBERSECURITY
INLEIDING
HET BELANG VAN CYBERSECURITY
1. Inleiding: toenemend belang van informatieveiligheid
De beveiliging van informatiesystemen is vandaag de dag belangrijker dan ooit. In
eerdere hoofdstukken werd uitgebreid besproken hoe waardevol informatie en
informatiesystemen zijn voor organisaties. Wanneer onbevoegde personen toegang
krijgen tot deze systemen, kan dit leiden tot grote schade voor bedrijven. Het is
dan ook essentieel dat organisaties hun verantwoordelijkheid nemen in het veilig
beheren van informatie.
2. Dreigingen via netwerken
De meeste informatiesystemen zijn verbonden met het internet of een intranet.
Deze verbindingen maken systemen kwetsbaar voor aanvallen. Personen met
kwaadwillige bedoelingen en technische kennis kunnen op verschillende manieren deze
systemen aanvallen:
Eenvoudige aanvallen: Sommige aanvallen zijn zeer basaal en kunnen eenvoudig
worden voorkomen met basismaatregelen.
Geavanceerde aanvallen: Andere aanvallen zijn complex en vereisen
gespecialiseerde kennis om ze te detecteren en te voorkomen.
3. Praktijkvoorbeeld: IP-beveiligingscamera’s
Een treffend voorbeeld van gebrekkige beveiliging is het gebruik van IP-beveiligingscamera’s. Wereldwijd
worden deze camera’s ingezet om huizen, bedrijven en andere eigendommen te bewaken. Echter, veel van
deze camera’s zijn slecht of helemaal niet beveiligd, wat ertoe leidt dat eigenaars onbewust bespioneerd
kunnen worden.
De website Insecam.com toont duizenden van deze onbeveiligde camera’s. De camera’s zijn geordend per land,
en vaak is zelfs de exacte locatie zichtbaar. De website stelt dat de camera’s niet gehackt zijn, maar simpelweg
gevonden werden via Google.
Oplossing voor eigenaars:
Wie zijn eigen camera op de website herkent, kan deze eenvoudig verwijderen door de
inloggegevens aan te passen. Hierdoor wordt de camera ontoegankelijk voor
derden.
4. Cybersecurity op nationaal niveau
Ook overheden (compliance) beseffen steeds meer hoe cruciaal cybersecurity is.
Veel kritieke infrastructuren — zoals elektriciteitsnetten, waterbevoorrading of
communicatiesystemen — zijn verbonden met netwerken en vormen daarom een
aantrekkelijk doelwit voor cyberaanvallen.
Soms worden dergelijke aanvallen zelfs ingezet door staten zelf, als onderdeel van
geopolitieke conflicten of cyberoorlogsvoering. Als gevolg hiervan ontstaan er steeds
meer wetgevingen rond cybersecurity (zie hoofdstuk 9.7).
5. Wettelijke verplichtingen en sectorspecifieke eisen
Bedrijven moeten kunnen aantonen dat ze voldoen aan de relevante wet- en
regelgeving. Deze regels verschillen per sector en soort data. Voorbeelden:
Ziekenhuizen: moeten patiëntgegevens beschermen volgens medische regelgeving.
Banken: vallen onder strikte financiële wetgeving.
, H9: CYBERSECURITY
Voedingsindustrie: moet aan specifieke normen rond voedselveiligheid en
traceerbaarheid voldoen.
6. Cybersecurity als handelsvoorwaarde
In de internationale handel wordt cybersecurity steeds vaker een vereiste. Wanneer
een bedrijf onderdeel wil uitmaken van de toeleveringsketen van een groter concern, zal
het moeten aantonen dat het aan bepaalde beveiligingsnormen voldoet. Pas dan krijgt
de toestemming om zijn systemen te koppelen aan die van het concern.
Conclusie:
Cybersecurity is niet enkel een technische noodzaak, maar ook een economische
randvoorwaarde geworden. In sommige gevallen vormt het zelfs een ‘barrier to
trade’ — een obstakel dat eerst overwonnen moet worden om handel mogelijk te maken.
DE CIA-TRIAD
Cyberbeveiliging is eigenlijk een manier waarop organisaties omgaan met informatie of
data die beschikbaar is in hun informatiesystemen, en hoe afhankelijk
informatiesystemen zijn van die data.
Vanuit het standpunt van een organisatie zijn
er drie belangrijke zaken die gegarandeerd moeten
worden rond data:
Confidentialiteit
Integriteit
Beschikbaarheid.
CONFIDENTIALITEIT
Organisaties beschikken over data die vertrouwelijk is. Men houdt
klantgegevens bij, gegevens van betaalkaarten, surfgedrag van klanten... Al die
gegevens dienen vertrouwelijk behandeld te worden. Men moet er dus voor
zorgen dat die gegevens niet in verkeerde handen vallen.
Sommige organisaties beschikken over enorme hoeveelheden vertrouwelijke
informatie. Denk bijvoorbeeld aan een ziekenhuis dat beschikt over veel
medische dossiers van patiënten.
INTEGRITEIT
Wanneer organisaties gebruikmaken van data of informatie, dan dient men zeker te
zijn dat die data correct is.
Wanneer bepaalde processen sterk afhankelijk zijn van een dataset, dan dient men zeker
te zijn dat niemand in de mogelijkheid is gekomen om de data binnen die
dataset te beïnvloeden.
BESCHIKBAARHEID
Heel veel data en informatie in informatiesystemen heeft tot doel
om bepaalde bedrijfsprocessen te ondersteunen. Wanneer
deze informatie niet beschikbaar is, kan dat in veel gevallen tot
gevolg hebben dat bepaalde onderdelen van de bedrijfsvoering
haperen.
, H9: CYBERSECURITY
GOED BELEID
Om een goed cybersecuritybeleid uit te werken als organisatie dient men de
verschillende data op te lijsten, alsook wat de kwetsbaarheden voor de organisatie
zijn rond die data. Elk van die kwetsbaarheden dient anders behandeld te worden.
Om data vertrouwelijk te maken, kan men bijvoorbeeld data versleutelen, terwijl de
beschikbaarheid van data eerder gegarandeerd wordt door meerdere instanties van
DE ECONOMIE ACHTER CYBERSECURITY
dezelfde data (of hele informatiesystemen) te voorzien (denk bijvoorbeeld aan een back-
Je kan stellen dat er een heel economisch model verborgen gaat achter cybersecurity.
up).
Deze economie bestaat uit twee belangrijke onderdelen.
DE ILLEGALE KANT: Hackers proberen zwakheden in systemen uit te buiten om
zodoende geld te verdienen.
DE LEGALE KANT: Hackers of consultants die bedrijven helpen om veiliger te
zijn.
DE ILLEGALE KANT VAN CYBERSECURITY-ECONOMIE
Data die identiteitsgegevens bevat kan verkocht worden voor harde valuta. Gegevens
over een kredietkaart zijn te koop op het dark web. En net zoals bij alle goederen is de
kostprijs afhankelijk van het aanbod. Bij een groot datalek waarbij hackers bijvoorbeeld
miljoenen accounts hebben kunnen stelen, zal de prijs dalen omdat het aanbod stijgt.
Hackers kunnen ook gericht op zoek gaan naar informatie, bijvoorbeeld in opdracht
van andere bedrijven en dus tegen betaling.
Een andere manier om financieel gewin te verkrijgen door toegang te krijgen tot een
systeem is ransomware. (Ransomware is een type kwaadaardige software dat bestanden of
systemen versleutelt, waardoor de gebruiker geen toegang meer heeft. De aanvaller eist
vervolgens losgeld om de toegang te herstellen.)
Soms worden systemen gehackt vanuit ethische of politieke motivatie, in plaats van
financieel gewin. Dit noemt men hacktivisme. De verkregen informatie wordt dan vaak
openbaar gemaakt via platforms zoals WikiLeaks.
DOEL VS COMPLEXITEIT VAN DE AANVAL
Het aantal en type cyberaanvallen hangt
sterk af van het doelwit en de complexiteit
van de aanval. Veel aanvallen zijn eenvoudig
uit te voeren, goed gedocumenteerd en
gericht op een breed publiek zoals
particulieren en kleine organisaties.
Complexere aanvallen, zoals die vanuit
maatschappelijk engagement (hacktivisme),
komen minder vaak voor en vereisen meer
technische kennis. Industriële spionage ligt
nog een niveau hoger in complexiteit, en de meest gesofisticeerde aanvallen worden
uitgevoerd door overheden zoals de NSA, die beschikken over gespecialiseerde
cyberunits en enorme middelen.
Cybercriminaliteit is tegenwoordig een georganiseerde industrie waarin veel geld
omgaat. Hackers werken vaak niet meer alleen, maar in collectieven die opereren als
middelgrote bedrijven. Ze hebben een eigen 'supply chain', distributie- en
INLEIDING
HET BELANG VAN CYBERSECURITY
1. Inleiding: toenemend belang van informatieveiligheid
De beveiliging van informatiesystemen is vandaag de dag belangrijker dan ooit. In
eerdere hoofdstukken werd uitgebreid besproken hoe waardevol informatie en
informatiesystemen zijn voor organisaties. Wanneer onbevoegde personen toegang
krijgen tot deze systemen, kan dit leiden tot grote schade voor bedrijven. Het is
dan ook essentieel dat organisaties hun verantwoordelijkheid nemen in het veilig
beheren van informatie.
2. Dreigingen via netwerken
De meeste informatiesystemen zijn verbonden met het internet of een intranet.
Deze verbindingen maken systemen kwetsbaar voor aanvallen. Personen met
kwaadwillige bedoelingen en technische kennis kunnen op verschillende manieren deze
systemen aanvallen:
Eenvoudige aanvallen: Sommige aanvallen zijn zeer basaal en kunnen eenvoudig
worden voorkomen met basismaatregelen.
Geavanceerde aanvallen: Andere aanvallen zijn complex en vereisen
gespecialiseerde kennis om ze te detecteren en te voorkomen.
3. Praktijkvoorbeeld: IP-beveiligingscamera’s
Een treffend voorbeeld van gebrekkige beveiliging is het gebruik van IP-beveiligingscamera’s. Wereldwijd
worden deze camera’s ingezet om huizen, bedrijven en andere eigendommen te bewaken. Echter, veel van
deze camera’s zijn slecht of helemaal niet beveiligd, wat ertoe leidt dat eigenaars onbewust bespioneerd
kunnen worden.
De website Insecam.com toont duizenden van deze onbeveiligde camera’s. De camera’s zijn geordend per land,
en vaak is zelfs de exacte locatie zichtbaar. De website stelt dat de camera’s niet gehackt zijn, maar simpelweg
gevonden werden via Google.
Oplossing voor eigenaars:
Wie zijn eigen camera op de website herkent, kan deze eenvoudig verwijderen door de
inloggegevens aan te passen. Hierdoor wordt de camera ontoegankelijk voor
derden.
4. Cybersecurity op nationaal niveau
Ook overheden (compliance) beseffen steeds meer hoe cruciaal cybersecurity is.
Veel kritieke infrastructuren — zoals elektriciteitsnetten, waterbevoorrading of
communicatiesystemen — zijn verbonden met netwerken en vormen daarom een
aantrekkelijk doelwit voor cyberaanvallen.
Soms worden dergelijke aanvallen zelfs ingezet door staten zelf, als onderdeel van
geopolitieke conflicten of cyberoorlogsvoering. Als gevolg hiervan ontstaan er steeds
meer wetgevingen rond cybersecurity (zie hoofdstuk 9.7).
5. Wettelijke verplichtingen en sectorspecifieke eisen
Bedrijven moeten kunnen aantonen dat ze voldoen aan de relevante wet- en
regelgeving. Deze regels verschillen per sector en soort data. Voorbeelden:
Ziekenhuizen: moeten patiëntgegevens beschermen volgens medische regelgeving.
Banken: vallen onder strikte financiële wetgeving.
, H9: CYBERSECURITY
Voedingsindustrie: moet aan specifieke normen rond voedselveiligheid en
traceerbaarheid voldoen.
6. Cybersecurity als handelsvoorwaarde
In de internationale handel wordt cybersecurity steeds vaker een vereiste. Wanneer
een bedrijf onderdeel wil uitmaken van de toeleveringsketen van een groter concern, zal
het moeten aantonen dat het aan bepaalde beveiligingsnormen voldoet. Pas dan krijgt
de toestemming om zijn systemen te koppelen aan die van het concern.
Conclusie:
Cybersecurity is niet enkel een technische noodzaak, maar ook een economische
randvoorwaarde geworden. In sommige gevallen vormt het zelfs een ‘barrier to
trade’ — een obstakel dat eerst overwonnen moet worden om handel mogelijk te maken.
DE CIA-TRIAD
Cyberbeveiliging is eigenlijk een manier waarop organisaties omgaan met informatie of
data die beschikbaar is in hun informatiesystemen, en hoe afhankelijk
informatiesystemen zijn van die data.
Vanuit het standpunt van een organisatie zijn
er drie belangrijke zaken die gegarandeerd moeten
worden rond data:
Confidentialiteit
Integriteit
Beschikbaarheid.
CONFIDENTIALITEIT
Organisaties beschikken over data die vertrouwelijk is. Men houdt
klantgegevens bij, gegevens van betaalkaarten, surfgedrag van klanten... Al die
gegevens dienen vertrouwelijk behandeld te worden. Men moet er dus voor
zorgen dat die gegevens niet in verkeerde handen vallen.
Sommige organisaties beschikken over enorme hoeveelheden vertrouwelijke
informatie. Denk bijvoorbeeld aan een ziekenhuis dat beschikt over veel
medische dossiers van patiënten.
INTEGRITEIT
Wanneer organisaties gebruikmaken van data of informatie, dan dient men zeker te
zijn dat die data correct is.
Wanneer bepaalde processen sterk afhankelijk zijn van een dataset, dan dient men zeker
te zijn dat niemand in de mogelijkheid is gekomen om de data binnen die
dataset te beïnvloeden.
BESCHIKBAARHEID
Heel veel data en informatie in informatiesystemen heeft tot doel
om bepaalde bedrijfsprocessen te ondersteunen. Wanneer
deze informatie niet beschikbaar is, kan dat in veel gevallen tot
gevolg hebben dat bepaalde onderdelen van de bedrijfsvoering
haperen.
, H9: CYBERSECURITY
GOED BELEID
Om een goed cybersecuritybeleid uit te werken als organisatie dient men de
verschillende data op te lijsten, alsook wat de kwetsbaarheden voor de organisatie
zijn rond die data. Elk van die kwetsbaarheden dient anders behandeld te worden.
Om data vertrouwelijk te maken, kan men bijvoorbeeld data versleutelen, terwijl de
beschikbaarheid van data eerder gegarandeerd wordt door meerdere instanties van
DE ECONOMIE ACHTER CYBERSECURITY
dezelfde data (of hele informatiesystemen) te voorzien (denk bijvoorbeeld aan een back-
Je kan stellen dat er een heel economisch model verborgen gaat achter cybersecurity.
up).
Deze economie bestaat uit twee belangrijke onderdelen.
DE ILLEGALE KANT: Hackers proberen zwakheden in systemen uit te buiten om
zodoende geld te verdienen.
DE LEGALE KANT: Hackers of consultants die bedrijven helpen om veiliger te
zijn.
DE ILLEGALE KANT VAN CYBERSECURITY-ECONOMIE
Data die identiteitsgegevens bevat kan verkocht worden voor harde valuta. Gegevens
over een kredietkaart zijn te koop op het dark web. En net zoals bij alle goederen is de
kostprijs afhankelijk van het aanbod. Bij een groot datalek waarbij hackers bijvoorbeeld
miljoenen accounts hebben kunnen stelen, zal de prijs dalen omdat het aanbod stijgt.
Hackers kunnen ook gericht op zoek gaan naar informatie, bijvoorbeeld in opdracht
van andere bedrijven en dus tegen betaling.
Een andere manier om financieel gewin te verkrijgen door toegang te krijgen tot een
systeem is ransomware. (Ransomware is een type kwaadaardige software dat bestanden of
systemen versleutelt, waardoor de gebruiker geen toegang meer heeft. De aanvaller eist
vervolgens losgeld om de toegang te herstellen.)
Soms worden systemen gehackt vanuit ethische of politieke motivatie, in plaats van
financieel gewin. Dit noemt men hacktivisme. De verkregen informatie wordt dan vaak
openbaar gemaakt via platforms zoals WikiLeaks.
DOEL VS COMPLEXITEIT VAN DE AANVAL
Het aantal en type cyberaanvallen hangt
sterk af van het doelwit en de complexiteit
van de aanval. Veel aanvallen zijn eenvoudig
uit te voeren, goed gedocumenteerd en
gericht op een breed publiek zoals
particulieren en kleine organisaties.
Complexere aanvallen, zoals die vanuit
maatschappelijk engagement (hacktivisme),
komen minder vaak voor en vereisen meer
technische kennis. Industriële spionage ligt
nog een niveau hoger in complexiteit, en de meest gesofisticeerde aanvallen worden
uitgevoerd door overheden zoals de NSA, die beschikken over gespecialiseerde
cyberunits en enorme middelen.
Cybercriminaliteit is tegenwoordig een georganiseerde industrie waarin veel geld
omgaat. Hackers werken vaak niet meer alleen, maar in collectieven die opereren als
middelgrote bedrijven. Ze hebben een eigen 'supply chain', distributie- en
