Interview Verizon: Is over vijf jaar de helft van alle Nederlandse criminaliteit cybercrime?

• Door
• Laurance Dine (Verizon)
• geplaatst op
• 25 augustus 2016 08:00 uur

“Over vijf jaar heeft 50% van onze criminaliteit te maken met computers”, stelde procureur-generaal Gerrit van der Burg enige tijd geleden in Nieuwsuur. Tevens worden volgens hem de technieken om computers te ontregelen steeds eenvoudiger en ook makkelijker te krijgen. “Het binnendringen van computers zou wel eens de fietsendiefstal van de toekomst kunnen worden.” In dit interview reageert Laurance Dine, Managing Principal, Investigative Response van het Verizon RISK Team op die uitspraken.

Het Openbaar Ministerie verwacht dat over vijf jaar 50% van alle criminaliteit in Nederland cybercriminaliteit zal zijn. Deelt u die verwachting?

Of deze verwachting precies zal uitkomen, durf ik niet te zeggen. Hij ligt wel in lijn met onze dagelijkse ervaringen en ons onderzoek naar cybercriminaliteit. Onze wereld is veranderd en is nu voornamelijk ‘digitaal’. Onze meest waardevolle zakelijke en persoonlijke bezittingen – data – zijn nu overal beschikbaar en nemen snel toe. We staan nog maar aan het begin van deze ontwikkeling. Meer digitale data leidt tot meer mogelijkheden voor cybercriminele activiteiten. We moeten niet vergeten dat niemand immuun is tegen cybercriminaliteit, of je nu groot of klein bent, in welk land en in welke verticale markt dan ook. Zo lang je data hebt die voor cybercriminelen aantrekkelijk zijn en waar ze geld aan kunnen verdienen, ben je een doelwit. Wij analyseren al jaren datalekken en delen informatie daarover via onze Data Breach Investigations Report (DBIR)-reeks.

Een primair doel van de DBIR-reeks is om te begrijpen hoe cybercriminelen te werk gaan en deze kennis te delen met de rest van de security community. Door aanvalspatronen te begrijpen, kunnen ze beter worden voorkomen, opgespoord en aangepakt.

Is het makkelijk om geld te verdienen als cybercrimineel?

Het wordt cybercriminelen inderdaad vaak makkelijk gemaakt. Bij 63 procent van bevestigde datalekken speelden zwakke, standaard of gestolen wachtwoorden een rol, zagen we in ons DBIR dit jaar. In het algemeen zien we dat veel bedrijven nog steeds niet voldoende beveiligingsmaatregelen hebben genomen, of deze verkeerd geïmplementeerd hebben. Dit is onbegrijpelijk aangezien we ons bewust zijn (of zouden moeten zijn) van de activiteiten die cybercriminelen uitvoeren.

Een verklaring kan zijn: afhankelijkheid van een oud beveiligingsbeleid, een gebrek aan algemene kennis van de markt of het feit dat veiligheid eerder als een bijzaak wordt gezien dan als prioriteit. Soms komt het neer op een gebrek aan goede educatie van werknemers.

De realiteit is dat cybercriminelen zullen innoveren als dit nodig is, maar op dit moment kunnen ze toegang krijgen tot de gegevens die ze nodig hebben met dezelfde tactieken (of combinatie van tactieken) die ze al jaren gebruiken. We zien verschillende voorkeurstactieken voorbij komen.

Welke voorkeurstactieken zijn dat?

Dat verschilt per sector. Over het algemeen zijn er voor elke bedrijfstak drie aanvalspatronen die significant vaak voorkomen. Binnen de financiële sector zijn bijvoorbeeld Denial of Service, web app-aanvallen en crimeware samen goed voor 88 procent van alle aanvallen. In retail wordt 90 procent van alle ellende veroorzaakt door Point of sale-inbraken, Denial of service en web app-aanvallen. En in de maakindustrie zijn de meest voorkomende patronen Denial of service, insider- en privilegemisbruik en cyberspionage. Door deze informatie openlijk te delen, hopen we organisaties te stimuleren om op maat gemaakte beveiligingsoplossingen te implementeren, gebaseerd op hun branche en de specifieke aanvalspatronen die daarin worden gebruikt.

Kun je spreken over een ‘awareness’ probleem doordat aanvallen niet fysiek zichtbaar zijn?

Je kunt deze vraag op twee manieren beantwoorden – externe bewustwording van het grote publiek en interne bewustwording of ‘detectie’ tijdens een aanval.

De algemene publieke bewustwording van de ernst van cybercriminaliteit is groot, en dit is grotendeels te danken aan de recente zichtbaarheid van cyberaanvallen en hoe ze worden neergezet in de media. We moeten alles weten van de risico’s en de gevolgen die een inbreuk op een merk, de geloofwaardigheid en het vertrouwen van de consument kan hebben.

Binnen een bedrijf kan het bewustzijn of de ‘detectie’ van een cyberaanval of datalek variëren, afhankelijk van het niveau van veiligheidscontroles die een organisatie heeft. Cybercriminelen kunnen binnen enkele minuten inbreken en data stelen. Maar zelfs wanneer het stelen dagen in beslag nam, hoefden de criminelen zich geen zorgen te maken in 83 procent van de gevallen. De slachtoffers hadden namelijk wekenlang geen idee dat zij indringers in hun systemen hadden.

Hoe langer het duurt voor organisaties om te ontdekken dat zij slachtoffer zijn van een cyberaanval, hoe meer tijd criminelen hebben om waardevolle data te vinden en de bedrijfsactiviteiten te verstoren. Dit is de reden waarom simpele bescherming niet genoeg is. Bedrijven moeten in het bezit zijn van effectieve detectie- en herstel-processen om aanslagen te verijdelen en mogelijke schade te verminderen.

De Rotterdamse haven heeft een speciale cyber CEO. Hij moet een programma ontwikkelen om de haven digitale veerkracht te geven. Is dat zinvol?

Ik denk zeker dat het goed is om een speciale cyber CEO te hebben. Maar organisaties moeten niet vergeten dat veiligheid de verantwoordelijkheid is van alle medewerkers. Zorgen dat medewerkers de risico’s van hun digitale acties kennen en begrijpen is belangrijk bij de preventie van veelvoorkomende beveiligingsincidenten. Werknemers zijn uiteindelijk het meest waardevolle aspect van elk bedrijf en ook het meest intelligente. Ze moeten dan ook regelmatig training krijgen over de veiligheidseisen en beveiliging leren erkennen als een integraal onderdeel van hun werk.

Op basisniveau moeten CIO’s en cyber CEO’s weten waar hun data zich bevinden en wie toegang nodig heeft tot deze data; welke veiligheidscontroles al aanwezig zijn en het tijdstip waarop de data zijn bijgewerkt en gecontroleerd. Deze eerste ‘stock-check’ vormt de basis waarop kan worden voortgebouwd. Daarnaast moeten security-specialisten ook op de hoogte blijven van de nieuwste beveiligingsbedreigingen. Deze kennis moeten ze met de hele organisatie delen, zodat hun werknemers de cybercriminelen niet per ongeluk helpen de systemen binnen te dringen.

Bewustwording is de eerste en beste manier van verdediging tegen cybercriminelen. Het is door het gebrek aan deze bewustwording dat sommige organisaties het voortdurende succes van de meerderheid van de cyberaanvallen mogelijk maken.

Geschreven door Laurance Dine (Verizon)

Stuur ook uw blog, achtergrond artikel of andere bijdrage in!