Alia Security Day tackelt cybercriminaliteit

We doen er alles aan om woningen, bedrijven en gebouwen beter te beschermen tegen inbraak en brand. We zetten daarvoor de nieuwste technologische snufjes in. Maar net die nieuwe technologie kan ironisch genoeg ook het zwakke punt in de beveiliging betekenen. Wat als dieven ook hackers zijn? Kunnen zij anti-inbraak systeem platleggen? Kunnen zij via onze camera’s al aan verkenning doen? En hoe gaan we om met biometrische gegevens? Dat was het centrale thema van de Alia Security Day 2021.

Denise Weyers, voorzitster van Alia Security licht het belang toe van dit thema: ”Corona had het afgelopen jaar een enorme impact op onze sector. Zo waren er afgelopen jaar 6.000 minder woninginbraken en 1.300 minder inbraken in bedrijven. Daarnaast ontstonden nieuwe opportuniteiten en toonde de installatiesector zich een voorloper in de strijd tegen het virus. Denk aan de toegangszuilen met temperatuur- en mondmaskerverificatie en telsystemen om de afstand tussen personen te garanderen. Helaas zagen we dat de criminaliteit zich ondertussen ook aan de nieuwe situatie aanpaste, door zich meer te richten op het hacken van beveiligingssystemen. Daarom kozen we cybercriminaliteit als centrale thema voor onze Security Day.”

Evoluties in cybercriminaliteit

Tim Cools is -naast voormalig cyberagent- practice manager security & privacy bij ICT dienstverlener Ordina. Hij gidst ons door de hedendaagse trends in cybercriminaliteit: ”De zwakke schakel in woningbeveiliging is vandaag niet de deur, garagepoort of de ramen, maar de router. Het is in de meeste gevallen nog de enige resterende weg om aan de financiën van de bewoners te komen. Vandaag is de inhoud van een woning veel minder interessant geworden, omdat er quasi geen cash meer te vinden is. Ook TV en andere elektro is een pak minder gewild.”

“Cybercriminaliteit zit daarom sterk in de lift, ook in bedrijven. Omdat deze vorm van criminaliteit nog relatief nieuw is, is er een groot dark number. Naar schatting wordt de helft van de feiten nooit aangegeven. Daar zijn meerdere redenen voor: de vrees voor imagoschade, het schadebedrag is te laag, men denkt dat er toch geen vervolging zal komen, men weet niet waar men terecht kan, … . Het gebeurt ook nog dat slachtoffers vastlopen in de procedure omdat niet alle politiezones even goed opgeleid zijn in deze materie.”

“Daarnaast is cybercriminaliteit een draak met veel koppen: ransomware, phishing, hacking, whaling,… . Bovendien zit er voortdurend evolutie in die types. Zo is doxware een relatief nieuwe vorm van ransomware, waarbij hackers zich eerst voor een tijd toegang verschaffen tot de data van een gebruiker en pas na zekere tijd overgaan tot het gijzelen van diens gegevens. Ook whaling krijgt recent veel aandacht, al gebruikt men die benaming vaak te eng. Bij whaling doet een hacker zich voor als iemand anders, bijvoorbeeld de CEO van een bedrijf. Op die manier probeert men geld of data buit te maken.”

“De vraag rijst uiteraard hoe we ons kunnen beschermen tegen deze criminaliteitsvormen. Ik hanteer daarbij het zogenaamde TOP-model: Technologie, Organisatie, Personen. Bij Technologie moet u uw netwerk in kaart brengen: hoeveel servers bezit ik, hoeveel laptops, hoe zijn die verbonden, welke virusbeveiligingen en firewalls zijn er aanwezig?”

“Organisatie is de tweede pijler. Hier moet u zich de vraag stellen hoe uw bedrijf gewapend is tegen een aanval: is er een responsplan aanwezig? Weten medewerkers wat ze moeten doen bij een incident?

‘Personen’ is het derde fundament. Hier staat de alertheid van de medewerkers centraal. Zijn ze vatbaar voor phishing? In hoeverre zijn ze op de hoogte van procedures?”

“Als je toch getroffen wordt, is aangifte doen altijd het beste wat je kan doen. Zorg dat u daarbij goed voorbereid bent, zoals het aanleveren van de nodige bewijzen.”

Diverse wetten en normeringen

De volgende spreker was Benoit Stockbroeckx, technical manager van Euralarm. Hij maakte de kijkers wegwijs in de talrijke wetten en normen met betrekking tot cyberveiligheid: “Ik zal me hier beperken tot inbraak-, brand- en camerasystemen. Die worden nu steeds meer verbonden via IP, in de toekomst zal dat verder evolueren naar verwerking in de cloud. Die evoluties brengen toch de nodige voorzorgen met zich mee. Als we het regelgevend landschap overschouwen, dan zien we daar diverse initiatieven. We kunnen ze opdelen in productrichtlijnen, procesrichtlijnen en verder in Europese en nationale wetgevingen. We zien ook verplichte en vrijwillige regels. Een verplichte Europese regel is bijvoorbeeld de NIS directieve die al een aantal jaren bestaat. Daarin staan de richtlijnen voor cybersecurity voor netwerken en communicatienetwerken. Een tweede richtlijn is de RED richtlijn, waarin een drietal vereisten aan cybersecurity van producten gelinkt zijn: Het product mag geen schade berokkenen aan netwerken, de bescherming van de privacy moet gegarandeerd zijn en het product moet fraudebestendig zijn. Deze richtlijn is vooralsnog nog niet verplicht voor de fabrikanten, maar daar komt binnenkort verandering in want tegen 2023 wordt dat wel het geval. Het gaat in onze sector onder meer om alarmsystemen die verbonden zijn met het internet en detectoren die via WiFi communiceren met de router. Als die verbinding radiografisch is, valt dit buiten de scope van de RED wetgeving. Het gaat dus enkel om met het internet verbonden toestellen.”

“Deze RED richtlijn is een tussenstap naar een meer ‘horizontale’ regelgeving, waaraan alle producten die met internet verbonden worden, moeten voldoen. Dat zal evenwel niet voor 2025 in voege treden.”

“Als we overschakelen naar de vrijwillige initiatieven, dan springt de Cybersecurity Act in het oog. Deze streeft naar een Europese certificering van producten en diensten, waarbij spelers zelf kunnen beslissen om te voldoen en zo het certificaat te dragen. Er wordt daarbij gebruik gemaakt van vaste schema’s per thema. Op die manier krijgt de gebruiker zekerheid dat zijn product of dienst beantwoord aan de criteria. De lidstaten kunnen op eigen houtje beslissen om één of meerdere van deze certificatieschema’s in te voeren of in een technische norm te gieten, maar het is wel de bedoeling dat dit eenvormigheid creëert op Europees niveau. Er zijn momenteel 2 certificatieschema’s uitgewerkt maar nog niet formeel uitgedrukt: eentje voor alle ICT onderdelen van een cloudinfrastructuur en eentje voor diensten die via de cloud worden aangeboden. Hier kunnen alarmsystemen waarbij clouddiensten verkocht worden, dus onrechtstreeks aan onderhevig zijn. Er komt later ook een IoT certificatieschema aan, waar ook moderne alarmsystemen aan bod komen. Die zal wél een rechtstreekse impact hebben op de producten en diensten.”

“Ik vermeld ook nog de technische vereisten die in de diverse ISO en IEC-normen uitgewerkt werden, plus de TC65X, de Cenelec JTC13 en de ETSI normen. Overkoepelend wil de Cenelec TC79 dan weer alle maatregelen en vereisten voor alarmsystemen centraliseren.”

“We krijgen met andere woorden een hele rist aan wetten, normen en technische vereisten. Euralarm is verheugd over al deze initiatieven, want ze dragen bij aan de kwaliteit van alarmsystemen. Wel moet er over gewaakt worden dat de Europese regelgeving op één lijn zit en proportioneel is.”

Nieuw: verzekeren tegen cybercriminaliteit

Tom Van Britsom van verzekeraar Van Breda had het over de zin en onzin van een verzekering tegen cyberdreiging: “1 op de 5 bedrijven is het afgelopen slachtoffer geweest van fraude. Meer dan de helft van de cyberfraudes betreft ransomware. In België werd het afgelopen jaar 100 miljoen euro betaald.”

“Deze nieuwe bedreiging vergt een aangepaste benadering van de verzekeringssector omdat de klassieke verzekeringen hier minder goed voor geschikt zijn. Verzekeringtechnisch zijn er 2 aparte verzekeringen nodig om cybercriminaliteit af te dekken: een fraude- en een cyberverzekering. De fraudepolis dekt de pure fraudegevallen, zoals fraude door interne of externe medewerkers, CEO fraude of andere vormen van factuurfraude. De cyberverzekering dekt de kosten ten gevolge van een cyberaanval af en is gebouwd op drie pijlers: preventie, tussenkomst in de eigen schade en dekking van de schade aan derden.

Enkele voorbeelden maken duidelijk wat er verwacht kan worden van een cyberverzekering:

•Ondersteuning om risico’s te voorkomen, bijvoorbeeld door screenings en sensibilisering

•Bijstand tijdens een calamiteit, met technische bijstand door experten, detectie van problemen, isoleren en reduceren

•Bijstand bij inbreuken tegen de privacywetgeving

•Bijstand in de communicatie en nazorg rond reputatieschade

•Dekking van de eigen schade: stilstanden, inhuren van experten, losgeld, telefoonkosten, boetes;

•Dekking van schade aan derden (klanten, leveranciers,…)

Om de verzekering in te roepen moet er wel echt sprake zijn van een inbreuk in uw systeem, dat is ook de reden waarom de fraudegevallen moeten gedekt worden door de aparte fraudeverzekering.”

“De kostprijs van de premie? Die hangt af van de omvang van het bedrijf en het risico dat men wenst te verzekeren. Ik geef enkele voorbeelden: een brouwerij met omzet van 30 miljoen €, koos voor een dekking van 2 miljoen € met franchise van 7.500 €, wat resulteerde in een premie van 14.000 €. Voor de fraudeverzekering koos men voor een verzekerd kapitaal van 1 miljoen € met premie van 12.000 €.

Een transportbedrijf met omzet van 35 miljoen opteerde voor een cyberdekking van 1,5 miljoen en fraudeverzekering van 500.000 €. Dat resulteerde in een premie van resp. 9.000 en 8.000 €. Let wel dat deze premies onder voorbehoud zijn. De afgelopen jaren zijn miljoenen schadevergoedingen uitgekeerd, waardoor er toch een stijgende trend zit in deze premies.”