Geslaagde online editie Infosecurity.be

De snelgroeiende IT-branche staat niet stil, en al helemaal niet in tijden van corona. Daarom is alles op alles gezet om Infosecurity.be, Data & Cloud Expo 2021 op een volwaardige, veilige en passende manier te laten doorgaan. Op 31 maart en 1 april vond de online editie plaats, waarbij de focus lag op de thema’s Cloud & Infrastructuur, Security & Privacy, Data & AI en Digitale transformatie & innovatie.

Uit de tientallen interessante bijdrages, haalden we er enkele uit. Een eerste is de boeiene duopresentatie van Eddy Willems (G Data) & Righard Zwienenberg (ESET). Zij hadden het over de nieuwe cybergevaren die Covid-19 met zich meebracht.

Eddy Willems: ”Wie Covid19 zegt, zegt thuiswerk. En wie thuiswerk zegt, zegt Zoom. Daar ligt meteen een eeste veiligheidsprobleem, want dat programma was totaal niet voorbereid op de plotse populariteit, waardoor zelfs toppolitici blootgesteld werden aan mogelijke gevaren. Zo publiceerde Boris Johnson een foto van een Zoommeting waarop de toegangslink duidelijk zichtbaar was. Omdat er geen paswoord vereist was op dat moment, kon iedereen de meeting meevolgen. Hetzelfde gebeurde later tijdens een meeting van een defensiecommissie van de EU, toen een aanwezige een foto op Twitter zwierde waarop de inlogcode quasi volledig op getoond werd. Voor specialisten in de sector was dat wel schrikken, want dit soort overduidelijke veiligheidsproblemen leken wel iets uit het verleden.”

Righard Zwienenberg: ”We kunnen dit zelfs niet catalogiseren onder de noemer ‘hacking’. Cyberveiligheid gaat duidelijk niet altijd over de grote hacks die grote persaandacht kregen, zoals die van de Universiteit van Maastricht of Solarwinds. Vaak zijn andere vormen van cyberonveiligheid veel meer aanwezig, zoals phishing of credential theft. De WHO werd daar bijvoorbeeld in het begin van de pandemie het slachtoffer van, toen een organisatie hun site kopieerde om het e-mailsysteem te kraken. De situatie rond Corona gaf ook aanleiding tot een rist andere pogingen tot misbruik. Zo zagen we ook een aantal scams rond valse coronavaccins die via het dark web aangeboden werden.”

Eddy Willems: “Een cyberprobleem is altijd gebaseerd op 2 pijlers: de beschikbare technologie zoals malware en de menselijke factor. Onze nieuwsgierigheid, onze ‘hebzucht’ zet ons ertoe aan om ergens op te klikken of in te gaan op een voorstel. Dat zien we ook bij ransomware, dat vaak via klikken op ongewenste links aan de oppervlakte komt. De case rond Universiteit van Maastricht is hier een goed voorbeeld van. Die case is om meerdere redenen een interessant verhaal, het werpt bijvoorbeeld veel vragen op over al dan niet losgeld betalen.“

Righard Zwienenberg: ”Ik was daar persoonlijk altijd principieel tegen, maar Maastricht veranderde daar mijn opinie. Dit gebeurde voor er vaccins ontwikkeld waren, maar wat als de Universiteit toen net op het punt stond om een belangrijke doorbraak te realiseren? Hetzelfde geldt voor aanvallen op gezondheidsinstellingen. Wat als een mensenleven op het spel staat? Enige nuance is dus vereist, al zou ik toch uitgaan van ‘niet betalen’ als standaard.”

“Privacy is het volgende item dat onder invloed van Corona sterk op de voorgrond trad. Denk aan de tracing apps. Velen werpen daar privacy op als reden om deze te installeren, maar je beperkt de werking als je sommige zaken niet kunt controleren. Bovendien geven die apps in sommige gevallen je net de vrijheid om culturele manifestaties en festivals te bezoeken, zoals met de Coronachecker app in Nederland. Dat neemt niet weg dat gebruikers kritisch moeten blijven. Zo zijn er tientallen Corona-apps, maar er is toch wat gezond verstand nodig voor je beslist er eentje te installeren. Een app die je toestemming vraagt om telefoontjes te plegen namens jezelf, dat is niet pluis. Bovendien schuilt er ook veel malware in die apps. Ze proberen via je toestemmingen bijvoorbeeld toegang te krijgen tot je bankgegevens.”

“Toch ben ik niet pessimistisch over de toekomst. Er moest in 2020 heel wat IT-security aangepast worden. We zagen een toename in phishing aanvallen en veel ransomware opduiken, maar we zagen tegelijk dat mensen en bedrijven zich snel aanpasten aan die nieuwe realiteit.”

Ethische hackers?

Inti De Ceukelaire is een ethisch hacker. Hij werd bij het grote publiek bekend toen hij de twitteraccounts van de Paus en Donald Trump op ludieke wijze hackte. In 2018 won hij in Las Vegas de ‘most valuable hacker award’ van HackerOne, het officieuze wereldkampioenschap voor hackers. In 2018 richtte hij vervolgens Intigrity op, een platform waarop ethische hackers op zoek kunnen gaan naar lekken en zwakheden in systemen, en daar ook voor beloond worden. De Ceukelaire wees ons meteen op de fijne lijn tussen ethische en criminele hackers: “Er bestaat geen exacte definitie van wat ethisch hacken exact inhoudt. Wat maakt een hacker ethisch, wat maakt hem of haar crimineel? Het ontbreken van een definitie en de nog steeds sluimerende onwetendheid bij bedrijven maakt dat deze laatste vaak drempelvrees hebben om een ethische hacker in te schakelen. Ze lezen het woord ‘hacker’ en denken meteen aan het stereotype van de overjaarse tiener-met-hoodie die in een duister computerlokaal inbreekt in hun systemen. Toch zijn het net de bedrijven die het meest baat hebben bij ethische hackers. Je wordt liever door een ethisch platform gehackt dan door een malafide organisatie die je systeem platlegt en losgeld vraagt. Ook het vermijden van boetes door datalekken kan een belangrijke trigger zijn om ons in te schakelen.”

“Bedrijven kunnen zelf de grijze zone weghalen door een degelijk beleid te formuleren, dat ze openbaar maken. Daarin staat onder meer wat er is toegestaan en wat er niet door de beugel kan. Voor ethische hackers vermijdt dat discussies over hun acties. Bedrijven kunnen ook beloningen opnemen in dat beleid, zo stimuleren ze ethische hackers om hun systemen tegen het licht te houden. Een dergelijk beleid opstellen is geen tijdrovende klus. Je vindt voldoende gratis tools waarmee dit in een handomdraai kan gerealiseerd worden.”