Door Marion de Graaff

Techniek Nederland pakt de handschoen op en geeft met een aantal partners voorlichting. Sprekers van verschillende organisaties schijnen hun licht op de materie. Een van hen is Bas Labordus van The S-Unit.

The S-Unit

The S-Unit is een organisatie van ethical hackers. Ze testen systemen, inventariseren kwetsbaarheden en risico’s, en ze geven advies over cybersecurity. Bas Labordus werkt er als security consultant en noemt zichzelf security enthousiasteling. “Zelfs in mijn vrije tijd ben ik altijd op zoek naar gaten en kieren om een systeem binnen te komen”, grinnikt hij. “In een hotel, een zwembad, op de basisschool als ik mijn kind wegbreng. ‘Wat zou er zich boven dat systeemplafond bevinden?’ Daar zie ik losse draadjes … . Even mijn laptop op de hotelserver aansluiten. Kan ik met mijn key card ook die deur openmaken? En die? En die?” Hier – bij de TU in Zwolle, waar de voorlichting gegeven wordt – heb ik aan de deur van de serverruimte gevoeld. Die zat op slot, heel goed.”

[intermezzo: 1]

Virtuele deuren staan open

Hij lacht en gaat verder: “Het lijkt logisch om een deur op slot te doen, maar heel vaak wordt het nagelaten. En zo staan ook heel veel virtuele deuren in systemen open. Dan is het voor een hacker een piece of cake om binnen te komen. De meeste hackers doen dat voor de lol, gewoon om te zien hoe ver ze kunnen komen. Zo namen drie Chinese studenten met behulp van een drone en een Raspberry Pi de ZigBee verbinding van een kantorencomplex over om vervolgens de verlichting te (ont)regelen. Grappig, lastig misschien, maar niet direct gevaarlijk. Toch moet je er niet aan denken dat iemand iets kwaads in de zin heeft.”

Drietrapsraket

Labordus legt uit dat goede cybersecurity bestaat uit drie onderdelen bestaat. “In de eerste plaats moeten fabrikanten en leveranciers van software zorgen dat het veilig is. Er zijn verschillende methoden om dat te testen, waaronder de OWASP top tien. De schakel daarna zijn partijen die systemen installeren en beheren. Iedere installateur zou met zijn klanten af moeten spreken wie er verantwoordelijk is voor het uitvoeren van updates, voor het bewaren van passwoorden et cetera. Na de fabrikant en de installateur komt de gebruiker. Ook daar kan heel veel mis gaan. Een goede beveiliging valt of staat met gedrag. Je kunt een systeem nog zo goed beveiligen, maar als een gebruiker zijn passwords op zijn bureaublad heeft staan, heeft dat allemaal geen enkele zin.”

Bewustwording

Het draait allemaal om bewustwording. Installateurs hebben daar een rol in, maar dan moeten ze zelf wel weten wat ze doen en hoe het werkt. De dringende oproep van Labordus is dan ook: “Ten eerste: verdiep je in cybersecurity, en ten tweede: zorg vervolgens dat je bij blijft, want de veranderingen gaan ra-zend-snel!”

Andere artikelen over cybersecurity: