Nieuws

Van grote bedrijven zoals Albert Heijn, dat eerder deze maand kampte met een cyberincident, tot het mkb: cybercriminaliteit vormt een risico voor organisaties van allerlei omvang. Ook de opkomst van kunstmatige intelligentie verandert het speelveld, doordat criminelen AI kunnen inzetten om bepaalde aanvallen overtuigender of efficiënter uit te voeren. Om zich hiertegen te beschermen, is het voor organisaties belangrijk om passende beveiligingsmaatregelen te treffen. De rol van de cybersecurityspecialist is hierin onmisbaar. Maar wat vragen deze ontwikkelingen van de specialisten van morgen en hoe zorg je voor een weerbare organisatie?

Dat is waar Niek Jan van den Hout, onderzoeker en docent bij de opleiding Cyber Security & Risk Management (CSRM) zich op een dagelijkse basis mee bezighoudt. Zijn interesse in cybersecurity ontstond mede door films waarin grote bedrijven werden gehackt. Die verhalen prikkelden hem om op een laagdrempelige manier hetzelfde te doen vanuit zijn zolderkamer. Vandaag de dag richt hij zich echter op de andere kant en brengt hij studenten de benodigde vaardigheden en kennis bij waarmee zij organisaties kunnen beschermen.

Meer dan technische vaardigheden
Dat dit hard nodig is, blijkt uit de cijfers. Zo is de kans op een cyberaanval maar liefst 1 op de 5 voor bedrijven. Om de gaten in systemen te dichten en risico’s in kaart te brengen, zijn cybersecurityspecialisten hard nodig. Juist hun kennis van onder meer de laatste technieken en systemen, maakt hen onmisbaar. Toch draait CSRM, een differentiatie van de opleiding ICT die wordt aangeboden in de Factory, om meer dan dat. Zo wordt er bijvoorbeeld ook aandacht besteed aan organisatorische aspecten van het vakgebied.

Juist de vaardigheden die daarmee samenhangen, worden steeds belangrijker. Hoewel kunstmatige intelligentie bepaalde technische taken kan versnellen of vereenvoudigen, blijven vaardigheden als het uitvoeren van risicoanalyses, het overzien van de bredere context en het adviseren van organisaties van belang. Ook moet worden bepaald welke risico’s een organisatie bereid is te nemen. Dat vraagt niet alleen om technische kennis, maar ook om inzicht in de organisatie en goede communicatie. ''Uit een risicoanalyse zullen altijd nieuwe dreigingen naar voren komen, maar de gestandaardiseerde, internationale methodiek is sinds 2011 hetzelfde gebleven,'' aldus Niek Jan. ''Veel van de kernvaardigheden die we studenten bijbrengen, zoals het afnemen van interviews en het spreken van de managementtaal, zijn nauwelijks aan verandering onderhevig.''

De krachtigste schakel
Naast kennis van beleid doen de studenten tijdens de opleiding ook kennis op over menselijk gedrag en de invloed die dit heeft op de digitale veiligheid van een organisatie. Ruim 60 tot 90(!) procent van de cyberincidenten hangt namelijk samen met de acties van medewerkers. Vaak doen deze incidenten zich onbedoeld voor, doordat criminelen aan de hand van manipulatietechnieken sluw weten in te spelen op menselijke eigenschappen zoals nieuwsgierigheid, vertrouwen of angst. Denk hierbij bijvoorbeeld aan phishing: een vorm van internetfraude waarbij een aanvaller zich voordoet als een betrouwbare organisatie of persoon om vertrouwelijke gegevens te verkrijgen.

Met regelmaat wordt er dan ook gezegd dat de mens de zwakste schakel is in de cybersecurityketen. Daar waar systemen over het algemeen doen wat je opdraagt, handelt de mens niet altijd naar de opgestelde regels. Toch kijkt Niek Jan hier anders tegenaan: ''Mensen kunnen dingen die machines niet kunnen en voegen de meeste waarde toe aan een organisatie. In mijn optiek is de mens daarom de belangrijkste én misschien wel de krachtigste schakel.'' Om die kracht te benutten, is het belangrijk dat medewerkers digitale dreigingen leren herkennen en weten hoe ze daarop moeten reageren. De nieuwe generatie cybersecurityspecialisten kunnen organisaties helpen om die bewustwording te vergroten.

Gedeelde verantwoordelijkheid
Ook wet- en regelgeving, zoals de in augustus ingevoerde cyberbeveiligingswet (NIS2), moeten helpen om de digitale weerbaarheid en awareness van bedrijven te vergroten. Zo worden organisaties in kritieke sectoren niet alleen verplicht de benodigde maatregelen te treffen en cyberincidenten te melden, maar kent NIS2 ook bepalingen die maken dat bestuurders persoonlijk aansprakelijk gesteld kunnen worden bij onvoldoende naleving. Volgens Niek Jan is dit een goede ontwikkeling: ''Het is goed om de juiste cyberspecialisten in huis te halen, maar als bestuurder ben je eindverantwoordelijk voor wat jouw organisatie doet én hoe er met persoonlijke informatie wordt omgegaan.''

Voor bedrijven die niet onder de richtlijn vallen, is het eveneens belangrijk om cybersecurity hoog op de agenda te zetten. Waar bedrijven voorheen bijvoorbeeld de beveiliging en hosting van hun website nog zelf konden regelen, is het digitale landschap inmiddels een stuk complexer geworden. Een serieuze aanpak van cybersecurity vraagt daarom om voldoende budget en de inzet van gespecialiseerde IT-dienstverleners. Vooral voor het mkb kan dit een uitdaging zijn. Deze bedrijven zijn regelmatig doelwit van cybercriminelen, maar beschikken niet altijd over de juiste expertise en financiële middelen om hun digitale veiligheid zelfstandig op peil te houden.

Samen sterker
Gelukkig staat ook het mkb er niet volledig alleen voor. Zo kunnen zij bijvoorbeeld aanspraak maken op de overheidssubsidie 'Mijn Cyberweerbare Zaak' om maatregelen te financieren of advies in te winnen. Ook raad Niek Jan organisaties, van groot tot klein, aan om de onderlinge samenwerking met andere organisaties op te zoeken. Hedendaagse ontwikkelingen volgen elkaar immers in razendsnel tempo op en het bijbenen hiervan is een hele opgave. ''Het zou jammer zijn als je dit als organisatie allemaal in je eentje probeert op te pakken, terwijl vele andere mensen zich ook over het onderwerp buigen,'' zegt hij: ''Daarnaast worden we steeds afhankelijker van elkaar. Als een leverancier bijvoorbeeld gehackt wordt, bestaat het risico dat jouw bedrijf ook geraakt wordt.''

Het is dan ook belangrijk dat we elkaar kunnen vinden en ons gezamenlijk inzetten voor een digitaal, weerbaar Nederland. De Dutch Innovation Community, die onderwijsinstellingen, ondernemers en overheid dichterbij elkaar brengt, kan hierin een bijdrage leveren. De docent moedigt tevens aan om studenten vaker in de hand te nemen. Niet alleen bereidt dit de nieuwe generatie cybersecurityspecialisten voor op de praktijk, maar ook als organisatie kun je hier veel baat bij hebben. ''Of je nu op zoek bent naar een toekomstig personeelslid, simpelweg niet weet waar je moet beginnen óf niet in staat bent om grote investeringen te doen: een stagiair, afstudeerder of een groepje studenten kan je helpen om te bepalen welke stappen je dient te zetten,'' aldus Niek Jan: ''Elke organisatie investeert in zekere zin te weinig in cybersecurity en je voorkomt nooit 100% incidenten. Toch kun je, door het bieden van een beetje begeleiding, je cybersecurity met behulp van een student naar een hoger niveau tillen.''

Ben je benieuwd naar wat de CSRM-studenten voor jouw organisatie kunnen betekenen of beschik je over een stageplek die nog ingevuld dient te worden? Neem dan eens contact op met Niek Jan van den Hout. Zo werk je aan de veiligheid van jouw organisatie én bouw je indirect mee aan een cyberveilig Nederland. 

Dit artikel is gepubliceerd in oktober, de Maand van de Cybersecurity. De maand draait om het vergroten van de digitale veiligheid en het bewustzijn van cyberrisico’s. Het doel is om mensen, bedrijven en organisaties te helpen om zichzelf beter te beschermen tegen cybercriminaliteit.