De staat van cybersecurity is beter dan ooit, al lijkt dat misschien niet zo. Eigenlijk is het niveau van digitale beveiliging de afgelopen paar jaar immens gestegen, maar dat betekent niet dat we veilig zijn. Het gevaar komt immers meer en meer uit een andere hoek, en daar is Europa niet klaar voor.
“Als ik kijk waar we vandaag staan, is het duidelijk. Security is in betere vorm dan ooit tevoren.” Mikko Hyppönen (beeld bovenaan), CRO van WithSecurity, schetst een positief beeld van de cybersecuritywereld tijdens de Sphere-conferentie in Helsinki.
De Fin staat erom gekend steeds een diskette met zich mee te nemen om zich eraan te herinneren waar we vandaan komen, maar grijpt tijdens de conferentie nog verder naar de bron. “Intussen neem ik ponskaarten mee, om me correcter te dateren.”
Huiveringwekkend verleden
Een ruimere blik op de huidige staat van cybersecurity, rekening houdend met het verleden, toont meteen waarom Hyppönen optimistisch is. “Kijk eens waar we tien jaar geleden stonden? Toen spraken we over Flash-exploits. We surften op het internet met een browser die gewoon code recht van het net uitvoerde. Flash was nog mainstream in 2014 en je kon geïnfecteerd raken door gewoon langs een besmette website te surfen. Google heeft flash in 2015 pas vermoord.”
“Ik zie een verschil van dag en nacht tussen nu en tien jaar geleden”, aldus Hyppönen. “Vandaag maken we niet meer meedat er malware gewoon van het net op onze computer valt.”
Vandaag maken we niet meer mee dat er malware gewoon van het net op onze computer valt.
Mikko Hyppönen, CRO WithSecurity
Hyppönen ziet verschillende redenen voor die verschuiving. Langs de ene kant is beveiliging gewoon beter geworden, langs de andere kant werken we met significant andere toestellen. “Een Windows-pc en een Mac zijn eigenlijk legacy-toestellen van een ander tijdperk. Het zijn echte computers waarvoor je code kan schrijven, en die de code dan uitvoeren.”
Minder rechten, maar meer veiligheid
“Vandaag bezoeken de meeste mensen het internet via een smartphone of tablet. Die dingen zien eruit als een computer, maar zijn het niet. Het zijn gesloten systemen en die zijn veiliger. Het is een rechtenkwestie: we geven rechten weg, en krijgen beveiliging in de plaats.”
“We zijn echt in betere vorm dan ooit”, concludeert Hyppönen. “Maar ik zeg niet dat we winnen. De aanvallers staan niet stil.”
Van bendes naar regimes
Die meer pessimistische teneur horen we ook bij Toomas Hendrik Ilves, president van Estland tussen 2006 en 2016. In 2007 werd Estland het slachtoffer van een grootschalige DDoS-aanval die de digitale infrastructuur van het land op de knieën dwong. Sinds die wake-up call heeft Estland een doordacht digitaal beleid en voert Ilves strijd voor een betere digitale Europese samenwerking.
“Commerciële oplossingen beschermen ons vandaag goed tegen acute dreigingen”, stelt Ilves. “Dergelijke bescherming houdt organisaties veilig van individuele criminelen of zelfs bendes. De zaken worden echter complexer wanneer overheden zich moeien.”
lees ook
Vrij voor iedereen, of problematisch en gevaarlijk: mag AI open source zijn?
Ilves ziet steeds meer dreigingen afkomstig van natiestaten. Landen zoals Rusland, Iran, China en Noord-Korea hebben volgens hem sterk uitgewerkte departementen die zich bezighouden met de digitale wereld, zowel defensief als offensief.
Nauwelijks samenwerking
“We missen in Europa de interdisciplinaire samenwerking die nodig is om ons goed te wapenen tegen die dreiging. Een aanval zoals NotPetya treft bedrijven en overheden in alle landen tegelijk, maar de EU en de NAVO communiceren niet adequaat met slachtoffers.” Het belang van samenwerking kwam ook tijdens Cybersec in België aan bod, ongeveer gelijktijdig met de keynote van Ilves.
“We zitten met nationale silo’s”, lamenteert hij. “Bijna geen enkele nationale instantie deelt beveiligingsinformatie met een andere. De NAVO heeft het digitale domein nog maar pas als belangrijk erkent, maar heeft eigenlijk geen enkele slagkracht.”
Al is de situatie wel een beetje verbetert, erkent de ex-president. “Toen we in 2011 een worm in ons militair netwerk ontdekten en de NAVO informeerden, was het antwoord: ‘Ah, jullie ook.’”
Toch stelt Ilves vast dat Europa en het Westen in het algemeen, geen enkele operationele capaciteit heeft inzake cyberbeveiliging. “ENISA bestaat, maar mankeert gewicht, capaciteit en mensen voor een deftige respons.”
Bonentellers
“Bovendien is er een compleet gebrek aan een beveiligingsdimensie in de regelgeving van de EU”, vindt hij. “De Europese politici zijn bonentellers en snappen de digitale wereld niet. Ze reguleren nog met een mindset uit de twintigste eeuw en zien niet hoe geopolitiek technologie vandaag is. Cybersecurity-experts hebben een bredere rol nodig.”
Er is een compleet gebrek aan een beveiligingsdimensie in de regelgeving van de EU.
Toomas Hendrik Ilves, ex-president van Estland
Zo nuanceert Ilves de optimistische visie van Hyppönen. Waar de commerciële wereld heeft bijgebeend op het vlak van beveiliging, is er een belangrijke geopolitieke cyberdimensie ontstaan. Beveiligingsbedrijven zoals WithSecure maken het hun missie om klanten groot en klein te beschermen van losgeslagen dreigingen, maar in feite is er ook een gecoördineerde Europese responscapaciteit nodig.
“We zitten dieper in de penarie dan we denken”, besluit Ilves. Pas zodra we doorhebben dat we iets moeten doen, kunnen we ook iets doen.” De expertise zit alvast klaar in de zaal van Sphere, veel politici kwamen we helaas niet tegen.