Verrijk cybersecurity met weerbaarheid

Elke instantie kan vroeg of laat het slachtoffer worden van hackers. Onlangs was dit het geval bij Clinical Diagnostics, het bedrijf dat voor Bevolkingsonderzoek.nl de uitstrijkjes van Nederlandse vrouwen analyseerde. Krantenkoppen gaan steevast over fouten en verantwoordelijkheden, experts geven hoofdschuddend commentaar en het leven gaat verder. Tot het opnieuw gebeurt. Maar als geen enkele veiligheidsmaatregel honderd procent waterdicht is, is het dan niet beter om te proberen de gevolgen van een hack binnen de perken te houden? Zo ja, hoe dan?

Eerst nadenken

Onderzoeker Rick van der Kleij van TNO beantwoordt de vraag heel stellig. “Ik roep al tijden dat we moeten stoppen met ons uitsluitend te richten op cybersecurity. Dat is een nutteloze exercitie als we vergeten na te denken hoe we adequaat kunnen reageren als het toch misgaat. We moeten het hebben over cyberweerbaarheid.”

Weerbaarheid, zo legt hij uit, heeft meer te maken met menselijk gedrag dan met technologie. Het vereist bijvoorbeeld dat bedrijven, instanties en klanten van tevoren nadenken over de gevolgen van een mogelijke hack: welke gegevens kunnen daarbij worden buitgemaakt, of onbereikbaar worden? Welke gevolgen zou dit hebben en is het wel nodig om die gegevens allemaal te bewaren?

Minder opslaan

Hoogleraar digitale veiligheid Bart Jacobs van de Radboud Universiteit Nijmegen windt zich er hoorbaar over op. “Waarom zijn er zoveel persoonsgegevens naar Clinical Diagnostics gestuurd?” vraagt hij retorisch. “Naar dat bedrijf zijn biomedische samples opgestuurd, samen met het BSN-nummer, naam, adres, telefoonnummer, enzovoorts. Het enige wat het lab nodig heeft, is een pseudoniem: ze krijgen een sample met een nummer erbij en sturen dat nummer met de uitslag terug. Dan kan Bevolkingsonderzoek Nederland, of de huisarts, het nummer weer koppelen aan de betreffende persoon. De privacywetgeving vereist dataminimalisatie, maar daaraan is hier niet voldaan.”

Hoe minder data we opslaan, des te minder geven we prijs aan eventuele hackers. Soms is dat lastig, voegt Jacobs toe: de zorgwet vereist juist de koppeling van het BSN-nummer aan (klinische) medische gegevens. Op die manier is het risico kleiner dat persoonsgegevens verwisseld worden en, bij wijze van spreken, bij de verkeerde persoon het been wordt afgezet. Dat geldt echter niet voor alle andere persoonlijke gegevens die zijn gedeeld. Van der Kleij denkt dat perverse prikkels bedrijven en instanties vaak aanzetten tot het onnodig hamsteren van gegevens. “Voor de zorgverzekeraar zijn al die gegevens bijvoorbeeld heel waardevol, omdat ze er allerlei analyses op kunnen draaien.”

Kritisch delen

Beter toezicht op de toepassing van privacywetgeving zou de gevolgen van hacks kunnen verkleinen, denkt Van der Kleij. Bedrijven en instanties drukt hij op het hart om vaker stil te staan bij de gevolgen van nieuwe technologieën. “Denk aan het opslaan van gegevens in ‘de cloud’, of nieuwe toepassingen van AI. Die kunnen het aanvalsoppervlak voor cybercriminelen vergroten. Als een bedrijf bijvoorbeeld een chatbot heeft, kun je die soms opdrachten geven waardoor hij data lekt van het bedrijf.”

Klanten hebben hierop weinig invloed. Toch kunnen ook zij best kritischer zijn, vindt onderzoeker Roland van Rijswijk van de Universiteit Twente. “Geef niet te pas en te onpas allerlei persoonsgegevens. Hotels in het buitenland vragen vaak om een kopie van je paspoort, maar daar hebben ze helemaal geen recht op. Nooit doen! En als het dan echt moet, maak dan het paspoortnummer zwart, want daar staat je BSN-nummer in. Dat is extreem identificerend. Ook met de combinatie van je geboortedatum en je postcode valt je identiteit in 99 procent van de gevallen vast te stellen. Als ik mijn geboortedatum ergens moet invullen, geef ik alleen het juiste jaar op. Dat zijn hele simpele dingen die je zelf al kunt doen.”

Data wissen

Als het dan werkelijk nodig is om data op te slaan, is het nuttig om een limiet te stellen aan de bewaarperiode. Bedrijven en instanties vragen zich vaak te weinig af hoe lang data hun nut behouden, zegt Van Rijswijk. “Drie jaar geleden verhuisde ik terug naar de omgeving Twente, na een afwezigheid van ruim twintig jaar. Ik moest naar het ziekenhuis voor een onderzoekje, waar ze al mijn gegevens nog bleken te hebben. De vraag is hoe relevant die gegevens dan nog zijn.”

Er zijn meer methoden om een inbraak minder lonend te maken. Een ict-systeem van een zorginstantie is bijvoorbeeld zo op te zetten, dat elke gebruiker per tijdseenheid maar een beperkt aantal patiëntgegevens kan opvragen: ruim voldoende voor een zorgmedewerker, maar veel te weinig voor een hacker om een snelle slag te slaan.

Gevolgen bespreken

Ook als een instantie alleen de meest noodzakelijke data heeft opgeslagen en alle voorgenoemde maatregelen zijn genomen, kan een hack nog erg vervelend zijn. Pas als een instantie precies weet wat er op dat moment te doen staat, is er echt sprake van cyberweerbaarheid, zegt Van Rijswijk. “Is er bijvoorbeeld een draaiboek, offline? Als het goed is, gaat er een meldingsprocedure lopen. Je kunt de impact verkleinen door snel iedereen te informeren die is getroffen. Het meeste misbruik is mogelijk in de periode waarin de getroffenen nog niet op de hoogte zijn, maar hun data al in handen is van kwaadwillenden. Stel ze op de hoogte van mogelijke consequenties.” 

Vaak ontvangen slachtoffers plots vreemde appjes van ‘kinderen’ die plots ‘hun nummer hebben veranderd’, of spookfacturen van de instantie waar het lek plaatsvond. Hoe meer persoonsgegevens de misbruikers in handen hebben, des te overtuigender kunnen dergelijke phishing-pogingen zijn.

Ervan leren

Met een nieuwe wet in de maak die aan bedrijven en instanties meer eisen stelt op het gebied van cyberveiligheid, hoopt Van der Kleij vooral dat alle instanties die data verzamelen zich wat bewuster worden van hun verantwoordelijkheden. “De digitalisering gaat in zo’n razend tempo, dat het voor sommige mensen een wat verlammend effect heeft. Zodat partijen zeggen, laat maar, ik wacht wel tot het overwaait, of tot een beveiligingsmethode is uitontwikkeld.”

Ook hoopt hij op meer bereidheid om van gemaakte fouten te leren. “Neem de TU Eindhoven, waar ze bijna slachtoffer zijn geworden van een grote hack. Zij zijn op de zeepkist geklommen om anderen te vertellen wat ze hebben meegemaakt en hoe ze reageerden. Dat vind ik een goede ontwikkeling. Over zo’n incident heeft iedereen een mening, iedereen vindt dat ze het beter hadden moeten doen. Maar het is ook een kans om ervan te leren.”