Twee mensen, één leeuw. Moet je sneller lopen dan de leeuw om te overleven? Nee, het volstaat van beide mensen de snelste te zijn. De vergelijking geeft een goed beeld van hoe de securitysector denkt. Het is onmogelijk de cybercriminelen altijd een stap voor te blijven. Dus win je alleen maar wanneer je betere oplossingen aanbiedt dan de concurrentie.
De strijd tegen cybercriminaliteit heeft iets van een wapenwedloop. Cybercriminelen doen een zet, de beveiligingsindustrie antwoordt met een tegenzet. Securitybedrijven introduceren een nieuwe oplossing, criminelen zoeken er een weg omheen. Tegelijk vond er de voorbije jaren aan beide zijden een snelle professionalisering plaats. De hacker is niet meer de eenzame tiener van weleer, die zich bij wijze van hobby met virussen inliet of systemen platlegde voor de kick. Cybercriminaliteit is in handen van professioneel georganiseerde bendes die geld willen verdienen.
Geen technologie, wel psychologie
Het is onmogelijk ict-beveiliging te bedenken die voor honderd procent waterdicht is. Altijd weer komt het erop aan het juiste evenwicht te vinden tussen het benodigde beveiligingsniveau enerzijds, en gebruiksgemak, performantie en flexibiliteit anderzijds. De beveiligingswereld lost dat vraagstuk deels op door zich in de geest van de hacker te verplaatsen. Wie als een crimineel leert denken, ziet daardoor sneller hoe hij zich beter kan beschermen.
Niet de laptops, servers of switches vormen de meest kwetsbare delen van de onderneming, wel haar medewerkers.
Los van alle technologie blijft psychologie het krachtigste wapen van de hacker. Niet de laptops, servers of switches vormen de meest kwetsbare delen van de onderneming, wel haar medewerkers. Enkele eenvoudige afspraken met die medewerkers kunnen al meteen een boel incidenten vermijden. Een smartphone en laptop beveiligen met een paswoord, bijvoorbeeld, zorgt ervoor dat bij het verlies of de diefstal van het toestel de data die er zich op bevinden niet zomaar meteen op straat liggen. Om dezelfde reden krijgen medewerkers het strikte advies om documenten enkel versleuteld op een USB-stick op te slaan.
Visuele hacking
Heel wat vormen van cybercriminaliteit steunen op het principe van social engineering. De hacker belt zijn slachtoffer op, geeft zich uit voor iemand van de ICT-afdeling en vraagt een paswoord. Er zijn gevallen bekend waarbij hackers gewoon bij een bedrijf binnenstappen, zich onopvallend in een landschapskantoor installeren en uiteindelijk zelfs in de serverroom binnen raken. In een omgeving waar altijd veel passage is van klanten en externe partners, valt zoiets nauwelijks op.
Wie vanaf de zijkant het scherm probeert te bekijken – vanaf een hoek van 35 graden – krijgt enkel een verduisterd scherm te zien.
De eenvoudigste manier om data te stelen, bestaat uit visual hacking: meekijken en meelezen op het scherm van een slachtoffer. Om dat soort datalekken te vermijden heeft HP een oplossing bedacht. Het gaat om Sure View, intussen beschikbaar op de EliteBook x360, de nieuwste business convertible van HP. Om spiedende blikken af te weren was het tot nu toe behelpen met allerlei filters. Die waren niet alleen onhandig in gebruik, heel vaak boden ze ook niet echt afdoende bescherming. Dan pakt HP het met Sure View meteen heel wat professioneler aan. Wanneer de gebruiker de toepassing activeert, legt hij als het ware een extra laag over het scherm van de laptop. In de praktijk komt het erop neer dat alleen de gebruiker het scherm nog kan lezen. Wie vanaf de zijkant het scherm probeert te bekijken – vanaf een hoek van 35 graden – krijgt enkel een verduisterd scherm te zien.
Inzicht in de eigen kwetsbaarheid
Nogmaals, zelfkennis is waar ICT-beveiliging begint. Wie wil weten hoe hackers de kwetsbaarheid van zijn bedrijf uitbuiten, moet net als die hackers op zoek gaan naar de zwakke plekken in de beveiliging. Het gevaar schuilt daarbij zowat om iedere hoek: onbeveiligde netwerkpoorten, accounts waarvan het standaardpaswoord nog niet is veranderd, software die niet van de laatste updates is voorzien, enzovoort. Maar toch: onderschat nooit de medewerker als potentieel doelwit. Heel vaak slagen hackers erin om via sociale media allerlei persoonlijke informatie over een medewerker te verzamelen, ook zijn of haar e-mailadres. Via phishing trachten ze de gebruiker dan te verleiden om op een geïnfecteerde link te klikken, waardoor er malware op het bedrijfsnetwerk terechtkomt, enzovoort.
Omdat we steeds vaker mobiel werken, verschuift een deel van het risico naar het gebruik van die mobiele toestellen. Bij de EliteBook x360 zet HP daarom in op Multi-Factor Authentication, waarbij het toestel verschillende elementen combineert – zoals paswoord, gezichtsscan, irisscan en vingerafdruk. Het gebruik van HP SureStart voegt nog een extra laag aan de beveiliging toe. Hackers zijn er vaak op uit om de controle over het BIOS van een laptop over te nemen. Het BIOS is het deel van de laptop dat instaat voor de communicatie tussen het besturingssysteem en de hardware. Heeft de hacker er controle over, dan kan hij onder meer toetsaanslagen registreren – en zo paswoorden achterhalen. Merkt HP SureStart dat er iets aan de hand is met het BIOS, dan plaatst het systeem automatische het originele BIOS terug. Op die manier staat de hacker buiten spel.