"We zijn maar een klein bedrijf. Voor cybercriminelen zijn wij niet interessant."

Dat hoor ik bij vrijwel elke kennismaking. En het is begrijpelijk, want de aanvallen die het nieuws halen gaan over ziekenhuizen, gemeenten en multinationals. Zo ontstaat het beeld dat een aanvaller kiest, en dat u niet gekozen wordt.

In de praktijk kiest bijna niemand.

Aanvallers zoeken geen bedrijven, ze zoeken zwakke plekken

Het overgrote deel van wat een organisatie dagelijks te verduren krijgt, komt van software die het hele internet afzoekt naar bekende kwetsbaarheden. Die software kent uw bedrijfsnaam niet en heeft geen idee wat u omzet. Hij ziet een verouderde versie van een systeem en probeert het gewoon.

Pas als dat lukt, komt er soms een mens kijken. En dan pas wordt bekeken wat er te halen valt.

Vergelijk het met een inbreker die een straat afloopt en aan elke deurklink voelt. Hij kiest niet het mooiste huis. Hij kiest het huis waar de deur meegeeft.

Wat zo'n scan vindt, is meestal alledaags:

- een systeem waarop een update is blijven liggen

- een Microsoft 365-account zonder multifactor authenticatie

- een externe toegang die ooit tijdelijk is opengezet

- een account van een medewerker die al maanden uit dienst is

Bij een klant kwam ik langs die route binnen in de beheeromgeving van hun website. Er was een account met een wachtwoord dat in seconden te raden was, en dat account bleek volledige beheerrechten te hebben. Het was ooit aangemaakt voor een familielid van de eigenaar, dat die rechten nooit nodig had gehad. Er had jarenlang niemand meer naar gekeken.

Dat is geen ingewikkelde aanval. Dat is een deur die meegeeft.

"Wij hebben toch niets geheims"

Ook dat hoor ik vaak, en het klopt zelden.

U hoeft geen staatsgeheimen te bewaren om interessant te zijn. Een e-mailarchief is genoeg om overtuigende facturen na te maken. Een klantenbestand is genoeg om uw klanten te benaderen alsof u het zelf bent. Een offertemap laat precies zien wat een organisatie waard is en met wie ze zaken doet.

En zelfs als een aanvaller er zelf niets mee kan, is het door te verkopen. De waarde van uw gegevens wordt niet bepaald door wat u ermee doet, maar door wat een ander ermee kan.

Daar komt bij dat de schade zelden bij de data zelf ophoudt. Er moet onderzocht worden wat er precies is gebeurd. Er moet mogelijk gemeld worden bij de Autoriteit Persoonsgegevens. Klanten en leveranciers moeten worden ingelicht. En terwijl dat loopt, staat de bedrijfsvoering vaak deels stil.

Waarom een checklist deze vraag niet beantwoordt

De meeste organisaties doen op dit vlak al meer dan ze zelf denken. Updates worden uitgevoerd, back-ups gemaakt, systemen gecontroleerd. Vaak zit daar een prima IT-partij achter.

Toch blijft één vraag onbeantwoord: houdt dat stand wanneer iemand het echt probeert?

Dat antwoord staat niet in een checklist en ook niet in een compliance-audit. Die toetsen of maatregelen aanwezig zijn, niet of ze werken. Een firewall kan volledig ingericht zijn en toch een regel bevatten die drie jaar geleden tijdelijk bedoeld was.

Ook een traditionele penetratietest geeft dat antwoord maar half. Een pentest zoekt kwetsbaarheden in een afgebakende omgeving, binnen een afgesproken periode, en levert een lijst bevindingen op. Nuttig, maar het is een momentopname van techniek.

Een echte aanvaller houdt zich niet aan die afbakening. Hij combineert. En hij beperkt zich niet tot het netwerk.

Bij een red team-opdracht was de voorkant van het pand voorbeeldig geregeld:

Tourniquets, bewaking, een receptie achter glas. Daar zou ik niet doorheen komen, dat zag ik meteen. Aan de zijkant stond een hek open waar leveranciers en fietsers binnenkwamen. Ik liep naar binnen, riep opgewekt goedemorgen tegen de beveiliger en kreeg een goedemorgen terug.

Even later hield ik bij een deur een collega met volle handen de deur open. Ze bedankte me vriendelijk. Ik liep mee naar binnen, nam de lift naar boven, koos een leegstaand kantoor en sloot mijn laptop aan. Bij de koffieautomaat maakte ik een praatje. Niemand vroeg wat ik daar deed. Eén iemand vroeg of ik nieuw was, en daar kon ik naar waarheid ja op antwoorden. Ik was die ochtend tenslotte net begonnen.

Elk van die stappen was op zichzelf onschuldig. Een openstaand hek is geen kwetsbaarheid. Een deur openhouden voor een collega is beleefdheid. Samen vormden ze een route die in geen enkele technische scan naar voren was gekomen.

En misschien wel de belangrijkste vraag ontbreekt in zo'n scan helemaal: had u het gemerkt?

Van beveiliging naar weerbaarheid

Geen enkele omgeving is honderd procent dicht te krijgen. Daarom verschuift de aandacht van voorkomen naar weerbaarheid: hoe snel ziet u dat er iets gebeurt, hoe snel stopt u het, en hoeveel schade richt het intussen aan.

Dat is niet alleen een technische vraag. Detectie kan uitstekend werken en toch niets opleveren, bijvoorbeeld omdat de melding binnenkomt op een moment dat de mensen die erop moeten handelen er niet zijn.

Een realistische aanvalssimulatie test dat geheel. Niet alleen of een kwetsbaarheid bestaat, maar wat er daarna gebeurt: welke routes werkelijk begaanbaar zijn, welke maatregelen hun werk doen, waar de blinde vlekken zitten, hoe snel uw organisatie reageert, en welke verbetering de meeste risico wegneemt per geïnvesteerde euro.

Dat laatste is voor bestuurders vaak de grootste opbrengst. Niet een langere lijst met werk, maar duidelijkheid over welke drie dingen er als eerste moeten gebeuren.

"Ons is nog nooit iets overkomen"

Dat klinkt geruststellend, maar het is geen bewijs.

Er zijn drie mogelijkheden. Een aanval is tijdig gestopt, en dan werkt uw beveiliging. Er is nooit een aanval geweest die ver genoeg kwam, en dan hebt u geluk gehad. Of er is wel iets gebeurd en het is nooit opgemerkt. Van binnenuit voelen die drie precies hetzelfde.

Bovendien gaat die vraag uit van een aanvaller van buiten. In de praktijk kom ik minstens zo vaak iets anders tegen: een rechtenstructuur die veel verder reikt dan iedereen dacht. Medewerkers die bij gegevens konden die niets met hun functie te maken hadden, zonder dat zij dat zelf wisten en zonder dat er ooit iets mee was gebeurd.

Dat is de gelukkige variant. Maar het betekent wel dat er jarenlang een risico lag dat niemand kon inschatten, omdat niemand wist dat het er was. Wie kan bij wat, is een vraag die veel organisaties niet kunnen beantwoorden. En dat is precies de vraag waar een aanvaller mee begint.

De juiste vraag

Aanvallers kiezen steeds minder op naam en steeds vaker op kans. Niet de grootste organisatie is het aantrekkelijkste doelwit, maar de organisatie met de minste weerstand.

De vraag is dus niet of u interessant genoeg bent. De vraag is hoeveel moeite iemand zou moeten doen om binnen te komen, en of u het zou merken als het lukte.

Wie daar een eerlijk antwoord op heeft, heeft meer dan een goed beveiligde omgeving. Die heeft inzicht. En inzicht is waar cyberweerbaarheid begint.

Wilt u weten hoe een aanvaller naar uw organisatie kijkt?

In een gesprek van een half uur nemen we door hoe ik laat zien wat er van buitenaf van uw omgeving zichtbaar is: welke systemen open staan, wat daarover publiek te vinden is, en waar een aanvaller waarschijnlijk zou beginnen. Zonder verplichtingen, en zonder dat er iets op uw systemen hoeft te worden geïnstalleerd.