Eerder gepubliceerd op 30 november 2015 in Trouw:
Hoe zorgen we voor veiligheid in de virtuele wereld? Denker des Vaderlands Marli Huijer adviseerde: ga eens langs bij het Centre of Expertise Cyber Security. Tweede deel van een serie met adviezen van de Denker.
Maurice van Turnhout
De Denker adviseert
Vertrouwen dat je niet moet hebben
De reële en de virtuele wereld raken steeds meer met elkaar verknoopt. Dankzij internet en nieuwe media is het voor iedereen mogelijk om een virtueel sociaal netwerk op te bouwen. Is het schadelijk als zo’n netwerk beperkt blijft tot de eigen sociale kring?
Misschien wel, meent Denker des Vaderlands Marli Huijer: “Onze contacten spelen zich steeds meer af in de virtuele ruimte. Als een nieuw soort tussenruimte zou die kunnen bijdragen aan de publieke sfeer. Maar in de praktijk wordt de virtuele ruimte vooral gebruikt als een sociaal netwerk en veel minder als een publiek domein, waarbinnen je met elkaar nadenkt over het algemeen belang.”
Daarom gaat Huijer in dialoog met de ontwerpers en bouwers van digitale netwerken, zoals de docenten en studenten van de faculteit IT & Design aan de Haagse Hogeschool. In juni van dit jaar begon de Hogeschool het Centre of Expertise Cyber Security, een expertisecentrum voor digitale veiligheid. Het centrum onderzoekt onder meer of de digitale veiligheidssystemen van Nederlandse waterschappen wel effectief zijn.
“Het beschermen van Nederland tegen het water is een goed voorbeeld van een algemeen belang,” zegt Huijer.
Van oudsher is de veiligheid van de Nederlandse waterkeringen gebouwd op sociaal vertrouwen tussen de mensen die er werken. Vanuit dat vertrouwen kunnen menselijke fouten onderling worden gecorrigeerd. Door veiligheid te verleggen van reële naar virtuele netwerken, wordt dat sociale vertrouwen onder druk gezet, zegt Huijer.
“Vergelijk het met een chirurg, die tijdens een operatie zijn wachtwoord aan een OK-assistente geeft, zodat ze even op zijn computer kan inloggen. Niets aan de hand, zou je zeggen. De leden van een operatieteam moeten volledig op elkaar kunnen vertrouwen. Maar volgens veel cyberbeveiligers hoor je dat vertrouwen niet te hebben: de wachtwoorden dienen geheim blijven. Op die manier creëren virtuele netwerken wantrouwen.”
Huijer adviseert de jongste lichting IT-ontwerpers dan ook om met hun techniek de menselijke maat niet uit het oog te verliezen. “Verder moet het publieke belang altijd vooropstaan. In dit geval gaat het niet om het automatiseren van zomaar een systeem, maar om het beveiligen van een kwetsbare publieke zaak als het waterbeheer.”
Veilig Water
De Nederlandse strijd tegen het water heeft mythische proporties gekregen. Dat de realiteit soms even banaal als verontrustend is, bleek in 2012 in het actualiteitenprogramma ‘Een Vandaag’. In Veere was de bediening van de gemeentelijke gemalen met internet verbonden, en kon je inloggen op het systeem door simpelweg het wachtwoord ‘Veere’ in te tikken. Daarna kon je het gemaal zelf bedienen.
“Sindsdien is er wel een en ander verbeterd,” zegt Marcel Spruit, lector Cyber Security & Safety aan de Haagse Hogeschool. “De automatisering is weliswaar in de jaren zestig begonnen, maar de geautomatiseerde besturing van gemalen en sluizen is nog betrekkelijk jong. Er moest in relatief korte tijd een slag worden gemaakt om de beveiliging op hetzelfde of hoger niveau te krijgen als voor de automatisering. Sinds 2012 zijn er flinke stappen gemaakt.”
Spruit zit aan een vergadertafel in het High Tech Centre, gevestigd in de voormalige fabriekshal van een staalconstructiebedrijf in Delft. Deze locatie wordt gebruikt voor het project Veilig Water, dat hij leidt. Naast Spruit zit Stéfan Ellenbroek, algemeen manager van het expertisecentrum. Als enige in het pand draagt hij een pak en stropdas.
“Het expertisecentrum is een organisatie waar publiek én privaat geld is gestoken, uit regionaal bedrijfsleven, overheden, onderwijs, waterschappen,” legt Ellenbroek uit. “Die partijen hebben allemaal belang bij goed, hightech geschoold personeel. Wij kunnen dat leveren,” pitcht hij.
Spruit: “Wereldwijd wordt er onderzoek gedaan naar de techníek van digitale veiligheid. Heel belangrijk, maar daarmee los je de beveiligingsproblematiek niet op. Het organiséren van veiligheid is onderbelicht gebleven, en daar proberen wij aan bij te dragen.”
Een vleugel van het High Tech Centre baadt in groenig licht. Hier staan rijen computerschermen en serverkasten opgesteld, waaraan studenten zitten te werken. Op een lessenaar staat een kopie van de digitale systemen van een waterkering. Op deze simulator kunnen cyberaanvallen worden nagebootst, om de systemen op zwakheden te testen en tegenmaatregelen uit te proberen.
Malware
Informaticastudent Jeroen Weggen (23) is één van de hackers die een cyberaanval moeten nabootsen. Vanaf een laptop verstuurt hij een pdf met malware, om zo het systeem binnen te dringen. Zijn opdracht: de sluizen openzetten. Medestudent Ibrahim Vural (22) overziet de meldkamer waar de signalen over verdachte activiteiten binnenkomen. Zijn opdracht: de hack tegenhouden.
“Een beetje competitief is het wel,” grinnikt Jeroen, “Er zit een wedstrijdelement in.”
Ibrahim wijst op de rode alerts die zijn scherm doen oplichten. “De kleur betekent dat ze een high severity hebben,” legt hij uit. Ibrahim ziet een mooie toekomst voor zichzelf als digitaal beveiliger. “Cyberveiligheid is al een aantal jaren een hot item. Zo was een tijdje terug het wormvirus Stuxnet in het nieuws, waarmee een aanval werd gedaan op Iran.”
“Cyberveiligheid is nooit volmaakt, maar we proberen een casus van zoveel mogelijk kanten te bekijken,” zegt Pieter Burghouwt, docent en onderzoeker aan de Hogeschool. De simulator is zijn kindje. “Niet elke cyberaanval die op de simulator wordt uitgevoerd, vormt een reëel gevaar voor de waterschappen. Maar het kan altijd zo zijn dat een andere aanval, die niet door ons getest is, wel effect heeft.”
De waterschappen volgen de tests met de simulator op de voet. Soms leiden onderzoeken van het Cyber Security Center tot nieuwe protocollen. “Zoals: nooit een usb-stick van buiten in het bedrijfsnetwerk doen,” zegt Ellenbroek.
Zijn de zorgen van Marli Huijer dan terecht, en staat het vertrouwen op de werkvloer onder druk door digitale veiligheid? Spruit: “Een goede beveiliger stimuleert juist vertrouwensbanden. Alleen waar mensen te goedgelovig zijn, moet het vertrouwen worden gedempt. Dat vergt inzicht, en goede communicatie. Om bij Huijers voorbeeld van de operatiekamer te blijven: je kan ook kiezen om voor dergelijke situaties een groepsaccount in te stellen, of de OK-assistente meer rechten te geven.”
“Daarmee creëer je juist een situatie met meer vertrouwen,” valt Ellenbroek bij.
Het expertisecentrum wil met de pabo van de Haagse Hogeschool ook lesprogramma’s voor basisscholen gaan ontwikkelen, onder het motto: met cyberveiligheid kun je niet vroeg genoeg beginnen. Waarom immers wel lessen in veilig oversteken, en niet in veilig computeren?
Wachtwoorden
Ellenbroek: “Mijn dochtertje zit in groep drie. Ik zag dat er bij de computers in het lokaal een briefje lag met inlognamen en wachtwoorden. Op zich logisch: kinderen van zes kunnen nu eenmaal geen lange codes onthouden. Toch heb ik de juf daarop aangesproken, want zo leer je kinderen aan dat het normaal is om elkaars codes te kennen, en dat zo’n wachtwoord alleen een vervelend hobbeltje is. Ze moeten juist leren wat de consequenties kunnen zijn als ze als een ander inloggen. En wij moeten misschien een tool ontwikkelen waarmee kinderen makkelijk individueel kunnen inloggen, bijvoorbeeld met een plaatje van een poppetje dat ze aan hun naam kunnen koppelen.”
Ook bij de simulator van het waterschap is er sprake van een visuele leercurve. Als de hacker ‘wint’ en de beveiliger ‘verliest’, wordt een maquette van een vredig ogende polder met boerderijtje door een miniatuur-gemaal onder water gepompt. Game over.
Spruit: “Dan zien studenten direct met eigen ogen wat er op het spel staat. En leren ze wat de rol van menselijk handelen is in digitale veiligheidssystemen.”