Archieffoto. Beeld © EPA
Archieffoto. Beeld © EPA
Nieuws

'Gehackt worden is als verliezen van FC Barcelona, overkomt iedereen'

11 april 2019 19:48

Je kunt nooit helemaal voorkomen dat je wordt gehackt en dat daardoor wellicht bedrijfsgeheimen worden gestolen, maar je kunt het ze wel veel moeilijker maken. Ook kun je uit eerdere aanvallen leren hoe je het de volgende keer kunt voorkomen, leggen experts in cybersecurity uit.

Onlangs was het Nederlandse ASML slachtoffer van omvangrijke bedrijfsspionage. Wat kunnen bedrijven hiertegen doen?

Vroeger waren de kroonjuwelen van bedrijven spullen die in het magazijn of in de kluis lagen, maar nu is alles gedigitaliseerd en in de cloud opgeslagen en iedereen is met iedereen verbonden, dus je kunt gehackt worden, zegt Bibi van den Berg, professor cybersecurity governance aan de Universiteit Leiden.

Zij vreest dan ook dat we daar mee moeten leven. Maar je kunt wel je best doen om zoveel mogelijk lagen bescherming om je intellectuele eigendommen aan te leggen, zegt zij.

Apart netwerk

Hele basale zaken zijn: een firewall aanleggen, hele strikte regels wie er van buitenaf het netwerk mag opkomen en inloggen met bijvoorbeeld een eenmalige code, zegt Bart Jacobs, hoogleraar Digitale veiligheid aan de Radboud Universiteit. 

Als je echt heel gevoelige informatie hebt, dan kun je die op een computer of netwerk zetten dat niet aan internet is verbonden, zegt Jacobs. Maar ook dat is te omzeilen zegt Van den Berg.

Ze verwijst naar Stuxnet, een programma dat centrifuges van het Iraanse nucleaire programma besmette. Dat gebeurde doordat een medewerker, expres of per ongeluk, in de nucleaire faciliteiten in Iran een USB-stick stak in het netwerk dat niet aan internet was gekoppeld.

Netwerk

"Vaak zie je dat bedrijven hun beveiliging goed op orde hebben en hun personeel goed hebben getraind. Maar ze werken ook samen met andere bedrijven. Als één van hen zijn zaakjes niet op orde heeft, dan kan een hacker toch binnenkomen.

De beveiliging is zo sterk als de zwakste schakel in het netwerk", zegt Van den Berg. 

Personeel

Eén van de lastigste vormen van spionage om je tegen te wapenen is die door medewerkers zelf, juist omdat er een vertrouwensrelatie is. Dat medewerkers willen en wetens iets stelen is zo oud als de wereld, zegt zij. "Je kunt personeel wel heel goed screenen, dat maakt het stelen wel moeilijker, maar het is niet uit te bannen."

Als je mensen gebruikt om intellectuele eigendommen te stelen, dan kun je zorgen dat zij op een bepaalde plek belanden in een organisatie waar zij toegang hebben tot bepaalde data,alhoewel dat wel tijd kost. De crux met spionage is dat je je anders kunt voordoen, zodat ook bij strikte screening zij er niet uit worden gehaald, aldus Van den Berg.

Chinese achtergrond

Bij de bedrijfsspionage bij ASML waren mensen met een Chinese achtergrond betrokken, 'maar moet je mensen met een bepaalde achtergrond of nationaliteit weigeren bij bedrijven of universiteit, dat is moreel ingewikkeld', zegt Van den Berg.

Zij wijst er ook op dat de academische wereld in hoog tempo globaliseert, zeker in Silicon Valley heb je veel mensen met bijvoorbeeld een Aziatische achtergrond, zegt zij.

Merkt pas later

Bedrijven hebben ook niet altijd door dat gegevens zijn gestolen, aldus Van den Berg. In de offline-wereld heb je meteen door als iets wordt gestolen, want dan is het weg. Maar als je informatie kopieert, dan heeft de eigenaar de gegevens nog steeds en heeft hij dus niets door, zegt zij.

Van den Berg verwijst naar Marriott hotels, waar de gegevens van 500 miljoen gasten werd gestolen. Daar kwam de onderneming pas jaren later achter.

Meerjarenplan China

Toch kunnen veel bedrijven wel nagaan of ze te maken gaan krijgen met bedrijfsspionage, zegt Frank Groenewegen, Chief Security Expert bij beveiligingsbedrijf Fox-IT.

Zo heeft de Chinese overheid in hun meerjarenplan staan dat het bijvoorbeeld koploper wil worden in de transportsector. De wereldwijde koplopers in die sector gaan dus vermoedelijk bijna allemaal te maken krijgen met bedrijfsspionage, zegt hij.

Grootste bedrijfsgeheim

Bedrijven moeten zich volgens hem goed afvragen wat hun grootste bedrijfsgeheim is en wat zij dus moeten beschermen. Het kunnen bijvoorbeeld bouwtekeningen of een ingrediënt zijn. Je moet je heel goed afvragen wie dat zou willen stelen, soms is dat een concurrent en soms kan het ook een staat zijn, omdat een concurrent in dat land een staatsbedrijf is, zegt Groenewegen.

Staatshackers komen volgens hem altijd binnen in een netwerk, maar zorg er dan voor dat ze niet bij je grootse geheim komen. Je moet er juist voor zorgen dat je het merkt als er iemand binnenkomt en dan op een goede manier reageren, bijvoorbeeld door snel te onderzoeken hoe ze zijn binnengekomen en wat ze aan het doen zijn. Zo kun je ze er direct uitgooien en voorkomen dat ze de volgende keer op dezelfde manier weer binnendringen.

Snel reageren

Soms kun je zien dat hackers al wel binnen zijn, maar alleen in het eerste voorportaal en niet in de kluis, dan heb je nog tijd om ze eruit te gooien, mits je juist reageert.

Het is niet altijd makkelijk na te gaan waar de hackers fysiek vandaan komen. Inlichtingendiensten hebben echter meer bevoegdheden dan commerciële beveiligingsexperts. Zij mogen ook terughacken om zo meer info over de indringers te krijgen, aldus Groenewegen.

Verliezen van FC Barcelona

Hij waarschuwt ook dat bedrijven zich niet moeten schamen als ze zijn gehackt, maar dat doen ze vaak wel. Bedrijven zouden volgens Groenewegen juist meer informatie moeten delen, om ervoor te zorgen dat branchegenoten kunnen leren.

Gehackt worden door Chinese staatshackers is als verliezen van FC Barcelona, dat kan iedereen overkomen en is niet iets om je voor te schamen, mits je natuurlijk wel de basis cybersecurity maatregelen in de praktijk brengt en deze ook toetst, besluit Groenewegen.

Sony

Een beruchte hack van een aantal jaren geleden is die van Sony. Sony werd eind november gehackt en bedreigd vanwege de omstreden film The Interview, waarin de CIA plannen maakt om de Noord-Koreaanse leider Kim Jong-un te vermoorden. Het filmbedrijf besloot de film uiteindelijk terug te trekken.

De cyberaanval, door Noordkoreaanse hackers, legde de systemen van Sony plat en hackers publiceerden tal van mails en geheime documenten die zij hadden buitgemaakt.

Maersk

Twee jaar geleden voerde Rusland cyberaanvallen uit op Oekraïne. Maar het NotPetya virus verspreidde zich verder en bereikte de systemen van containergigant Maersk.

Bij Maersk Line lagen alle computersystemen plat en kon er in enkele weken niet gewerkt worden. In de haven van Rotterdam sloten twee terminals. Het bedrijf moest nieuwe computers aanschaffen, vertelde het al aan RTL Z. De cyberaanval kostte Maersk honderden miljoenen euro's.