Door Den Ouden Informatiebeveiliging
‘Bij ons zit het wel goed, ons systeembeheer regelt dat allemaal.’ Of deze: ‘Een mannetje doet de ICT bij ons.’ Het zijn zinnen die ik als ethisch hacker vaak hoor van ondernemers. En prima natuurlijk als het beheer of dat mannetje het ook goed doet. Logisch ook: je vertrouwt op de mensen die je systemen draaiend houden. De ethisch hacker stelt echter een andere vraag: wat gebeurt er als iemand met kwade bedoelingen in je systemen zit of meekijkt met jouw data?
Tijdens een pentest, een ethische hack waarbij we ons gedragen als een criminele hacker, bij een mkb’er kwam dat verschil duidelijk naar voren. De ondernemer was ervan overtuigd dat zijn digitale omgeving waterdicht was. Moderne infrastructuur (laatste Windows-versies), multi-factor-authenticatie was ingesteld en medewerkers kregen uitleg over phishing.
Toch vonden we in het netwerk een vergeten systeem met verouderde software. Voor de ondernemer was dat niet meer dan een apparaat om wat back-ups op te zetten. Voor mij was het een toegangspoort tot het hele netwerk.
‘Inzichten ontstaan als een alledaags apparaat een risico vormt’
De ondernemer denkt in termen van continuïteit: zolang het werkt, is het goed. De ethisch hacker denkt in scenario’s: wat als iemand dit misbruikt? Het lijken tegengestelde werelden, maar uiteindelijk willen we hetzelfde: een bedrijf dat kan blijven draaien zonder nare verrassingen.
De kracht van ethisch hacken zit precies in dat spanningsveld. Wij zoeken de barstjes op voordat criminelen ze vinden. Daardoor krijgt een ondernemer de kans om problemen te verhelpen voordat ze schade veroorzaken.
De ondernemer leert door de ogen van een hacker naar zijn bedrijf te kijken. Dat levert vaak nieuwe inzichten op: ineens blijkt een alledaags apparaat een risico te vormen of een proces toch een zwakke plek te hebben. Juist door die blik te delen ontstaat er ruimte voor verbetering en groeit het vertrouwen dat de basis stevig staat.
Jochen den Ouden is ethisch hacker bij Den Ouden Informatiebeveiliging. Hij schrijft columns over de onmogelijkheid van perfecte informatiebeveiliging en over de kansen die ontstaan als mensen zich bewust worden van risico’s.
