Een veerkrachtige mentaliteit ontwikkelen

Veerkracht wordt een steeds belangrijker onderdeel van hoe organisaties cybersecurity benaderen, nu bedrijven zich realiseren dat aanvallen onvermijdelijk zijn en de beperkingen zien van een focus die alleen gericht is op het proberen te stoppen ervan.

 Uit een onderzoek van Gartner blijkt dat organisaties die de principes van veerkracht benutten, beter presteren dan hun minder veerkrachtige branchegenoten en sterkere, meer aanpasbare cybersecurityprogramma's opbouwen.

Centraal hierbij staat het concept van het creëren van een echte 'zero-trust'-mentaliteit (nul vertrouwen), die de basis vormt voor de cyberstrategie van elke organisatie. "Zero-trust is geen product, maar een concept," legt Tony Fergusson uit, CISO in Residence bij het cloudgebaseerde cybersecurityplatform Zscaler, die mede aan de basis stond van deze theorie.

Het ontwikkelen van een veerkrachtige mentaliteit is een kernelement van zero-trust, waarbij individuen worden aangemoedigd verantwoordelijkheid te nemen voor cybersecurity in plaats van dit over te laten aan IT-teams. Dit betekent, volgens Fergusson, dat medewerkers actief betrokken moeten worden bij planningsoefeningen om de impact van een cyberaanval te testen, zodat ze uit de eerste hand kunnen zien hoe ernstig een incident kan zijn. "Ik heb in de 'war room' (crisisruimte) gezeten en mensen reageren heel verschillend," zegt hij. "Sommigen bevriezen volledig en weten gewoon niet wat ze moeten doen. Anderen staan op en nemen de leiding."

'Tabletop'-oefeningen, waarbij teams samenkomen om fictieve maar plausibele scenario's aan te pakken om te testen hoe ze zouden reageren en belangrijke lessen te trekken voor toekomstige gebeurtenissen, kunnen een uitstekende manier zijn om mensen te helpen hun rol en verantwoordelijkheden te begrijpen. "We moeten om tafel gaan met de mensen die in de crisisruimte zullen zitten en ervoor zorgen dat we een plan hebben," zegt Fergusson. "Vaak is er veel onduidelijkheid over wie wat doet, met als gevolg dat er niet veel gebeurt."

Dergelijke oefeningen kunnen vervolgens worden gebruikt om specifieke rollen voor individuen in een crisis te ontwikkelen. "Een van de andere dingen die ik heb gemerkt, is dat we de neiging hebben om te overreageren," voegt hij toe. "Soms is de reactie om alles plat te leggen. Maar dat kan nog meer schade veroorzaken, omdat sommige systemen misschien nog wel werkten. Als je eenmaal alles hebt uitgezet, kan het moeilijk zijn om systemen weer operationeel te krijgen. Dat is geen prettige situatie."

Naast het werken met medewerkers, moeten organisaties een bredere cultuur van veerkracht ontwikkelen. Dit betekent een proactievere benadering voor het identificeren van potentiële risico's, in plaats van te vertrouwen op reactievere technieken. "Endpoint detection and response (EDR) en andere tools zijn sterk gericht op het proberen iets te detecteren en erop te reageren," merkt Fergusson op. "Die reactietijd wordt zo kort dat we moeten nadenken over welke controlemaatregelen we vooraf kunnen implementeren. Als we kunnen zoeken waar we risico lopen, dan kunnen we dat mitigeren voordat er iets gebeurt."

Een centraal principe van het zero-trust concept draait om het verwijderen van het aanvalsoppervlak. "Je kunt niet aanvallen wat je niet kunt zien," zegt Fergusson. "Als ik als organisatie mijn aanvalsoppervlak verwijder, is dat een proactieve maatregel die ik kan nemen om te voorkomen dat een aanvaller mijn infrastructuur compromitteert."

Bestaande technologie kan organisaties ook helpen proactievere stappen te zetten, voegt hij toe, waaronder Sandbox, dat applicaties in een gecontroleerde omgeving draait om ze te testen, voordat ze aan de gebruiker worden geleverd. "Er is nu ook technologie zoals browser isolation (browserisolatie)," zegt hij. "Dit betekent dat we de browser in de cloud kunnen isoleren en alleen de pixels naar de gebruiker sturen, zodat, als er een kwaadaardig stukje code is, dit niet op het eindpunt kan draaien. Het verwijdert het aanvalsoppervlak voor de gebruiker."

Tools voor 'breach and attack simulation' (simulatie van inbreuken en aanvallen) en zelfs kunstmatige intelligentie (AI) kunnen ook identificeren waar de grootste risico's liggen en hoe deze gemitigeerd kunnen worden. "We moeten uitzoeken wat het belangrijkste deel van de technologie is dat moet draaien en ervoor zorgen dat we daar veerkracht omheen bouwen," zegt hij, waarbij hij toevoegt dat industrienormen vaak slechts een basisminimum bieden qua veerkracht. Zodra de grootste risico's zijn geïdentificeerd en in kaart gebracht, kunnen organisaties een risicoregister implementeren en key performance indicators (KPI's) gebruiken om teams aan te sturen deze op te lossen.

Een veerkrachtige mentaliteit betekent ook dat organisaties moeten evalueren hoe ze de technologie gebruiken die ze tot hun beschikking hebben. "Soms ligt het probleem in de manier waarop de technologie wordt gebruikt of geconfigureerd," merkt hij op. "Als ik een firewall heb, maar er geen beleid (policy) in configureer, hoe veerkrachtig ben ik dan tegen een aanval? Daar hebben we nog veel werk te doen."

Aan de basis van dit alles ligt de behoefte aan inzicht. "Dat is een superkracht," concludeert Fergusson. "Als we risico's kunnen mitigeren voordat die aanvaller ons belaagt, voordat dat netwerk uitvalt of voordat die persoon een menselijke fout maakt, dát is echte veerkracht."