‘Wij zijn hier wel goed beveiligd, hoor.’ Ik hoor het geregeld aan een directietafel, meestal met een gerust gevoel erachter. De firewall staat, er draait antivirus, de IT-partij regelt het. Waarom zou je daaraan twijfelen?
Nou, omdat ‘we zijn goed beveiligd’ en ‘we hebben gecontroleerd waar we kwetsbaar zijn’ twee heel verschillende dingen zijn. Het eerste is een gevoel. Het tweede is werk. En laat dat geruste gevoel nou net zijn wat een probleem zo lang verborgen kan houden: niemand kijkt, want niemand denkt dat het nodig is.
Ik ben een tijd ethisch hacker geweest. In opdracht inbreken bij bedrijven, om te laten zien waar het kon. En als je dat een tijdje doet, leer je één ding dat eigenlijk nooit meer weggaat:
Een aanvaller neemt jouw beveiliging niet op je woord aan. Die gaat het gewoon proberen.
Daar zit precies het verschil. In control zijn is geen toestand waarin je gelooft dat alles klopt. Het is een houding. Je gaat ervan uit dat er ergens iets níet klopt, en je gaat het zoeken voordat een ander het vindt. Ongemakkelijk? Zeker. Maar het is wel de houding die past bij een directeur die uiteindelijk aanspreekbaar is als het misgaat.
En nee, dat betekent niet dat je zelf moet leren hacken :-). Het betekent dat je de vraag durft te stellen. Aan je IT-partij, aan je leveranciers: ‘Wanneer heeft er voor het laatst iemand geprobeerd hier binnen te komen, en wat kwam daaruit?’ Is het antwoord ‘eh, dat hebben we eigenlijk nog nooit gedaan’, dan heb je je grootste risico meteen te pakken.
Ik pas die houding ook toe op het platform waar ik zelf mee werk. Ik laat het aanvallen, gestructureerd, alsof ik weer even die inbreker ben. En wat er dan uitkomt, schrijf ik op en los ik op. Niet omdat een of andere auditor dat verplicht, maar omdat ik van mijn klanten precies hetzelfde vraag. Je kunt pas geloofwaardig zeggen ‘zorg dat je grip hebt’ als je je eigen huis op dezelfde manier tegen het licht houdt.
Grip begint dus niet bij het fijne gevoel dat het wel goed zit. Het begint bij de moed om even te kijken of dat ook echt zo is.
En jij? Wanneer heeft er bij jou voor het laatst iemand op de deur geduwd, om te kijken of ie wel op slot zat?