'Vertrouwen is goed, controle is beter'

7 vragen aan Erik Remmelzwaal, CEO van beveiligingsbedrijf DearBytes over informatiebeveiliging anno 2013.

In '7 vragen aan...' besteden we aandacht aan IT-bedrijven van Nederlandse bodem. Deze week spraken we met Erik Remmelzwaal, CEO van DearBytes.

'Vertrouwen is goed, controle is beter'

7 vragen aan Erik Remmelzwaal, CEO van beveiligingsbedrijf DearBytes over informatiebeveiliging anno 2013.

Securitybedrijf DearBytes werd in 2001 opgericht - toen nog onder de naam Medusoft. Het bedrijf helpt organisaties en overheden met het oplossen van incidenten en het beveiligen van informatie. De naam DearBytes slaat op het veiligstellen van informatie. En die hoort volgens Erik niet thuis in de cloud. Tijd voor zeven vragen…

1. Was is de impact van de PRISM onthullingen voor het Nederlandse bedrijfsleven?

“Sinds deze onthullingen is duidelijk geworden dat het internet continu onder toezicht staat. Over de ernst daarvan zijn mensen ernstig verdeeld. De één zegt niets te verbergen te hebben en de ander vreest voor de privacy. Het feit is dat er in onze gegevens gesnuffeld kan worden. In ieder geval door de NSA, maar wie weet wie nog meer. Ik denk dat deze onthulling grote gevolgen zal hebben, vooral voor cloud-computing. Een half jaar terug ging iedereen er nog blind dat IT richting de cloud verhuist, maar de eerste haarscheurtjes dienen zich nu aan. Ik denk dat clouddiensten zoals Office 365 en Google Apps hier serieus onder zullen lijden. Het is niet alleen de vraag wat de mening van de ondernemer is, maar ook wat diens klanten ervan vinden dat hun gegevens op Amerikaanse servers komen te staan. Sommige informatie hoort simpelweg niet thuis op het internet.”

2. Kan dit dan het einde betekenen van het cloud-model?

“Het lastige is natuurlijk dat clouddiensten vooral voor MKB’ers betaalbare diensten zijn die complete IT vraagstukken oplossen, dus er wordt wel voorzien in een behoefte. Maar ik denk dat de onthullingen ervoor zorgen dat er kritischer gekeken wordt naar publieke clouddiensten. Ik denk dat dit de groei van private clouddiensten zal stimuleren, waar de data bijvoorbeeld wel on-premise staat, maar wordt beheerd door een serviceprovider op afstand. Voor onze eigen organisatie geldt overigens de harde lijn: niet in de cloud. Wij zijn actief in cybersecurity en informatiebeveiliging, dus is het voor ons niet acceptabel om data op locaties op te slaan waar wij geen controle over hebben. Het zijn onze kroonjuwelen.”

3. Welke uitdagingen spelen er op het securityvlak?

“Een belangrijke trend is ‘consumerization of IT’, waarbij mensen zelf nieuwe technologie inzetten voor hun werk. Denk bijvoorbeeld aan het gebruik van iPad’s of diensten als Dropbox om documenten te delen. Dat leidt tot een wildgroei van hardware en applicaties, wat een flinke uitdaging vormt. Ook het management van organisaties doet daar vaak aan mee, door bijvoorbeeld als eerste een iPad te kopen en deze te gebruiken zonder beveiligingscode en met een datadeeldienst als iCloud. Dergelijke apparaten kunnen wel gebruikt worden, maar er moeten eerst afspraken gemaakt worden om ze beheersbaar te maken en risico’s te verkleinen. Dat geldt overigens ook voor andere zaken, als het gebruik van usb-sticks en webmail. Vertrouwen is goed, maar controle is beter.”

4. Hoe ontwikkelen cybercriminelen zich?

“Cybercriminelen gaan steeds meer doelgericht bezig. Steeds vaker zijn ze specifiek op zoek naar bepaalde informatie en ze doen er alles aan om niet ontdekt te worden. Vroeger gaf het virusmakers een kick als hun virus zich in rap tempo rond de wereld verspreidde. Omdat ze snel ontdekt werden, bleef de schade vaak beperkt. Antivirussoftware kon het virus herkennen en deze vervolgens uitschakelen. Tien jaar geleden waren het vooral wormen die zichzelf verspreidden, maar tegenwoordig gaat het om Trojaanse paarden die de security proberen te omzeilen. Malware probeert nu zo lang mogelijk onherkenbaar te blijven. Het kan maandenlang sluimeren op een computer, tot het ineens toeslaat. Antivirussoftware, firewalls en partijen als wij zitten er bovenop, maar het blijf een kat-en-muis-spel.”

5. Doet de overheid voldoende om mensen bewust te maken van informatielekken?

“In vergelijking met Amerika, Engeland en Duitsland lopen wij achterop. Er zijn wetten in ontwikkeling die er eigenlijk allang hadden moeten zijn, zoals een meldplicht voor datalekken. In tijden van bezuinigingen ligt investeren in security niet het meest voor de hand, omdat je er niet direct iets voor terugkrijgt. Veel bedrijven handelen incidentgericht: pas als er iets is voorgevallen gaan ze handelen. In de VS heeft de Obama-regering een interessant plan bedacht: ze willen bedrijven gaan belonen voor goede cybersecurity, in plaats van andersom: straffen. Dat zou hier ook goed kunnen werken. Cybercriminaliteit is één van de grootste bedreigingen voor het Nederlandse bedrijfsleven en de maatschappij.”

6. Hoe pakken jullie in de praktijk incidenten aan?

“Vaak is er een acuut probleem, zoals een virus op het netwerk. Het werk ligt plat, dus het bedrijf wil zo snel mogelijk de werkzaamheden weer kunnen oppakken. Tegelijkertijd willen we ook weten waardoor het probleem veroorzaakt is en hoe dat in de toekomst voorkomen zou kunnen worden. Er is vaak geen goed beeld wat er zoal op het netwerk is aangesloten. Wat is de rol er van en wat is de waarde? Dat laatste bepaalt waar de prioriteiten liggen met betrekking tot de beveiliging. Malware kan zijn slag slaan door het misbruiken van softwarelekken. Dus een speurtocht in het netwerk naar potentiële kwetsbaarheden die misbruikt kunnen worden door hackers of malware is de eerste prioriteit. Vaak is er bij bedrijven geen ‘incident response plan’ op basis waarvan ze kunnen handelen. Er is dan sprake van blinde paniek, zeker wanneer het uitvallen van systemen gevolgen heeft voor de samenleving - zoals in een ziekenhuis of bij een gemeente. Onze medewerkers vinden acute gevallen juist interessant; het geeft een adrenalinekick en het is erg dankbaar werk.”

7. Vereist dit werk specifiek gekwalificeerd personeel?

“Ja, goed personeel is schaars. Het probleem is dat er nauwelijks adequate opleidingen zijn voor cybersecurity. De Radboud Universiteit van Nijmegen gaat komend studiejaar als eerste beginnen met een bacheloropleiding cybersecurity, maar het duurt nog wel even voordat daar de eerste mensen uitstromen. Bovendien is een klas vol bachelors een druppel op de gloeiende plaat van de vraag naar securityspecialisten. Ervaren werknemers zijn lastig te vinden. Je doet vooral zinvolle ervaring op in de praktijk, bijvoorbeeld bij incidenten. De meeste mensen lopen dan ook eerst één a twee jaar mee voordat we ze zelfstandig kunnen inzetten. Daarnaast hebben we ook een intern opleidingsprogramma. Bij het selecteren van kandidaten letten we vooral op karakter. Affiniteit met IT en security is goed, maar het gaat vooral om toewijding en samenwerking. En de bereidheid om midden in de nacht opgeroepen te worden voor een crisis. We verwachten dat het eerder moeilijker dan makkelijker wordt in de toekomst, want er zal steeds meer behoefte zijn aan securitypersoneel. Cybercriminaliteit neemt toe en een firewall en anti-virusoplossing is niet meer genoeg vandaag de dag. Daarnaast neemt de arbeidsmarkt af door vergrijzing. Wij voorzien dat een groot tekort zal blijven voor cybersecurity-personeel.”