Cybersprookjes

voor bestuurskamers en boardrooms

Jeroen Brouwer

Colofon

Cybersprookjes

Voor bestuurskamers en boardrooms

Auteur: Jeroen Brouwer

Website: www.cybersprookjes.nl

Uitgever: TeamCyber.nl

Druk: Pumbo.nl
Managementboek

ISBN 9789464816501 (e-book)
ISBN: 9789464815924 (print)
NUR 982

Copyright © 2023 Jeroen Brouwer
Niets uit deze uitgave mag worden verveelvoudigd, door middel van druk, fotokopieën, geautomatiseerde gegevensbestanden of op welke andere wijze ook zonder voorafgaande schriftelijke toestemming van de auteur.

Inhoud

Deel I – CONTEXT

WERELDEN

Deel II - CYBERSPROOKJES

DE DRIE BIGGETJES EN DE LOSGELDWOLF

Managementsamenvatting

ROOD HOODIE

Managementsamenvatting

DE VOS, DE RAAF EN DECEPTIE

Managementsamenvatting

DE RANSOMVANGER VAN HAMELEN

Managementsamenvatting

Managementsamenvatting

GOLDILOX

Managementsamenvatting

Deel III – REALITY CHECK

DE ECHTE WERELD

GAMMA-NULMETING

EEN CYBERVERTELLING

BÈTA-NULMETING

NAWOORD

Deel I – CONTEXT

WERELDEN

Zoals de titel al doet vermoeden komen in Cybersprookjes twee werelden bij elkaar: de cyberwereld en de sprookjes-wereld. De cyberwereld kenmerkt zich als een wereld met een technische oorsprong, feitelijk en mechanisch van aard en een extreem hoog detailniveau. Dit is de wereld van de wetmatigheden en de mechanismen waarop bètastudies zich richten.

Het is belangrijk om op een basaal niveau kennis te nemen van deze wereld zodat in een later stadium de context met de sprookjeswereld beter begrepen kan worden.

De sprookjeswereld is een fictieve wereld waarin kenmerken als uiterlijk, maatschappelijke positie, gedrag en moraliteit worden verduidelijkt door deze sterk te overdrijven. Dit is de wereld van de gammastudies over het gedrag van mensen, waarin goed en kwaad tegenover elkaar staan. Laten we aannemen dat iedereen enige basale kennis heeft van sprookjes.

In de cyberwereld is een ordening aangebracht door specifieke functionaliteit aan te duiden met een bepaalde kleur. Zo simuleert een ‘Red Team’ de cyber-aanvallers terwijl een ‘Blue Team’ de verdedigers simuleert. Een ‘Purple Team’ vormt het middenveld daar tussenin. Er is een ‘Yellow Team’ voor cyberarchitecten, een ‘Green Team’ voor cyberscripts en een ‘Orange Team’ voor cyberonderwijs.

Deze ordening met kleuren doet denken aan een kleurenwaaier of een regenboog en heeft eigenlijk ook wel iets ‘sprookjesachtigs’. Die schijn heeft het inderdaad, maar dan is het goed om te weten dat deze ‘Teams’ zich hoofdzakelijk begeven op het vlak van de cyberwereld, dus de bètastudies. Bètamensen hebben over het algemeen niet veel moeite met concepten als cyberrisico’s of mitigerende maatregelen. Zij vinden het vaak ‘onlogisch’ dat hun directie een andere risicoperceptie heeft en andere prioriteiten stelt op het gebied van cybermaatregelen. Maar is dat eigenlijk wel fair?

Laten we eens kijken naar de competenties die doorgaans worden verbonden aan directieposities. Veelgebruikte signaalwoorden daarvoor zijn; empathisch – ambitieus – strateeg – verbinder. Dit zijn de competenties op het vlak van de gammastudies. Een verschil in inzicht op het gebied van cyberprioriteiten is daarom niet alleen begrijpelijk, het is zelfs onvermijdelijk.

Het is dus niet verwonderlijk dat bèta- en gammawerelden hier botsen, maar het is wel een evident probleem. De “Bèta’s” en de “Gamma’s” zullen echt samen moeten optrekken voor een enigszins effectieve integrale aanpak van hun cyberrisico’s. Daarbij is het goed om te beseffen dat je van een Bèta geen Gamma kunt maken en vice versa.

De twee werelden kunnen wel worden verenigd door bijvoorbeeld in te zetten op gezamenlijke beeldvorming ten aanzien van risico’s. Daarbij kunnen de Bèta’s en Gamma’s elkaars risicobeelden aanvullen met hun eigen invalshoeken.

Een andere aanpak zou kunnen zijn het introduceren van een gemeenschappelijke vijand, waardoor samenwerken min of meer situationeel wordt afgedwongen. Een combinatie van beide aanpakken is ook mogelijk, bijvoorbeeld door te focussen op het voorkomen van cybercrime, waarbij de cybercrimineel de gemeenschappelijke vijand is. Hoe beter Bèta’s en Gamma’s integraal samenwerken tegen ‘de cybercrimineel’, des te beter zullen de mitigerende maatregelen bescherming bieden tegen cybercrime.

De afdronk is hier dat criminologie de sleutel kan zijn om te komen tot integrale beeldvorming en mitigatie van cyberrisico’s.

Ter voorbereiding op het sprookjesdeel is het noodzakelijk om nu eerst even stil te staan bij een aantal kernbegrippen uit de criminologie.

In de bètawereld bestaat er een wetmatigheid voor de aanwezigheid van de elementen zuurstof, brandstof en temperatuur als bestaansvoorwaarde voor vuur. Als één of meer van deze elementen ontbreken dan kan vuur niet bestaan. Dit wordt vaak uitgebeeld als de bekende gelijkzijdige ‘branddriehoek’.

Eenzelfde wetmatigheid bestaat er in de gammawereld voor cybercrime: de aanwezigheid van een dader, een slachtoffer en een technisch aanvalsvlak is vereist voor het kunnen bestaan van cybercriminaliteit. Ook dit kan worden gevisualiseerd als een ‘cybercrimedriehoek’.

In de praktijk blijkt vaak dat deze driehoek nogal uit verhouding is. Dat komt omdat in de verschillende elementen ongelijke effort wordt gestoken waardoor de krachtenverdeling in de cybercrime-driehoek niet in verhouding is. Door de bank genomen wordt zo’n tachtig procent van beschikbare cybersecuritybudgetten geïnvesteerd in technische maatregelen (de bètawereld) en twintig procent in het verbeteren van menselijk gedrag (gammawereld). Dan blijft er dus niets over om in te zetten tegen de cybercriminelen. De onderwereld lijkt wel onzichtbaar en van het principe “ken uw vijand” (Sun Tzu) wordt in verdedigend opzicht nauwelijks tot geen gebruik gemaakt. Hoe neem je als board of bestuur een goed besluit over cybersecuritymaatregelen als je de risico’s niet volledig in beeld hebt of doorgrond?

Een gesprek tussen CISO (bèta) en CEO (gamma) over investeren in cybersecuritymaatregelen verloopt anders wanneer het over techniek (firewall) en kwetsbaarheden (onveilig netwerkverkeer) gaat dan wanneer het gaat over het voorkomen van cybercrime (onbevoegde toegang tot je bedrijfsnetwerk). In het laatste geval is het voor beide partijen duidelijk dat de te treffen mitigerende maatregelen ondergeschikt zijn aan het te beschermen belang. Hier komen de bètabelangen én de gammabelangen samen want uiteindelijk zijn beide belangen gediend met goede beveiligings-maatregelen.