“Bij ons zit het wel goed, ons systeembeheer regelt dat allemaal.” Of deze, ook een klassieker: “Een mannetje doet de ICT bij ons.”
Het zijn zinnen die ik als ethisch hacker regelmatig hoor. Meestal worden ze niet uit gemakzucht uitgesproken, maar vanuit oprecht vertrouwen. Je vertrouwt op de mensen die de systemen draaiend houden, de beheerder die storingen oplost en de specialist die zorgt dat iedereen elke ochtend gewoon kan inloggen. Als de business draait, voelt digitale veiligheid al snel als een afgevinkt vakje.
Maar daar zit precies de crux. Een ondernemer en een hacker kijken naar dezelfde omgeving, maar zien een totaal andere wereld. De ondernemer vraagt: “Werkt het?” De hacker vraagt: “Wat gebeurt er als ik dit misbruik?”
Werken is iets anders dan veilig zijn
Tijdens een recente pentest bij een mkb-organisatie werd dit verschil pijnlijk duidelijk. De ondernemer was ervan overtuigd dat de basis stevig stond. De infrastructuur was modern, de laatste Windows-versies waren geïnstalleerd, MFA (multi-factor authenticatie) stond aan en er was zelfs aandacht besteed aan phishing-trainingen. Op papier was alles geregeld. In de praktijk werkte het ook: de facturen gingen eruit, de bestanden waren bereikbaar en de koffieautomaat was waarschijnlijk het enige dat af en toe haperde.
Toch vonden we in korte tijd een vergeten systeem in een uithoek van het netwerk. Het draaide op verouderde software en was ooit neergezet om ‘tijdelijk’ wat extra back-ups op te slaan. Voor de ondernemer was het een onzichtbaar hulpmiddel dat al jaren trouw zijn werk deed zonder omkijken. Voor mij was het geen oud apparaat, maar een openstaande deur.
Het was het startpunt van een keten: via dit vergeten systeem verkregen we rechten, via die rechten kregen we toegang tot configuraties, en voor de dag om was, lagen de kroonjuwelen van het bedrijf op straat.
De valkuil van de ‘draaiende’ business
Ondernemers denken logischerwijs in termen van continuïteit. ICT is voor de meeste organisaties geen doel, maar de fundering onder planning, facturatie en communicatie. Als die fundering hapert, merk je dat direct. Daarom gaat de meeste aandacht naar beschikbaarheid.
Hier ontstaat de blinde vlek: een systeem dat blijft werken, valt niet op. Een back-up-unit die nooit problemen geeft, krijgt geen prioriteit op de agenda. Een oude applicatie die nog precies doet wat hij moet doen, blijft draaien omdat vervanging tijd kost en niemand er last van heeft.
Totdat iemand er wél naar kijkt. Niet als gebruiker, maar als aanvaller.
Denken in scenario’s, niet in vinkjes
Een ethisch hacker stelt vragen die buiten het bereik van regulier systeembeheer liggen. Dat is geen wantrouwen richting de IT-afdeling; het is een andere discipline. Beheer is gericht op stabiliteit en ondersteuning. Een pentest is gericht op misbruikscenario’s.
Criminelen zoeken namelijk zelden naar het systeem dat op papier het belangrijkste is. Ze zoeken naar het zwakste schakeltje in de keten. Een te ruime toegang hier, een standaardinstelling die daar nooit is aangepast. De waarde van een ethische hack zit dan ook zelden in die ene spectaculaire vondst, maar in het blootleggen van de route die een aanvaller zou bewandelen.
Het spanningsveld als kompas
Ondernemers en hackers lijken soms uit verschillende werelden te komen. De één wil vooruit, de ander zoekt naar wat de boel kan laten ontploffen. Dat kan schuren, zeker als een bevinding gaat over een proces dat al jaren zonder problemen functioneert.
Toch willen beide partijen onderaan de streep hetzelfde: een organisatie die kan blijven draaien zonder nare verrassingen. De kracht van een pentest is dat het risico’s uit de abstractie haalt. We zeggen niet: “Er is ergens een risico.” We zeggen: “Dit specifieke systeem kan worden misbruikt om jullie hele netwerk over te nemen, en dít is de volgorde waarin je het moet oplossen.”
Geen doemscenario, maar richting
Wie door de ogen van een hacker naar zijn bedrijf durft te kijken, krijgt geen doemscenario cadeau, maar richting. Het maakt zichtbaar waar vertrouwen terecht is en waar aannames moeten worden bijgesteld.
Digitale veiligheid begint bij een eerlijke blik. Het gaat niet om de vraag of je systeembeheerder zijn werk doet – dat doet hij waarschijnlijk uitstekend – maar of je de blinde vlekken in beeld hebt voordat een ander ze vindt. Uiteindelijk levert dat niet alleen een veiliger bedrijf op, maar ook meer rust. Omdat je weet waar je staat, en wat de volgende verstandige stap is.
Deze blog verscheen eerder als column in het magazine (pagina 53) van Inn Regio Zwolle.
