Een gekopieerd toegangspasje, een nepidentiteit of simpelweg een goed verhaal bij de receptie. Zogenaamde red teams proberen op allerlei manieren binnen te komen bij organisaties, om te testen hoe goed de beveiliging is van hun digitale systemen en hun gebouwen.

Die red teams hebben het druk vanwege twee nieuwe wetten die organisaties verplichten om veiligheid zeer serieus te nemen.

Wij zijn ooit bij een zorginstelling binnengekomen puur door voor de hand liggende wachtwoorden te raden

Anass Ali, directeur van EHGI

Zeker voor essentiële instellingen zoals ziekenhuizen vormen hacks een risico. EHGI, een bedrijf dat red team-acties uitvoert, komt bij tests soms ver in de systemen van die instellingen.

“Wij zijn ooit bij een zorginstelling binnengekomen puur door voor de hand liggende wachtwoorden te raden”, zegt Anass Ali, directeur van EHGI. “Hiermee kwamen we in heel het systeem van de zorginstelling. Zo ver dat we camera’s konden overnemen en bij alle patiëntenkamers konden meekijken en medische gegevens konden inzien.”

Volgens Ali worden de resultaten van dit soort acties alleen gedeeld met de leiding van de instelling, en verder vertrouwelijk gehouden. De organisaties krijgen na afloop te horen waar de kwetsbaarheden zitten en kunnen die vervolgens aanpakken.

We zijn in Nederland veel te naïef

Tim Gerding, directeur Cocoon Risk Management

Onder de Cyberbeveiligingswet vallen ongeveer 8000 bedrijven en instellingen. De 500 meest essentiële, zoals drinkwaterbedrijven, elektriciteitsbedrijven en digitale infrastructuur, vallen onder de noemer ‘kritieke entiteit’. Zij moeten voldoen aan de hoogste eisen voor digitale en fysieke weerbaarheid. Beveiligingsbedrijven die de tests uitvoeren, spreken van een flinke toename in aanvragen, blijk uit een rondgang van het Financieele Dagblad(opent in nieuw venster).

Het bedrijf Cocoon Risk Management wordt veel gevraagd door essentiële instellingen die het hoogste niveau van weerbaarheid zouden moeten hebben. “We hebben allemaal manieren om binnen te komen: drones, duikers, nepidentiteiten, gekopieerde pasjes”, zegt directeur Tim Gerding. “Maar vaak komen we gewoon op de meest simpele weg naar binnen en dat is via mensen bij een balie die ons gewoon binnenlaten.”

‘We zijn naïef’

De nieuwe wetten moeten ervoor zorgen dat organisaties structureel nadenken over hun weerbaarheid. De wetten schrijven niet voor dat iedere organisatie verplicht een red team moet inhuren. Bedrijven moeten zelf hun risico’s in kaart brengen en passende maatregelen nemen.

Volgens Gerding is die bewustwording hard nodig. “We zijn in Nederland veel te naïef”, zegt hij. “Er is een grote dreiging vanuit Rusland en we worden niet meer vanzelfsprekend door onze grote broer, Amerika, geholpen.”

Cateraars en leveranciers

Een belangrijk onderdeel van de nieuwe regelgeving is de beveiliging van de keten. Een organisatie kan haar eigen systemen goed hebben beveiligd, maar alsnog kwetsbaar zijn via een leverancier of cateraar waarmee die samenwerkt.

Een slecht beveiligde leverancier kan bijvoorbeeld een ingang vormen naar een groter bedrijf. Organisaties moeten daarom ook rekening houden met de risico’s die ontstaan door hun afhankelijkheid van andere partijen.

Volgens Inge Bryan, cybersecurity-expert en voormalig CEO van Fox-IT, kan dat voor sommige bedrijven een flinke verandering betekenen. “Juist bedrijven in de keten krijgen hiermee voor het eerst te maken met deze verplichtingen. Zij moeten hun beveiliging naar een hoger niveau brengen. Zij hebben hier soms niet de financiële middelen voor.”

Boetes voor niet-naleven wetten

Toezichthouders gaan controleren of organisaties aan de verplichtingen uit de wetten voldoen. De boetes voor het niet-naleven van de zorg- en meldplicht kunnen bij essentiële instellingen oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, waarbij uitgegaan wordt van het hoogste bedrag. Bij overtreding van andere verplichtingen uit de wet geldt een boetemaximum van 1 miljoen euro.