CYBERSECURITY
New Security Magazine 153 – januari 2020
Hackers hebben gebouwen en bedrijven in het vizier
Mirel Sehic: “Je kan nooit alle risico’s uitsluiten, maar je kan wel een efficiënte strategie opzetten die zoveel mogelijk cyberrisico’s uitsluit.”
Bij gebouwen is het aantal beveiligingslekken in de afgelopen vijf jaar met 65% toegenomen.
De hele wereld raakt geconnecteerd. Volgens voorspellingen van Gartner zouden er in 2020 reeds 20,8 miljard verbonden apparaten zijn. Maar die moeten ook allemaal voldoende cyberbescherming meekrijgen. IT-toepassingen hebben al van bij hun ontwerp cyberveiligheid voor ogen, voor veel besturingssystemen is dat niet het geval. Om gebouwen en assets te vrijwaren van hackers zullen we de beveiliging en het bewustzijn rond cybergevaren moeten opschroeven. Een gesprek met Mirel Sehic, global director of cybersecurity bij Honeywell Building Solutions over de trends voor 2020.
Het aantal aanvallen op gebouwen zal toenemen
Gebouwen worden steeds slimmer door technologie toe te voegen en te connecteren. Volgens Gartner zal het Internet of Things in 2020 voor 81% uit gebouwtechnologie bestaan. “En dat brengt de nodige cyberrisico’s met zich mee”, weet Mirel Sehic. “Gebouwtechnologie werd oorspronkelijk ontworpen om een afgesloten kring te vormen. We verbinden die systemen nu in hoog tempo met de buitenwereld en de cloud om het gebouw gedurende zijn volledige levenscyclus zo optimaal mogelijk te benutten. Maar we vergeten dat deze technologie een kwetsbaar toegangspunt vormt.” Het contrast tussen besturings- (OT) en informatietechnologie (IT) is wat dat betreft groot. Computers en laptops worden steeds moeilijker te hacken. Bij gebouwen is het aantal beveiligingslekken in de afgelopen vijf jaar met 65% toegenomen. Mirel Sehic: “Er bestaat voor gebouwen ook geen resetknop om in te drukken. De prioriteit ligt bij de beschikbaarheid van functionaliteiten en diensten. Denk bijvoorbeeld aan een ziekenhuis. Alles moet blijven draaien, wat de mogelijke gevolgen van een aanval catastrofaal kan maken.”
Cybersecurity voor OT wordt cruciaal
Er moet dus dringend meer bewustzijn komen rond deze kwetsbaarheid, aangezien de digitalisering en de onderlinge verbondenheid van systemen alleen maar zal uitdijen in 2020. Het valt overigens ook op dat bedrijven die offline blijven, evenveel gevaar lopen op een cyberaanval. Het gevaar kan dan bijvoorbeeld via USB naar binnen gebracht worden, want social engineering is cruciaal in cyberveiligheid. “Cyberveiligheid begint met mensen. Nog vooraleer we naar processen en technologie kijken, moeten we medewerkers bewust maken van de risico’s en de juiste cyberveilige instructies inprenten voor elke taak, zonder hun werk te blokkeren.” Uit onderzoek van het CEB (Corporate Executive Board, dat deel uitmaakt van Gartner, nvdr.) blijkt dat ongeveer 20% van de organisaties met IoT-netwerken al met minimaal één IoT-gerelateerde aanval te maken heeft gehad. Mirel Sehic licht toe: “Voorheen zagen we vaak een groot gebrek aan bewustzijn en voorbereiding op het gebied van OT-cybersecurity, maar dat begint te veranderen. Er wordt steeds meer aandacht en budget vrijgemaakt voor de verbetering van de digitale basishygiëne en de incidentparaatheid op het gebied van OT-cybersecurity. Elk bedrijf, elk gebouw kan in principe een potentieel slachtoffer zijn. We spreken daarom over ‘risk appetite’, de kans op een cyberaanval zal hoger liggen voor bepaalde gebouwen. Een luchthaven zal bijvoorbeeld meer in het vizier staan dan een hotel. Hoe hoger dat cijfer, hoe meer beveiliging er zal nodig zijn om meer risico’s in te perken.”
Meer vraag naar nieuw soort beveiligingsprofessional
Om de cyberrisico’s in te dijken zullen bedrijven dus hun geldbeugel moeten openen. Volgens Gartner zal het bedrag dat wordt uitgegeven aan de beveiliging van IoT in 2021 verdubbeld zijn tot 1,9 miljard euro. Naarmate de cyberdreigingen zich voort ontwikkelen en de vraag naar OT-cybersecurity toeneemt, verandert ook de rol van de beveiligingsprofessional. OT- en IT-medewerkers werken steeds meer samen om voorbereid te zijn en te kunnen reageren op cyberaanvallen, maar in 2020 verwachten we steeds meer professionals te zien die thuis zijn op het gebied van OT en IT. Die medewerkers beginnen hun loopbaan meestal in één functie, maar breiden hun vaardigheden uit naarmate ze meer overkoepelende beveiligingservaring opdoen. Mirel Sehic: “Bij Honeywell Building Solutions herkenden we deze groeiende behoefte en hebben we een leeromgeving gecreëerd om ons talent en onze cybersecurityteams uit te breiden. Wij zijn ervan overtuigd dat de branche snel volgt.”
Prioriteit aan wereldwijde standaard voor cybersecurity
In 2020 zal er waarschijnlijk meer focus liggen op de standaardisering van cybersecurity van gebouwen. Er zal tenminste één leidende richtlijn voor de beveiliging van OT-systemen van gebouwen worden opgesteld. Mirel Sehic: “De ontwikkeling naar standaardisering zal komend jaar internationaal zeer waarschijnlijk voor wrijving zorgen. Het jaar 2020 zal waarschijnlijk in het teken staan van transformatie op het gebied van gebouwtechnologie, omdat bedrijven zich steeds meer inspannen om hun OT-systemen te beveiligen tegen het toenemende aantal cyberaanvallen. Het wordt steeds belangrijker om over de juiste vaardigheden te beschikken om weerstand te bieden aan het toenemende aantal dreigingen.”
Door Valérie Couplez
Foto’s Honeywell Building Solutions
buildingsolutions.honeywell.com
Hoe werk maken van een adequate cyberveiligheid?
Voor Mirel Sehic, global director of cybersecurity bij Honeywell Building Solutions moeten we allemaal wat meer ui worden om sterke beveiliging op te zetten. “Je kan nooit alle risico’s uitsluiten, maar je kan wel een efficiënte strategie opzetten die zoveel mogelijk cyberrisico’s uitsluit. Dat doen bedrijven het best in lagen. De kern bestaat uit eenvoudige, maar doeltreffende gewoontes: een firewall opzetten voor uitgaande verbindingen, nieuwe patches voor systemen en applicaties implementeren en je medewerkers opleiden in basishygiëne. Voor de laag beveiliging daarrond, vertrekken we altijd van een nulmeting. Hoe ver staat de klant al? En hoe hoog zijn de risico’s voor zijn bedrijf? Op basis van die antwoorden drijf je de veiligheid op door monitoring te implementeren net daar waar de grootste risico’s zitten. Verder moet je een performant beleid hebben om met USB’s om te gaan. Zo bouw je laag per laag cybersecurity op. De laatste laag bestaat uit paraatheid bij incidenten. Wat als er iets gebeurt? Zorg dat alle medewerkers de juiste procedure kennen en dat er back-ups zijn om naar terug te grijpen. Test geregeld of de back-ups werken en bewaar ook een back-up offline.”