Na de cyberaanval begin dit jaar op de TU Eindhoven, waar een hacker dagenlang onopgemerkt toegang had tot het interne netwerk, is maar weer extra duidelijk geworden hoe kwetsbaar scholen zijn voor digitale aanvallen. “Grote organisaties worden voortdurend aangevallen, het zorgt voor een kat-en-muis spel tussen aanvallers en verdedigers”, vertelt Raymond Slot, lector Cybersecurity aan de Hogeschool Utrecht.

“In de gepubliceerde documenten stond niet precies hoe de hacker bij TU Eindhoven is binnengekomen. Vaak is het zo dat iemand op een verkeerde link klikt”, vertelt Slot.

Pim Takkenberg, general manager bij Northwave Cyber Security beaamt dit: “95% van het aantal aanvallen is door middel van phishing-mails, zwakke wachtwoorden of misbruik van kwetsbare software.”

“Het gaat vaak om geld, niet om het doelwit”

Hoewel het vaak lijkt alsof hackers zich specifiek steeds meer richten op bedrijven of overheden, denk maar aan TU Eindhoven of de Universiteit Maastricht, is dit niet per se het geval, stelt Takkenberg: “Hackers gaan vaak op zoek naar plekken waar veel data is. Het maakt niet veel uit wie ze aanvallen, het gaat vaak om geld.”

Hij benadrukt dat veel organisaties een verkeerd beeld hebben van hun eigen risico’s: “Scholen denken vaak ‘Wie heeft het nou op mij voorzien? Wat valt er nu bij mij te halen?’. En wat ik ook vaak zie is dat mensen denken dat bedrijven of scholen gericht worden aangevallen, dat is niet zo.”

Enorme gevolgen

Slot waarschuwt voor de gevolgen van zo’n aanval: “Het risico is dat de school alles dicht moet gooien, wat bij Eindhoven ook is gebeurd, omdat er een aanval plaatsvindt. Daardoor vallen er lessen uit en dat heeft een behoorlijke impact.”

Die impact wordt vaak onderschat: “Wat je ziet is dat veel organisaties zich niet focussen op de impact, omdat ze vooral willen zorgen dat er doorgewerkt kan worden. Zelfs als ze onderdeel zijn van een aanval.”

“Niemand ontsnapt de dans”

Een veelgemaakte fout, volgens Slot, is dat men denkt veilig te zijn zolang er geen incident plaatsvindt. “Er is een gezegde binnen de securitywereld. Er zijn twee soorten organisaties, organisaties die aangevallen zijn en organisaties die het nog niet weten.”

“Met andere woorden, houd er rekening mee dat elke organisatie aangevallen zal worden. Niet de mogelijkheid, maar weet dat je aangevallen wordt. Dat je de dans niet ontsnapt.”

Bij de Hogeschool Utrecht is er veel aandacht voor dit thema: “We hebben een aparte afdeling waar wordt gekeken naar hoe we ons netwerk kunnen beveiligen”, aldus Slot.

Meer vraag dan aantal beschikbare mensen

“Toch zijn er veel tekorten op het gebied van cybersecurity”, vertelt Slot bezorgd: “Enerzijds neemt de vraag toe, terwijl je anderzijds ziet dat nu met bezuinigingen op het hoger onderwijs, het aantal mensen dat wordt opgeleid eigenlijk afneemt. Er is veel meer vraag in de markt dan dat de opleidingen kunnen leveren op dit moment.”

Vier basismaatregelen

Takkenberg benadrukt dat scholen en bedrijven zich beter kunnen voorbereiden: “Er zijn vier mogelijkheden om je voor te bereiden.”

• Zorg voor back-ups die niet gekoppeld zijn aan het netwerk;
• Gebruik een meerstaps verificatie die overal geïmplementeerd is;
• Zorg voor een goed beleid ook met betrekking tot updates;
• Doe aan netwerkmonitoring.