Na grote cyberincidenten volgt doorgaans hetzelfde patroon: niet de aanvaller, maar het slachtoffer belandt in het beklaagdenbankje. Dat is niet alleen onrechtvaardig, maar maakt de collectieve aanpak van cybercrime ook minder effectief.
Bij een woninginbraak wordt niet meteen onderzocht of de bewoner een zwaardere voordeur had moeten plaatsen. Maar zodra een organisatie slachtoffer wordt van ransomware of een datalek, verschuift de aandacht vrijwel onmiddellijk naar de vermeende tekortkomingen van de getroffen partij. Kranten, sociale media en commentatoren buigen zich niet zozeer over de vraag wie verantwoordelijk is voor de aanval, maar over de vraag wat er mis was met de beveiliging, of het bestuur heeft gefaald en of het incident te voorkomen was.
Dat beveiliging van wezenlijk belang is, staat buiten kijf. Organisaties dragen de verantwoordelijkheid om passende maatregelen te treffen en dienen daarop te kunnen worden aangesproken. Maar de neiging om iedere succesvolle aanval automatisch als bewijs van nalatigheid of incompetentie te bestempelen, doet geen recht aan de werkelijkheid van moderne cybercriminaliteit.
Over de auteur
Wout Olieslagers is advocaat, gespecialiseerd in cybersecurity.
Dit is een ingezonden bijdrage, die niet noodzakelijkerwijs het standpunt van de Volkskrant reflecteert. Lees hier meer over ons beleid aangaande opiniestukken.
Eerdere bijdragen in deze discussie vindt u onder aan dit artikel.
Hedendaagse cyberaanvallen worden uitgevoerd door professioneel georganiseerde, internationaal opererende netwerken met gespecialiseerde ontwikkelaars, infrastructuurexperts, onderhandelaars en financieel adviseurs. Zij investeren structureel in nieuwe aanvalsmethoden, kopen kwetsbaarheden op de zwarte markt op en exploiteren deze op industriële schaal. Ze maken daarbij steeds meer gebruik van generatieve AI om aanvallen voor te bereiden en die vervolgens volledig geautomatiseerd uit te voeren.
Daartegenover kan geen enkele organisatie absolute veiligheid garanderen. Dat is ook niet wat de wetgeving op het gebied van cybersecurity vraagt. Die schrijft namelijk, kortgezegd, een passend beveiligingsniveau voor, geen waterdichte bescherming. De verwachting dat organisaties iedere aanval moeten kunnen afslaan, is niet alleen juridisch onhoudbaar, maar ook technisch onrealistisch: met één klik op een phishing-link kan een medewerker maanden van investeringen in firewalls, monitoring en trainingen tenietdoen. Het is dan ook veelzeggend dat zelfs overheidsinstanties en inlichtingendiensten met aanzienlijke budgetten slachtoffer worden van cyberaanvallen.
Het publieke debat miskent bovendien wat zich achter de schermen afspeelt wanneer een organisatie wordt getroffen. Bestuurders bevinden zich van het ene op het andere moment in een acute crisis: kritische systemen van bedrijven liggen plat, klanten en toezichthouders eisen uitleg en forensisch onderzoekers werken onder immense tijdsdruk om te reconstrueren wat er is gebeurd.
Aanvallers oefenen ondertussen vaak directe druk uit: zij dreigen gestolen data te publiceren, benaderen betrokkenen rechtstreeks, plaatsen informatie op het dark web en in sommige gevallen worden bestuurders zelfs in hun privé-omgeving benaderd en afgeperst. Dat getroffen organisaties in die fase terughoudend communiceren, is doorgaans onderdeel van verantwoord crisismanagement, niet van onwil of arrogantie.
De neiging om het slachtoffer de maat te nemen heeft bovendien een schadelijk neveneffect. Organisaties die vrezen voor publieke veroordeling zijn minder geneigd incidenten openlijk te bespreken of informatie te delen. Dat is precies het tegenovergestelde van wat nodig is. Effectieve cyberweerbaarheid staat of valt met samenwerking en informatie-uitwisseling. Tussen bedrijven onderling, met sectorgenoten en met opsporingsautoriteiten. Wie een cultuur in stand houdt waarin slachtofferschap automatisch gelijkstaat aan falen, speelt de aanvallers rechtstreeks in de kaart.
Dit betoog is geen vrijbrief voor organisaties die hun zaken niet op orde hebben. Wie structureel onderinvesteert in beveiliging of evident nalatig handelt, moet daarvan de consequenties dragen. Maar het publieke debat is uit balans geraakt. Vragen die we vaker moeten stellen, zijn: waarom kunnen criminele organisaties relatief ongestoord opereren vanuit landen die niet meewerken aan opsporing? Waarom verloopt de internationale aanpak zo moeizaam?
Een succesvolle cyberaanval moet niet direct worden beschouwd als bewijs van slecht bestuur, net zomin als een woninginbraak zonder meer bewijs oplevert van onverantwoord gedrag van de bewoner. Zolang het debat zich richt op het slachtoffer in plaats van op de dader, maken we de samenleving niet veiliger, maar kwetsbaarder. De echte cybercrimineel blijft buiten beeld. En dat is precies waar hij wil zijn.
Wilt u reageren? Stuur dan een opiniebijdrage (max 700 woorden) naar opinie@volkskrant.nl of een brief (maximaal 200 woorden) naar brieven@volkskrant.nl
Geselecteerd door de redactie
Source: Volkskrant