(Cyber)security is ieders zaak

Het lijkt nauwelijks nodig om de risico's te vermelden die we lopen bij het gebruik van digitale apparaten, maar het kan nooit kwaad om meer details toe te voegen. Permanente toegang tot de informatie, kennis en mensen die we nodig hebben in ons dagelijks leven heeft een prijs.

Zoals economen zeggen: er bestaat niet zoiets als een gratis lunch. In dit geval betalen we ervoor met de risico's die we nemen en de IT-beveiligingsverplichtingen die onze organisaties moeten aangaan. Dit artikel bekijkt een van de soorten organisaties die het meest worden getroffen door risico's bij het gebruik van digitale apparaten en media: universiteiten.

In veel landen waarschuwen nationale veiligheidscentra dat universiteiten tot de meest kwetsbare sectoren behoren voor cyberaanvallen. Waarom? Om een antwoord te proberen te geven, laten we vier vragen onderzoeken: (1) Waarom universiteiten? (2) Wat zijn de risico's? (3) Hoe kunnen universiteiten schade oplopen? (4) Hoe kunnen universiteiten zichzelf beschermen?

De kwetsbaarheid van universiteiten voor cyberaanvallen

Laten we beginnen met nadenken over waarom universiteiten een doelwit zijn. Universiteiten zijn organisaties met veel informatie - ze genereren gegevens, informatie en kennis. En ze doen dit door samen te werken met mensen. Ze voeren ook grote volumes financiële transacties uit via internet. Bovendien hebben ze krachtige computerinfrastructuren, niet alleen om de komende nieuwe (kwantum) computerleeftijd te onderwijzen, maar ook om experimenten uit te voeren in het kader van projecten. Kennisactiva en IT-capaciteiten zijn twee van de belangrijkste doelwitten voor criminelen; daarom zijn universiteiten geïdentificeerd als kwetsbaar.

Dus, welke risico's lopen universiteiten? In het geval van digitale kennisactiva is de meest voorkomende methode om ze te versleutelen om een losgeld te eisen om ze terug te krijgen (bekend als ransomware). In sommige gevallen worden deze gegevens gepubliceerd op het dark web, waar ze kunnen worden gebruikt voor criminele activiteiten. Ransomware-aanvallen zijn aanzienlijk gegroeid als een bedreiging. Naar schatting heeft 70% tot 80% van de organisaties enige vorm van schade geleden door ransomware-aanvallen. Deze digitale kapingen vormen een tweeledig probleem. In de context van bijvoorbeeld het Spaanse universitaire systeem, met een aanzienlijk deel van de studenten aan openbare universiteiten, zijn reacties op cyberaanvallen een kwestie van overheidsbeleid. Toegeven aan ontvoering en chantage is geen acceptabele positie voor overheidsinstanties. In de private sector is dit anders: naar schatting is de kosten van herstel na een ransomware-aanval meestal gelijk aan de losgeldbetaling. Met andere woorden: als er €200.000 aan activa van u wordt afgenomen, kost het u uiteindelijk €200.000 aan losgeld + €200.000 om weer normaal te worden. Deze kosten ontstaan door downtime, herstelkosten en het opportuniteitskosten van wat u niet hebt kunnen doen. Bovendien kapen aanvallers ook vaak verwerkingscapaciteit bij universiteiten. Recentelijk zijn aanvallen in universitaire contexten gebruikt voor cryptocurrency-mining - een snelle en gemakkelijke manier om geld te verdienen. Weliswaar illegaal!

In dit opzicht voegt telewerken een extra laag complexiteit toe. Een belangrijke ontwikkeling vanaf 2020 was de snelle toename van thuiswerken. De term "perimeterbeveiliging" verwijst naar de ruimte of bubbel die we om ons heen nodig hebben om een computer of mobiele telefoon veilig te gebruiken. Toen we allemaal thuisbleven en werkten, onderging een groot deel van die perimeter een verandering. En hoewel organisaties hun inspanningen op het gebied van cyberbeveiliging opvoerden, vereiste de context van het verspreide kantoor een IT-architectuur die niet altijd compatibel was met de creatie van veilige ruimtes. De risico's vermenigvuldigden zich.

Soorten cyberbeveiligingsrisico's en aanvallen waarmee universiteiten worden geconfronteerd

Hoe krijgen aanvallers toegang tot universitaire systemen? Naar schatting zijn phishingaanvallen - het winnen van het vertrouwen van een andere persoon door iemand anders na te bootsen - in de eerste helft van 2020, tijdens de eerste maanden van de pandemie, verdubbeld. De meest gebruikte aanvalsmethode was het sturen van een e-mail, waarbij de identiteit van iemand anders werd nagebootst - met een andere e-mail waarbij slechts één letter werd gewijzigd, bijvoorbeeld - en het toevoegen van een bijlage die, wanneer geopend, schadelijke software op die computer installeerde (malware). Met het op afstand werken vertrouwden we in grotere mate op e-mailen en schriftelijke communicatie als primaire communicatiemiddelen. Het binnenbrengen van iets via deze methode werd dus gemakkelijker. De problemen kunnen groter zijn als de persoon in kwestie, werkend vanaf de bank in pyjama, een apparaat gebruikt dat ook wordt gebruikt om toegang te krijgen tot hun socialemediaprofielen, online te winkelen of videoconferenties te houden. Het lijkt waarschijnlijk dat wanneer we statistieken consolideren over cybercriminaliteit in het post-pandemische tijdperk, we zeker zullen ontdekken dat identiteitsinbreuken in deze ruimtes zijn vermenigvuldigd. En daarom zouden we regelmatig moeten controleren of we slachtoffers zijn geworden van enige identiteitsinbreuk. Bovendien kan toegang worden verkregen via informatiesystemen die rechtstreeks met de gegevens communiceren (SQL-aanvallen) of door het simuleren van een wachtwoord (Vraag jezelf altijd af of je wachtwoord veilig is). Wat de situatie ook is, het is het beste om voorzichtig te zijn als individuen. En organisaties moeten nog voorzichtiger zijn. Hier winnen multi-factor authenticatiesystemen (MFA) terrein. Uit een studie van Times Higher Education bleek dat 87% van de universiteiten MFA voor het personeel implementeert (een stijging van 15% ten opzichte van 2020) en dat 49% dit heeft voor sommige of alle studenten (een stijging van 27% ten opzichte van 2020).

Verbetering van cyberbeveiliging: strategieën voor universiteiten en het belang van bewustzijn

Naast het handelen met voorzichtigheid en het verbeteren van digitale educatie (wat in feite verwijst naar begrijpen wat we gebruiken en hoe we het gebruiken), is het belangrijkste wat ons beschermt, het bewustzijn. De universitaire gemeenschap moet zich hierover zorgen maken. De potentiële verliezen zijn niet alleen financieel (diefstal van industrieel eigendom, concurrentievoordelen, enzovoort), maar ook reputatiegericht. De digitale economie is gebaseerd op vertrouwen; denk aan hoeveel vrienden u heeft die niet online winkelen uit angst om persoonlijke gegevens in te voeren. Reputatie en het creëren van een vertrouwenskader bij het omgaan met internetdiensten zijn essentieel om digitale concurrentiekracht te verkrijgen en te profiteren van al zijn voordelen.

Het hebben van unieke digitale activa maakt universiteiten waardevoller. Maar hier moeten we twee andere factoren aan toevoegen: de investering in cyberbeveiliging is nog steeds laag in vergelijking met andere sectoren; en de samenleving in het algemeen (niet alleen universiteitspersoneel) is zich nog steeds niet bewust van de risico's die we lopen bij het browsen of gebruiken van een computer. Cyberaanvallen nemen wereldwijd toe, en bedrijven en universiteiten lijden verliezen van vele miljoenen dollars. Blijf veilig!