Hoe weerbaar is jouw instelling als hackers écht toeslaan? Test het met ART-SURF

Onze instellingen zijn aantrekkelijke doelwitten voor cybercriminelen. Ze beheren onderzoeksdata waar jaren aan gewerkt is en persoonsgegevens van duizenden studenten en medewerkers, in een netwerkomgeving die vaak bewust open is. Die openheid hoort bij wie we zijn, maar maakt het beveiligen van onze digitale omgeving ook ingewikkelder. Hoe zorgen we ervoor dat we weerbaar blijven, zonder die openheid te verliezen? 

Papier is geduldig 
Beleid, normen en certificeringen vertellen wat er is afgesproken, maar niet of je beveiliging in de praktijk ook werkt. Een pentest laat zien waar een enkel systeem technisch kwetsbaar is, maar niet hoe je instelling reageert als iemand daadwerkelijk probeert binnen te dringen. Hoe snel wordt een aanval opgemerkt? Verlopen de interne processen zoals afgesproken? En weten medewerkers wat ze moeten doen? 

Dat kun je testen met red teaming. Tijdens zo'n test bootsen ethische hackers een realistische cyberaanval na, terwijl een groot deel van de organisatie niet weet dat dit gaande is. Zo test je niet alleen de techniek, maar ook de mensen en processen. En je ontdekt waar het misgaat, zonder dat je eerst een echte aanval hoeft mee te maken. 

Compliant zijn is pas het begin 
Met de Cyberbeveiligingswet (Cbw) wordt het voor instellingen die onder de wet vallen nog belangrijker om te laten zien hoe ze hun cyberrisico's beheersen. Maar voldoen aan wet- en regelgeving is wat mij betreft slechts de ondergrens. Uiteindelijk wil je weten of je instelling ook in de praktijk weerbaar is. Niet alleen om aan de eisen van de toezichthouder te voldoen, maar vooral omdat je studenten, onderzoekers en medewerkers daarop moeten kunnen vertrouwen. 

Ook voor bestuurders zijn de uitkomsten van red teaming waardevol. Wanneer ethische hackers drie dagen lang onopgemerkt blijven en daarna de financiële administratie binnendringen, is dat een stuk tastbaarder dan een technisch rapport vol CVE’s. Door de concrete resultaten van een red teaming-oefening kunnen bestuurders beter bepalen waar ze als eerste mee aan de slag moeten. 

ART-SURF: red teaming voor onderwijs en onderzoek 
Een goede red teaming organiseren is alleen niet zo eenvoudig. Het kost tijd en geld en vraagt de nodige specialistische kennis. Bovendien gaat een groot deel van het werk niet over ethisch hacken zelf, maar over alles eromheen: hoe bepaal je de scope, welke afspraken maak je vooraf en hoe zorg je ervoor dat je achteraf ook echt iets met de resultaten kunt? 

Daarom gebruiken verschillende sectoren eigen raamwerken om zulke testen goed aan te pakken. De financiële sector werkt bijvoorbeeld met TIBER, de zorgsector met ZORRO. En voor onderwijs en onderzoek is er nu ART-SURF: Advanced Red Teaming van SURF.  

Het ART-SURF-raamwerk is gebaseerd op ART (wat weer komt vanuit TIBER) en afgestemd op de kenmerken van onze sector. Dat is belangrijk, want een red team dat de academische vrijheid, zelfstandigheid en openheid van een instelling niet begrijpt, vindt misschien een hoop kwetsbaarheden, maar die zijn dan niet allemaal even relevant. 

Individueel en voor de hele sector 
ART-SURF helpt instellingen om hun digitale weerbaarheid te testen met een realistische aanval die aansluit bij de dreigingen in onze sector. SURF helpt bij de voorbereiding en begeleiding van de ART-SURF test, kan helpen bij de selectie van een externe hack provider en levert actuele dreigingsinformatie. Ook denken we mee over realistische aanvalsscenario's. Na afloop bespreken de betrokken teams wat er is gebeurd, wat goed ging en wat beter kan. 

En daar kunnen we vervolgens samen van leren. Door ervaringen en inzichten uit red teaming-test op een veilige manier met elkaar te delen, waar nodig geanonimiseerd, hoeft niet iedere instelling zelf opnieuw het wiel uit te vinden. Zo versterken we niet alleen de weerbaarheid van afzonderlijke instellingen, maar die van de hele sector. De EUR liet dit jaar al een red teaming-oefening met ART-SURF uitvoeren. In het interview Hackers op uitnodiging: "Red teaming is de ultieme realitycheck" vertelt ISO Maaike van der Wal wat dat haar instelling opleverde. 

Wacht niet op de volgende aanval 
Dreigingen worden niet kleiner en hackers worden steeds slimmer. Met het ART-SURF-raamwerk en de begeleiding van SURF kun je testen hoe goed je instelling daartegen bestand is, zonder dat je eerst een echte aanval hoeft mee te maken. Want wachten tot het misgaat, is misschien wel de duurste manier om erachter te komen hoe kwetsbaar je bent.