FAQ

Dertien vragen over digitale beveiliging (en de antwoorden)

1 Zijn al die berichten over een onveilig internet geen stemmingmakerij van bedrijven die mij software en hardware willen verkopen?

Commerciële bedoelingen spelen op de achtergrond altijd een rol en een dosis gezonde scepsis is nooit verkeerd. Het neemt niet weg dat zelfs gerenommeerde internetbedrijven met enige regelmaat worden geconfronteerd met inbraken. In maart 2001 wist een groep inbrekers de boekhandel Amazon.com binnen te dringen. Ze konden de namen, adressen, telefoonnummers en creditcardgegevens van de klanten van Amazondochter Bibliofind inzien. Marktonderzoeksbureau Gartner meldde onlangs dat Amerikaanse internetwinkels in totaal in vier maanden al gauw een half miljard dollar omzet kwijtraken aan fraude en verdachte bestellingen.

Het verlies dat fraude met creditcards oplevert komt uit op ruim één procent van de totale omzet, ongeveer 160 miljoen dollar. Zes procent van de bestellingen wordt uit voorzorg geweigerd, waardoor men nog eens 340 miljoen dollar misloopt.

2 Waar komen de meeste bedreigingen vandaan?

Het inbreken op websites en netwerken van bedrijven is een vast ritueel voor cybercriminelen of hackers. Vierentwintig uur per dag struinen zij met speciale programmaatjes het internet af, op zoek naar 'openstaande' internetverbindingen. Soms is een hacker al meer dan een jaar actief voordat hij wordt opgemerkt. Niet alle hackers hebben overigens kwade bedoelingen, maar het is beter als helemaal niemand uw systeem kan binnendringen.

3 Hoe weten inbrekers mijn computer te vinden?

Een veelgebruikte methode is de portscan. Daarbij wordt gekeken of er bepaalde (logische) poorten actief zijn. Internet werkt behalve met IP-adressen ook met zogenoemde poortnummers om verschillende internetdiensten te kunnen onderscheiden. Zo is er een apart poortnummer voor de browser en ook een apart nummer voor e-mail. Lang niet altijd hoeft het gevaar trouwens van buiten te komen. Werknemers kunnen als handlanger van dieven fungeren. Interne beveiliging is dus geen overbodige luxe. Een combinatie van encryptie en biometrische technieken ter herkenning van vingerafdrukken kan voorkomen dat onbevoegden zich toegang verschaffen tot computersystemen, zij het dat ook hiervan geen wonderen moeten worden verwacht.

4 Welke ontwikkelingen zijn extra bedreigend voor mijn onderneming?

Al te zuinig beleid pakt verkeerd uit. Als u slechts één server gebruikt voor de website en uw bedrijfsbestanden, dan heeft een hacker vrij spel. Een nieuwe ontwikkeling zijn draadloze netwerken, beter bekend als wifi of WLAN. Veel van deze systemen zijn niet beveiligd omdat de encryptie niet aanstaat.

5 Hoe zit dat met DDoS aanvallen?

Distributed Denial of Service-aanvallen (DDoS) zijn aanvallen waarmee kwaadwillenden uw computer proberen vast te laten lopen. In de meest voorkomende variant wordt opzettelijk een groot aantal datapakketjes naar een netwerkadres verzonden. Soms richten die aanvallen zich ook op belangrijke knooppunten van het internet zelf. In oktober zijn zeven van de dertien 'root name servers' die van vitaal belang zijn voor het functioneren van internet een uur lang ontoegankelijk geweest.

6 Is het gelet op deze risico's verstandig als ik internet gebruik voor dataverkeer van bijvoorbeeld mijn vestigingen of mijn toeleveranciers?

Nee, daarvoor kunt u beter een VPN (Virtual Private Network) gebruiken, een afgeschermde 'tunnel' die via encryptie is afgesloten voor buitenstaanders. Een speciaal VPN is het Remote Access Network, dat externe gebruikers thuis of onderweg de mogelijkheid biedt om veilig en goedkoop met het bedrijfsnetwerk te laten communiceren. Nog beter is het gebruik van huurlijnen, maar daar staan dan wel weer hogere kosten tegenover. VPN's leveren u een kostenbesparing op van twintig tot veertig procent.

7 Kunnen computervirussen mijn systemen aantasten?

Ook dat is mogelijk. Cap Gemini Ernst & Young viel in augustus 2001 ten prooi aan de computerworm Code Red. Om verdere infecties te voorkomen heeft men de stekker uit enkele systemen moeten trekken.

Als u veel correspondeert met uw klanten is een virusscanner geen overbodige luxe. Het staat immers wat slordig als u een klant een mailtje met een virus stuurt. Het gevaarlijkst zijn zogenoemde Trojaanse paarden. Deze programma's worden namelijk gebruikt om bij u in te kunnen breken. De inbreker of iemand die reeds geïnfecteerd is stuurt een programma dat zich onopgemerkt installeert op de harde schijf. De inbreker kan nu via internet contact leggen met dit Trojaanse paard en op deze wijze controle krijgen over uw computer.

8 Lopen mijn klanten gevaar?

Als inbrekers achter financiële gegevens komen, dan kunnen zij daar misbruik van maken. Een fenomeen dat nog steeds welig tiert zijn valse inlogpagina´s. Inbrekers bouwen een bestaande internetsite helemaal na. Via e-mail worden de slachtoffers opmerkzaam gemaakt op het bestaan van de site. Zij vullen dan gegevens in – zoals toegangscodes – die vervolgens worden gebruikt voor een professionele kraak.

9 Welke soorten bescherming zijn er mogelijk?

Het minste dat u kunt doen is een firewall installeren. Een goede firewall zorgt ervoor dat alleen bepaalde programma's en sites verbinding kunnen maken met uw computer en uw systeem niet zichtbaar wordt voor buitenstaanders. Toch biedt een firewall geen volledige bescherming. Sommige beveiligingsexperts adviseren dan ook om al het in- en uitgaande verkeer continu te volgen met een Intrusion Detection System (IDS) of nog beter een Intrusion Detection and Prevention systeem (IDP).

Indringerdetectie is helaas nog steeds het sluitstuk in het ICT-beleid van de gemiddelde onderneming. Het bedrijfsleven in Europa besteedde in 2001 een slordige 600 miljoen euro aan firewall systemen. Aan detectiesoftware en kwetsbaarheidonderzoek van netwerken en ICT- systemen werd hooguit zestig miljoen dollar uitgegeven.

10 Hoe bescherm ik mij tegen creditcardfraude ?

Een nadeel van creditcardfraude is de onmogelijkheid om de kaarthouder te identificeren. Inmiddels zijn er systemen ontwikkeld die kunnen vaststellen of de koper de rechtmatige kaarthouder is. Daartoe wordt een aantal controles uitgevoerd. Zo wordt nagegaan of het IP-adres overeen komt met het e-mailadres en soms dient de consument een digitale handtekening of extra wachtwoord mee te sturen.

11 Hoe beveiligt de concurrentie?

Niet al te best, als we de cijfers mogen geloven. Een groot deel van het Nederlandse bedrijfsleven heeft weinig inzicht in het budget dat jaarlijks aan beveiliging van bedrijfskritische informatie wordt uitgegeven. Vooral directeuren geven aan geen inzicht te hebben in het beveiligingsbudget, maar ook managers met informatietechnologie in hun portefeuille moeten het antwoord vaak schuldig blijven. Bij 35 procent van de bedrijven is helemaal geen sprake is van een beveiligingsbudget.

12 Is het beter open source-software te gebruiken?

Ja en nee. Hackers richten zich ook op het vinden van beveiligingsfouten in systemen als Linux. Een voorbeeld hiervan is de Linux.Slapper.Worm, die vele duizenden Linux-servers wereldwijd infecteerde. Het grote voordeel van open source software (waarvan programmacode openbaar is en door iedereen bewerkt mag worden) is dat wereldwijd zoveel programmeurs met de broncode bezig zijn dat fouten snel verholpen kunnen worden. Bij commerciële software wacht de fabrikant vaak met het naar buiten brengen van oplossingen totdat derden aandacht vestigen op de problemen. Overigens is er op dit gebied wel een mentaliteitsverandering zichtbaar.

13 Hoe weet ik nu of mijn bedrijfssite echt veilig is?

Vraag advies. Verschillende bedrijven kunnen een analyse (security audit) maken van de zwakheden van uw site en de achterliggende systemen. Soms is het verstandig om bepaalde taken, zoals betalingen, aan derden uit te besteden. U kunt ook uw systeem online laten testen.

Zie daarvoor http://computerbeveiliging.pagina.nl