Cyberexperts: ’Nederland in Koude Oorlog’

De veranderende geopolitieke verhoudingen in de wereld zijn ook te merken in de cyberaanvallen die sommige Nederlandse bedrijven te verduren krijgen. Die komen vaker van hackers in dienst van buitenlandse overheden, die in Nederland op zoek zijn naar bedrijfsgeheimen of proberen onrust te zaaien. Dat vraagt om een nieuwe aanpak van cyberveiligheid, vonden Prins en Harskamp. Waarin verschilt u van andere cybersecuritybedrijven? RP: „Wij willen juist op dat gebied zitten dat we het leukst vinden: het kat-en-muis-spel tussen tophackers uit het buitenland en de verdedigers hier in Nederland. Dat trekt ook de mensen aan die bij ons willen werken. Thema’s als buitenlandse inmenging, dat vinden ze superbelangrijk. Dat het ergens over gaat als ze hun kennis en energie inzetten.” Hoe gaat Nederland om met die dreiging? JH „Cyberaanvallen op bedrijven worden nog teveel als incident gezien, terwijl het patroon al lang duidelijk is: Dat er staten achter zitten. Ik denk dat we nu in een soort Koude Oorlog terecht zijn gekomen, gezien alle stiekeme dingen die we bij elkaar doen.” RP:„Ik zou het goed vinden als er politieke discussie zou zijn over hoeveel van de capaciteit van de veiligheidsdiensten we gaan inzetten voor het beschermen van onze economische belangen. Je kan wel zeggen dat het gewoon criminaliteit is, en dus politiewerk, als Chinese hackers bij een bedrijf in Brabant een ontwerp voor een nieuw apparaat stelen. Maar het zijn wel staten die bezig zijn en zo vloeit beetje bij beetje economische waarde weg uit Nederland. Uiteindelijk schaadt dat onze nationale belangen.” Volgens de Defensievisie 2035 die deze week naar buiten kwam, is Nederland niet klaar voor die digitale dreigingen. RP: „In de Defensievisie worden twee dingen genoemd. Namelijk dat oorlogen veel digitaler worden, maar ook dat we helemaal niet klaar zijn om daar een antwoord op te formuleren. Dat is uitzonderlijk. Normaal zal je als Defensie nooit op je eigen zwakke plek willen wijzen. Maar het maakt duidelijk dat ze op ambtelijk vlak doorhebben dat er iets niet klopt hier. Ik hoop dat we daarvan iets terugzien in een nieuw regeerakkoord.” Waar gaat het mis? RP: „Soms zit dat erin dat er niet genoeg cybersecurityteams zijn aan de zijde van de overheid, maar het ligt ook aan het soort mandaat dat we die mensen geven. Stel dat er iets mis gaat in de waterkeringen die er voor zorgen dat we droge voeten hebben omdat er hackers in zitten. In Nederland kun je daar Defensie pas op af te sturen als je zeker weet dat de bedreiging vanuit een andere staat komt met de intentie om iets kapot te maken. Terwijl Defensie misschien wel de sterkste digitale wapens heeft om dingen stuk te maken bij de vijand en die aanval te stoppen.” Is dat voor een bedrijf als dat van u een mooi gat in de markt? JH: „Ik zou niet graag op onze menukaart zien dat we ook even de digitale infrastructuur van een bepaald land kunnen platleggen. De overheid heeft een geweldsmonopolie. Wij kunnen aan de verdedigende kant een aanval stoppen, maar als je in het systeem van de aanvaller gaat hacken, dan doe je iets dat voor iedere burger verboden is en voor ons helemaal. Daarvoor heb je autoriteiten nodig, met goede bevoegdheden. Je moet veel meer denken aan teamwork, waarbij private partij het voorbereidende werk doet voor een overheidsdienst die wel het mandaat heeft om dingen uit te schakelen.” Wat zou u terug willen zien in een nieuw regeerakkoord? RP: „Serieuze aandacht voor cybersecurity en dan niet de zozeer de misdaad, want dat geloof ik eigenlijk wel. Dat mensen via babbeltrucs via Whatsapp geld kwijtraken, tja. Voor mij zijn dat gewoon de nieuwe inbraken en dat zal op een gegeven moment nivelleren. Waar het om gaat is dat onze grote nationale belangen beter worden beschermd. Dat doe je niet door maar wat geld te geven aan al die organisaties. Dat doe je wel door met een groter plan te komen met een serieuze visie over hoe we Nederland in de lucht willen houden.” Wat is daarvoor nodig? JH: „Als je dat goed wil organiseren, dan ik me voorstellen dat er bepaalde dingen gaan kantelen. Je ziet in de Angelsaksische landen dat in de afluistercentra van de inlichtingendiensten die in de Koude Oorlog naar radioberichten van de Russen zaten te luisteren nu ook voor de politie wordt gehackt en afgeluisterd. En dat de schaarse kennis die er is, wordt gebundeld. Dat als er een aanval is die ons land serieus raakt, we er in ieder geval voor kunnen zorgen dat we die kunnen stoppen, zonder dat het uitmaakt of die nu komt van een jongetje op een zolderkamer is of het hele Russische leger.” Hoe zou dat eruit moeten zien? RP: „Ik vind het Verenigd Koninkrijk wel een beetje een voorbeeldland. Daar werkt inlichtingsdienst GCHQ samen met bepaalde commerciële partijen met gescreende mensen die speciaal gecertificeerd zijn, omdat ze goed zijn in hacking, monitoring en directe respons bij aanvallen. Bedrijven met een kritieke rol zijn verplicht via die partijen bepaalde diensten af te nemen, terwijl de overheid een zorgplicht heeft dat dingen goed geregeld zijn. Zo kunnen inlichtingendiensten met sommige cybersecuritybedrijven informatie delen.” En daar zouden partijen zoals jullie betrokken bij moeten worden? RP: „Ja maar niet alleen ons. Er is een aantal partijen met voldoende slimme mensen die prima te screenen zijn. De expertise en kennis is schaars. Je hebt het over een handjevol mensen met ervaring met digitale spionage.” CV Ronald Prins (51) richtte in 1999 Fox IT op, dat uitgroeide tot een van de meest gerenommeerde cybersecuritybedrijven in Nederland. Jurjen Harskamp (45) begon in 2013 bij Fox IT als directeur strategie. Na de verkoop van Fox IT aan de Britse NCC Group in 2015 verlieten Harskamp en Prins het bedrijf, waarbij Harskamp zich toelegde op investeringen en Prins onder andere lid werd van de Toetsingscommissie inzet bevoegdheden van de veiligheids- en inlichtingendiensten. Afhankelijkheid eruit halen Zonder namen te willen noemen, ziet Hunt & Hackett vooral bedrijven uit de financiële hoek, energiebedrijven, de hightech- en de logistieke sector die op de interesse van buitenlandse overheden kunnen rekenen, maar dat ook voor de bedrijfsgeheimen van zaadveredelingsbedrijven, veel belangstelling bestaat. Prins: „Na de coronapandemie zal de wereld zich weer een beetje organiseren. Hier in Europa hebben we ontdekt dat we steeds meer onze eigen broek moeten kunnen ophouden. We hebben nu gemerkt dat we India lief moeten aankijken als we paracetamol willen. Daarbij worden we steeds afhankelijker van technologie. Dat komt natuurlijk uit Amerika en dat zal niet veranderen. We gaan hier geen eigen Cisco beginnen in Europa, maar ik wil wel die afhankelijkheid eruit halen en dan heb je toch je eigen security nodig.”