Kick-off Cybersecuritymaand

Digitale veiligheid als fundament onder een sterke economie

Leah Postma (MT-lid Digitale Economie, Ministerie van Economische Zaken en Klimaat) opende de middag. Haar boodschap: de digitale infrastructuur is de ruggengraat van Nederland, maar staat door statelijke dreigingen, discussies over digitale soevereiniteit en AI-gedreven aanvallen steeds meer onder druk, terwijl juist het mkb kwetsbaar blijft.

Vanuit EZK wordt daarom op meerdere sporen tegelijk ingezet: van de Cyber Resilience Act (secure-by-design) en de mkb-subsidie 'Mijn Cyberweerbare Zaak', tot investeringen in de weerbaarheid van vitale sectoren (zoals noodgeneratoren voor mobiele operators) en Project Prometheus, een nieuwe gezamenlijke verdedigingslaag tegen AI-dreigingen. Haar boodschap aan de zaal: cybersecurity is een teamsport, als het misgaat moeten we op elkaar kunnen bouwen.

Continuïteit als nieuwe urgentie

Jeffrey Leusink (Cyber Security Information Officer, KPN) vertelde op welke unieke plaats we zaten: het operationele hart van KPN, gebouwd om zelf bij stroomuitval of een aanval op het eigen netwerk te blijven functioneren. Vanuit het Security Operations Center, Network Operations Center en de crisismanagementteams die er gevestigd zijn, liet hij zien wat er nodig is om als kritieke infrastructuur weerbaar te blijven.

Een paar dingen die bleven hangen:

• KPN werkt met een eigen raamwerk van vijf A's: Adaptief (weet hoe te reageren), Automate (doe het geautomatiseerd), Aware (geef mensen de juiste kennis én capaciteit), Assure (zorg dat je alles kunt aantonen) en Always on.
• Samenwerking is volgens Jeffrey doorslaggevend: via de CISO Circle of Trust delen grote Nederlandse organisaties informatie over aanvallen en effectieve reacties, en spreekt KPN elk kwartaal met de inlichtingendiensten.
• Hij pleitte voor het gesprek over proportionaliteit: wat mag thuis-connectiviteit kosten, en welke diensten moeten linksom of rechtsom altijd blijven werken bij een langdurige stroomuitval?
• KPN biedt een anti-phishingshield aan dat phishinglinks op DNS-niveau blokkeert, vrijwillig, voor wie dat wil. Jeffrey ziet het liefst dat dit standaard voor alle klanten wordt ingezet.

Waarom het tóch misgaat

Eefje Zents (directeur Samenwerking Digitale Weerbaarheid, NCSC) bouwde voort op het KPN-verhaal met een prikkelende vraag: wat is jouw energiecentrale? Ze verwees naar de hack op een Britse energiecentrale die de productie vier dagen stillegde en benadrukte dat iedere organisatie onderdeel is van een vitale keten, niet alleen de evident kritieke sectoren.

Haar belangrijkste boodschap: ga uit van assume breach. Het gaat niet om de vraag óf je geraakt wordt, maar hoe snel je weer op kunt staan. Als voorbeeld noemde ze de grootschalige DDoS-aanval op het Oekraïense bancaire systeem vlak voor de Russische invasie in 2022: dankzij goede, vooraf georganiseerde samenwerking tussen banken en de Oekraïense tegenhanger van het NCSC, was het systeem binnen één avond weer volledig operationeel. Dat soort samenwerking moet je volgens Eefje al in de "koude fase" optuigen, niet pas als het misgaat. Vandaar ook het Cyberweerbaarheidsnetwerk van het NCSC, opgebouwd rond vier pijlers: informatiedeling, incidentmanagement, kennisuitwisseling en opleiden & trainen.

Cybersecurity in het tijdperk van autonome AI

Het meest spraakmakende onderdeel van de middag was de presentatie van Rogier Fischer (medeoprichter en CEO van Hadrian). Aan de hand van het Hugging Face incident van afgelopen juli, waarbij bleek dat niet een mens, maar een AI-model van OpenAI verantwoordelijk was voor een hack, schetste hij hoe dichtbij een grootschalige "AI-cyberpandemie" al is.

Fischer onderscheidt vijf elementen die nodig zijn voordat een AI-agent zich ongecontroleerd kan verspreiden: een doel en plan (dat overigens niet logisch hoeft te zijn vanuit menselijk perspectief), voldoende autoriteit om acties uit te voeren, de mogelijkheid om zichzelf in stand te houden, de mogelijkheid zich over het internet te verspreiden, en de independent continuation wat staat voor het vermogen om door te blijven leven nadat de oorspronkelijke bron is afgesloten. Dat laatste hebben we volgens Rogier nog niet in het wild gezien, maar wel al in geïsoleerde testomgevingen.

Hij gaf tijdens zijn keynote drie adviezen aan organisaties:

1. Beperk wat AI-agents kunnen: geef ze strikte guardrails en voorkom dat ze breder kunnen opereren dan hun taak vereist.
2. Voorkom verspreiding via basishygiëne: patchmanagement en het sluiten van verouderde, internet-gerichte systemen blijven de belangrijkste verdediging.
3. Oefen scenario's, ook al lijken ze nu nog theoretisch.

Meer informatie over dit scenario is terug te vinden in zijn volledige onderzoek op prompt27.com.

CyberHeroes: van informeren naar ervaren

Tim Murck (Co-founder & CPO, HeroCenter en HackShield) en Inge van der Beijl (Cyber Psychologist & General Manager Innovation, Northwave Cyber Security) namen de zaal mee in de aanpak achter CyberHeroes. Hun kernboodschap: awareness mislukt zodra het beperkt blijft tot kennisoverdracht via een laptop. Echte gedragsverandering ontstaat in een omgeving waarin collega's elkaar durven aan te spreken en fouten durven te melden, een community en geen individuele verantwoordelijkheid.

Daarom zet CyberHeroes in op storytelling en gamification: herkenbare personages, speelse competitie-elementen en een offline component, zodat veilig gedrag ook buiten het scherm een plek krijgt. Om het tempo van nieuwe dreigingen bij te kunnen benen, experimenteert het team inmiddels ook met AI-gegenereerde content om materialen sneller actueel te houden.

Weten is nog geen doen

Gedragspsycholoog Bob van Dam (Behavior Change Group) sloot het plenaire programma inhoudelijk af met de resultaten van het nationale cybersecurityonderzoek. Zijn boodschap: kennis over een risico vertaalt zich zelden vanzelf naar gedrag. Zo geeft 77 tot 84% van consumenten en werknemers aan risico's te herkennen, maar voert slechts een fractie het bijbehorende gedrag consequent uit, 31% bezoekt altijd via de officiële weg een website of app, 33% meldt een verdacht bericht altijd direct, en het gebruik van wachtwoordmanagers en tweefactorauthenticatie blijft met 13 tot 32% relatief laag.

Bob pleit voor interventies op basis van het ACDR-model (Architecture, Competence, Drivers, Resistances) en benadrukt dat gedragsverandering vrijwel nooit in één grote sprong gaat, maar via kleine, haalbare stappen vanaf waar een doelgroep daadwerkelijk staat. Belangrijk inzicht: het gedrag van anderen is vaak onzichtbaar, waardoor mensen geen idee hebben of hun collega's wél een wachtwoordmanager gebruiken. En juist ontneemt de sociale druk die gedrag normaal in beweging zet.

De Alert Online-zeepkist en het officiële startschot

De middag werd afgesloten met de vertrouwde Alert Online-zeepkist: een aantal partners deelden activiteiten, waaronder het Overheidsbreed Cyberprogramma en de campagne Laat je niet interneppen, die zij deze maand organiseren. Marjolijn gaf daarmee het officiële startschot voor de Cybersecuritymaand.

Zelf aan de slag

Georganiseerd worden er deze maand tientallen activiteiten door partners in het hele land. Benieuwd wat er allemaal gebeurt, of wil je zelf iets organiseren? Bekijk de agenda, duik in de toolkit voor kant-en-klaar materiaal, en laat het ons weten via info@alertonline.nl. Samen maken we Nederland digitaal weerbaarder.

*Presentaties worden de komende week aangevuld.