Cybersecurity in Polen: illusie van bescherming of echte strategie? Sterke woorden van een expert

• Cyberveiligheid is in Polen vaak een illusie, omdat het gebaseerd is op onnauwkeurige definities, verspreide investeringen en menselijke fouten in plaats van op echte systemische oplossingen. Dat zijn de conclusies van Paweł Nogowicz, oprichter van Evercom. Hij sprak erover tijdens het Europees Economisch Congres .
• Hij waarschuwde dat onbeveiligde producten bij consumenten terechtkomen omdat ondernemers meer om winst geven dan om de veiligheid van de gebruiker. Volgens hem geldt het probleem ook voor software die digitale veiligheid moet waarborgen.
• Nogowicz merkte dat er een tekort was aan gekwalificeerde specialisten. Volgens hem ontstaat er vandaag de dag een illusie van onderwijs: diploma's op het gebied van cybersecurity worden uitgereikt aan mensen met een postdoctorale opleiding die niets met IT te maken heeft.

Is Polen veilig op het internet? - Deze vraag kunnen we niet op een eenvoudige manier beantwoorden, zei Paweł Nogowicz, eigenaar van Evercom en lid van de Poolse Vereniging voor Informatieverwerking, tijdens de EEG-besprekingen op het Europees Economisch Congres . De deskundige, die zich al dertig jaar met dit onderwerp bezighoudt, heeft ook kritische kanttekeningen geplaatst bij de manier waarop overheidsinstellingen en de private markt omgaan met het thema digitale beveiliging.

Er is geen definitie. Hoe weet je dan wat een aanval is?

Nogowicz vestigde onder meer de aandacht op het probleem van de methodologie van de verslaggeving over cyberdreigingen. Hij wees erop dat zonder een duidelijke definitie van de term 'aanval' statistische gegevens misleidend kunnen zijn.

- Iedereen telt het op de manier die hij/zij nodig acht. Zijn duizend identieke phishingmails duizend aanvallen of slechts één? - vroeg hij. Het gebrek aan precisie is volgens hem ook het gevolg van het opzettelijk verdoezelen van het dreigingsbeeld, vaak voor marketing- of politieke doeleinden .

De deskundige bekritiseerde het feit dat cyberaanvallen uitsluitend aan externe factoren werden toegeschreven. Nogowicz wijst erop dat veel zogenaamde incidenten het gevolg zijn van onachtzaamheid van gebruikers. - Als iemand de deur niet op slot doet, kan hij er niet van beschuldigd worden dat hij het voor criminelen makkelijker maakt om toegang te krijgen tot bepaalde goederen. Het gaat hier niet om cyberveiligheid, maar om het waarborgen van de veiligheid van degenen die hiervoor verantwoordelijk zijn, zei hij, en voegde toe:

Laten we het beveiligingslek dat op deze manier ontstaat, geen beveiligingslek voor de computer noemen.

Volgens de expert begint cyberveiligheid bij basisgewoonten en -procedures, die in veel gevallen eenvoudigweg ontbreken.

Gebruikers worden softwaretesters

Nogowicz maakte een scherpe inschatting van de huidige marktrealiteit, waarin – zoals hij stelde – de prioriteit van technologiebedrijven niet veiligheid is, maar het maximaliseren van winst. Hij merkte op dat het probleem ook betrekking heeft op IT-beveiligingssystemen.

- De taak van bedrijven is om zo veel mogelijk en zo goedkoop mogelijk te produceren en zo een zo groot mogelijke omzet- en winststijging te realiseren. Niets dwingt het bedrijf om veilige oplossingen te produceren, zei hij. Hij betoogde ook:

Het kan niet zo zijn dat gebruikers softwaretesters zijn. Het kan niet zo zijn dat software voortdurend patches nodig heeft waardoor bepaalde kwetsbaarheden worden opgelost maar er juist nieuwe ontstaan.

Volgens Nogowicz zijn fabrikanten op dit moment niet wettelijk verplicht om veilige software of apparaten te leveren.

In het gesprek werd ook kritiek geuit op het overheidsbeleid ten aanzien van investeringen in digitale beveiliging. Volgens de deskundige lossen programma’s als ‘Veilige Gemeente’ of ‘Veilig Kantoor’ in de praktijk geen echte problemen op.

- 50 duizend gaat hierheen, 100 duizend daarheen en het is een succes. Efficiëntie? Geen. Volgens de expert zijn lokale overheden nog steeds een lek als een mandje.

Nogowicz pleitte voor centralisatie en rationeel gebruik van fondsen, in plaats van symbolische acties gericht op het publiek.

De expert benadrukte ook het dramatische gebrek aan echte cybersecurityspecialisten. Hij bekritiseerde het fenomeen dat in snelle postdoctorale opleidingen ‘experts worden opgeleid’ die later zonder adequate voorbereiding sleutelposities bekleden.

Je kunt geen cybersecurity-specialist opleiden in een weekendcursus.

Ondertussen naderen de huidige ervaren experts de pensioengerechtigde leeftijd en zijn er geen echte opvolgers.