Acht cybersecurity-tips uit The Walking Dead

Soms kan de meest onlogische combinatie van twee dingen voor een bijzondere uitkomst zorgen. Neem nu cybersecurity en entertainment. Wat kunnen populaire films, TV-shows, boeken of videogames ons leren over security? Op het eerste oog misschien niets, maar Cory Nachreiner van WatchGuard ontdekte in zijn guilty pleasure ‘The Walking Dead’ acht overlevingstips, die ook van pas komen in het bedrijfsleven.

De meeste nerds kennen de populaire televisieserie ‘The Walking Dead’ wel. In de serie probeert een groep mensen een zombie-Apocalyps te overleven. Wat is dan de overeenkomst met cybersecurity? Vrij simpel: het overleven in een omgeving vol met bedreigingen en risico’s. Is het internet namelijk ook niet zo’n omgeving? Nachreiner laat acht overeenkomsten zien.

1. Veilige omgeving

De televisieserie The Walking Dead gaat over een groep mensen die probeert te overleven in een wereld met zombies. Het verhaal gaat niet zozeer over het uitroeien van de zombies. De mensen zijn bezig met overleven in extreem moeilijke omstandigheden. Ze zoeken naar een veilige plaats waar de zombies geen kwaad kunnen aanrichten. Een plek waar ze niet continu op hun hoede hoeven te zijn. Ze willen hun veilige gebied afschermen door middel van perimeters ofwel een begrenzing zoals een hekwerk.

Bij cybersecurity zijn deze perimeters ook van groot belang. Tegenwoordig kunnen we vanuit elke willekeurige locatie werken. De fysieke en virtuele servers staan in kantoren of datacenters opgesteld. We zullen dus over beveiligingsperimeters moeten beschikken om de servers te beschermen tegen indringers. Uiteraard hebben we ook een security-strategie nodig voor mobiele en externe systemen.

2. Leef in plaats van overleven

De mensen die voor het eerst een aanval van een zombie hebben overleefd, maken een grote fout als ze denken dat hun leven draait om het overleven van de aanvallen op zombies. Om op lange termijn te kunnen overleven, moet je ook een normaal leven hebben. Denk hierbij aan eten, slapen en ontspannen ofwel de dagelijkse bezigheden. Hetzelfde geldt voor security-professionals. In het bedrijfsleven draait alles om business en niet om security.

Veel security-professionals maken de fout om te denken dat hun baan is gericht op het perfect beveiligen van de organisatie. Ze zijn alleen maar bezig met de beste security-oplossing voor het bedrijf. Maar uiteindelijk gaat het erom dat het bedrijf draaiende blijft en dat er zo min mogelijk risico’s zijn. En soms is het juist zinvol om risico’s te nemen. In The Walking Dead laten ze een mooi voorbeeld hiervan zien. Hoofdpersoon en boer Hershel is een van de overlevers. Hij kiest ervoor om zieke patiënten die in quarantaine zitten te helpen. Hiermee riskeerde hij zijn eigen gezondheid. Maar hij kon zijn medische training wel in de praktijk inzetten en redde andere overlevers, die hem in een later stadium weer kunnen redden.

3. Vrijwel iedereen is mobiel

Een afgebakende veilige plek is dus belangrijk, maar overlevers hebben continu hulpmiddelen nodig om zich te verdedigen. Het is echter niet mogelijk om al deze middelen op een bepaalde plaats beschikbaar te hebben. Zeker ook doordat ze niet altijd op dezelfde plek blijven. In The Walking Dead trekken ze er regelmatig op uit om nieuwe voorraden aan te leggen of om een specifieke missie te volbrengen. Zo hebben ze regelmatig nieuwe medicijnen en eten nodig. Het team dat hiervoor hun veilige omgeving verlaat, is uitgerust met de nodige wapens en overige bescherming.

Deze gelijkenis met het bedrijfsleven mag duidelijk zijn. Aangezien veel werknemers regelmatig op pad zijn, moeten hun mobiele apparaten voorzien zijn van een geschikte verdediging. Op deze manier overleven zij de gevaarlijke internetwereld en zorgen ze ervoor dat ze niet besmet worden.

4. Cold as ice

Degenen die in The Walking Dead al het langst overleven, zijn degenen die rustig blijven in situaties waarbij het om leven of dood gaat. Kalmte blijkt een geheim wapen te zijn als iemand in het nauw gedreven wordt. Hierdoor blijven de overlevers helder en kunnen zij de juiste beslissingen in lastige situaties nemen.

Op het moment dat er security-problemen ontstaan en gevoelige informatie wordt gelekt, is het essentieel dat iedereen het hoofd koel houdt. Sluit geen systemen af, want dan verdwijnt essentieel bewijs. Blijf rustig, verzamelen bewijs en analyseer de situatie zorgvuldig om de juiste beslissing te nemen. 

5. No man is an island

Een wijs man zei ooit: ‘No man is an island’. Sommige overlevers in The Walking Dead lukt het technisch gezien misschien om alleen te overleven, ze kunnen niet alleen gedijen. Iedereen heeft immers zijn zwakke momenten. Zo isoleert een van de spelers (Morgan) zich van de rest van de wereld. Het resultaat is dat hij overleeft, maar wel gek wordt. Terwijl de andere speler (Rick) zich met een ijzersterk team omringt van krijgers die hem steunen. Hierdoor heeft hij meer kans om te overleven, maar ook om prettiger te leven in een gevaarlijke omgeving omdat hij altijd hulp van anderen krijgt.

Cybersecurity-professionals hebben ook een ijzersterk team om zich heen nodig. Binnen grotere organisaties kan dit betekenen dat security-specialisten zich kunnen richten op iedere laag van de informatiebeveiliging. Iemand houdt zich bijvoorbeeld met de perimeters bezig, een ander richt zich op mobiele beveiliging, en weer een ander reageert op incidenten. In een kleinere organisatie is de security-professional of de traditionele IT-functionaris verantwoordelijk voor alle beveiligingsaspecten. Het kan dus een goed idee zijn om een team samen te stellen van partners die ondersteuning bieden om doelen te bereiken. Denk hierbij aan het voorlichten van medewerkers over mogelijke security-gevaren en het krijgen van aandacht voor beveiligingsproblemen. Hoe meer mensen goed op de hoogte zijn, hoe minder incidenten er plaats zullen vinden. 

6. De slechterik

Ieder goed verhaal heeft wel een antiheld die asociaal is en een groep opstookt. Deze persoon zorgt altijd voor veel drama en trekt problemen aan.

Cybersecurity is de afgelopen jaren steeds belangrijker geworden. Sterker nog, voorheen was het vooral zaak van de IT-afdeling en nu bemoeit zelfs de directie zich met beveiliging. Goede security-professionals moeten daarom goed communiceren met collega’s van andere afdelingen. Ze moeten medewerkers immer informeren, HR ondersteunen en hebben steeds hogere budgetten nodig. Helaas hebben techneuten ook vaak de reputatie cynische betweters te zijn, die strenge regels opstellen zonder dat hiervoor goede redenen zijn. Zij moeten daarom luisteren naar collega’s, geduld hebben bij het voorlichten van medewerkers en op een vriendelijke manier communiceren. Om vrienden te maken, is de manier van communiceren belangrijker dan de boodschap. Wellicht begrijpen collega’s de nieuwe security-strategie dan ook beter en zien ze het niet als een blok aan hun been. Het mag ook duidelijk zijn dat deze tactiek ook werkt voor het krijgen van hogere budgetten voor nieuwe security-projecten. 

7. Liever een zombie dan een kwaadwillend persoon

The Walking Dead gaat niet zozeer over zombies, maar vooral over menselijke sociologie in extreme situaties. De zombies lijken misschien de grootste bedreiging. Maar mensen die plotseling op een machtige positie belanden, kunnen misschien nog wel meer kwaad in zich hebben. Daarnaast zijn ze minder voorspelbaar dan de zombies.

Vergelijk de zombies eens met geautomatiseerde cyberbedreigingen, zoals botnets, wormen en virussen. En vergelijk de slechte menselijke karakters met de vooruitstrevende aanvallers die het op specifieke bedrijven gemunt hebben. Deze laatste groep is veel gevaarlijker. Bedrijven kunnen dus beter meer tijd en geld besteden aan de verdediging tegen doelgerichte aanvallers. 

8. Vertrouwen

Een van de belangrijkste lessen uit The Walking Dead is dat de personages moeten uitkijken wie ze vertrouwen. Het ontmoeten van nieuwe mensen blijkt in de serie een valkuil te zijn. Vreemden kunnen voor of tegen je zijn, maar ze zijn nooit neutraal. Voor de juiste beveiliging is het belangrijk te weten wie te vertrouwen is. In de serie hebben ze hiervoor een handige test die bestaat uit drie vragen: hoeveel zombies heb je vermoord? Hoeveel mensen heb je vermoord? En waarom?

Bij informatiebeveiliging is vertrouwen ook essentieel. Wie vertrouwt onze organisatie? In welke mate? Welke data vindt onze organisatie belangrijk? En welke data die we niet voldoende vertrouwen kunnen we blokkeren? Alle technische security-maatregelen die we gebruiken om de toegang tot informatie te beheren helpen niets als er geen goed beleid is opgesteld. En het uitschrijven van het beleid heeft geen zin als je niet weet wie je kunt vertrouwen.

Een groot probleem is dat veel organisaties alle ‘insiders’ evenveel vertrouwen en platte interne netwerken ontwerpen. In The Walking Dead is het duidelijk dat niet iedereen die deelneemt aan een team ook echt aan jouw zijde staat. Om een goede beveiliging te ontwerpen, is segmenteren van het interne netwerk belangrijk. Het is beter om werknemers en data te scheiden op de rol en waarde die ze in de organisatie hebben. Op het moment dat er een goed beeld is van wie het meest betrouwbaar is, kunnen organisaties hun data op dezelfde manier beschermen.

Ook al is het script van The Walking Dead niet gebaseerd op cybersecurity, toch kunnen we er voldoende lessons learned uit halen. Fictie is eigenlijk altijd gebaseerd op menselijke ervaringen. En wijsheid zit soms nu eenmaal op de vreemdste plekken. Dus wie zegt dat televisie slecht voor ons is?

Etiënne van der Woude is Regional Sales Manager Benelux bij WatchGuard Technologies