Programma

Europa voelt de dreiging van wat wel het techkolonialisme van de VS en China wordt genoemd, waarbij we steeds afhankelijker worden van niet-Europese dienstverleners en de data van Europese burgers en bedrijven inmiddels nagenoeg volledig in buitenlandse clouds is opgeslagen. Inmiddels is het herstel van de technologische soevereiniteit van de EU een van de kernambities van de Europese Commissie, maar in Nederland staat het nog onvoldoende op de politieke agenda. Wat betekent digitale soevereiniteit eigenlijk? En hoe zorgen we dat we als Nederland ook in de digitale wereld controle behouden over onze democratie, rechtstaat, cyberveiligheid en economisch innovatiesysteem, zonder te vervallen in protectionisme?

Als expert werkt het NCSC aan een digitaal veilig Nederland en dicht zichzelf daarin ook een coördinerende rol toe. Tijdens deze sessie gaat NCSC-directeur Hans de Vries in gesprek met dagvoorzitter Peter Zinn over de rol van het NCSC bij het voorkomen van maatschappelijke schade door het beperken van cyberdreigingen. Er zal uitgebreid aandacht besteed worden aan de noodzaak van de aanpassing van de Wet beveiliging netwerk- en informatiesystemen (Wbni), waardoor er voor het NCSC (en het DTC) meer mogelijkheden komen om dreigings- en incidentinformatie met organisaties te delen op wie deze dreiging van toepassing is. Daarnaast zal er gesproken worden over de algemene stand van zaken met betrekking tot cyberdreiging in Nederland en wat de lessons learned zijn uit de cyberdreigingsoefening ISIDOOR van eerder deze zomer. Tijdens deze meerdaagse oefening, met 1.500 personen uit bijna 100 organisaties, werd er een complexe aanval door een (fictieve) statelijk actor gesimuleerd. De aanbevelingen zijn onlangs naar de Tweede Kamer gestuurd.

Michiel Borgers is sinds 2017 als CIO verantwoordelijk voor de digitalisering van de Universiteit Maastricht. In zijn keynote zal hij ingaan op de uiterste precaire situatie waarin de universiteit eind 2019 werd gebracht. De systemen waren in de maanden voorafgaand gehackt en werden vervolgens gegijzeld door ‘Clop-ransomware’. Wat volgt is een rollercoaster aan beslissingen en maatregelen. De organisatie komt voor een duivelsdilemma te staan; losgeld betalen voor de encryptie of niet? Door zeer weloverwogen en kordaat te handelen weet de Maastricht University de schade te beperken en zijn zij binnen een maand weer volledig up and running. In deze keynote gaat Michiel in op wat er precies gebeurd is en voor welke keuzes zij kwamen te staan. En vooral wat de impact is op de organisatie. Wat zijn uiteindelijk de geleerde lessen en wat kunnen we met elkaar doen om dergelijke aanvallen te voorkomen? Zowel Michiel persoonlijk als de Maastricht University als organisatie beschouwen het als hun social duty om, daar waar kan, bij te dragen aan algemene cyberveiligheid. De boodschap is dus onmiskenbaar: we zullen het samen moeten doen. Vooral door integraal samen te werken en door het geven van meer openheid; organisaties moeten daarom niet schromen om meer informatie, kennis en kunde met elkaar te delen.

Tijdens deze sessie bekijken we hoe grote bedrijfs- en nationale SOC’s Threat Intelligence gebruiken als de belangrijkste informatiebron om zeer geavanceerde bedreigingen te detecteren. We benadrukken de risico’s en mogelijkheden bij het selecteren van Threat Intelligence en partners. Begrijp het belang van Actionable Threat Intelligence en hoe u deze kunt gebruiken om snelle en effectieve response mogelijk te maken, of u nu SOC-services van derden gebruikt of een interne SOC hebt.

In iedere onderneming, groot en klein, is de afgelopen decennia veel tijd, geld en aandacht besteed aan het opleiden van BHV’ers om zo goed voorbereid te zijn op calamiteiten. En dat is geweldig. Maar wat als die calamiteit digitaal plaatsvindt in de vorm van een cyberaanval? Welke collega’s zijn dan de bedrijfshulpverleners? De druk op IT-afdelingen wordt alsmaar groter maar IT-oplossingen zijn niet altijd de ‘holy grail’ bij cyberattacks. Het trainen van medewerkers vormt een cruciaal onderdeel in het voorkomen van alle nare consequenties door cyberaanvallen, zoals bijvoorbeeld paniek. Hoe combineer je mensen, processen en technologie in een sterke beschermingsstrategie? En voorkomen is nog steeds beter dan genezen. Tijdens deze sessie krijgt u inzicht hoe u uw organisatie kunt voorbereiden op cyberaanvallen. U krijgt concrete tips en tricks en hoort praktijkervaringen hoe andere bedrijven hebben gereageerd op een (helaas) geslaagde cyberaanval.

Digitale transformatie en verregaande privacyregelgeving dwingt organisaties opnieuw te evalueren welke informatie zij opslaan en volgen en hoe zij dit doen. Hoewel privacybeheer bijna alle traditionele disciplines van Governance, Risk & Compliance raakt, wordt er vaak pas achteraf nagedacht over naleving ervan. Tijdens deze sessie krijgt u inzicht hoe organisaties hun privacy-by-design kunnen optimaliseren om potentiële risico’s te identificeren en te volgen. Krijgt u inzicht in de obstakels die organisaties tegenkomen wanneer zij met behulp van legacy-systemen proberen te voldoen aan de privacywetgeving en leert u wat de toegevoegde waarde is van het opnemen van uw privacy-programma in een breder programma voor risicobeheer.

Het realiseren van cyberweerbaarheid voor organisaties is als Formule-E racen; het is niet alleen de coureur die zorgt voor de overwinning, het is teamwork ten top. Het succes is afhankelijk van het continue verbeteren van prestaties. Alleen goed afgestemde samenwerking tussen alle expertises binnen het team, en het steeds bijstellen ervan, brengt succes. Bij de strategiebepaling en de uitvoer daarvan is iedere schakel even belangrijk en is niemand onmisbaar. In deze sessie licht Global Security Strategist Martin Knobloch aan de hand van voorbeelden uit de Formule-E toe hoe organisaties hun cyberweerbaarheid kunnen verhogen door de cybersynergie over de verschillende afdelingen heen te optimaliseren.

Recente rapporten tonen aan dat het detecteren en oplossen van cyberaanvallen veel tijd in beslag neemt. Cyberaanvallen met bijvoorbeeld als doel data te bemachtigen of een infrastructuur plat te leggen kunnen namelijk op veel manieren plaatsvinden (doorgaans is dat geautomatiseerd). Voor grote organisaties is het daarom lastig om de IT-infrastructuur voldoende te beveiligen, zeker wanneer er ook gebruik gemaakt wordt van publieke cloud-omgevingen. Volledig vertrouwen op de beveiliging van cloud providers is meestal niet de beste oplossing. Het beveiligen van multi-cloud-omgevingen is een extra punt van zorg aangezien het een uitdaging is om consistente en robuuste beveiliging op de verschillende platforms toe te passen. Organisaties willen kunnen detecteren welke informatie mogelijk publiekelijk toegankelijk is, eventuele misconfiguraties in de cloud kunnen identificeren en te uitgebreide autorisaties kunnen verwijderen. Het is wenselijk om dit, met behulp van geautomatiseerde procedures, regelmatig te checken. Des te meer reden om gebruik te maken van beveiligingsoplossingen waarmee u de samenhang tussen verschillende gebeurtenissen kunt onderzoeken. Een gecentraliseerd dashboard geeft een snelle detectie van verdacht gedrag en biedt de mogelijkheid voor een continue rapportage op de naleving van de procedures.

Sprookjes bestaan. En bevatten tijdloze wijsheid en educatieve waarde, toepasbaar op de wereld zoals die eeuwen geleden was – en op onze huidige cybermaatschappij. Neem nou Sneeuwwitje. Die appel, die de boze koninging haar probeerde te laten eten? Een klassiek gevalletje phishing. De wolf die zich als oma voordeed? Spoofing. En de zeemeeuwen uit Finding Nemo? Een duidelijk voorbeeld van een Advanced Persistent Threat.

Waar wij in het cybersecurityvak veel hebben aan ervaringen uit het verleden en zogenaamde ‘best practices’ – waaronder ISO27001 en de SANS20 – laten wij onze jongste generaties vaak zonder deze beste praktijkervaringen voor het eerst gebruik maken van IT. De smartphone van papa of mama of de tablet van opa of oma. Met degelijke ‘security controls’ maakt de jeugd vaak pas kennis als hun werkzame leven begint – meestal pas na hun 20ste levensjaar. Maar waarom wachten we zolang, in de wetenschap dat awareness en security skills een sleutelrol spelen in de digitale weerbaarheid van organisaties – en de maatschappij?

Veel bedrijven worstelen met hun IT-securitybeleid. Het feit dat IT als lastige technologie wordt gezien doet IT-security soms voelen als een “ver-van-ons-bed show”. Is dit wel zo? Door IT te benaderen als de wereld om ons heen, worden dingen begrijpelijk. Alle vragen worden beantwoord. Vragen zoals, waar bevinden zich mijn kroonjuwelen, Hoe heb ik deze beschermd en ben ik kwetsbaar. Op welke manier moet ik gecertificeerd zijn? Is alleen een slot vereist of ook een lasersysteem? Het is belangrijk om als organisatie te zorgen voor een juist security/compliance-beleid dat wordt nageleefd, zonder de awareness op de werkvloer te vergeten. Door te weten hoe een hacker denkt kunt u uw kroonjuwelen perfect beveiligen.