Zo maken we onderzoek naar cybersecurity nog beter
Cybercriminaliteit en cybersecurity zijn hot topics, ook in de wetenschappelijke wereld. Het onderzoek ernaar kan echter nog beter, stelt Bibi van den Berg, hoogleraar Cybersecurity Governance aan de Universiteit Leiden. Oratie op 8 juni.
Je kunt de krant niet openslaan of je leest wel een verhaal over cybercriminaliteit of cybersecurity. Regelmatig gaat het over gelekte persoonsgegevens, over de nieuwste phishingmails om je bankrekening te plunderen, of over Russische of Iraanse hackers die onze staatsgeheimen zoeken. Kortom: het wereldwijde web kent naast allerlei voordelen ook talloze bedreigingen, en daar zijn we ons steeds beter van bewust.
Definitie oprekken
Ook wetenschappers doen steeds onderzoek naar cybersecurity. Dat onderzoek kan echter nog beter. In haar oratie laat zij zien dat de huidige focus van het wetenschappelijk onderzoek naar cybersecurity nog te krap is.
In het onderzoek naar cybersecurity ligt de focus nu nog voornamelijk op cybersecurity als ‘de bescherming van systemen tegen intentionele dreigingen met behulp van risicomanagement’. Er zijn echter goede redenen om die definitie breder te trekken, zegt Van den Berg.
‘In de eerste plaats moeten we niet alleen naar intentionele bedreigingen kijken, maar ook naar accidentele gevaren,’ zegt Van den Berg. ‘Een deel van de dreiging komt weliswaar van hacks en andere moedwillige aanvallen, maar er gaat ook regelmatig iets mis als gevolg van menselijke fouten of systeemfouten. Tot nu toe worden dit soort ongelukken bijna volledig uitgesloten als onderzoeksonderwerp. Dat is zorgwekkend, want de consequenties zijn vaak even groot als die van een bewuste aanval.’ Denk bijvoorbeeld aan de storingen in het systeem van de luchtverkeersleiding waardoor Schiphol in november tientallen vluchten moest annuleren.
Misinformatie en fake news
Daarnaast ligt de onderzoeksfocus volgens Van den Berg teveel op systemen. Onderzoek richtte zich bijvoorbeeld op het verstoren, manipuleren of binnendringen van systemen (zoals hacken en malware) of op criminele activiteiten via systemen (zoals phishing of fraude). Van den Berg: ‘In de afgelopen jaren zien we echter ook een nieuwe cyberdreiging opkomen die zich niet laat vangen in deze onderzoeksfocus, namelijk misinformatie en fake news. Met de komst daarvan is de focus op hard- en software te smal geworden; we zullen nieuwe vormen van bescherming moeten ontwikkelen voor de inhoud.’
Risicomanagement
Van den Berg vindt dat de ‘oplossing’ van cybersecurityvraagstukken momenteel teveel gezocht wordt in risicomanagement, het continu in kaart brengen en aanpakken van potentiële bedreigingen. ‘Hoewel risicoanalyses over cybersecurity doorgaans veel onzekerheden bevatten, behandelen politici en bestuurders de rapporten vaak alsof het onwrikbare feiten zijn.’
‘Wanneer de vermeende objectieve cijfers eenmaal bij de beslismaker op tafel liggen, is het ongelooflijk moeilijk nog een debat te voeren over andere informatie die wellicht relevant zou kunnen zijn voor een afgewogen besluit.’
Tot slot moet de wetenschap het vakgebied beter afbakenen en conceptualiseren. Dat is belangrijk, meent Van den Berg, omdat de bestudering van cybersecurity momenteel wordt gekenmerkt door veel toegepast, empirisch werk vanuit een technische achtergrond. 'Maar empirie zonder theorie is nietszeggend. We hebben duiding nodig om sturing te geven aan de keuzes die we nu al maken op het gebied van wetgeving en productontwerp.’