H2

Hoorcollege: Een wereld van experten en criminelen

• Het college behandelt de wereld van experten en criminelen in de context van cyberveiligheid
• Er wordt gesproken over ethiek en cyberwetten

Ethiek en cyberwetten

• Een ethische vraag: Is het ethisch om het wachtwoord van je studentenaccount door te geven aan iemand anders, zodat die persoon op eduroam internet kan gebruiken?
• Een ethische vraag: Is het ethisch om in te loggen op een website met account waarvan je toevallig de inloggegevens hebt gekregen (bijv. van een post-it)?
• Een ethische vraag: Is het ethisch om een kwetsbaarheid van een middelbare school website te gebruiken om toegang te verkrijgen tot gegevens die niet toegankelijk zouden mogen zijn?
• Een ethische vraag: Is het ethisch om de school niet te informeren over deze kwetsbaarheid?
• Zijn deze acties legaal of illegaal?

Wetgeving in cybersecurity

• De wetgeving in cybersecurity is een moeilijke taak
• Wetgeving loopt vaak achter op technologie
• Het "op tijd" invoeren van regelgevingen is essentieel
• Voorbeeld: zaak Bistel

Nationale en internationale pogingen

• België heeft wetgeving rond "ethisch hacken"
• Europa heeft NIS en NIS2 richtlijnen
• De Verenigde Staten hebben een NIST framework
• Wereldwijd is er een ISO/IEC cybersecurity model

Wet rond ethisch hacken

• Ethische hackers kunnen Belgische bedrijven zonder toestemming hacken als het gaat om beveiligingscontrole.
• Nieuwe wetgeving is ingevoerd op 15 februari 2023
• Het Openbaar Ministerie interpreteert de wetgeving nog steeds restrictief, wat betekent dat "hacken" nog steeds verboden is

Dit kader beschrijft ...

• Hoe een natuurlijke of rechtspersoon zonder frauduleuze bedoelingen kwetsbaarheden in netwerken en informatiesystemen in België kan opsporen en moet melden

Meer informatie

• Links naar verschillende websites met meer informatie over het onderwerp

Het NIS en NIS2 directive

• NIS2 richtlijn is de EU-brede wetgeving over cybersecurity
• NIS2 richtlijn zorgt voor meer cybersecurity in de EU

NIS

• Eerste EU-brede wetgeving rond cybersecurity
• Ingevoerd in 2016
• De invoering verliep moeizaam

NIS 2

• Meer verduidelijking rond technologie vernieuwingen
• Meer samenwerking tussen lidstaten voor grote bedreigingen
• Verplicht meer organisaties en sectoren om te werken rond cybersecurity
• Verplicht nationale wetgevingen in EU-landen tegen 17 oktober 2024

NIST Framework

• National Institute of Standards and Technologies (NIST) framework
• Een raamwerk voor bedrijven en organisaties die cyberbeveiligingsprofessionals nodig hebben
• De framework helpt bedrijven belangrijkste soorten verantwoordelijkheden, functietitels en benodigde vaardigheden te identificeren

Het ISO/IEC cybersecurity model

• Het beveiligen van data is een enorme taak
• Het ISO/IEC framework helpt om dit proces te verbeteren
• Het cybersecurity model is een hulpmiddel voor complexe problemen om te begrijpen en te handelen

Het ISO/IEC 27000 model

• Het is een vaste standaard, opgesteld in 2005 (en geüpdatet in 2013)
• Hij wordt door veel landen en organisaties gebruikt
• Het model is bruikbaar voor elk type organisatie en bevat controle doelstellingen in de vorm van checklists.
• Organisatie mag zelf bepalen welke lijsten voor hen van toepassing zijn

Aanvallers

• Een hacker (aanvaller) kan om verschillende redenen inbreken op computers of netwerken om toegang te verkrijgen
• Verschillende motivaties, waaronder leren, humor, vandalisme en gewin
• Vaak wordt de term in verkeerde zin gebruikt, wat verwarring met de term "cracker" veroorzaakt

Types hackers

• White hat: zoeken zwakke plekken in systemen om ze beter te beveiligen
• Gray hat: vinden zwakke plekken en melden deze aan de eigenaren
• Black hat: breken in voor persoonlijk voordeel

Scriptkiddies

• Meestal tieners of hobbyisten die met bestaande tools aanvallen uitvoeren. Meestal voor grappen en vandalisme

Vulnerability brokers

• Gray hat aanvallers die exploits proberen te ontdekken en deze rapporteren aan leveranciers, soms voor geld of beloningen

Hacktivisten

• Gray hat aanvallers die zich verzamelen en protesteren tegen verschillende politieke en sociale ideeën.
• Publiekelijk protesteren door bijvoorbeeld websites/videos aan te vallen

Cybercriminelen

• Black hat hackers die als zelfstandige werken of voor grote cybercrime-organisaties
• Strijden jaarlijks voor miljarden dollars van consumenten en bedrijven

Verdedigers

• Het dwarsbomen van cybercriminelen is een taak voor bedrijven, overheden en internationale organisaties
• Die organisaties coördineren acties om cybercriminelen te beperken of af te weren

Cybersecurityspecialisten

• Deze organisaties moeten nauw samenwerken met andere deskundigen, en zijn vaak ook afhankelijk van workshops/conferenties ondersteund door internationale technologie-organisaties

Organisaties tegen computermisdaad

• Verscheidene organisaties bestaan om computermisdaad te bestrijden
• België: Federal Computer Crime Unit (FCCU), Centre for Cyber Security Belgium, ...
• Wereldwijd: Europol, ENISA, Interpol, ...

Security vs. privacy

• Een eeuwig debat over de balans tussen beveiliging en privacy
• De overheid verzamelt data/informatie die door hackers gebruikt kan worden/zijn/of worden.
• Er worden vragen opgeworpen als bv.: Hoe ver mag de overheid hiermee gaan? Wat gebeurt er als gegevens voor een verkeerd doel worden gebruikt?, Wat als er een fout zit in de data?, Wat als de definitie van "fout" verandert?

GDPR (General Data Protection Regulation)

• Europese wet voor gegevensbescherming
• Ingevoerd in 2018
• Recht: van inzage, op correctie, om vergeten te worden, op overdracht van gegevens, beveiliging, ...
• Organisaties moeten een juist doel hebben voor gegevensverzameling en enkel nodige gegevens verzamelen. Het recht op toestemming moet er ook zijn, bv. Foto voor identiteitskaart, scan luchthaven.
• Gegevensbeschermingsautoriteit controleert naleving van GDPR

### Organisaties voor samenwerking

• Cybersecurity-specialisten moeten regelmatig samenwerken met professionele collega's.
• Internationale technologieorganisaties sponsoren over het algemeen workshops en conferenties.

Conferenties, CTF's, ...

• Cybersecurity specialisten moeten dezelfde vaardigheden als hackers hebben, vooral black hat hackers, om zichzelf te beschermen tegen aanvallen.
• Hoe kan een individu vaardigheden opbouwen en oefenen om een cyberbeveiligingsspecialist te worden?
• Conferenties en competities zijn een uitstekende manier om kennis en vaardigheden in cyberbeveiliging op te bouwen.

Diverse andere zaken

• Verschillende andere organisaties en specifieke voorbeelden van incidenten en acties