De camera die niemand beheerde

Deze week maakten de AIVD en MIVD bekend dat Russische hackers camera’s langs militaire routes in Nederland hebben gehackt. De hackers braken niet in bij Defensie. Ze kwamen binnen bij gewone bedrijven, via gewone IP-camera’s, bereikbaar over internet, met standaardwachtwoorden en verouderde firmware.

De reflex is voorspelbaar. Rusland, spionage, defensie. Ver van mijn bed. Mijn bedrijf doet niets met wapentransporten, dus dit gaat niet over mij.

Ik denk dat dat de verkeerde les is. De echt interessante vraag in dit verhaal gaat over de bedrijven zelf. Wie heeft daar ooit besloten dat een camera geen IT is?

De grens die niemand bewust heeft getrokken

Ik durf te wedden dat het bij die bedrijven zo is gegaan, omdat het bijna overal zo gaat. De camera is gekocht door facilitair of door de eigenaar zelf. Opgehangen door een beveiligingsinstallateur. Aangesloten op het netwerk, want dan kun je meekijken op je telefoon. Handig. Klaar.

En daarna gebeurde er niets meer. De camera staat op geen enkele inventarisatielijst. Er is nooit een update geïnstalleerd. Het wachtwoord is nog het wachtwoord uit de doos. Niemand voelt zich eigenaar, want een camera is toch geen IT?

Het wrange is dat die camera er hing voor de veiligheid. Het apparaat dat je kocht om je bedrijf te beschermen, werd het gat waardoor een buitenlandse inlichtingendienst naar binnen keek.

Alles met een IP-adres is IT

Hier zit mijn punt. De grens tussen IT en de rest die de meeste organisaties hanteren, is een administratieve grens. IT is wat op het IT-budget staat. De laptops, Microsoft 365, misschien de server. De camera’s, de printers, de deurbel, de klimaatinstallatie, het toegangssysteem, het zonnepanelen-portaal, dat is facilitair, of gebouwbeheer, of gewoon van niemand.

Aanvallers hanteren die grens niet. Voor een aanvaller is alles met een IP-adres een deur. Wie het heeft gekocht en op welke kostenplaats het staat, interesseert hem niets. Zo’n aanval is routinewerk. Een script zoekt het hele internet af naar bereikbare apparaten en probeert overal de standaardwachtwoorden.

Je beveiligingsgrens ligt dus bij het verste apparaat aan je netwerk, ook als niemand nog weet dat het er hangt. Dat is precies het risico dat we eerder beschreven in de digitale rommelkamer.

Hetzelfde patroon, andere verschijningsvorm

Wie de afgelopen jaren heeft opgelet, herkent dit patroon. Medewerkers nemen AI-tools mee die IT nooit heeft goedgekeurd en nooit heeft gezien. Afdelingen sluiten SaaS-abonnementen af buiten elk contract om. En afdelingen hangen apparaten aan het netwerk waar IT geen weet van heeft.

Shadow AI, shadow SaaS, en nu letterlijk schaduwapparatuur aan de muur. Drie verschijningsvormen van precies hetzelfde probleem. Je kunt alleen beschermen wat je kent, iets wat ook geldt voor de systemen die niemand meer beheert.

Daarom is de belangrijkste beveiligingsmaatregel opvallend saai. Een actuele lijst. Weten wat er aan je netwerk hangt, wie het kocht, wie er eigenaar van is en wie verantwoordelijk is voor de updates. Inventarisatie voelt als administratie. Het is stap één van je verdediging, en elke serieuze beveiligingsnorm begint er niet voor niets mee.

Wij zijn geen doelwit klopt niet meer

Er zit nog een tweede les in dit verhaal, en die is misschien wel ongemakkelijker.

De bedrijven waarvan de camera’s zijn gehackt, werden doelwit vanwege waar hun camera toevallig hing. Hun bedrijfsactiviteit deed er niet toe. Hun omvang deed er niet toe. Hun data deed er niet toe.

Het argument dat je te klein en te oninteressant bent om gehackt te worden was al zwak in het tijdperk van ransomware, waarin aanvallers massaal oogsten. Nu is het definitief dood. Je kunt interessant zijn door je klanten, door je keten, door je locatie, of gewoon door een openstaande poort die een scanner vindt. Interessant zijn is geen keuze meer die je zelf maakt.

De vraag om deze week te stellen

Ik zou elke directeur die dit leest één ding willen meegeven. De vraag of je camera’s veilig zijn gaat alleen over de apparaten die je al kent. Stel daarom deze vraag: hebben wij een actueel overzicht van alles wat aan ons netwerk hangt, en staat bij elk apparaat een naam van iemand die er verantwoordelijk voor is?

Is het antwoord ja, gefeliciteerd. Je hoort bij een kleine minderheid. Blijft het even stil, dan heb je meteen je startpunt te pakken.

Want die camera aan je gevel, dat toegangssysteem bij de deur, die slimme thermostaat in de serverruimte. Ook dat is IT. Het werd alleen nooit zo behandeld. Wil je weten wat er bij jou allemaal aan hangt? Laten we die lijst samen maken. Regie voeren begint bij overzicht.