Een goede cybersecurity vraagt aandacht van ons allemaal
Week van de Veiligheid bij Inholland
“Maak het ze niet te gemakkelijk”, is een algemene oproep die uitgaat tijdens deze Week van de Veiligheid. Dit geldt natuurlijk ook online waar hackers, phishers en andersoortige online criminelen 24 uur per dag op de loer liggen en proberen hun slag te slaan. Wat betekent dit voor Hogeschool Inholland, collega’s en studenten? Staat cybersecurity goed (genoeg) op ons netvlies?
Raymond Kales is veiligheidsspecialist bij de stafafdeling IVT en vertelt dat de monitoringssystemen dagelijks 72 miljoen ‘beveiligingsgerelateerde’ events per dag automatisch verwerken en ‘beoordelen’. “Als een event iets alarmerends bevat dan wordt het een ‘alert. Zoals phishing e-mails die door het filter worden tegengehouden, een computervirus die door de scanner wordt gedetecteerd en opgeschoond, of een ‘superman-login’ of ‘impossible travel’. Dan gaat het om iemand die fysiek onmogelijk snel eerst vanuit Nederland inlogt en vervolgens bijvoorbeeld vanuit de USA. Vaak is dit een student of een collega met een VPN. Een deel daarvan vraagt om directe actie van ons team. Daarnaast zijn we natuurlijk bezig met het afhandelen van meldingen bij het Servicepunt. Van studenten en collega’s die bijvoorbeeld een e-mail hebben gehad die ze niet vertrouwen.”
Alertheid bij cybersecurity, hoe kijken studenten hiernaar?
Alertheid van alle collega’s en studenten is dus van belang voor een veilige hogeschool. Bij uitstek de opleiding waar cybersecurity hoog op de agenda staat is Integrale Veiligheidskunde. Hoe bewust kijken studenten van deze opleiding naar dit thema? IV-student Elisa van der Molen gaat in ieder geval duidelijk voorzichtig met haar gegevens om. “Zo heb ik een filter geactiveerd op mijn Gmail-account om ongewenste mail automatisch weg te filteren. Ook controleer ik altijd het e-mailadres van de afzender als ik twijfel aan een link. Vaak hebben deze mailtjes rare adressen die niet terug te leiden zijn naar echte organisaties. In dit soort gevallen verwijder ik de e-mails en klik ik zeker niet op de linkjes.”
Medestudent Tom Kersbergen voegt toe: “Ook belangrijk is het om na te gaan of je bepaalde berichten verwacht. Als ik bijvoorbeeld via de mail een zwaar beladen verzoek krijg van iemand die ik niet zo goed ken, ruik ik persoonlijk al onraad. Dan wil ik (als dat al mogelijk is) eerst ‘face-to-face’ bevestiging krijgen van de ‘vermeende’ afzender.”
Noa Haket zegt: “Als ik een bericht niet vertrouw neem ik contact op met de organisatie van wie deze zou moeten zijn. Als de organisatie voor mij ook onbekend is, verplaats ik de mail gelijk naar de prullenmand.”
Toch kan het even goed (bijna) misgaan
Toch is het ook een keer bijna mis gegaan bij Elisa. “Ik wilde iets verkopen via Facebook en iemand wilde betalen via ‘gelijk oversteken’, wat een nepsysteem bleek te zijn. Ik klikte op een link die hij stuurde en kwam toen op een ‘ING-omgeving’ terecht. Het zag er echt uit, ik vertrouwde het en logde in. Vervolgens kreeg ik geen reactie meer van de verkoper en gingen alle alarmbellen af. Een minuut erna werd ik gebeld door ING die mijn account geblokkeerd had. De verkoper probeerde namelijk geld van mijn spaarrekening naar mijn normale rekening over te maken, wat gelukkig dus niet lukte. Belangrijke tip dus ook: laat nooit teveel geld op je normale rekening staan. Dan is het voor criminelen moeilijker om het te stelen.”
Een ‘collega’ stuurt een ‘Tikkie’
Tom werd op zijn beurt verrast via WhatsApp. “Ik kreeg van iemand die zich voordeed als een collega, een berichtje met daarin het verzoek om enkele rekeningen voor te schieten door middel van een ‘tikkie’. Het bijzondere eraan vond ik dat het berichtje daadwerkelijk afkomstig was van mijn collega zijn telefoonnummer. Dat maakte het een stuk geloofwaardiger. Tóch reageerde ik alleen met: ik zie je straks op het werk, dan hebben we het erover. Verder wilde ik niet op het bericht ingaan. Later bleek het inderdaad om phishing te gaan.”
Wachtwoorden
Ondertussen gaat Elisa voorzichtig om met haar wachtwoorden. “Ik probeer ze niet op te slaan op mijn telefoon. Ik onthoud ze liever of schrijf ze ergens fysiek op. Ook maak ik wachtwoorden die nergens op slaan, dus geen betrekking hebben op mij. Dus liever geen geboortedatum, naam en uitroeptekens, maar namen van groentes, fruit, bedrijven en merken. Ook verander ik ze eens in de 6 of 12 maanden.
Tom probeert op zijn beurt voor alles waarvoor hij een wachtwoord nodig heeft een nieuwe te verzinnen. “Als ik heel eerlijk ben moet ik zeggen dat mijn wachtwoorden soms nog wel eens erg op elkaar lijken, maar het is toch het slimste is om verschillende wachtwoorden voor verschillende accounts te verzinnen. Ik kan me heel goed voorstellen dat al die wachtwoorden moeilijk te onthouden zijn. In dat geval zou je ze misschien kunnen opschrijven en dan vervolgens niet digitaal maar gewoon pen op papier en redelijk cryptisch. Dus schrijf niet “Wachtwoord123”, maar “W********d**3.”
Noa Haket: “Wanneer ik een wachtwoord aanmaak controleer ik of ik op geen ander account een soortgelijk wachtwoord gebruik. Ook maak ik altijd gebruik van tweestapsverificatie. Ik verander eigenlijk alleen mijn wachtwoord als mijn account is betrokken bij een datalek.”
‘De veiligheid is hier redelijk op orde’
Noa, Tom en Elisa denken dat Hogeschool Inholland in het algemeen goed haar best doet om de online veiligheid te waarborgen. Toch zijn er volgens hen ook verbeterpunten. Noa: “Inholland werkt met Moodle, waarbij er elke drie maanden een nieuw wachtwoord moet worden ingesteld. Vaak moet je ook na een bepaalde tijd inactief te zijn geweest op Moodle opnieuw inloggen. Inholland zou wel in de toekomst iets voorzichtiger mogen zijn met het delen van gegevens van studenten met andere studenten.”
Tom: “In mijn beleving lopen er genoeg deskundige docenten en medewerkers rond om bij te dragen aan veiligheid. Wél kwamen ik en mijn medestudenten er onlangs achter (door middel van hem opdracht) dat er nog wel enkele gaten zitten in de beveiliging. Dit leggen wij binnenkort voor aan onze docenten.” Elisa neemt aan dat “Inholland een goede firewall heeft die door ethische hackers gecontroleerd wordt. Doen ze dat nog niet zou dat een tip kunnen zijn. Controleer of je systeem goed werkt!”