De digitale misère waar de Universiteit Maastricht de afgelopen weken mee werd geconfronteerd, laat zien dat de dreiging van cyberaanvallen nog onverminderd actueel is. Dinsdag kreeg GWK Travelex nog een ransomware-aanval voor de kiezen. Ivo Jongsma, bestuursvoorlichter van de TU/e, zegt dat het College van Bestuur niets kwijt wil over hoe de universiteit de cybersecurity op dit moment geregeld heeft en of er op dat vlak nog ontwikkelingen gaande zijn. Dat stilzwijgen is volgens hem noodzaak om cybercriminelen niet slimmer te maken dan ze al zijn.

Dus of de TU/e op dit moment voorbereid zou zijn op een aanval met Clop-ransomware, die in Maastricht een groot deel van het netwerk platlegde, is een vraag die Jongsma onbeantwoord moet laten. Jongsma: “We kunnen wel melden dat de situatie in Maastricht voor ons aanleiding is om onze eigen voorzieningen kritisch onder de loep te nemen en te onderzoeken waar en hoe we de bescherming moeten verbeteren. We gaan daarbij natuurlijk de lessen meenemen die in Maastricht geleerd worden. Over de mogelijke toedracht van de cyberaanval op de Universiteit Maastricht willen we niet speculeren, het is aan de UM om hierover te communiceren.”

Open instituut

In maart 2016 vertelde CISO Martin Romijn al aan Cursor dat de TU/e “een heel open instituut is” en dat voor een deel ook vooral moet blijven, “maar die opstelling maakt het universitaire netwerk wel kwetsbaar”. Romijn adviseerde toen om onder andere te heroverwegen of de administrator-rechten van sommige medewerkers op hun werk-pc’s wel behouden moesten blijven en of er niet meer beschermde leer- en onderzoeksnetwerken moesten worden ingericht, waartoe alleen direct betrokkenen toegang zouden hebben.

Voor wat betreft zijn eerste advies is er vier jaar later nog niets gewijzigd, constateert Romijn. “Die groep medewerkers met administrator-rechten, waarmee ze toegang hebben tot de pc of laptop van anderen, zou wat mij betreft ingeperkt mogen worden. Het gaat dan om een groep medewerkers die hier in dienst is en die je vertrouwt, maar als die groep kleiner is, is die ook beter te beheren. Dus dat zou ik op afzienbare tijd nog een keer willen aankaarten.” Volgens hem is de universiteit vier jaar later wel in staat om op heel veel pc’s en laptops van TU/e’ers de programma’s die daarop draaien, op centraal niveau te updaten qua beveiliging.

Osiris en Canvas

Ook de invoering van Osiris en Canvas heeft volgens Romijn bijgedragen aan meer veiligheid, “omdat de verantwoordelijkheid voor de digitale beveiliging van die systemen daarmee is belegd bij de bedrijven die deze systemen aanbieden. Met die bedrijven hebben we daar ook geregeld overleg over. Het zorgt er ook voor dat er duidelijke scheidingen zijn aangebracht binnen ons netwerk, waardoor het voor hackers niet mogelijk is om in een keer het hele netwerk van de TU/e te besmetten.”

Als buitenstaander kijkend naar de situatie in Maastricht vindt Romijn dat de UM de recente crisis goed heeft aangepakt. Volgens hem heeft ook SURFcert, de tak van SURF die zich bezighoudt met beveiligingsincidenten, daar een belangrijke rol bij gespeeld met advies en ondersteuning. Romijn: “Hackers zijn altijd en overal op zoek naar zwakke plekken in netwerken en in Maastricht hebben ze die gevonden. Pech voor hen, maar zulke zwakke plekken zullen er ook in ons netwerk te vinden zijn en het is daarom zaak het risico zo klein mogelijk te maken. En dat kan betekenen dat je je instelling op dat vlak wat minder open moet maken.”

Inleveren hardware

Een ander belangrijk aspect bij het versterken van digitale veiligheid is het verantwoord afvoeren van oude hardware. Dienst Information Management & Services (IMS) roept medewerkers daarom op om oude hardware die niet meer gebruikt wordt, altijd in te leveren bij een van de ICT-servicepunten. Er bestaat ook de mogelijkheid om oude hardware op de werkplek te laten ophalen. Veel afgeschreven hardware wordt echter niet op de juiste manier afgevoerd, met het risico dat privégegevens op straat komen te liggen. Volgens IMS denken veel mensen dat ze alle data verwijderd hebben van het systeem, maar die zijn bijna altijd toch nog terug te halen. Daarom de oproep om oude hardware in te leveren, waardoor het op de juiste wijze wordt afgevoerd.