Yash Jain bespreekt hoe cyberbeveiliging een institutioneel ‘fundamenteel onderdeel’ moet zijn, en niet een ‘compliance checkbox’.
Volgens Yash Jain, cybersecurity-, forensisch- en privacymanager bij PwC, evolueert het Ierse cybersecuritylandschap “snel naarmate het bewustzijn groeit na gerichte cyberaanvallen op kritieke nationale infrastructuur, zoals de Health Service Executive (HSE) en farmaceutische bedrijven”.
Hij vertelde aan SiliconRepublic.com: “Deze incidenten benadrukken het belang van cyberbeveiliging in de moderne digitale infrastructuur, waardoor zowel de overheid als de particuliere sector prioriteit geven aan beveiliging als een fundamenteel onderdeel, in plaats van louter een selectievakje voor naleving.”
Kunt u enkele uitdagingen toelichten?
Het bewustzijn over cyberbeveiliging is wijdverbreid, maar toch worstelen velen met de praktische stappen die nodig zijn om zowel organisaties als individuen tegen cyberdreigingen te beschermen. De voornaamste uitdaging ligt in het opstellen van een beveiligingsstrategie die aansluit bij de bedrijfsdoelen en compliance-eisen. Cyberbeveiliging gaat niet alleen over het adopteren van geautomatiseerde tools of het uitvoeren van bewustmakingscampagnes. Het gaat om het selecteren van een strategie die op effectieve wijze beschermende maatregelen implementeert voor zowel mensen, processen als technologie. Bovendien is het tekort aan vaardigheden een andere uitdaging waarmee deze sector in dit stadium wordt geconfronteerd. Het vinden van het juiste talent om met beveiliging om te gaan, en dit was een belangrijke uitdaging.
Welke vaardigheden hebben moderne professionals nodig in hun arsenaal om bedreigingen te beheersen of voor te blijven?
In de huidige cyberbeveiligingsomgeving vereist het terugdringen van tekorten aan vaardigheden een goed begrip van netwerkconcepten en bekendheid met fundamentele ontwikkelingstools, waaronder API's en veelgebruikte scripting- en webtechnologieën. Deze kernvaardigheden stellen professionals in staat te begrijpen hoe systemen communiceren, kwetsbaarheden te identificeren en cyberdreigingen effectief te analyseren en erop te reageren.
Deze kennis legt de basis voor het begrijpen van complexe technische concepten. Het nastreven van wereldwijd erkende certificeringen zoals Certified Information Systems Professional (CISSP) en Certified Information System Auditor (CISA) kan hun beveiligingsexpertise verder vergroten. Deze aanpak stelt professionals in staat om de veranderende uitdagingen op het gebied van cyberbeveiliging het hoofd te bieden. Bovendien biedt het gebruik van AI om deze vaardigheden te ontwikkelen een modern alternatief voor traditionele leermethoden, zoals het doorzoeken van uitgebreide boeken.
Hoe kan een organisatie ervoor zorgen dat het personeel voldoende geschoold is in best practices op het gebied van cyberbeveiliging?
Om een robuuste cyberbeveiligingscultuur op te bouwen, moeten organisaties ervoor zorgen dat hun teams de impact van cyberbeveiliging op zowel henzelf als de organisatie begrijpen. Onderwijs moet eenvoudig en duidelijk zijn, vooral voor mensen in niet-IT-functies zoals HR, financiën en operations. Betrek uw personeel met interactieve sessies, zoals persoonlijke training en grootschalige phishing-simulatieoefeningen. Bij deze simulaties, beheerd door uw beveiligingsteam of een vertrouwde derde partij, worden valse phishing-e-mails naar werknemers verzonden om hun vermogen te testen om phishing-pogingen op te merken en af te handelen – zonder enige echte bedreiging voor de organisatie.
En terug naar de basis: het is van cruciaal belang om de basisbeveiligingspraktijken te handhaven, het delen van wachtwoorden te vermijden, ze niet op bureaus of laptophoezen te schrijven en geen zakelijke e-mailadressen te gebruiken voor persoonlijke activiteiten zoals lidmaatschap van een sportschool. Door deze gewoonten te bevorderen, kunt u de cybersecurity-veerkracht van uw organisatie vergroten.
Hoe cruciaal is onderlinge samenwerking om een sterke cyberhygiëne en een snelle respons op bedreigingen te garanderen?
Samenwerking is van cruciaal belang voor het opbouwen van een veerkrachtige cyberbeveiligingspositie. Cybersecurity is niet langer uitsluitend de verantwoordelijkheid van het IT- of beveiligingsteam, het is een organisatorische aangelegenheid die elke afdeling en elk individu raakt. Wanneer teams op het gebied van HR, juridische zaken, financiën, operations en technologie zonder samenwerking samenwerken, ontstaan er blinde vlekken die bedreigingsactoren gemakkelijk kunnen misbruiken. Effectieve samenwerking zorgt ervoor dat informatie over dreigingen snel wordt gedeeld tussen de juiste teams, waardoor incidenten sneller kunnen worden gedetecteerd en gereageerd. Tijdens een ransomware-aanval is bijvoorbeeld een gecoördineerde reactie tussen het beveiligingsteam, het senior management, juridisch adviseurs en communicatie essentieel om de schade te minimaliseren en aan de nalevingsverplichtingen te voldoen.
Het is essentieel dat organisaties concrete maatregelen nemen om hun huidige staat van effectieve samenwerking in stand te houden en te versterken en daarom overwegen om af te stappen van traditionele cyberbeoordelingsoefeningen, zoals conventionele penetratietesten. In plaats daarvan zouden ze hun focus moeten verleggen naar paarse teamoefeningen. Een paarse teamoefening is een geavanceerde cyberpenetratietestbeoordeling waarbij penetratietesters geavanceerde cyberaanvallen simuleren om de volwassenheid van de beveiliging van een organisatie voor mensen, processen en technologie te evalueren, met als doel potentiële cyberdreigingen te detecteren en te blokkeren.
Zijn er mythes rond uw rol in cybersecurity die u wilt ontkrachten?
Absoluut. Er zijn een aantal misvattingen die ik vaak tegenkom en waarvan ik denk dat ze de moeite waard zijn om aan te pakken. De eerste is dat cyberbeveiliging een puur technische rol is. Hoewel technische kennis zeker waardevol is, omvat een groot deel van wat ik doe strategisch denken, risicobeoordeling en het communiceren van bedreigingen op een manier die niet-technische belanghebbenden kunnen begrijpen en ernaar kunnen handelen. Je hoeft geen programmeur te zijn om een betekenisvolle en impactvolle carrière op dit gebied te hebben.
De tweede mythe is dat cyberveiligheid alleen een zorg is voor grote organisaties. Mijn ervaring is dat kleine en middelgrote bedrijven vaak kwetsbaarder zijn, juist omdat wordt aangenomen dat ze weinig risico lopen en daarom minder in hun verdediging investeren. Aanvallers zijn zich hiervan zeer bewust.
De derde en misschien wel gevaarlijkste mythe is dat het hebben van de juiste hulpmiddelen betekent dat je beschermd bent. Technologie is slechts één verdedigingslaag. Enkele van de meest schadelijke inbreuken die ik heb gezien, waren niet het gevolg van een technische storing, maar vonden plaats omdat iemand op een link klikte die hij niet had mogen hebben, of omdat hij inloggegevens deelde zonder zich de gevolgen ervan te realiseren.
Wat is jouw advies voor professionals die op zoek zijn naar een soortgelijke carrière in deze sector?
Mijn advies is simpel: begin met nieuwsgierigheid en stop nooit met leren. Begin met het bouwen van een solide basis in netwerk- en IT-fundamentals en overweeg om erkende certificeringen zoals CompTIA Security+, CISSP of CISA te volgen, afhankelijk van uw interessegebied. Wees niet ontmoedigd als uw achtergrond niet in de traditionele IT ligt, aangezien enkele van de meest effectieve professionals op dit gebied verschillende achtergronden hebben, zoals rechten, bedrijfskunde en psychologie, omdat zachte vaardigheden zoals communicatie, kritisch denken en probleemoplossing net zo waardevol zijn als technische expertise.
We zijn getuige geweest van dergelijke scenario's waarin mensen met verschillende opleidingsachtergronden, zoals bedrijfskunde, rechten en andere niet-technische cursussen, de bovenstaande aanpak volgden en hen in staat stelden competente cyberprofessionals te worden. PwC biedt op maat gemaakte leerprogramma's op maat voor medewerkers met verschillende achtergronden die bij het bedrijf komen werken om dit doel te bereiken. Het leertraject is erop gericht om individuen te ontwikkelen tot cybersecurityprofessionals die in staat zijn om routinematige governance-, risico- en compliancetaken uit te voeren om de cybersecuritypositie van een organisatie te behouden. Om verdere verdieping in deze carrière te krijgen, specifiek om offensief beveiligingsingenieur te worden, zijn echter aanvullende vaardigheden vereist.
Maak gebruik van AI-gestuurde leermiddelen en online platforms om uw ontwikkeling te versnellen in plaats van uitsluitend op traditionele methoden te vertrouwen. Het allerbelangrijkste is dat u in contact komt met de bredere cyberbeveiligingsgemeenschap via evenementen, forums en netwerkmogelijkheden, aangezien dit vakgebied gedijt door samenwerking en het delen van kennis en degenen die dat omarmen, zullen altijd voorop blijven lopen.
