cyber terrorism concept computer bomb in electronic environment, 3d illustration
In de pers kom ik een bericht tegen dat zowel geruststellend als alarmerend is: de V.S. hebben malware gedropt in de controle-computers van Russische elektriciteitscentrales en drinkwatervoorzieningen.
Die wereld een klein beetje kennende zal het hier niet bij zijn gebleven. Als je het mij vraagt vertellen ze er zeker de helft niet bij. Ik vermoed dat andere grote infrastructurele zaken eveneens zijn aangepakt, zoals waterzuiveringsinstallaties en ook de controlesystemen van bewegende infrastructuur, zoals bruggen, gemalen en sluizen. De militaire objecten die door de V.S. geïnfiltreerd zijn worden uit strategische en tactische overweging natuurlijk nergens genoemd, maar ik neem aan dat ook die besmet zijn.
Deze actie van het Amerikaanse CyberCorps is een antwoord op de aanval van Rusland op gelijksoortige systemen in de V.S. en het dient ook als “straf” voor de bemoeienis van Rusland met de verkiezingen van 2016 waarbij Trump jammerlijk aan de macht kwam. Jarenlange waarschuwingen hebben volgens Washington niet geholpen, en wie niet wil luisteren moet volgens het CyberCorps dan maar voelen.
Het geruststellende aan het bericht is de melding dat de V.S. dus net zo goed in staat zijn om kritische systemen te hacken als om in de eigen achtertuin gehackt te worden. Een redelijke balans in gewelds potentieel is noodzakelijk voor het betere afschrikkingseffect. Zoiets was al de vigerende doctrine in de jaren 1950–1980, toen in verband met de nucleaire bewapening van de V.S. en de U.S.S.R. het “MAD”-idee hip was: “Mutual Assured Destruction”. Deze doctrine houdt in dat geen supermacht zo gek zal zijn om een kernwapen te gebruiken, omdat daarmee ook gelijk de eigen vernietiging gratis en voor niets wordt gegarandeerd.
Het verontrustende vind ik dat het MAD principe hier niet helemaal geldt, omdat een Cyberwar veel beperkter kan worden uitgevochten en daar lijken de speldenprikjes die nu worden uitgedeeld wel op te wijzen. Ik heb nog wel de tijd van de kernproeven meegemaakt, maar in principe zijn die als onderdeel van de non-proliferatieverdragen tegenwoordig ten strengste verboden. Een dergelijk moratorium op hacks is mij (nog) niet bekend. Wat dan ook nog het geval is, is dat de overall beveiliging van kritische systemen kennelijk wereldwijd niet op orde is, waardoor kwetsbaarheid op de loer ligt.
Er is voor ons speciaal nog een exclusief Nederlandse reden om Moskou niet met hun tengels aan onze controlesystemen te laten zitten. Een goed geplaatste aanval op een paar belangrijke gemalen kan ervoor zorgen dat ons halve land onder water komt te staan. Als ik de baas was over ons waterbeheer dan zou ik alle systemen die daar belangrijk in zijn afkoppelen van het internet en er een geïsoleerd, alleen lokaal toegankelijk netwerk voor opzetten, dat geen enkele verbinding met internet heeft. Een geinig detail: voordat internet bestond was een dergelijk systeem er al, met een eigen elektronische infrastructuur en een eigen protocol: “Supervisory Control And Data Acquisition” (SCADA). Om voor mij onduidelijke redenen – het zullen de kosten wel zijn geweest – is dit robuuste systeem vervangen met internetkoppelingen die wat veiligheid betreft toch aardig wat stappen terug zijn.
