End-to-end cyberveiligheid begint met samenwerken

Hoe we straks in Nederland werken, zakendoen of leven met elkaar: er verandert van alles door de digitale transformatie. De kritische infrastructuur bijvoorbeeld. Hoe krijgen we een veilige digitale omgeving waarin de belangen van burgers en bedrijfsleven geborgd zijn?

Digitale veiligheid

Alle partijen die gebruik maken van informatie- en communicatietechnologie hebben een eigen rol en verantwoordelijkheid bij het creëren van een digitaal veilige omgeving. Bij cyberveiligheid en vertrouwen hebben alle spelers een eigen rol en eigen verantwoordelijkheden:

• overheden: wet- en regelgeving
• telecomproviders: veilig onderhoud en beheer van netwerken
• serviceproviders, dat zijn alle partijen die diensten leveren die over de netwerken lopen, bijvoorbeeld banken, social media, internetplatforms: veilige producten, diensten en gegevensbeheer
• leveranciers van de (netwerk)apparatuur, zoals Huawei: veilige hardware en software
• de eindgebruikers: verantwoord gebruik van de netwerken, diensten en omgang met data

Ondersteunende taak

Bij Huawei zien we het als onze taak om de vorming van digitaal beleid met analyses en technologische inzichten te ondersteunen. En dan niet als de leverancier aan de andere kant van de tafel, maar als partner met hetzelfde doel. Náást opdrachtgevers. Náást de toezichthouders. In volledige professionele openheid. Strategische partnerschappen zijn immers van groot belang als het gaat om de kritische infrastructuur. Enerzijds om risico’s effectiever te identificeren en te verlagen. Anderzijds om digitale transformatie tot een succes te maken. Voor iedereen.

Wat betekent dit voor cyberveiligheidsregels?

Wij zijn van mening dat we de uitdagingen van morgen samen – dus overheden en industrie bij elkaar - en vanuit technologisch perspectief moeten bekijken. Een ketenbrede aanpak ligt voor de hand.

Afspraken in de keten

Netwerken zijn verbonden door apparaten van verschillende leveranciers. En netwerkdiensten worden geleverd door verschillende telecomaanbieders. Afspraken in de keten versterken de kracht van elke losse schakel. Dit maakt de keten als geheel sterker. End-to-end (E2E) cyberveiligheid begint dan ook met branchebrede regels voor meer samenwerking. Zonder een beveiligingsstandaard voor de hele keten zal het aantal veiligheidsincidenten omhoog gaan.

In onze optiek vraagt ketenbrede samenwerking vier stappen:

1. Overeenstemming over 5G-veiligheidsstandaarden

   Overheden, bedrijven en brancheorganisaties stellen uniforme beveiligingsstandaarden en -normen voor alle netwerkapparaten en -diensten vast. Als één netwerkapparaat of -service niet aan deze beveiligingsnormen voldoet, brengt dat de beveiliging van het hele netwerk in gevaar.

   Het 3rd Generation Partnership Project, kortweg 3GPP, is de internationale standaardisatieorganisatie voor uniforme 5G-beveiligingsstandaarden. De leden van 3GPP, waaronder Huawei en Ericsson, werken samen om beveiligingsnormen te ontwikkelen en de beveiliging van communicatienetwerken te promoten. Vergeleken met 4G werkt 5G al met sterkere versleutelingsalgoritmen en flexibelere authenticatiemechanismen. Ook zijn nieuwe beveiligingsnormen vastgesteld om de beveiliging van nieuwe producten en diensten te beschermen.

2. Gemeenschappelijke criteria

   Het is nodig dat overheden en bedrijven samenwerken en beveiligingscertificeringsnormen ontwikkelen. Denk aan de normen die zijn vastgesteld door Common Criteria (CC). CC is uitgegroeid tot de meest erkende en vertrouwde IT-productbeveiligingscertificering ter wereld.

   Het is de verantwoordelijkheid van telecomaanbieders en sectoren om de vereiste beveiligingscertificerings-niveaus te bepalen. Zij maken daarbij gebruik van bestaande succesvolle beveiligingsnormen en van hun inzicht in de specifieke kenmerken en behoeften van de branches. Het is ook hun taak dat alle apparaten en diensten voldoen aan de verwachte beveiligingscertificeringsniveaus.

   Verder ligt er de vraag hoe we met alle belanghebbenden de huidige normen, processen en methoden voor beveiligingscertificering kunnen toepassen en verbeteren. En ook welke normen, processen en methoden we kunnen bouwen, die door zowel overheden als klanten worden erkend. Wanneer alle belanghebbenden aan deze discussie deelnemen, kunnen branchebrede normen succesvol worden geïmplementeerd.

3. Beveiliging productieprocessen

   Ook de productieprocessen en -diensten van de leveranciers van apparatuur moeten veilig zijn, zodat deze voldoen aan de beveiligingsnormen en het beveiligingscertificeringsniveau van hun klanten. Daarom hebben Ericsson en wijzelf de beveiliging van LTE- en 5G-apparatuur en -diensten ontworpen met behulp van erkende beveiligingsstandaarden, zoals 3GPP en CC. Dit waarborgt de veiligheid van onze fabricageprocessen en diensten.

4. Helderheid rond certificering

   Om de certificering rond cyberveiligheidthema’s zo soepel mogelijk te laten verlopen, is een planmatige werkwijze rond de certificering noodzakelijk. Belanghebbenden als overheden, leveranciers, aanbieders en certificeringsorganisaties hebben ieder hun rol bij het opstellen hiervan.

   Om het systeem waterdicht te maken en te houden, is het noodzakelijk dat elke leverancier van apparatuur een dergelijke certificering in zijn bezit heeft. Daarbij moeten de externe certificeringsorganisaties volledig vertrouwen genieten. Ook hun onafhankelijke certificeringen moet onpartijdig worden getoetst.

   Het kan zijn dat huidige scenario’s nog niet onder de bestaande certificeringsnormen vallen. Deze worden dan alsnog aangepast. 3GPP ontwikkelt het Network Equipment Security Assurance Scheme (NESAS). De Global System for Mobile Communications Association (GSMA) zal de kwalificaties ervan beoordelen. Dit betekent dat de NE-(Network Element) beveiliging binnenkort gecertificeerd kan worden.

Kort en goed

Samenwerking tussen erkende partijen is de enige manier om E2E-cyberbeveiliging te garanderen. Uitsluiting van partijen is geen garantie voor veiligheid; risico’s pak je gezamenlijk en sectorbreed aan. Overheden, leveranciers, telecomaanbieders en certificeringsorganisaties spelen hierin een rol van betekenis. Ieder vanuit zijn eigen rol en verantwoordelijkheid.