De omslag van Abhishta’s proefschrift (afb: Universiteit Twente)

Webaanvallen zijn aan de orde van de dag. Bedrijven en publieke organisaties investeren fors om zich er tegen te weren, maar hoe groot is de daadwerkelijke economische schade van een cyberaanval? UT-promovendus Abhishta (?) Abhishta deed onderzoek naar hoe we die schade beter kunnen vaststellen en fabriceerde een manier waarop.

Tegenwoordig hangen we van alles aan het wereldwijde web, zelfs babyfoons. Die grote afhankelijkheid van netwerktechnologie biedt boosdoeners de mogelijkheid op afstand ons leven flink te versjteren. Aan een geslaagde webaanval hangt een financieel plaatje. De geschatte schade loopt in de miljoenen euro’s per jaar, zo blijkt uit onderzoek van verschillende adviesbureaus en veiligheidsconsulenten, maar volgens Abhishta hebben we veel te weinig inzicht hoe groot de financiële schade daadwerkelijk is. De meeste schattingen zijn gebaseerd op enquêtes afgenomen onder slachtoffers en inschattingen door experts. Op die schattingen is nog wel wat aan te merken. Abhishta: “Traditionele vormen van financiële verslaglegging zijn helemaal niet gericht op het berekenen van de impact van cyberaanvallen en het is maar zeer de vraag of we met behulp van enquêtes gedegen inzicht krijgen in de daadwerkelijke schade.”

Abhishta: “In de praktijk zie je dat we een heleboel doen om de gevolgen van cyberaanvallen te meten, maar het is nog te gefragmenteerd en te weinig gericht waardoor het beeld onvoldoende betrouwbaar is om de daadwerkelijke impact vast te stellen.” Hij werkte tijdens zijn promotieonderzoek aan het ontwikkelen van een methodologie waarin de economische impact van massa-aanvallen met grotere zekerheid kan worden vastgesteld dan nu mogelijk is,
zowel voor publieke als private organisaties.

Gelegenheidstheorie

“Een van de dingen die we concluderen, is dat je de daadwerkelijke impact van massa-aanvallen niet los kan zien van de redenen achter de aanval. Soms hebben daders economische motieven.” Er zijn echter ook andere redenen: wraak, protest, politieke, het leggen van een rookgordijn (om via de achterdeur in te breken) of haantjesgedrag. “Op basis van de gelegenheidstheorie proberen we te onderzoeken hoe kwetsbaar een organisatie is. Vaak staat een massa-aanval niet op zichzelf. Het is niet zo dat een aanval een willekeurig verschijnsel is.”
Hij stelt voor de momenteel beschikbare empirische gegevens te vertalen in economische en ook meer gegevens van afzonderlijke medewerkers te bepalen en daarmee de weerbaarheid van een organisatie tegen webaanvallen. Dat riekt naar: meer onderzoek is nodig.

Bron: Alpha Galileo