Technologie is verweven met bijna elk aspect van het dagelijks leven, aangezien systemen die verbonden zijn met het internet ons steeds meer koppelen aan kritieke systemen die directe impact hebben op onze economische welvaart, ons levensonderhoud en zelfs onze gezondheid. Dit varieert van persoonlijk identiteitsbeheer tot medische zorg. Een voorbeeld van het nadeel van dergelijk gemak zijn de wereldwijde cyberinbraken die ertoe leiden dat ziekenhuizen operaties moeten annuleren en patiëntenzorg omleiden.
Dit komt doordat technologiefabrikanten er op dit moment op vertrouwen dat kwetsbaarheden worden verholpen nadat klanten hun producten zijn gaan gebruiken, door middel van patches die gebruikers zelf moeten installeren. Over de hele wereld werken we momenteel namelijk met een “vulnerable by design” benadering, en dat is te zien. Cyberaanvallen op de toeleveringsketen van software kosten ons in 2023 wereldwijd 45,8 miljard dollar en in 2026 zullen die kosten naar verwachting zijn opgelopen tot meer dan 80,6 miljard dollar. Echter, vergelijkbaar met het besef dat fabrikanten verantwoordelijk moeten zijn voor milieuduurzaamheid, vindt een soortgelijke transformatie plaats op het gebied van cyberbeveiliging.
Sinds kort heeft een coalitie van meer dan 10 internationale partners ( waaronder het Nederlandse NCSC) een leidraad vastgesteld die de verantwoordelijkheid voor veilige technologie van de eindgebruiker naar de maker verplaatst. Dit initiatief is niet zomaar een nieuw beleid, maar een fundamentele verandering in hoe we technologie waarnemen en construeren. Door over te stappen op een Secure by Design en Secure by Default aanpak, doorbreken we deze cyclus van het maken en toepassen van fixes.
Het concept van ‘Secure by Design and Default’ is een toekomstgerichte idee die beveiliging inbedt in het weefsel van technologieproducten vanaf het begin. In tegenstelling tot het verleden, waar producten vaak werden uitgebracht met kwetsbaarheden en beveiliging een nagedachte was, zorgt deze nieuwe aanpak ervoor dat producten inherent veilig zijn bij hun release. Dit betekent dat de extra last van het beveiligen van een product niet op de consument valt na aankoop.
Om een situatie te creëren waarin technologie en bijbehorende producten veiliger zijn voor klanten, dringt de coalitie van participerende organisaties er bij fabrikanten op aan om hun ontwerp- en ontwikkelingsprogramma’s te herzien om alleen producten te verzenden die ‘secure by design’ en ‘secure by default’ zijn.
Producten die ‘secure by design’ zijn, worden al voor de ontwikkeling bedacht met de veiligheid van klanten als een kernbedrijfsdoel, niet slechts als een technische functie. ‘Secure by design’-producten beginnen met dat doel voor de ontwikkeling begint. Bestaande producten kunnen in meerdere iteraties evolueren naar een ‘secure by design’-staat.
‘Secure by default’-producten zijn die producten die “out of the box” veilig te gebruiken zijn met weinig tot geen configuratiewijzigingen die nodig zijn en beveiligingsfuncties beschikbaar zonder extra kosten. Samen verplaatsen deze twee filosofieën een groot deel van de last van het beveiligd blijven naar de fabrikanten en verkleinen de kans dat klanten slachtoffer worden van beveiligingsincidenten als gevolg van verkeerde configuraties, onvoldoende snelle klantenpatches of vele andere veelvoorkomende problemen.
Het ‘Secure by Design and Default’ is niet alleen een nieuw idee; het is een toekomstgerichte strategie die in lijn ligt met de evoluerende eisen van technologieconsumenten en de noodzaak voor veiligere digitale ecosystemen. Secure by design is een fundamentele benadering van cyberbeveiliging die ervoor zorgt dat beveiliging niet achteraf wordt toegepast, maar een integraal deel uitmaakt van het ontwikkelingsproces.
Beveiliging moet worden ingebed in het DNA van elk product, elke toepassing en elke service. Als iets ‘secure by design’ is, is het gemaakt vanuit het besef dat beveiliging een natuurlijke functie van de oplossing moet zijn en niet iets dat later moet worden toegevoegd.
Lees meer over dit concept in dit pdf https://www.cisa.gov/sites/default/files/2023-10/SecureByDesign_1025_508c.pdf
