Computerbeveiliging

Computerbeveiliging, ook cyberbeveiliging of cybersecurity genoemd, omvat de technische, fysieke en organisatorische maatregelen die computers, computernetwerken en de daarin opgeslagen en verwerkte gegevens beschermen tegen ongeautoriseerde toegang, misbruik, beschadiging en uitval. Het doel wordt meestal omschreven als het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens. Computerbeveiliging is een deelgebied van informatiebeveiliging, dat ook de bescherming van informatie buiten computersystemen omvat.

Geschiedenis

Toen computers eind jaren zestig door meerdere gebruikers tegelijk werden gebruikt, groeide de aandacht voor de beveiliging ervan. Een werkgroep onder leiding van Willis Ware onderzocht vanaf 1967 in opdracht van het Amerikaanse ministerie van Defensie hoe gerubriceerde informatie in zulke gedeelde systemen kon worden beschermd. Het rapport verscheen in 1970 bij de RAND Corporation en onderscheidde kwetsbaarheden in de fysieke omgeving, de hardware, de software, de communicatieverbindingen en de organisatie (personeel en procedures).

Op 2 november 1988 verspreidde de Morris-worm zich via het internet. Binnen 24 uur waren naar schatting 6000 van de ongeveer 60.000 toen aangesloten computers getroffen. De maker, Robert Tappan Morris, werd in 1990 als eerste veroordeeld op grond van de Amerikaanse Computer Fraud and Abuse Act uit 1986. Enkele dagen na de aanval werd in Pittsburgh het eerste computer emergency response team opgericht. Ook in Nederland kreeg computerbeveiliging vanaf het midden van de jaren tachtig meer aandacht, met de eerste handboeken en opleidingen op dit gebied.

In 2021 waarschuwde de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) dat ransomware zo'n groot probleem was geworden dat het de nationale veiligheid bedreigde.

Dreigingen

Malware

Malware is een verzamelnaam voor kwaadaardige software, zoals computervirussen, computerwormen, Trojaanse paarden, spyware en ransomware. Ransomware versleutelt bestanden of complete systemen, waarna de aanvallers losgeld eisen voor het ontsleutelen.

Social engineering

Bij social engineering worden mensen misleid, zodat zij gevoelige informatie zoals een wachtwoord prijsgeven, aanvallers toegang verlenen of fraude mogelijk maken. Aanvallers proberen daarbij vaak eerst het vertrouwen van hun slachtoffer te winnen.

Phishing is de bekendste vorm. Behalve via e-mail verloopt phishing ook via sms (sms-phishing). Bij spearphishing richt de aanvaller zich op een bepaald doelwit: hij verzamelt eerst informatie over die persoon, legt onschuldig ogend contact via e-mail, sociale media of professionele netwerken en stuurt pas later kwaadaardige links, bijvoorbeeld vermomd als uitnodiging voor een videovergadering.

Bij CEO-fraude doen criminelen zich voor als bestuurder van een bedrijf en vragen zij een medewerker van de financiële afdeling geld over te maken. Soms breken zij eerst in op een mailbox en mengen zij zich in bestaande e-mailwisselingen. Volgens de Fraudehelpdesk had deze vorm van fraude in Nederland in 2018 tot september al 2,5 miljoen euro schade veroorzaakt. Als tegenmaatregelen worden onder meer phishingtests onder personeel en het telefonisch nagaan van betaalverzoeken genoemd.

Met kunstmatige intelligentie kan zulke misleiding overtuigender worden, bijvoorbeeld met een deepfake van iemands stem of beeld. Begin 2024 maakte een financieel medewerker van het ingenieursbureau Arup in Hongkong in vijftien transacties ongeveer 25 miljoen Amerikaanse dollar over, nadat hij had deelgenomen aan een videogesprek met deepfake-nabootsingen van de financieel directeur en andere collega's. In een enquête van ISACA onder bijna 3000 IT- en beveiligingsprofessionals noemde 63 procent door AI ondersteunde social engineering een van de grootste dreigingen voor 2026. In een Europese enquête van ISACA verwachtte 51 procent dat dreigingen die met AI samenhangen in 2026 veel zorgen zouden baren. Technische maatregelen zoals phishingbestendige multifactorauthenticatie beperken de gevolgen, omdat een buitgemaakt wachtwoord dan niet volstaat om in te loggen.

Kwetsbaarheden in software

Fouten in software, beveiligingslekken, kunnen worden misbruikt om binnen te dringen. Leveranciers verhelpen bekende lekken met securitypatches. Een zero-day exploit misbruikt een kwetsbaarheid die nog niet bekend was en waarvoor dus nog geen patch bestaat.

Toeleveringsketen

Organisaties zijn afhankelijk van leveranciers en dienstverleners, zodat een aanval op één schakel ook andere organisaties kan treffen. Het Cybersecuritybeeld Nederland 2025 van de NCTV wijst op de risico's van de afhankelijkheid van aanbieders uit andere landen, zoals grote Amerikaanse technologiebedrijven.

Overige dreigingen

Al het rapport van Ware uit 1970 onderscheidde naast opzettelijke inbraken van buitenaf ook onbedoelde lekken door storingen of fouten van personeel, kwaadwillende medewerkers binnen de organisatie en fysieke aanvallen. Andere dreigingen zijn onder meer DDoS-aanvallen, die een dienst onbereikbaar maken door die te overbelasten.

Maatregelen

Volgens het Cybersecuritybeeld Nederland 2025 ontstaan veel incidenten doordat de digitale basishygiëne niet op orde is, en blijven bestaande beveiligingsmaatregelen ook effectief tegen aanvallen waarbij generatieve AI wordt ingezet. Het Center for Internet Security stelt dat vrijwel alle geslaagde aanvallen gebruikmaken van zulke tekortkomingen, zoals niet-bijgewerkte software en slecht configuratiebeheer. Maatregelen worden doorgaans ingedeeld in softwarematige, hardwarematige, fysieke en organisatorische maatregelen; al het rapport van Ware ging uit van een combinatie van zulke maatregelen.

Software en configuratie

Het tijdig installeren van securitypatches dicht bekende lekken. Antivirussoftware en andere detectiesoftware sporen malware op, en een firewall filtert in- en uitgaand netwerkverkeer. Volgens het beginsel van minimale rechten krijgen gebruikers en processen alleen de toegangsrechten die zij voor hun taak nodig hebben. Een sandbox voert programma's uit in een afgeschermde omgeving. Encryptie beschermt gegevens bij opslag, tijdens transport en tijdens gebruik.

Authenticatie

Een wachtwoord alleen biedt beperkte bescherming, omdat het kan worden geraden, buitgemaakt met phishing of op andere systemen hergebruikt. Bij multifactorauthenticatie combineert de gebruiker twee of meer bewijzen van zijn identiteit: iets wat hij weet (zoals een wachtwoord), iets wat hij heeft (zoals een telefoon) of iets wat hij is (zoals een vingerafdruk of gezichtsscan, zie biometrie). Het Amerikaanse agentschap CISA beschouwt phishingbestendige methoden op basis van FIDO/WebAuthn als de sterkste vorm.

Hardware

Een Trusted Platform Module (TPM) is een beveiligde chip die cryptografische sleutels aanmaakt en opslaat, en die metingen van het opstartproces vastlegt, zodat kan worden gecontroleerd of een systeem met de juiste software is opgestart. Windows gebruikt de TPM onder meer voor schijfversleuteling met BitLocker.

Fysieke beveiliging

Fysieke maatregelen beschermen de apparatuur, werkplekken en verwijderbare opslagmedia tegen diefstal en manipulatie, bijvoorbeeld door de toegang tot ruimten te beperken. Bij een air gap is een systeem fysiek niet verbonden met andere systemen en worden gegevens alleen handmatig overgebracht.

Back-ups en herstel

Een back-up maakt herstel mogelijk na bijvoorbeeld een ransomwareaanval. Het NIST Cybersecurity Framework vraagt dat back-ups worden gemaakt, beschermd, onderhouden en getest, en dat hun integriteit wordt gecontroleerd voordat ze voor herstel worden gebruikt.

Organisatie en de menselijke factor

Volgens het NIST Cybersecurity Framework is de leiding van een organisatie verantwoordelijk voor de beheersing van cyberrisico's. Andere organisatorische maatregelen zijn bewustwording en training van personeel, beleid voor toegangsrechten en vooraf opgestelde plannen voor incidentrespons. Bij een incident gaat het om het indammen en verwijderen van de dreiging en daarna het herstel van systemen en diensten. Het uit voorzorg uitschakelen van systemen na een inbraak is daarbij volgens deskundigen een veelgebruikte stap.

Een tekort aan personeel bemoeilijkt de uitvoering. Volgens ISACA was in 2025 ruim de helft (55 procent) van de beveiligingsteams onderbezet en had 65 procent van de organisaties openstaande vacatures. In een Europese enquête van ISACA was slechts 7 procent van de respondenten zeer zeker van het vermogen van de eigen organisatie om een ransomwareaanval in 2026 te doorstaan. ISACA's State of Cybersecurity 2026 constateert dat incidentrespons als vaardigheid belangrijker wordt, maar dat de volwassenheid van incidentrespons en het beheer van AI achterblijven.

Normen en raamwerken

• Het Cybersecurity Framework van het Amerikaanse National Institute of Standards and Technology (NIST) ordent maatregelen in zes functies: besturen (govern), identificeren, beschermen, detecteren, reageren en herstellen. Versie 2.0 uit februari 2024 legt meer nadruk op bestuur en op risico's in de toeleveringsketen, en is bedoeld voor organisaties van elke omvang en sector.
• ISO/IEC 27001 (laatste versie 2022) bevat eisen voor een managementsysteem voor informatiebeveiliging, inclusief de beoordeling en behandeling van risico's.
• De CIS Critical Security Controls van het Center for Internet Security (versie 8.1) zijn een geprioriteerde set beveiligingsmaatregelen.
• COBIT van ISACA is een raamwerk voor de governance en het beheer van IT in organisaties. ISACA heeft ook richtlijnen uitgebracht om het NIST-raamwerk met COBIT 2019 in te voeren.

Wet- en regelgeving

Onder de Algemene verordening gegevensbescherming moet een organisatie een datalek met persoonsgegevens zonder onredelijke vertraging en zo mogelijk binnen 72 uur melden bij de toezichthouder, tenzij het lek waarschijnlijk geen risico oplevert voor de betrokkenen (artikel 33). In Nederland is dat de Autoriteit Persoonsgegevens.

De Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555) verplicht organisaties in essentiële en belangrijke sectoren tot passende beveiligingsmaatregelen. In Nederland is de richtlijn omgezet in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad en de Wet beveiliging netwerk- en informatiesystemen verving. Organisaties die onder de wet vallen, hebben een zorgplicht, een meldplicht en een registratieplicht; uitvoerende bestuurders moeten binnen twee jaar een opleiding in cyberbeveiliging volgen. De registratie verloopt via het Nationaal Cyber Security Centrum.

Het binnendringen van een computer zonder toestemming is in Nederland strafbaar als computervredebreuk, een vorm van computercriminaliteit. Met de Wet computercriminaliteit III, die op 1 maart 2019 in werking trad, kwamen er nieuwe strafbaarstellingen en kreeg de politie onder voorwaarden de bevoegdheid om heimelijk en op afstand computers van verdachten binnen te dringen.

Voorbeelden van incidenten

Universiteit Maastricht (2019)

Bij de aanval op de Universiteit Maastricht werden half oktober 2019 phishingmails geopend op twee werkplekken. De aanvallers kregen vervolgens volledige rechten in het netwerk via een server waarop beveiligingsupdates ontbraken, en brachten op 23 december ransomware aan op 267 Windows-servers. Niet alle gegevens waren geback-upt; de universiteit betaalde ongeveer 200.000 euro aan bitcoin om de bestanden te laten ontsleutelen.

Bakker Logistiek (2021)

In 2021 kon door een ransomwareaanval op transportbedrijf Bakker Logistiek dagenlang minder voedsel worden geleverd aan onder meer Albert Heijn, waardoor kaasschappen leeg raakten.

MOVEit (2023)

Vanaf 27 mei 2023 misbruikte de criminele groep CL0P, ook bekend als TA505, een tot dan onbekende kwetsbaarheid (SQL-injectie) in de bestandsoverdrachtsoftware MOVEit Transfer om gegevens te stelen uit systemen die via internet bereikbaar waren.

Albert Heijn (2026)

Sinds 11 oktober 2026 hebben Albert Heijn, Etos en Gall & Gall, onderdelen van Ahold Delhaize, te maken met een cybersecurity-incident. Uit voorzorg werden systemen uitgeschakeld, waardoor websites, apps en klantenservice niet beschikbaar waren. In meerdere distributiecentra lag het werk stil, met lege schappen als gevolg. Op 13 oktober begon Ahold Delhaize met een gecontroleerde herstart van een deel van de systemen; volgens het bedrijf waren er tot dan geen aanwijzingen dat klantgegevens waren gestolen. Deskundigen achtten een cyberaanval zeer waarschijnlijk; het bedrijf zelf sprak van een cybersecurity-incident en had een hack of datalek niet bevestigd. Op 14 oktober was de website van Albert Heijn nog niet bereikbaar en waarschuwde het bedrijf klanten voor phishingpogingen.

Zie ook

• Cryptografie
• Europees Agentschap voor netwerk- en informatiebeveiliging
• IT-audit
• Penetratietest
• Red team

Referenties

Wikibooks

Wikibooks heeft meer over dit onderwerp: Cursus veilig op het internet.

Mediabestanden

Zie de categorie Computer security van Wikimedia Commons voor mediabestanden over dit onderwerp.