Dit voorjaar publiceerde de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) het Cybersecuritybeeld Nederland 2017. Security Management sprak met Patricia Zorko, plaatsvervangend NCTV en directeur Cybersecurity over de actuele dreigingen.
Patricia Zorko werkte meer dan 35 jaar bij de Politie. Onder andere als district- en recherchechef en daarna als politiechef van de Landelijke Eenheid, waar ze de portefeuille Digitalisering en Cybercrime onder zich had. Sinds november 2015 is ze plaatsvervangend Nationaal Coördinator Terrorismebestrijding en Veiligheid en directeur Cybersecurity.
Waarom heeft u twee jaar geleden de overstap naar de NCTV gemaakt?
“Ik wilde mijn blik op veiligheid verruimen. De Politie werkt ook breed, maar meer vanuit de samenwerking met veiligheidspartners. Dat doe ik nog steeds. Maar nu heb ik contact met meerdere ministeries en is de samenwerking met private partners intensiever. Ook politiek-bestuurlijke aspecten zijn onderdeel van mijn huidige baan. Maar ik ben nog steeds onderdeel van dezelfde ‘veiligheidsfamilie’. Zo voelt het.”
Stond ‘de zorg voor veiligheid’ al vroeg op uw netvlies?
“Nee, dat is pas gekomen toen ik een beroepskeuzetest moest maken. Naar voren kwam een beroep met ‘betrokkenheid bij de samenleving’ en ‘leidinggevende/coördinerende functie’. Dus besloot ik naar de Politie Academie te gaan.”
Nu houdt u zich onder andere bezig met terrorismebestrijding. Waar ligt de dreiging?
“Bij Jihadistisch terrorisme. En dat geldt niet alleen nationaal maar juist ook internationaal. In Nederland staat het dreigingsniveau momenteel op 4 (red: 5 is het hoogste).”
100% veilig wordt Nederland nooit
Dat is hoog…
“Klopt. Ook al zijn de laatste aanslagen met dodelijke slachtoffers – die op Theo van Gogh en Pim Fortuyn – langer geleden dan in ons omringende landen, de kans op een nieuwe aanslag in Nederland is reëel. Daarom zijn we ontzettend alert. We nemen allerlei (on)zichtbare maatregelen. Maar 100% veilig wordt Nederland nooit.”
Moeten we ons onveilig voelen?
“Nee. We moeten blijven doen wat we altijd doen. Al onze maatregelen zijn erop gericht dat iedereen zich vrij in zijn beweging voelt. Maar alertheid is uiteraard geboden.”
Waaruit bestaat het pakket aan maatregelen?
“Dat varieert van preventie tot en met harde repressie. We kijken naar hoe we mensen die radicaliseren het beste kunnen signaleren. En hoe ze dan weer te deradicaliseren zijn. Zo ondersteunen we programma’s van moeders uit de Islamitische gemeenschap die het initiatief hebben genomen tot gesprekken met ouders waarvan een kind aan het radicaliseren is. Een ander voorbeeld is het steunen van toneelvoorstellingen met discussie achteraf over dit onderwerp. Aan de andere kant zorgen we voor een goede informatiepositie. En gaan we over tot harde aanpak bij mensen die van plan zijn een terroristisch misdrijf te plegen. Komen we daarachter, dan wordt zo’n persoon onmiddellijk aangehouden en start er een onderzoek. Ook kijken we naar mensen die geradicaliseerd zijn en (willen) uitreizen. We proberen ze waar mogelijk tegen te houden.”
U bent ook directeur Cybersecurity. Hoe is het hiermee gesteld in Nederland?
“Jaarlijks maken wij met de Inlichtingendienst, de Politie en veel private partners – van bedrijfsleven tot wetenschap – een cybersecuritybeeld. Dit jaar was de hoofdconclusie, dat de dreiging toeneemt en de weerbaarheid van Nederland achterblijft. Het wordt steeds gemakkelijker om cybercriminaliteit te plegen. Ook statelijke actoren worden actiever.”
Welke maatregelen kunnen we hiertegen nemen?
“Hierbij staan de maatschappelijke belangen voorop: ‘Waar wordt Nederland blij van?’. Natuurlijk profiteert Nederland ook van de digitalisering. Het geeft enorm veel kansen. Nederland is een van de koplopers in de wereld op dit gebied. Maar digitalisering moet wel veilig, het liefst met zo veel mogelijk vrijheden. Daarbij vinden we dat iedereen – burger, bedrijfsleven en overheid – zo veel mogelijk zijn eigen verantwoordelijkheid moet nemen. Digitale weerbaarheid geldt voor ons allen. Is de basis met elkaar niet op orde – is de digitale achterdeur niet op slot – dan is het dweilen met de kraan open. Uiteraard hebben we als overheid onze overkoepelende verantwoordelijkheid. We nemen het voortouw, stimuleren mensen. Daar waar de burger zich niet kan beschermen, nemen wij het initiatief.”
>> Wilt u weten hoe u de digitale weerbaarheid van uw organisatie kunt vergroten, download dan hier de whitepaper Trends in cybersecurity.
Kunt u dit laatste concretiseren?
“De Politie doet bijvoorbeeld onderzoek naar internationale cybercriminaliteit, via het Team High Tech Crime. Veel wordt blootgelegd en opgespoord. Op basis daarvan kunnen we de samenleving waarschuwen. Denk aan CEO-fraude; een medewerker op de financiële administratie ontvangt een e-mail die lijkt te komen van de allerhoogste baas, de CEO, waarin deze hem opdraagt een fors bedrag over te maken naar een buitenlandse rekening. Ter verificatie van gegevens kan hij een advocatenkantoor bellen. Dit ‘advocatenkantoor’ zit in het complot. Veel bedrijven trappen hierin.”
Particia Zorko: “Het is uitermate belangrijk informatie met elkaar te delen.”
Hoe goed was Nederland voorbereid op de recente ransomware aanvallen?
“We kunnen nooit 100% voorbereid zijn op een cyberaanval. Wel kunnen we er van tevoren voor zorgen, dat de base line op orde is. Dat we informatie delen over kwetsbaarheden en bedreigingen. Bij WannaCry hebben we in maart al gewaarschuwd en dit in april nog een keer herhaald. Vervolgens vond de aanval op 12 mei plaats. De impact in Nederland lijkt beperkt. Mede omdat iedereen ‘aan de bak is gegaan’ om te checken of de systemen up-to-date waren. Kortom, het is uitermate belangrijk informatie met elkaar te delen. We maken een beveiligingsadvies voor specifieke doelgroepen – Rijksoverheid en bedrijven/instellingen die onder ‘vitaal’ vallen – en plaatsen deze ook op onze website.”
De NCTV waarschuwt ook met bepaalde campagnes?
“Inderdaad. Met Alert Online bijvoorbeeld. In het najaar vestigen we daar weer extra de aandacht op. Op www.alertonline.nl staat daar meer over. Ook kennen we www.veiliginternetten.nl voor burgers en bedrijven. Dus wat ik al eerder zei, we moeten het met z’n allen doen.”
Fysieke beveiliging moet ook de digitale kant beetpakken
Als we kijken naar cybersecurity in relatie tot fysieke beveiligingssystemen, wat is dan de beste aanpak?
“Daarvan is het nog belangrijker dat de beveiliging op orde is. Die moet state of the art zijn. De fysieke beveiliging moet ook de digitale kant beetpakken. Dat geldt voor bijvoorbeeld de Politie, maar ook voor private beveiligingsbedrijven; het testen van de eigen security. Op basis van het adviesrapport van Herna Verhagen over cybersecurity (redactie: oktober 2016), zeg ik altijd dat bedrijven 10% van hun investeringen voor ICT moeten besteden aan veiligheid.”
>> Lees ook Fysieke beveiliging en cybersecurity: integrale aanpak vereist
Dit gebeurt nog te weinig in Nederland?
“De bedreigingen nemen toe en de weerbaarheid af. Dat is ons beeld. Maar helemaal bewijzen kunnen we dit niet. Bedrijven zijn terughoudend in het geven van informatie hierover. Maar er is werk aan de winkel. Extra stresstesten uitvoeren bijvoorbeeld. En staat het op de agenda van bestuurders? Is dat het geval en de beveiliging blijkt goed te zijn, dan zeg ik: top! Maar ik zou het niet zonder meer aannemen.”
Wat is het mooiste resultaat dat u – samen met anderen – bereikt hebt?
“Het is lastig hierin een keuze te maken. Maar een ernstige zaak licht ik eruit: Robert M., die in december 2010 tegen de lamp liep, nadat hij veel kinderen had misbruikt. Destijds was ik plaatsvervangend korpschef van het KLPD. Wij hebben toen het dark web – het netwerk achter Robert M. en zijn manier van werken op internet – onderzocht. Het was voor het eerst een grootschalig onderzoek met onze beste mensen en met hulp vanuit zowel de publieke als de private sector. Het mooie is dat we nieuwe methodes hebben beproefd en de zaak is opgelost. Ook al weten we niet precies hoe iets aan te pakken, deze zaak heeft mij geleerd dat we gewoon moeten beginnen.”
U werkt al lang in de veiligheidsbranche. Heeft dit invloed op hoe u privé met veiligheid omgaat?
“Het is mijn tweede natuur dat ik wat alerter ben dan de gemiddelde mens. Ik zie dingen, die een ander niet ziet. Staat er ergens ‘een vreemde auto met mannen erin’, dan kijk ik altijd direct naar het kenteken. En gebeurt er iets, dan heb ik de neiging om er direct op af te stappen of iets mee te doen. Over all voel ik me veilig.”
Door: Betty Rombout, freelance journalist
>> Dit artikel verschijnt binnenkort in Security Management Magazine nummer 9