Dreigingsprofielen: waarom het onderscheid telt

Een dreigingsprofiel is een expliciete aanname

Een dreigingsprofiel, ook wel dreigingsbeeld, is een expliciete set veronderstellingen over een mogelijke tegenpartij: wie belang kan hebben bij de informatie die in een ruimte wordt besproken of verwerkt (actoren), wat die partij wil bereiken (intent), welke middelen zij kan inzetten (capabilities) en welke toegang zij ter plaatse of op afstand kan realiseren (opportunity).

Zonder zo’n profiel wordt óók op basis van aannames onderzocht, alleen blijven die impliciet. Die aannames sturen altijd de uitvoering: ze bepalen welke aanvalsvectoren relevant zijn, welke apparatuur en methoden worden ingezet, hoe lang wordt gemeten en waar wel of niet wordt gezocht.

Daarom leggen we het dreigingsprofiel vooraf samen met u vast. Zo zijn de uitgangspunten bespreekbaar, herleidbaar en intern én extern toetsbaar.

Het begint bij wat u te beschermen heeft

Voordat we naar mogelijke tegenstanders kijken, kijken we naar u en uw te beschermen belangen (TBB’s). Welke informatie komt er langs in de ruimte, hoe vaak, en wat is die mogelijk waard voor iemand die er belang bij heeft? Een overnamedossier, de ondergrens in een onderhandeling, tenderbedragen, een nog vertrouwelijk reorganisatieplan, onderzoeksresultaten waar jaren investering in zit, of gerubriceerde informatie die onder de ABRO valt. Die informatie vertegenwoordigt verschillende soorten waarde en kent bovendien uiteenlopende houdbaarheid: sommige informatie is na dagen waardeloos, andere blijft jarenlang gevoelig.

Die waarde bepaalt mede hoeveel tijd, middelen en risico een tegenpartij redelijkerwijs bereid is te investeren. Informatie die slechts één kwartaal koersgevoelig is, vraagt om een andere afweging dan kennis over een productieproces dat tien jaar strategische waarde houdt. Ook het gebruik van de ruimte speelt mee: een boardroom waar wekelijks vertrouwelijk overleg plaatsvindt, vormt een ander doelwit dan een ruimte die eenmalig voor één specifieke transactie wordt gebruikt.

Wie tegenover u staat, bepaalt waar we naar zoeken

Het verschil tussen tegenpartijen zit niet in hun intentie, maar vooral in hun mogelijkheden (capabilities). Onderstaand puur illustratief enkele voorbeelden; het relevante dreigingsprofiel kan per organisatie en situatie sterk verschillen.

De kwaadwillende insider of gelegenheidsdader heeft vaak al toegang en hoeft die niet eerst te verkrijgen. Dit actortype gebruikt doorgaans eenvoudig verkrijgbare middelen en richt zich op een concreet, vaak kortdurend doel. Grondige fysieke inspectie en onderzoek van het RF-spectrum zijn belangrijke onderdelen van het onderzoek.

Een concurrent of ingehuurde partij kan professioneler te werk gaan en gebruikmaken van momenten van legitieme toegang, bijvoorbeeld tijdens onderhoud, verbouwing of installatiewerk. Technische middelen kunnen daardoor heimelijker worden geïntegreerd in meubilair, infrastructuur of apparatuur die al in de ruimte thuishoort. Het onderzoek verschuift dan nadrukkelijk ook naar vaste infrastructuur, bekabeling en middelen die tijdens het onderzoek niet actief uitzenden.

Een georganiseerde criminele groep werkt veelal naar een concreet en tijdgebonden belang, zoals een transactie, zending, voorkennis of onderhandeling. Het onderscheid zit niet noodzakelijk in geavanceerdere technologie, maar in de operationele kans om toegang te organiseren, te kopen of af te dwingen via personen die legitiem in het pand komen. Een plaatsing kan daardoor op regulier werk lijken en hoeft slechts te functioneren zolang de informatie waarde heeft. De zaak bij Barclays laat zien hoe fysieke toegang onder een legitiem voorwendsel kan worden benut.

Een statelijke actor kan beschikken over meer tijd, specialistische middelen en mogelijkheden om eerder in de keten toegang te verkrijgen. Daarbij moet ook rekening worden gehouden met passieve of moeilijk detecteerbare middelen, langdurige, onopgemerkt gebleven plaatsing en aanvalsvectoren die buiten het bereik van een standaardonderzoek kunnen vallen. Juist bij dit profiel is het belangrijk dat de onderzoeksscope expliciet aansluit op de veronderstelde capabilities van de tegenpartij.

Niet elke gevoelige ruimte is een kantoor. Vertrouwelijke gesprekken vinden ook plaats thuis, onderweg en in hotels. Kortom, in omgevingen waar de beveiligingsmaatregelen van het eigen pand niet gelden en de toegang vaak minder beheerst is. Het eerste voorbeeld op onze casuspagina speelde zich af in een privékantoor. Voor het dreigingsprofiel is daarom ook relevant waar gevoelige informatie buiten de primaire beveiligde omgeving wordt besproken of verwerkt.

Verschillende middelen vragen verschillende onderzoeksmethoden

Ook technisch maakt het dreigingsprofiel verschil. Een middel dat slechts incidenteel uitzendt vraagt een andere onderzoeksstrategie dan een recorder die lokaal opslaat en geen radiosignaal produceert. Passieve middelen gedragen zich anders dan actieve zenders.

Een professioneel onderzoek bestaat daarom niet zonder meer uit één meting. Methodiek, onderzoeksduur en scope volgen uit de aanvalsvectoren die voor het vastgestelde dreigingsprofiel relevant worden geacht.

Wat het onderscheid u oplevert

Het dreigingsprofiel is geen formaliteit vooraf, maar bepaalt hoe het onderzoek wordt ingericht. Concreet bepaalt het:

• welke aanvalsvectoren relevant zijn en welke onderzoeksmethoden daarbij passen;
• hoe lang en op welke momenten wordt gemeten;
• welke ruimtes, installaties en aangrenzende zones binnen de scope vallen;
• welke detectiecriteria vooraf worden vastgelegd;
• en, minstens zo belangrijk, wat buiten scope blijft.

Daarmee voorkomt u twee kostbare verkeerde keuzes. De eerste is een onnodig zware onderzoeksopzet: onderzoeken alsof u tegenover een statelijke actor staat terwijl de realistische dreiging een concurrent is. Dat kost tijd en geld zonder noodzakelijk meer zekerheid op te leveren. De tweede is ernstiger: de capaciteiten van een tegenpartij onderschatten, waardoor een ogenschijnlijk geruststellende conclusie ontstaat op basis van een onderzoek dat niet op de relevante aanvalsvectoren was ingericht.

Het dreigingsprofiel maakt de conclusie bovendien herleidbaar en verdedigbaar. Een opdrachtgever, auditor of bevoegd gezag kan zien vanuit welke dreiging is geredeneerd, wat daarop is onderzocht en waar de grenzen lagen. De conclusie hoeft daarmee niet op vertrouwen te worden aangenomen, maar kan inhoudelijk worden gewogen.

Uw eigen randvoorwaarden wegen mee

Het dreigingsprofiel is één helft van het voortraject. De andere helft bestaat uit uw wensen en praktische randvoorwaarden. Moet het onderzoek onopgemerkt blijven voor medewerkers of kan het worden aangekondigd? Kan de ruimte tijdelijk buiten gebruik worden gesteld en mogen meubilair en installaties worden geopend? Is er een concrete aanleiding of gaat het om periodiek onderzoek? En wat moet er gebeuren wanneer daadwerkelijk iets wordt aangetroffen?

Die keuzes hebben directe gevolgen voor de uitvoering. Een onderzoek dat volledig discreet moet plaatsvinden, kent andere mogelijkheden en beperkingen dan een onderzoek waarbij een ruimte een dag kan worden vrijgemaakt. Bij trajecten onder de ABRO kan daarnaast afstemming met het NBIV relevant zijn: ons onderzoek ondersteunt en versterkt de voorbereiding richting een formele accreditatie, maar vervangt die niet.

Van dreigingsprofiel naar onderzoeksscope

Het resultaat van het voortraject is geen standaardpakket, maar een afgebakende onderzoeksopdracht die aansluit op uw te beschermen belangen, wie zich daarop zou kunnen richten en welke mogelijkheden die partij heeft. De uitgangspunten worden in het rapport vastgelegd, zodat ook achteraf herleidbaar blijft waarom voor deze scope en methodiek is gekozen.

Verandert het dreigingsbeeld, dan kan ook de scope veranderen. Een nieuwe opdrachtgever, overname, geschil, incident of wijziging in ruimtegebruik kan aanleiding zijn om de aannames opnieuw te beoordelen.

Het doel is daarom niet om standaard van het zwaarst denkbare scenario uit te gaan, maar om vast te leggen tegen welk scenario u het onderzoek wilt laten uitvoeren.