Damien Vico, CISO bij IRISnet

Welke rol vervult u bij IRISnet?

Ik ben één van de anciens bij IRISnet. Ik vulde enkele managementfuncties in en heb me in beveiliging gespecialiseerd. Nu ben ik CISO (Chief Information Security Officer).

De taak van een CISO bestaat hoofdzakelijk uit de implementatie en het beheer van de cybersecuritystrategie, uit informatiebescherming en uit het toezicht op de naleving van de regelgeving. Verder zie ik erop toe dat we sensibilisering en opleiding van het personeel voorzien volgens de best practices voor security. Hierbij moet ik ervoor zorgen dat iedereen voortdurend op zijn hoede is voor mogelijke dreigingen. Kortom: ik hou toezicht op cybersecurity, niet alleen intern voor IRISnet, maar ook voor onze klanten, aangezien we een belangrijke schakel in hun netwerk vormen.

We willen met IRISnet de ISO27001-certificering voor security management verkrijgen. Eerst evalueren we de systemen en risico’s. Vervolgens stellen we een plan op om de risico’s qua impact en waarschijnlijkheid tot een aanvaardbaar niveau te beperken. Daarna ontwikkelen we een ISMS (Information Security Management System). Dat systeem steunt op de beleidslijnen en procedures waarmee we het beveiligingsniveau van onze assets kunnen meten, en het vertrouwelijke karakter, de integriteit en de beschikbaarheid van de informatie optimaal vrijwaren.

We zouden die certificering binnenkort moeten verkrijgen, maar door de verhuis van onze datacenters en de dubbele verhuis van onze kantoren hebben we het project even moeten uitstellen.

Wat was de aanleiding voor de certificering?

Ik zeg het vaak, maar beveiliging impliceert veel meer dan louter technologie. Voorbereiding en sensibilisering zijn essentieel om de beveiligingsrisico’s te beperken. Hoe geavanceerd beveiligingstechnologieën ook zijn, een goed voorbereide en veerkrachtige organisatie kan efficiënter tegen dreigingen optreden. Naast het feit dat beveiliging een terugkerend thema is bij IRISnet, was de belangrijkste aanleiding de Europese NIS2-richtlijn, die je als de ‘GDPR voor beveiliging’ kunt omschrijven. De richtlijn treedt in oktober 2024 in werking en verplicht organisaties om de risico’s in hun hele toeleveringsketen te evalueren en te beheren. Aangezien een ketting maar zo sterk is als haar zwakste schakel, wil IRISnet uiteraard niet die zwakke schakel zijn. Heel wat van onze klanten vallen binnen de scope van NIS2 en moeten er dus zeker van zijn dat IRISnet een betrouwbare partner voor hen is. Als IRISnet ISO27001-gecertificeerd is, hoeven ze ons niet meer extra te controleren.

NIS2 heeft duidelijk een mentaliteitsverandering tot stand gebracht. Directies worden strafrechtelijk verantwoordelijk voor de implementatie en naleving van beveiligingsmaatregelen, de melding van incidenten, proactief risicobeheer en de samenwerking met de bevoegde overheden. Dat kun je niet zomaar van de ene op de andere dag bereiken. IRISnet staat klanten daarin bij, door oplossingen aan te bieden die hun veiligheid aanzienlijk verhogen.

Welke beveiligingstrends ziet u in de markt?

Het IRISnet3-lastenboek beoogt dat IRISnet zich als een cybersecurity competence center profileert. Diverse belangrijke markttendensen rechtvaardigen die benadering. Eerst en vooral: de moeilijkheid om bekwaam personeel aan te werven, met name in de overheidssector, die mensen met het gevraagde profiel vaak naar de privésector ziet stappen.

Daarnaast evolueert de markt duidelijk in de richting van het ‘as-a-Service’-concept, waarbij een derde partij de infrastructuur en het platform beheert. Dat maakt de beveiliging van de cloud, van de hybride omgevingen en van de gegevens en applicaties in die omgevingen essentieel.

Tot slot beheren onze klanten niet alleen IT-omgevingen, maar ook operationele omgevingen die nood hebben aan beveiliging. De securitygerichte benadering is echter anders binnen de operationele technologie (OT), waarbij beveiliging hoofdzakelijk gericht is op de beschikbaarheid en veiligheid van de systemen om de bedrijfscontinuïteit en de fysieke veiligheid te vrijwaren. In de IT-wereld (informatietechnologie) ligt de nadruk op het vertrouwelijke karakter, de integriteit en de beschikbaarheid van de gegevens, met regelmatige updates en transparantere netwerken.

Bovendien begint artificiële intelligentie (AI) een steeds belangrijkere rol te spelen in de opsporing en preventie van dreigingen. Met behulp van AI is het mogelijk om afwijkend gedrag te detecteren en snel op veiligheidsincidenten te reageren. Maar hoewel AI voor security management wordt aangewend, maken hackers er helaas ook zelf gebruik van. We moeten dus met gelijke wapens kunnen strijden!

Overheidsdiensten blijven een geliefkoosd doelwit voor hackers. Cyberaanvallen zijn er in alle maten en gewichten: georganiseerde misdaad, opportunistische hackers en hacktivisten die voor een specifiek doel opkomen, tot hackers die in dienst van een regime werken. Al die verschillende types hackers maken gebruik van alle mogelijke aanvalsvormen. Bovendien onderschatten organisaties vaak het gebruik van social engineering, waarbij het individu de ideale toegangspoort vormt voor hackers. Daarom zijn sensibiliseringscampagnes zo belangrijk.

Welke services biedt IRISnet aan?

Ik moet toegeven dat ons (cyber)securityaanbod vrij beperkt blijft. Dat heeft te maken met de beperkingen in het kader van overheidsopdrachten en de procedure voor de validering van nieuwe services door de administratie in het kader van ons publiek-privaat partnerschap. Dankzij ons partnerschap met Orange en zusterbedrijf Orange Cyberdefense hebben we nu echter een volledig aanbod rond securitydiensten. In plaats van ons tot de verkoop van producten te beperken, willen we volwaardige securitydiensten en -oplossingen aanbieden, om zo een antwoord te bieden aan organisaties die het moeilijk hebben om in dit vakgebied bekwaam personeel te vinden.

Ons portfolio zal uit vijf pijlers bestaan :

• Eerst moeten we de omgeving en de risico’s "identificeren", en een geschikte governance implementeren. 
• Vervolgens moeten we bescherming bieden: "toegangscontrole", inbraakpreventie met firewalls, sensibilisering, enzovoort. 
• De derde pijler is de "opsporing van dreigingen", met proactieve monitoring en de bijhorende processen via het SOC (Security Operations Center), in samenwerking met Orange. Dat maakt de proactieve monitoring van security events en eventueel een automatische reactie mogelijk. 
• De vierde pijler van ons portfolio is incident "response": analyse, impactbeperking en corrigerende maatregelen, in samenwerking met het CSIRT (Computer Security Incident Response Team) van Orange. Het CSIRT zal onze klanten helpen wanneer er een aanval is. 
• Tot slot is er nog de pijler "recovery". In die fase moeten we de systemen opnieuw implementeren, herstellen en verbeteren, zodat ze zo snel mogelijk weer normaal kunnen functioneren.

Deze services zullen we geleidelijk aan uitrollen tegen eind 2024, in samenwerking met onze technologiepartners Fortinet en Cisco. Zodra alle services uitgerold zijn, kan IRISnet zich tot een echt security competence center ontpoppen.

Hoe onderscheidt IRISnet zich op de markt?

Eerst en vooral kunnen we dankzij het publiek-privaat partnerschap tussen het Gewest, Paradigm en Orange knowhow en expertise ontwikkelen zonder het algemeen belang in het gedrang te brengen. Voorts is IRISnet zowel een netwerkoperator als een dienstverlener die in de kern van het netwerk aanwezig is, en dus end-to-end security kan aanbieden: van de werkplek tot internettoegang. Doordat we het netwerk beheren, kunnen we het beter verfijnen om elke aanval te voorkomen en indien nodig te blokkeren.

Tot slot kennen we onze klanten en hun noden, waardoor we ons in een bevoorrechte positie bevinden. ‘Be prepared, not scared’ is ons motto. Beveiliging is immers niet zozeer een IT-probleem, maar een bedrijfsprobleem, met technologie als een middel om het doel te bereiken, en niet als doel op zich.