‘Maak computerveiligheid een vak op school’

Heuristische scans, keyloggers en exploits zijn bekende termen voor kenners van securitysoftware. Maar wie legt de doorsnee computergebruiker uit wat ze betekenen? Specialist James ‘Randy’ Abrams, director of technical education bij securityfirma ESET, pleit ervoor om computerveiligheid een vak op school te maken, naast wiskunde en Engels.

ZDNet had een gesprek met Abrams, die bij ESET technische begrippen omzet in taal die doorsnee gebruikers kunnen begrijpen. Voor hem wordt computerveiligheid een vaardigheid die nodig is om te overleven.

ZDNet: Wat is de dagelijkse realiteit van een ‘technisch opvoeder’?
Randy Abrams: “Ik spendeer veel tijd aan het omzetten van geek speak in normale mensentaal. Mijn technische expertise ligt ergens tussen die van een gevorderde en doorsnee gebruiker. Ik begrijp dus waar mensen die software schrijven over praten, maar kan zelf geen programmeertaal schrijven. Ik ben eigenlijk als het ware een soort Rosetta-steen.”

Hoeveel ervaring heb je nodig om mensen op die manier voor te kunnen lichten?
"Ik begon als technicus bij Microsoft met het bouwen van programma’s voor het dupliceren van floppydisks. Omdat ik eigenlijk daarvoor al interesse had in computerbeveiliging, bouwde ik naast mijn werk veel gespecialiseerde securitykennis op. Dat gedeelte was dus niet moeilijk. Het vermogen om die kennis om te zetten in begrijpbare taal is een heel ander verhaal. Daarvoor moest ik twintig jaar teruggrijpen naar de middelbare school, waar ik aan debatwedstrijden deelnam. Je moet humor en wat drama gebruiken om de boodschap over te brengen."

Hoeveel ‘opvoeders’ zoals u zijn er op dit moment?
"Ik denk dat er maar een handvol van onze soort rondloopt. En we zullen een leger nodig hebben om een zichtbare mentaliteitsverandering teweeg te kunnen brengen in de samenleving. We moeten leraren bijbrengen hoe ze technische begrippen kunnen vatten en dat kunnen omzetten in lesmethodes."

Wilt u dat computerveiligheid een vak wordt op school?
"Ik denk dat binnen drie tot vijf jaar computerveiligheid een onderdeel zal zijn van onze sociale opvoeding. Kijk eens terug naar de opkomst van de auto. Scholen gingen hun leerlingen pas bijbrengen dat ze bij het oversteken naar links en rechts moesten kijken toen er genoeg auto’s in omloop waren om doden en gewonden te veroorzaken. Het werd een vaardigheid die je nodig had om te overleven. Ik verwacht dat dit hetzelfde zal zijn bij online veiligheid."
 

Overleven?
"Social engineering is een eeuwenoude vorm van misdaad, maar door het internet is het voor het eerst mogelijk om op afstand en goedkoop slachtoffers te manipuleren. En boosdoeners specialiseren zich meer en meer. Onlangs werd een achttienjarige jongen gearresteerd. Hij had zich als meisje voorgedaan op Facebook en zo naaktfoto’s van klasgenoten buitgemaakt. Hij zette hen met die foto’s als chantagemiddel onder druk om seksuele handelingen met hem te verrichten. Het is maar een klein voorbeeld van hoe snel zaken uit de hand kunnen lopen. Met de massale opkomst van vertaalsoftware wordt het bovendien steeds makkelijker om je boodschappen naar andere talen over te zetten."

Zijn er basistips die u onervaren gebruikers meegeeft?
"Als ik je wil leren om geen slachtoffer te worden van een phishingaanval, gebruik ik het principe van de dief en de idioot. Iedereen die je om jouw wachtwoord vraagt, is of een dief of een idioot. Of het nu Hotmail of je helpdesk is; ze zullen dat nooit aan je vragen. Het is altijd zoeken naar de juiste vergelijking om een niet-technisch iemand een abstract fenomeen te laten begrijpen."

Geeft u zelf les op scholen?
"Op dit moment nog niet, maar ik zou graag wat meer tijd willen maken om naar middelbare scholen te gaan. Ik geef wel geregeld uitleg aan computerclubs en ik spreek veel op internationale beveiligingsconferenties."

Maar spreekt u op die manier wel de gebruikers aan die de meeste scholing nodig hebben?
"In San Diego, waar we een van onze kantoren hebben, werken we samen met de lokale politie en kamer van koophandel in het initiatief Save our eCity. Daarmee leren we de plaatstelijke bevolking over de gevaren op het internet. We hebben in Texas een soortgelijk project opgestart en willen uiteindelijk toe naar Save the eWorld."

Bereikt u zo niet slechts een beperkt aantal mensen?
"Ik ben onlangs ook een experiment begonnen met een Google Buzz-account. Ik heb via een online enquête een groep contacten opgebouwd en heb daar zo veel mogelijk gebruikers aan toegevoegd. Toen ik zelf zo’n 1.600 volgers had opgebouwd, bleek dat veel mensen mijn profielpagina hadden bekeken. Ze zeiden dat ze daar veel nuttige informatie van hadden opgestoken. Ik heb zo geleerd dat willekeurige selectie verrassend methodisch kan zijn en dat Twitter en Google Buzz erg goed werken om de niet-geeks te bereiken. Het zou uiteraard beter werken als tv-zenders online veiligheid zouden behandelen in hun realityshows om de massa te bereiken, maar dit is een goed begin."

Hoe schat u het kennisniveau van de gemiddelde gebruiker op het gebied van computerbeveiliging in?
"Het installeren en gebruik van (onze) antivirussoftware is niet moeilijk. Naar mijn ervaring weten de meeste gebruikers wel om te gaan met onze programma’s. En als ze dat niet lukt, weten ze vaak iemand te vinden die dat wel kan."

En hoe zit het met IT-professionals? Geven zij volgens u wel het goede voorbeeld?
"Volgens mij is dat vooral een kwestie van goed management. Er zijn IT-professionals die zijn aangenomen zonder dat ze ook maar iets van security afweten. En als een specialist wordt aangenomen, hoeft dat niet meteen te betekenen dat zij hun werk kunnen doen. Ik zie dat capabele mensen vaak met de handen gebonden zijn, omdat hun baas hen geen vrij spel geeft. Het heeft bijvoorbeeld al uiterst veel moeite gekost om managers te overtuigen dat ze geen exe-bestanden meer konden ontvangen in hun e-mail. Wat mij betreft kunnen managers dus wel wat training krijgen."

Jullie verkopen antivirussoftware. Hebben jullie er wel baat bij om zoveel bezig te zijn met voorlichting?
"Meer opgevoede gebruikers is juist goed voor onze business. Mensen zonder scholing krijgen veel vaker met dreigingen te maken. En dan maakt het niet uit hoe goed de doelman is; als er maar genoeg op doel wordt geschoten, gaan er altijd een paar door. Met betere voorlichting hoeven we minder ballen tegen te houden, en hoeven we minder door te laten. Dat komt ons imago ten goede. Je kunt je marketingbudget uitgeven aan billboards. Maar ik beschouw dit als een veel effectievere methode."