Kwaadaardige hackers en cybercriminelen zijn nooit in te halen, we moeten ons dan ook richten op het sneller reageren op incidenten, aldus Bruce Schneier tijdens de keynote van de Hack in the Box conferentie in Amsterdam. "Technologie laat de maatschappij groter groeien. En schaal beïnvloedt sociale druk op allerlei manieren. Er zijn meer mensen, meer complexiteit, er zijn nieuwe sociale systemen, nieuwe beveiligingssystemen, een toename van technologische intensiteit en frequentie en toegenomen afstand", aldus de Chief Security Technology Officer (CSTO) van BT.

Zaken die ook voor het internet gelden. Het web maakt het mogelijk voor criminelen om op afstand systemen aan te vallen. Via automatisering is het mogelijk om systemen geautomatiseerd aan te vallen, wat de frequentie doet toenemen en nieuwe sociale systemen zoals Facebook zorgen ook voor veranderingen. "En ook hoe meer mensen op het internet komen. Hoe er vanwege de schaal meer gevaren verschijnen." Al die zaken hebben invloed op sociale druk.

Balans
Nieuwe technologie verstoort echter de sociale druk en de maatschappij moet dan ook opnieuw de balans vinden, aldus Schneier. Zo was er een niveau van fraude waar banken en de maatschappij mee konden leven, maar door de komst van het internet is er nu meer fraude. "We hadden een moord-ratio waar we blij mee waren, totdat iemand een pistool uitvond en opeens groeit het aantal moorden." Technologie werkt echter ook de andere kant op. Vingerafdruk-technologie kan weer helpen bij het voorkomen of oplossen van misdrijven. "Nieuwe technologieën verstoren echter deze balans."

Het vinden van de balans is lastig. Zeker omdat aanvallers van nature de bovenhand hebben. Ze kunnen sneller van innovaties gebruik maken. Iemand vindt bijvoorbeeld een auto uit om bankovervallen mee uit te voeren. De politie moet vervolgens via een comité een verzoek voor ook een auto indienen, waarop een aanbestedingsprocedure volgt en er verschillende aanbiedingen worden vergeleken. Dan moeten de agenten worden getraind en beleid worden bepaald hoe de auto is in te zetten. In de tussentijd gebruiken de criminelen gewoon hun auto voor het plegen van misdrijven.

Security-gat
"Hetzelfde zien we op internet. Toen online commercie verscheen, zagen we een nieuw soort criminelen die hier gebruik van maakten om dingen te stelen. In de tussentijd had de politie, die getraind was met Agatha Christie verhalen, vijf jaar de tijd nodig om te ontdekken hoe cybercrime er uitzag en hoe je het zou kunnen aanpakken." Als er zo'n mismatch tussen aanvaller en verdediger is, zal er een security-gat ontstaan. "Wat de aanvallers kunnen doen en wat de verdedigers kunnen doen. En het resultaat is een natuurlijk voordeel voor de aanvallers."

En dit security-gat wordt groter als er meer technologie is, en ook als er grote technologische en sociale veranderingen plaatsvinden. "Aanvallers krijgen daardoor langer een voordeel. In de hedendaagse maatschappij is er nog nooit zoveel technologie en zulke grote veranderingen geweest. "We leven nu in een wereld waar het security-gat het grootst is." Dit betekent volgens Schneier dat het lastiger wordt om de juiste sociale druk te bepalen, wat onder andere bepaalt of mensen de wet overtreden.

Inhalen
"Onze beste hoop is niet om op de aanvallers voor te lopen, maar om sneller te reageren." Het gaat dan om 'agile' of 'reactive' security. "We kunnen niet voorspellen wat de aanvaller gaat doen, maar het beste wat we kunnen doen is kijken wat de aanvaller doet en snel reageren. Dat we security op die manier kunnen handhaven." Dit idee komt volgens Schneier voort uit het besef dat het security-gat nooit te dichten is. "Je kunt er alleen op reageren."