Ze studeerde criminologie, werkte bij de recherche in de hoofdstad en is nu in dienst van de Autoriteit Consument & Markt. In de functie van CISO (chief information security officer) houdt ze zich bezig met de dagelijkse veiligheid van de interne systemen en externe communicatie van de organisatie. Op een congres ontmoette ze Victor en Chris van de Dutch Institute for Vulnerability Disclosure (DIVD), kwam in gesprek en riep ‘Nou, als jullie ooit nog een CISO zoeken voor de organisatie, dan hoor ik het wel.’ Je begrijpt: niet lang daarna was ze onderdeel van de organisatie.
Wat dat betreft ben ik blij dat ik eraan kan bijdragen het internet veiliger te maken.
Community
“Ik had al eerder van de DIVD gehoord en vond het een tof initiatief. Wat dat betreft ben ik blij dat ik eraan kan bijdragen het internet veiliger te maken.” Sinds twee jaar – en informeel al veel langer - is de organisatie bezig met het opsporen van kwetsbaarheden in de onlinewereld. “Je kunt websites en andere digitale systemen een beetje vergelijken met een huis. In een veilig huis zijn alle deuren en ramen gesloten, niemand kan binnendringen. Soms staat er per ongeluk een raam open en is het systeem kwetsbaar.” De DIVD community bestaat uit onderzoekers en mensen met ondersteunende functies, zoals ik, en het bestuur. Het zijn mensen met overheidsfuncties, uit het bedrijfsleven en ZZPers; een heel diverse groep.”
De onderzoekers zijn bekend met bepaalde lekken en speuren het internet af naar systemen die kwetsbaar zijn voor bekende zwakke plekken en waarschuwen de eigenaren. “Er wordt geen onderscheid gemaakt tussen grote bedrijven en kleine websites, met iedereen wordt contact gezocht.” Omdat ze zelf graag het goede voorbeeld geven, is het de taak van Fleur om toe te zien op de interne veiligheid. “Hoe vinden wij zelf dat we beveiligd moeten zijn en hoe gaan we dat doen? En als we het doen, hoe controleren we of het goed gaat? Dat zijn kwesties waarmee ik me bezighoud.”
Practice what you preach
Practice what you preach dus, dat is het principe waar Fleur één avond per week mee bezig is. “Soms vaker, bijvoorbeeld bij grote zaken, zoals een tijd terug bij een aanval waarbij in Amerika een enorme som geld werd gevraagd. Onze onderzoekers waren het lek op het spoor, maar criminele hackers sloegen helaas eerder toe dan dat het lek kon worden opgelost nadat wij het bij de leverancier hadden gemeld.” Op zulke momenten is het de taak van Fleur om te checken of de eigen onderzoekers zich aan alle afgesproken werkwijzen en richtlijnen hebben gehouden. “We zijn met een grote groep en je kent niet iedereen persoonlijk, dus kun je niet blind alles vertrouwen en moet je gewoon volgens protocollen en regels stapsgewijs nagaan of alles netjes is verlopen.”
Ook houdt Fleur interne datalekken en eventuele externe aanvallen bij en zorgt ze dat iedereen alert blijft. “Ja, ook wij zijn gewone mensen en moeten zo nu en dan gewaarschuwd worden niet op links te klikken waarvan je niet helemaal zeker bent dat ze veilig zijn.” Dat is maar goed ook, want voor je het weet, staat er ineens een raam open.