Hoe helpt het CyberSecurity-onderzoeksprogramma Vlaamse ondernemingen?

CyberSecurity (CS)-specialisten Bart Preneel en Wouter Joosen sturen het Vlaamse Onderzoeksprogramma CS aan. Ze beantwoorden voor ons de belangrijkste vragen en leggen het Vlaams Onderzoeksprogramma CS helder uit.

"Alle Vlaamse ondernemingen met een grote nood aan cybersecurityoplossingen of gespecialiseerd in cybersecurity kunnen verder bouwen op het talent dat we hier vormen en de beveiligingsoplossingen die we hier ontwikkelen en open delen", laten Bart en Wouter in dit interview verstaan.

Wat is het doel van het onderzoeksluik?

Bart Preneel: “Het doel van Luik 1 van het Vlaams Beleidsplan Cybersecurity - het top strategisch basisonderzoek - is het ontwikkelen van nieuwe kennis, wetenschappelijke doorbraken boeken en talent op wereldniveau vormen.

1. Menselijk kapitaal vergroten door topexperts op te leiden. Deze zijn vandaag al van het hoogste niveau, wat uiterst belangrijk is voor Vlaanderen.
2. Nieuwe hoogtechnologische innovaties creëren, ook via spin-offs, zoals bijvoorbeeld in een recent verleden intigriti, Inmanta en nextAuth.
3. Toegepast onderzoek faciliteren. Toegepast onderzoek gebeurt in nauwe samenwerking met de industrie.

Internationaal staan we al aan de top, met veertig jaar ervaring. Maar je moet blijven investeren in strategisch basisonderzoek om een impact te hebben op de toekomst.”

Wouter Joosen: “Eén van de realisaties van het team van Bart is de Advanced Encryption Standard (AES). Deze computerversleutelingstechniek kreeg in februari 2020 de RSA Award for Excellence in Mathematics. Om dergelijke award op de grootste commerciële conferentie rond CyberSecurity te behalen, moet je uiteraard impactvolle verbeteringen hebben gecreëerd.”

Hoe wordt het strategisch basisonderzoek aangepakt?

Bart: “We hebben een aantal strategische onderzoeksthema’s gedefinieerd en daarrond compacte clusters gemaakt. We focussen daarbij specifiek op vier tracks waarin we snel bijkomende internationale impact genereren:

• Software en Application security
• Security Middleware
• System, Network en Infrastructure security
• Security bouwblokken in hardware en cryptografie ”

Wouter: “Deze vier lagen zijn essentieel in cybersecurity . Elke track heeft een onderzoeksleider. Wij coördineren deze en toetsen onderzoeksvragen, pistes en ontwikkelingen af bij een internationaal klankbord en bij een industrieel klankbord. Als we onze teams en inhoud samenleggen, hebben we een labo van meer dan 200 personen.

Onze onderzoeksresultaten worden oplossingen over twee, vijf of tien jaar. Zo denken we over vijf jaar een oplossing te hebben die belangrijke zwakheden automatisch uit code haalt, zodat softwareleveranciers harde garanties kunnen bieden voor een aantal concrete beveiligingsvereisten.”

Voor welke sectoren worden er CS-toepassingen ontwikkeld?

Wouter: “Dit programma is heel inclusief, wat maakt dat we polyvalente kennis vergaren met een meerwaarde voor iedereen. Tegelijkertijd hebben we aandacht voor de bijzonderheden van specifieke sectoren. Je kunt bijvoorbeeld wel een robuuste oplossing vinden, maar met een hoge operationele kost en complexiteit zodat niet alle bedrijven dit kunnen dragen. Wij merken dat je automatisch diversificatie krijgt door de noden van de sectoren. Zo is privacy in ziekenhuizen cruciaal, net zoals privacy in webwinkels. Maar je voelt aan dat de gezondheidssector zwaardere oplossingen vraagt dan e-commerce.”

Bart: “De hardware-component is dan weer enkel voor hardwareontwikkelaars. Andere bedrijven kopen die oplossingen in, waarbij ze ervan uitgaan dat het veilig is. Onze security analytics is dan weer nuttig voor een doelgroep van gespecialiseerde cybersecurity -bedrijven.”

Hoe versterkt dit onderzoek de Vlaamse bedrijven?

Bart: “Aan de ene kant doen we hooggespecialiseerd onderzoek dat op middellange en lange termijn tot doorbraken leidt. Aan de andere kant versterken onze doorbraken en het opleiden van talent ook op korte termijn het bedrijfsleven, via spin-offs en wetenschappers die in bedrijven aan de slag gaan. Daarbij zit nauwe samenwerking met de industrie van oudsher ingebakken in onze aanpak.”

Wouter: “We zijn ook een aantrekkingspool voor talent uit het buitenland. Waarna we na vijf of tien jaar merken dat ze met hun opgebouwde ervaring de beveiligingsstrategie van grote bedrijven leiden en voeden. We geloven dat we al deze types bedrijven en mensen kunnen blijven ondersteunen, inspireren en versnellen met cursusweken, industriële trainingen, seminaries, nieuw talent en acceleratorprogramma’s.”

Wat zijn de grootste onderzoeksvragen?

Bart: “Voor elke cluster hebben we specifieke thema’s gedefinieerd. Eén van de grootste uitdaging in cryptografie is de quantumcomputer . Deze enorm krachtige toestellen komen er aan binnen misschien tien tot twintig jaar… en breken dan ongeveer de helft van de huidige cryptografie. Daarom werken we aan een post-quantumcryptografie die lichtjaren beter is dan de huidige.

Een andere uitdaging is om data geëncrypteerd te houden en er toch analyses op te maken. Het idee komt uit de jaren tachtig, maar we hebben er recent veel vooruitgang in geboekt. Dit belooft een van de grote ontwikkelingen te zijn de komende jaren.

Ook zijn we processors aan het ontwikkelen die inherent veilig zijn, waarbij veiligheid in elke laag ingebakken zit.”

Wouter: “Andere uitdagingen die zeer dringende eisen stellen, zijn onder meer toegangscontrole,  biometrie, multifactor-authenticatie , audit en compliance. Het gaat om de beveiligingsdiensten tussen de applicatielaag en de systeemlaag.”

Kunnen ondernemingen elke vraag stellen aan de onderzoekspartners?

Bart: “We bieden geen oplossingen op korte termijn, noch werpen we ons op concrete problemen van bedrijven. Wij spelen een adviserende rol, bouwen bruggen. We zijn niet als een brandweer die ingeroepen wordt bij een aanval door ransomware . Wel werken we aan de spreekwoordelijke brandveiligheid. Bij concrete problemen kunnen goede Vlaamse bedrijven en partijen zoals de Cybersecurity Coalition en het Center for Cyber Security Belgium helpen.”

Wouter: “We vervullen een dienstverlening aan de maatschappij en aan een kern van technologische bedrijven die er security-oplossingen mee ontwikkelt. Dankzij ons toegankelijk en transparant contactnetwerk verwijzen we bedrijven gemakkelijk door naar relevante partijen.”

Tot welke resultaten leidt het CS-strategisch basisonderzoek?

Bart: “We werken momenteel bijvoorbeeld aan een app voor contactopsporing bij COVID-19. Ons voorstel werd door Google en Apple opgepikt. Zij ondersteunen de uitrol in meer dan 20 landen.”

Wouter: “Sinds 3,5 jaar leggen wij heel intensief de kwetsbaarheden in Intel-processors bloot zodat zij hun processors voortdurend verbeteren. Door de flagship oplossingen van Intel uit te dagen, bouwen we mee aan zo goed mogelijke processors.

Alle resultaten delen we openlijk. Dit is eigen aan ons onderzoeksdomein. In cybersecurity is een verbetering niets waard als anderen het niet kunnen testen en hacken. Je kunt onmogelijk claimen dat je de beste beveiligingstechniek ter wereld hebt als je hem verborgen houdt. Deze openheid lijkt vreemd voor mensen die in sectoren werken waarin veel patenten genomen worden, maar in cybersecurity ontwikkel je zelden een ‘proprietary’ oplossing. Software is zo goed als altijd open source. En het verschil wordt altijd gemaakt door mensen.”

Hoe werkt dit programma naast bedrijven die commerciële CS-oplossingen ontwikkelen?

Wouter: “De performantie-indicatoren van het programma zijn erop gericht om de resultaten gemakkelijk te laten oppikken door bedrijven. Ook daarom delen we onze resultaten openlijk. Zij kunnen met onze kennis verder oplossingen ontwikkelen.

Op deze openheid ben ik trots. Ons uitgangspunt ‘Hoe verspreiden we onze kennis zo ver en zo snel mogelijk?’ heeft Vlaanderen aan de top gebracht.

Bijkomend voordeel voor de Vlaamse bedrijven is dat ze talentvolle mensen vlakbij hebben. Zo geniet bijvoorbeeld Guardsquare ongetwijfeld van het talent dat hier beschikbaar is om uit te rekruteren.” (Lees ook: Leuvense ingenieur wordt beste app-beveiliger ter wereld)