Een weddenschap van 250 miljoen dollar dat testen geen gebeurtenis is

Snehal Antani, die Horizon3 in 2019 oprichtte met Anthony Pillitiere nadat beiden bij het Joint Special Operations Command hadden gewerkt, beschreef de mijlpaal eerder als verdiende toestemming dan als techniek. Het bedrijf bedacht het begrip van hackers met kunstmatige intelligentie, zei hij, en besteedde zes jaar aan het verdienen van het recht om de meest kritieke netwerken zelfstandig te testen. Op 3 augustus kondigde het bedrijf een serie E aan van 250 miljoen dollar bij een waardering boven 2 miljard dollar, mede geleid door de bestaande investeerders NightDragon en NEA, met Acrew, Blue Cloud Ventures, EDBI, Demeter Group, PSG, SAIC en Sapphire als nieuwkomers, naast bestaande financiers als Craft Ventures, Prosperity7 Ventures, Qualcomm Ventures, Ridge Ventures en SignalFire.

De cijfers achter de ronde beschrijven een categorie die opnieuw wordt geprijsd en niet louter een bedrijf dat het goed doet. Horizon3 meldt een jaarlijks terugkerende omzet van bijna 100 miljoen dollar met een groei van 120 procent op jaarbasis, meer dan 7.000 beschermde organisaties, vier klanten uit de Fortune 10 en 310.000 tests uitgevoerd binnen draaiende productieomgevingen. Dave DeWalt, oprichter van NightDragon en eerder topman van FireEye en McAfee, treedt toe tot het bestuur samen met NightDragon-directeur Morgan Kyauk. Het bedrijf opende in juni een kantoor in Amsterdam en breidt uit naar Australië en Singapore.

Wat het Europese recht werkelijk eist, en hoe vaak

De verordening digitale operationele weerbaarheid legt het ritme vast voor juist die instellingen die dit product het waarschijnlijkst kopen. De artikelen 26 en 27 verplichten aangewezen financiële entiteiten tot geavanceerde weerbaarheidstests door middel van dreigingsgestuurde penetratietesten, ten minste elke drie jaar. Alleen entiteiten die als belangrijk gelden en over voldoende volwassen systemen beschikken vallen onder die plicht, en de normen daarvoor zijn ontwikkeld in lijn met het TIBER-EU-kader, dat op 11 februari 2025 werd geactualiseerd om aan te sluiten op de onder DORA vastgestelde technische reguleringsnormen.

Twee punten horen vast te staan voor elk begrotingsgesprek. Ten eerste vallen financiële entiteiten onder DORA en niet onder NIS2, omdat artikel 4 van NIS2 wijkt voor het meer specifieke regime, en bedrijven plannen geregeld tegen de verkeerde tekst. Ten tweede is het ritme een ondergrens en geen doel. DORA geldt sinds januari 2025, dus een driejaarscyclus legt de eerste volledige dreigingsgestuurde test rond januari 2028 voor entiteiten die er vanaf het begin onder vielen, ongeveer achttien maanden vanaf nu. Het Verenigd Koninkrijk kent voor grote instellingen een eigen dreigingsgestuurd stelsel met een vergelijkbare filosofie.

Het document en de maatregel groeien uit elkaar

Hier ligt de spanning die de ronde blootlegt. Een dreigingsgestuurde penetratietest wordt aangestuurd door inlichtingen, uitgevoerd door bekwame mensen tegen een afgebakend doel, en levert een document op dat een toezichthouder tevreden stelt. Continu geautomatiseerd testen levert iets anders op: een voortschrijdende meting van misbruikbare blootstelling. Matt Hartley, commercieel directeur van Horizon3, betoogt dat een conventionele opdracht slechts twee of drie procent van een netwerk onderzoekt, eens per jaar, terwijl een autonoom platform het hele bestand doorlopend kan dekken zonder de productie stil te leggen. Dat is de formulering van een leverancier over zijn eigen voordeel en zo moet zij worden gelezen, maar de onderliggende waarneming over steekproeven is niet omstreden onder wie deze tests uitbesteedt.

Het eerlijke tegenwicht is dat automatisering niet vervangt wat een dreigingsgestuurde test waardevol maakt. Zulke tests bouwen op inlichtingen over wie deze specifieke instelling plausibel zou aanvallen en hoe, en een goed aanvalsteam bedenkt routes die geen scanner opsomt. Het zijn geen substituten, en wie zijn menselijke team schrapt omdat hij een autonoom platform kocht, heeft beide verkeerd begrepen. Wat werkelijk verandert is de betekenis van het driejaarlijkse certificaat. Slagen in 2028 zegt dat het bestand een afgebakende, door inlichtingen geleide aanval op bepaalde data doorstond. Het zegt niets over de duizend dagen aan weerszijden, en de markt heeft zojuist 250 miljoen dollar gezet achter de opvatting dat de blootstelling juist daar leeft.

Wat te veranderen in de volgende testcyclus

Begin met opschrijven welk regime u bindt en op welke datum uw volgende dreigingsgestuurde test verschuldigd is. Dat klinkt elementair en is de stap die het vaakst wordt overgeslagen, omdat de verantwoordelijkheid voor het antwoord meestal blijft hangen tussen een nalevingsfunctie die de deadline kent en een beveiligingsfunctie die het bestand kent. Valt uw instelling eronder en gold DORA voor u vanaf januari 2025, reken dan terug vanaf begin 2028 en houd er rekening mee dat afbakening en inlichtingenwerk vele maanden voor de test zelf beginnen.

Behandel daarna beide activiteiten als afzonderlijke posten met afzonderlijke doelen. De gereguleerde test is een oplevering met een datum, een met de toezichthouder afgestemde reikwijdte en een inlichtingenfase, en hoort als project te worden begroot. Continu testen is een operationele maatregel, en de vraag aan een leverancier is niet hoeveel bevindingen die oplevert maar hoe snel een nieuw blootgesteld systeem in de resultaten verschijnt en hoe het platform zich gedraagt tegenover draaiende productie. Vraag ook naar de storingshistorie en niet alleen naar het aantal tests zonder onderbreking. Een platform dat honderdduizenden productietests heeft uitgevoerd, heeft een veiligheidsdossier dat nauwkeurige inspectie verdient voordat het uw bancaire kern raakt.

Lees hierna: 45.601 lekken, 171 worden echt misbruikt  |  Een bericht bereikte de SSH-sleutels