Het was twee uur ‘s nachts op een feestdag, en de serverruimte zoemde om me heen als een mechanisch kloppend hart.
Mijn vingers bewogen zich in een ritme over drie toetsenborden, een ritme waar ik niet meer over na hoefde te denken. Code rolde in koude, groene stromen over vijf monitoren. Rode waarschuwingsvensters knipperden in mijn ooghoeken. Elke seconde die voorbijging kostte het bedrijf ongeveer $120.000, niet in ingebeelde verliezen of dramatische prognoses, maar in de daadwerkelijke openbaarmaking van klantgegevens.
Het eerste alarm ging die avond om acht uur af.
Ik was op een barbecue ter ere van 4 juli in Queens, met een papieren bordje met een half opgegeten hamburger in mijn hand, en deed alsof ik eindelijk eens een rustige avond vrij van mijn werk zou hebben. Toen ging mijn telefoon af met het speciale alarm dat ik had ingesteld voor het soort incident dat geen enkele beveiligingschef ooit wil horen.
Ik liet het bord op een picknicktafel staan, pakte mijn sleutels en rende weg.
Nu, zes uur later, liep het zweet me nog steeds langs de rug, ondanks de ijskoude lucht in de serverruimte. Mijn ogen brandden. Mijn vingers deden pijn. Mijn schouders waren als een lange knoop verkrampt doordat ik te lang voorovergebogen had gezeten.
Maar ik zat er dichtbij.
‘Kom op,’ mompelde ik, terwijl ik de dialogen zag worden uitgevoerd. ‘Kom op.’
Monitor drie toonde het inbraakpad. Iemand had een zero-day-kwetsbaarheid in het betalingsverwerkingssysteem gevonden. Het was netjes, precies en veel te geco�rdineerd om toevallig te zijn. Dit was geen verveelde tiener die met tools speelde die hij van een forum had gedownload. Dit was een professionele operatie.
Monitor 1 registreerde de blootstellingsfrequentie.
Zevenenveertig miljoen klantgegevens liepen gevaar: betaalgegevens, rekeninginformatie, persoonsgegevens, transactiegeschiedenis. Alles wat het bedrijf klanten had beloofd te kunnen beschermen.
Monitor twee toonde de inzet van mijn tegenmaatregelen.
Ik had precies voor dit scenario een quarantainesysteem gebouwd. Digitale muren werden op hun plaats gezet, waardoor ge�nfecteerde sectoren werden ge�soleerd en kwetsbare routes werden afgesloten voordat het incident zich naar de back-upservers kon verspreiden.
« Quarantaineprotocollen worden uitgevoerd, » zei ik in de kleine recorder naast mijn toetsenbord.
Tijdens mijn crisiswerk heb ik alles gedocumenteerd. Niet omdat iemand me ervoor bedankte, maar omdat, als de rook eenmaal was opgetrokken, de documentatie ertoe deed.
�Sectoren A tot en met F ge�soleerd. Versleuteling toepassen op blootgestelde pakketten. Verdacht verkeer omleiden naar een gecontroleerde omgeving. Bronpatroon traceren.�
Mijn handen bewogen over de toetsen alsof ze toebehoorden aan iemand die kalmer was dan ik me voelde.
Hiervoor was ik gemaakt.
Dit was de plek waar ik woonde.
Vervolgens werd de gecontroleerde lokomgeving in gebruik genomen. Voor iedereen die gegevens uit het systeem probeerde te halen, leek het wel een schatkist: waardevol genoeg om te grijpen, zo open dat het verleidelijk was, en vol met trackingcodes.
Ze trapten in de val.
‘Ik heb je te pakken,’ fluisterde ik.
Mijn vingers bewogen alweer, en volgden het digitale spoor terug door lagen van proxyservers en gehuurde infrastructuur.
Op dat moment trilde mijn telefoon.
Ik heb het genegeerd.
Het trilde opnieuw.
Maar goed.
Ik keek naar beneden.
Brandon Caldwell.
CEO.
Ik bel om twee uur ‘s nachts.
Alles in me zei dat ik niet moest opnemen. Brandon belde niet om twee uur ‘s nachts, tenzij er al iets aan de hand was. Maar misschien had hij informatie van de raad van bestuur. Misschien had een externe partner iets nuttigs gemeld. Misschien had hij eindelijk de omvang van het probleem ingezien en wilde hij helpen.
Ik veegde over het scherm om op te nemen en klemde de telefoon tussen mijn schouder en oor zonder mijn handen stil te houden.
‘Vivian,’ zei hij.
Zijn stem klonk vlak. Koud.
�Brandon, ik ben middenin het proces om de complete infrastructuur van het bedrijf te redden. Kan dit even wachten?�
‘Nee,’ zei hij. ‘Dat kan niet.’
Iets in zijn toon zorgde ervoor dat mijn vingers voor het eerst in zes uur stil bleven staan.
‘Je wordt vervangen,’ zei hij. ‘Mijn zoon Kyle neemt per direct de leiding over de cyberbeveiliging over. Hij is nu onderweg naar het gebouw.’
De serverruimte voelde plotseling twintig graden kouder aan.
« Je maakt een grapje. »
�Nee, dat ben ik niet. Dit bedrijf heeft nieuw bloed nodig. Jong talent. Kyle is net afgestudeerd aan Stanford met een diploma in computerwetenschappen. Hij heeft nieuwe idee�n. Moderne benaderingen.�
Op monitor drie probeerde het incident zich te verspreiden.
Mijn quarantaine hield stand, maar ternauwernood.
Mijn kaken spanden zich aan.
�Brandon, ik zit momenteel tot mijn nek in een schandaal rond klantgegevens dat 47 miljoen mensen treft. Dit is niet het moment voor een leiderschapswissel.�
�Kyle kan het aan.�
« Nee, dat kan hij niet. »
« Geef hem een ??korte briefing als hij aankomt. Je hebt tot morgenochtend de tijd om je kantoor in te pakken. »
De verbinding werd verbroken.
Ik staarde precies drie seconden naar de telefoon.
De monitoren flitsten voor me. De aanvallers testten de quarantaine, zochten naar zwakke punten en een opening die ze konden openbreken. Ik moest sectoren C en D onmiddellijk versterken.
In plaats daarvan ging ik achterover in mijn stoel zitten.
Acht jaar.
Acht jaar lang heb ik deze infrastructuur vanuit het niets opgebouwd. Acht jaar lang heb ik Caldwell Industries verdedigd tegen bedreigingen die de directie nooit zag aankomen, omdat ik ze heb gestopt voordat ze zichtbaar werden. Acht jaar lang heb ik slaap, weekenden, relaties en meer aspecten van mezelf opgeofferd dan ik wilde toegeven.
En zo eindigde het.
Ik keek naar de monitoren. Naar de versleutelingsroutines die ik helemaal zelf had geschreven. Naar de aangepaste responstools die ik in mijn vrije tijd had ontwikkeld toen het bedrijf weigerde te betalen voor betere systemen. Naar het web van beveiligingsmaatregelen en noodprocedures die alleen ik volledig begreep, omdat niemand boven mij er ooit genoeg om had gegeven om het te leren.
De quarantaine bleef voorlopig van kracht.
Het systeem zou mogelijk zes tot acht uur standhouden voordat handmatige interventie nodig was. Iemand zou de parameters moeten aanpassen, zwakke punten moeten versterken en moeten reageren op de indringers wanneer die van tactiek veranderden.
Iemand die wist wat hij of zij deed.
Ik nam een ??beslissing die alles zou veranderen.
Ik opende een terminalvenster en typte ��n commando in.
Elke tool die ik zelf had ontwikkeld, werd verwijderd. Elk eigen script. Elk noodtoegangspad. Elke priv�automatisering die ik had ontwikkeld om Caldwell draaiende te houden wanneer standaardtools te traag waren.
Bestanden zijn verdwenen van monitor vijf.
Jarenlang werk verdween in seconden.
Vervolgens pakte ik de persoonlijke harde schijf die was aangesloten op mijn beveiligde werkstation. Daarop stonden mijn broncode, ontwikkelingsnotities, architectuurdiagrammen en documentatie van mijn persoonlijke tools.
Het was toegestaan ??volgens het bedrijfsbeleid.
Ik wist dat, omdat ik dat beleid zelf had opgesteld.
Alle door beveiligingsmedewerkers ontwikkelde, op maat gemaakte tools bleven het intellectuele eigendom van de ontwikkelaar en werden alleen via een actief dienstverband aan Caldwell Industries in licentie gegeven.
Een dienstverband dat net was be�indigd.
Ik pakte mijn laptop in, pakte mijn jas en liep naar de deur.
Het ging open voordat ik erbij kon komen.
Een jonge man stond in de deuropening. Twee�ntwintig, misschien drie�ntwintig. Gestyled haar, een duur horloge, een zelfverzekerde glimlach. Het soort glimlach dat je ziet bij mensen die nooit ten val zijn gekomen omdat geld hen altijd heeft opgevangen.
Kyle Caldwell.
‘Jij moet Vivian zijn,’ zei hij, terwijl hij zijn hand uitstak. ‘Papa vertelde me dat je me nog even zou inlichten voordat je wegging.’
Ik keek naar zijn hand.
Ik heb het niet aangenomen.
‘De servers zitten daar binnen,’ zei ik, terwijl ik achter me gebaarde. ‘Veel succes.’
Ik liep langs hem heen richting de uitgang.
‘Wacht even,’ zei hij. ‘Is dat alles?’
Ik ben gestopt.
‘En hoe zit het met dat incident?’ vroeg hij. ‘Papa zei dat er iets was gebeurd.’
Ik draaide me om.
�Er is een catastrofale datalek van klantgegevens die 47 miljoen mensen treft. De quarantaineprotocollen houden stand, maar ze zullen over ongeveer zes tot acht uur handmatig moeten worden aangepast. Het externe verkeer is geavanceerd en test actief op zwakke punten. Elke seconde dat u hier met mij staat te praten in plaats van die systemen te bewaken, kost het bedrijf $120.000.�
Zijn gezichtsuitdrukking veranderde.
�Maar wat moet ik doen?�
‘Zoek het zelf maar uit,’ zei ik. ‘Jij bent nu het hoofd van de cyberbeveiliging. Frisse noot. Moderne aanpak.’
‘Kun je het me niet gewoon laten zien?’
�Ik werk hier niet meer. Dat heeft je vader heel duidelijk gemaakt.�
Ik draaide me om en liep naar buiten, Kyle Caldwell achterlatend in de gang, starend naar de serverruimte als een man die net een storm had ge�rfd waarvan hij niet wist hoe hij die moest inschatten.
De avondlucht sloeg me in het gezicht toen ik het gebouw verliet.
Koel.
Schoon.
Vrij.
Mijn telefoon ging alweer over.
Ik heb het uitgezet.
Kyle zou alles kunnen hebben.
Mijn naam is Vivian Chen. Op mijn vierendertigste had ik al acht jaar de leiding over de cybersecurity bij Caldwell Industries, een financieel technologiebedrijf dat jaarlijks miljarden aan transacties verwerkte.
Ik kom niet uit een rijk gezin.
Mijn ouders hadden een klein restaurant in Queens. Ik ben opgegroeid met het beeld van hen die zestien uur per dag werkten, elke klant als familie behandelden en weigerden concessies te doen, zelfs niet als de huur achterstallig was en de frituurpan op vrijdagavond kapot ging.
Ze leerden me dat uitmuntendheid niet om prestige draait.
Het ging om integriteit.
Die les heeft alles gevormd wat ik ben geworden. Het was de reden waarom ik nooit neerbuigend tegen junior ontwikkelaars sprak. Waarom ik tot laat bleef om stagiairs te begeleiden. Waarom ik de namen van het schoonmaakpersoneel onthield en naar hun kinderen vroeg.
Empathie en technische virtuositeit waren voor mij nooit tegenstellingen.
Mijn ouders bewezen dat elke dag in hun keuken, en ik nam die eigenschap mee naar elke serverruimte waar ik binnenkwam.
Toen ik bij Caldwell Industries begon, was de beveiliging van het bedrijf beschamend. Beheerderswachtwoorden waren met plakband op monitoren geplakt. Gedeelde accounts waren overal. Belangrijke systemen waren afhankelijk van geluk en weigering om toegang te krijgen.
Acht jaar later beschikten we over bedrijfsbrede encryptie, multifactorauthenticatie, realtime dreigingsdetectie en een beveiligingsclassificatie waar concurrenten zich ongemakkelijk bij voelden.
En nu had Brandon Caldwell het aan zijn zoon gegeven als een afscheidscadeau.
Ik ben die avond niet naar huis gegaan.
Ik ging naar een nachtrestaurant op drie blokken afstand van kantoor en bestelde koffie, iets wat ik normaal nooit doe. Mijn telefoon lag met het scherm naar boven op tafel.
Ik stond te wachten.
Het duurde zevenenveertig minuten.
Het eerste telefoontje kwam van Eric, een van mijn senior beveiligingsanalisten.
‘Vivian, wat is er aan de hand?’ vroeg hij. ‘Kyle is net opgedoken en heeft gezegd dat hij nu de baas is. Hij vraagt ??om al je beheerderswachtwoorden.’
Ik nam een ??slok koude koffie.
�Geef ze aan hem. Brandon heeft zijn keuze gemaakt.�
�Maar het incident��
�Dit is nu Kyles probleem. Je rapporteert aan hem. Volg zijn instructies op.�
Er viel een stilte.
« Vivian heeft ons gevraagd de quarantaineprotocollen uit te schakelen, omdat ze de netwerkprestaties vertragen. »
Mijn maag draaide zich om.
‘Hij wat?’
�Hij zegt dat het systeem overdreven reageert. Hij zegt dat de blootstelling niet zo ernstig is als we denken. Hij wil de volledige netwerktoegang herstellen om de bedrijfsactiviteiten te kunnen voortzetten.�
Die quarantaineprotocollen waren het enige dat voorkwam dat de situatie zich naar de back-upsystemen verspreidde. Ze waren als een dam die de vloedgolf tegenhield.
‘Eric,’ zei ik zachtjes, ‘ik werk daar niet meer. Je moet dit met je nieuwe baas bespreken.’
�Vivian, alsjeblieft.�
�Wat doet hij op dit moment?�
�Hij zit in de serverruimte met een laptop. Hij heeft zijn eigen apparatuur meegenomen. Hij zegt dat onze beveiliging verouderd is en dat hij de reactiesnelheid gaat verbeteren.�
Ik sloot mijn ogen.
Zijn eigen laptop.
Verbonden met het beveiligde netwerk.
Tijdens een actief incident.
�Eric, luister heel goed. Laat hem die quarantaineprotocollen niet uitschakelen. Zeg hem dat ze geautomatiseerd zijn en niet kunnen worden overruled.�
�Ik heb het geprobeerd. Hij zegt dat hij de overschrijvingsopdrachten in de documentatie heeft gevonden.�
Natuurlijk had hij dat gedaan.
Omdat ik alles goed heb gedocumenteerd.
Beste werkwijzen.
Ik had nooit gedacht dat die documenten door de zoon van een onervaren directeur gebruikt zouden worden om het enige dat het bedrijf beschermde, te ondermijnen.
‘Hoe lang duurt het voordat hij de override uitvoert?’ vroeg ik.
�Hij heeft nu de leiding.�
Ik hoorde een klikkend geluid door de telefoon.
Toen haalde Eric scherp adem.
‘Oh nee,’ fluisterde hij. ‘Vivian, de quarantaine is zojuist in alle sectoren opgeheven. We zien een uitbreiding naar back-upomgevingen. Het aantal besmettingen neemt toe. Tweehonderdveertigduizend per uur. Tweehonderdvijftigduizend. Het blijft stijgen.’
�Haal hem uit die kamer.�
�Hij wil niet naar me luisteren. Hij zegt dat het een gecontroleerde blootstelling is om alle getroffen systemen te identificeren.�
Tijdens een actieve crisis bestond er niet zoiets als gecontroleerde blootstelling. Dat was net zoiets als ramen openzetten tijdens een orkaan om de wind beter te kunnen voelen.
‘Geef hem de telefoon,’ zei ik.
Gedempte stemmen. Gerommel. Toen klonk Kyles stem, ge�rriteerd.
« Mevrouw Chen, ik waardeer uw bezorgdheid, maar ik heb dit onder controle. »
�Nee, dat doe je niet.�
�Mijn aanpak is agressiever dan die van jou. Soms moet je risico’s nemen.�
« Heb je de back-upsystemen blootgesteld om de reikwijdte in kaart te brengen? »
�Dat klopt.�
�Tijdens een actief beveiligingsincident bestaat er geen tijdelijke oplossing. Elk systeem dat je blootstelt, wordt een risico. Elke seconde dat de quarantaine niet werkt, kost geld ��
‘Ik weet wat ik doe,’ onderbrak hij. ‘Ik heb dit aan Stanford gestudeerd. Onze professoren leerden ons dat traditionele beveiliging te reactief is. Je moet proactief zijn. Aanpasbaar.’
‘Uw professoren gaven les in theorie,’ zei ik. ‘Dit is de realiteit. En in werkelijkheid hebt u van een probleem dat 120.000 dollar per uur kostte, een ramp gemaakt die het einde van het bedrijf inluidt.’
‘Ik denk dat je overreageert omdat je van streek bent door de overgang,’ zei hij. ‘Ik begrijp dat verandering moeilijk is, maar�’
Ik hing op voordat ik iets zei waar ik later spijt van zou krijgen.
Twaalf minuten later ging mijn telefoon weer.
Jennifer Walsh, vicepresident van de operationele afdeling.
‘Vivian,’ zei ze, ‘ik weet niet wat er aan de hand is, maar Kyle heeft net een e-mail naar alle afdelingshoofden gestuurd waarin hij zegt dat de veiligheidsdreiging overdreven was en dat we morgen gewoon doorwerken. Klopt dat?’
‘Dat zou ik niet weten,’ zei ik. ‘Ik ben zes uur geleden ontslagen.’
Stilte.
‘Je was wat?’
« Terwijl ik actief probeerde de situatie onder controle te krijgen, besloot Brandon dat zijn zoon beter geschikt zou zijn. »
‘Zijn zoon Kyle? De stagiair van twee zomers geleden die de printer niet aan de praat kreeg?’
