Hoe voorkom je het onverwachte?

De afgelopen maanden was het niet alleen druk met cyberincidenten, maar ook fysieke incidenten houden de gemoederen bezig. Tijd dus voor een interview met Jan van Twillert, expert in Security Profiling en docent van de opleiding Certified Security Profiler. Jan is eigenaar van OrcaSecure en momenteel werkzaam als beveiligingsadviseur bij de Tweede Kamer voor het project Renovatie Binnenhof.

Wat vind Jan nu bijvoorbeeld van deze recente voorbeelden:

Overval op Tefaf beurs

“Het is nog steeds een raadsel hoe vier keurig geklede mannen, gewapend met een sloophamer en waarschijnlijk vuurwapens, op klaarlichte dag juwelen roofden op een kunstbeurs in Maastricht”

Twee tbs’ers ontsnapt uit de kliniek van de Pompestichting in Nijmegen

“De ontsnapping ging zo snel dat ingrijpen niet meer mogelijk was”.

Gewapende overval op casino Oudenbosch

“tweede keer in drie maanden”

Zonder op een specifieke zaak concreet in te gaan, zien we in de praktijk dat indien een dadertype zover is dat hij of zij tot daadwerkelijke uitvoering van de daad over gaat, men in 90% van de gevallen succesvol is. Met andere worden, de beveiliging was in 90% van de gevallen niet in staat om aan zijn doelstelling: het voorkomen van incidenten, te voldoen.
Een Security Profiler verdiept zich in de voorbereidende handelingen van de tegenstander. Hoe krijgt hij of zij antwoord op de talloze vragen voordat men zover is dat tot uitvoering overgegaan kan worden. We kunnen vandaag bedenken dat we een bank gaan overvallen, maar we gaan dat morgen niet doen, simpelweg omdat er nog heel veel voorbereiding nodig is, om tijdens de uitvoering succesvol te zijn.

Tijdens de voorbereiding hebben wij de kans om onze tegenstander te “dwingen” tot het besluit om niet tot uitvoering over te gaan!

En kun je leren hoe je in de voorbereidingsfase die kans pakt? Zit dat in de opleiding Certified Security Profiler?

De opleiding CSP gaat kort gezegd over Integraal Proactief Security Risicomanagement. Met integraal wordt hier bedoeld hoe de 3 poorten, waardoor een tegenstander organisatie belangen negatief kan beïnvloeden, te beheersen. Proactief Security volgens de Israëlische methode, gericht op voorbereidende handelingen van een dadertype en Risicomanagement volgens de Bowtie methode waardoor effectiviteit van getroffen en te treffen maatregelen wordt aangetoond.

Tijdens de opleiding wordt voornamelijk aandacht besteed aan de randvoorwaarden die benodigd zijn voor een succesvolle implementatie van deze effectieve manier van beveiligen.

Als docent voor de Certified Security Profiler cursus moet je aan een aantal dingen voldoen, waaronder 5 jaar ervaring binnen een “highrisk” omgeving. Kan je uitleggen wat dit inhoud?

Ik heb vanuit een opdracht bij een high risk organisatie, 12 jaar geleden, voor het eerst kennis gemaakt met deze methodiek. We zijn met deze kennis het implementatietraject ingegaan, wat ongeveer 4 jaar heeft geduurd. Dit kwam voornamelijk omdat we geen idee hadden hoe we de transitie van reactief naar proactief beveiligen handen en voeten moesten geven en wat de randvoorwaarden voor succes waren. Met deze ervaring en vervolgopdrachten bij andere bedrijven, is deze opleiding zeer praktisch gericht en worden veel van mijn ervaringen met de cursisten gedeeld.

Wat vind je zelf de meest interessante module van CSP?
De leukste dag is de dag die gaat over Red Teaming. Tijdens deze module worden de cursisten in de rol van de tegenstander geplaats en krijgen ze een opdracht waarvoor ze zelfstandig de werkwijze mogen bedenken om de opdracht te vervullen.
In de middag mogen de cursisten hetgeen ze hebben bedacht in de praktijk uitproberen of het werkt. Hiervoor komt onze professionele trainingsactrice die dan het tegenspel verzorgd. De ervaring die de cursisten die dag meekrijgen, praten ze jaren later nog over.

Kun je een voorbeeld geven van hoe het praktische examen eruit ziet?
Als de cursist geslaagd is voor het theorie examen, en tot CSP gecertificeerd wil worden, moet ook het praktijkdiploma worden behaald.
De cursist krijgt een praktijkopdracht, die bestaat uit het in de praktijk brengen van de opgedane kennis.
De wijze waarop de opdracht is vervuld, wordt in een scriptie vastgelegd. Deze dient te worden verdedigd tijdens een mondeling examen voor twee examinatoren.
Voor het vervullen van de opdracht biedt OrcaSecure in samenwerking met de Security Academy een praktijk begeleiding aan, wat bestaat uit 5 bijeenkomsten met een tussentijd van 4 weken, waarbij stap voor stap de opdracht wordt vervuld.

Wanneer geef je deze cursus bij de Security Academy?
Op 26 september starten we weer met een nieuwe groep. 1 dag per week, zodat de stof goed beklijft. Er is nog plaats, dus ik zou zeggen: schrijf je in!