Toepasbaarheid van security innovaties verbeteren met tech-transfer project

Wat is PSCI en hoe ziet jouw rol binnen PCSI eruit ?

Het Partnership for Cyber Security Innovation (PCSI) is een publiek-private samenwerking die een essentiële rol speelt in een veilige en veerkrachtige digitale samenleving door innovatie op het gebied van cybersecurity. De kernpartners van PCSI zijn ABN AMRO, Achmea, ASML, Belastingdienst, ING en TNO. Daarnaast hebben we een ecosysteem van ‘liaison partners’ opgebouwd, organisaties die geïnteresseerd zijn in de resultaten van PCSI en die in specifieke projecten betrokken kunnen worden. Als PCSI-partners bundelen we onze krachten in het ontwikkelen van toepasbare en innovatieve cybersecurity-oplossingen waarmee bedrijven en organisaties in de Nederlandse samenleving zich kunnen beschermen tegen de cyberaanvallen van morgen.

Ik ben sinds 2006 werkzaam bij TNO, in totaal heb ik bijna 30 jaar gewerkt aan informatiebeveiliging en cybersecurity bij verschillende bedrijven. Ik heb me altijd vooral op innovatie gericht en dat doe ik binnen TNO ook, op het gebied van cybersecurity. Mijn rol is vooral het initiëren en sturen van grotere innovatie projecten, onder andere ook door de EU gesubsidieerde projecten zoals SOCCRATES. Ik heb hiervoor binnen TNO de ‘Orchestrating Innovation’ training gedaan. Ik ben een van de aanstichters van het PCSI-programma en zijn voorganger, het Shared Research Programma Cyber Security (SRP, 2014-2020), geweest. Het SRP had vooral een focus op de financiële factor. We zijn in 2020 gestart met het PCSI, waarin we meer naar buiten treden en ook ons wat breder, cross sectoraal, inzetten. Onlangs is besloten het PCSI-programma met nog eens drie jaar te verlengen. Dat besluit komt voort uit het succes van de afgelopen jaren. We zijn de laatste drie jaar, onder meer door het aansluiten van ASML en de Belastingdienst, uitgegroeid tot een echte sector overstijgende cybersecurity innovatiesamenwerking. Binnen het PCSI heb ik vooral de programmamanagement rol, buiten het PCSI ben ik ook inhoudelijk betrokken bij wat kleinere projecten.

Hoe gaan jullie te werk?

Het PCSI richt zich op toegepast innovatief onderzoek, een aantal lange termijn ontwikkelingsprojecten en het delen van kennis. De daadwerkelijke innovatie vindt plaats in parallelle projecten. Deze projecten doorlopen een kort cyclisch innovatieproces en worden bemenst door experts van alle PCSI-partners. Dit PCSI-innovatieproces bestaat uit vier fases van vier maanden. Met behulp van de PCSI Security Radar – dat een overzicht geeft van actuele trends die relevant zijn voor PCSI-partners – worden elke vier maanden twee of drie onderwerpen gekozen. Voor elk onderwerp wordt een ideation sessie (gefaciliteerde brainstorm) georganiseerd met experts van alle kernpartners. In groepjes wordt innovatieve ideeën ontwikkeld om de problemen en/of uitdagingen rond het onderwerp aan te pakken, deze ideeën worden vervolgens gepitcht aan een ‘Dragon’s Den’. Ideation, het ontwikkelen van de pitch en het pitchen gebeurt allemaal op één dag, in een fysieke meeting. Als de Dragons de pitch veelbelovend vinden wordt er een project gestart dat bestaat uit vier fases: Explore, Proof of Concept, Pilot en  Exploit. Na elke fase vindt een ‘go/ no-go’ beslissing plaats waarin wordt bepaald of de plannen nog haalbaar en waardevol zijn. Deze manier van werken zorgt ervoor dat we onderwerpen aanpakken die relevant zijn voor alle PCSI-partners en helpt om gefocust te blijven en continu te beoordelen of een project nog relevant is. De uitkomsten van de innovatieprojecten kunnen bijvoorbeeld methodologieën, tools, software, concepten of nieuwe gedefinieerde rollen zijn. Tijdens de eerste PCSI-periode (2020-2023) zagen we echter dat het moeilijk is om de projectresultaten daadwerkelijk toe te passen en te gebruiken. Er zit een zogenaamd ‘tech-transfer gap’ tussen innovatie en het daadwerkelijke toepassing van het resultaat in de praktijk. Om deze overdrachtskloof te dichten voeren we het zogenaamde PCSI tech-transfer project uit, in opdracht van en gefinancierd door het Ministerie van Economische Zaken en Klimaat. Het gaat overigens echt niet alleen maar om het resultaat. De samenwerking in het PCSI bevat tevens een sterke menscomponent, want ook de ontwikkeling van competentievaardigheden van de teamleden is belangrijk.

Wat levert het tech-transfer project op?

Binnen het project hebben we middels literatuuronderzoek informatie verzameld over het naar de markt brengen van (security) innovaties. Dat hebben we gecombineerd met interviews en workshops met relevante stakeholders. Dit heeft geleid tot een aantal ideeën om onze werkwijze aan te passen om beter toegerust te zijn om de kloof op het gebied van technologieoverdracht te overbruggen. Het zijn te veel ideeën om allemaal in een keer te implementeren. We hebben er vier hoofdthema’s uitgehaald, waar we mee aan de slag gaan: 1) categoriseren van projecten na de Explore-fase naar potentie en impact; 2) innovatie afstemmen op zakelijke drijfveren; 3) commitment van kernpartners en alle bestuursniveaus binnen PCSI en 4) verbeterde voorbereiding en ondersteuning van tech-transfer.

We hebben onze bevindingen beschreven in het rapport ‘PCSI tech-transfer’. Nog voor de zomer zullen ook we een tweede rapport uitbrengen, waarin de PCSI-resultaten worden vertaald naar bredere toepassingen en we omschrijven welke lessen we uit ons onderzoek kunnen trekken over het cyber security innovatie klimaat in Nederland.

Wat zijn de grootste uitdagingen en hoe gaan jullie hiermee om?

De grootste uitdaging is ervoor zorgen dat we met onze innovaties de vragen adresseren die spelen in het veld. Vervolgens is het zaak met het eindproduct van je innovatietraject een plek te veroveren. Daarbij komt dat grote partijen niet voor elk probleem een losse tool willen hebben. We werken nu aan kleinere problemen met kleine leveranciers. Voor onze kernpartners zou het dus aantrekkelijk zijn om de ontwikkelde tools te combineren en in een groot platform te integreren. We zullen ook onszelf moeten blijven ontwikkelen. Het tech-transfer project is daar een mooi voorbeeld van, het helpt ons onze werkwijze te verbeteren. Daarnaast zijn we bijvoorbeeld de Security Radar, die we gebruiken voor het selecteren van onderwerpen voor de cyclische innovatieprojecten, binnen een innovatieproject aan het automatiseren zodat het actuelere trends laat zien.

Voorbeelden van veelbelovende projecten

Security Behaviour Coach: Security awareness is een flinke uitdaging, initiatieven om medewerkers meer veiligheidsbewust te maken werken vaak niet goed. In een project is de haalbaarheid van een nieuwe security rol onderzocht: de Security Behaviour Coach. Iemand die kijkt naar menselijk gedrag in bedrijfsprocessen en hoe de processen zo aangepast kunnen worden dat beveiligingsincidenten kunnen worden verminderd. De rol is gedefinieerd en binnen een pilot bij een PCSI-partner getest. Vervolgens heeft liaison partner Security Academy er een training voor ontwikkeld. Een voorbeeld van succesvolle tech-transfer!

AIwareness: Gerichte phishing op werknemers is een zorgwekkende dreiging. De afgelopen jaren hebben PCSI-partners verschillende machine learning-technologieën ontwikkeld voor het detecteren van gerichte phishing op werknemers. In dit project is een systeem ontwikkeld waarin de medewerker, de SOC-analist (Security Operations Center) en de detectiecapaciteiten allemaal samenkomen in een positieve feedbackloop. Dit systeem is getest bij twintig werknemers van een PCSI-partner en wordt verder getest in een grotere pilot met liaison partner HoxHunt.