💻 computer science

SECAdvisor: a Tool for Cybersecurity Planning using Economic Models

Dit artikel introduceert SECAdvisor, een hulpmiddel dat bedrijven ondersteunt bij het plannen van cyberbeveiliging door technische en economische modellen te combineren om risico's te waarderen, de optimale investering te berekenen en kostenefficiënte beveiligingsoplossingen aan te bevelen.

Oorspronkelijke auteurs: Muriel Figueredo Franco, Christian Omlin, Oliver Kamer, Eder John Scheid, Burkhard Stiller

Gepubliceerd 2026-04-17

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Muriel Figueredo Franco, Christian Omlin, Oliver Kamer, Eder John Scheid, Burkhard Stiller

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je eigenaar bent van een winkel. Je wilt je winkel beschermen tegen dieven, maar je hebt een beperkt budget. Als je alles dichttimmert met zware sloten en bewakers, ben je je winst kwijt. Als je niets doet, word je misschien beroofd. De grote vraag is: Hoeveel geld moet je precies uitgeven om veilig te zijn, zonder je failliet te maken?

Dit is precies het probleem waar veel bedrijven mee worstelen, vooral kleine en middelgrote bedrijven. Ze weten dat ze veilig moeten zijn, maar ze weten niet hoeveel ze moeten investeren.

Hier komt SECAdvisor om de hoek kijken. Het is een slim computerprogramma dat helpt om deze beslissing te nemen, gebaseerd op economische logica in plaats van alleen maar "gevoel".

Hier is hoe het werkt, vertaald in alledaagse taal:

1. Het Probleem: Niet alles is even waardevol

Stel je voor dat je een huis hebt. Je hebt een dure schilderij in de woonkamer en een oude krant in de schuur.

Als je de schuur inbrandt, is dat vervelend, maar niet dodelijk.
Als iemand je schilderij steelt, is dat een ramp.

Veel bedrijven doen hetzelfde: ze proberen alles even goed te beveiligen. Maar SECAdvisor zegt: "Nee, kijk eens goed." Het helpt je om je bedrijf op te delen in verschillende stukken (zoals de "Woonkamer" en de "Schuur"). In de software noemen ze dit segmenten.

Voorbeeld: Je klantendatabase is je "dure schilderij". Je interne e-mailserver is misschien meer de "oude krant".

2. De Rekenmachine: De "Gordon-Loeb" Formule

Het hart van SECAdvisor is een wiskundig model (het Gordon-Loeb-model) dat als een slimme adviseur werkt. Het stelt zich de volgende vragen voor elk stukje van je bedrijf:

Hoeveel geld kost het als dit stukje gestolen of kapot gaat?
Hoe groot is de kans dat er een dief komt?
Hoeveel geld kost het om dat stukje te beveiligen?

Het programma doet dan een verrassende ontdekking: Je hoeft nooit meer dan ongeveer 37% van de mogelijke schade uit te geven aan beveiliging.

De analogie: Als je schilderij €10.000 waard is, is het niet slim om €9.000 uit te geven aan een slot. Als je dat doet, ben je al bijna failliet voordat de dief ook maar iets heeft gestolen. De "optimale" investering is vaak veel lager dan je denkt, maar precies genoeg om het risico te verkleinen.

3. De Adviseur: "Is dit een goede koop?"

Nadat het programma heeft uitgerekend hoeveel je moet uitgeven, helpt het je om te kiezen wat je koopt.
Stel, je hebt een budget van €1.000 voor je klantendatabase. Er zijn twee opties:

Optie A: Een duur antivirusprogramma dat 90% van de virussen stopt.
Optie B: Een goedkoper programma dat 40% stopt.

SECAdvisor gebruikt een maatstaf genaamd ROSI (Return On Security Investment). Dit is net als kijken naar de winst van een investering, maar dan in termen van voorkomen verlies.

Het programma rekent uit: "Als je Optie A koopt, voorkom je €5.000 schade voor €1.000. Dat is een goede deal!"
"Als je Optie B koopt, voorkom je maar €200 schade voor €1.000. Dat is een slechte deal!"

Zo helpt het je om te kiezen voor de beveiliging die het meeste "veiligheidsgeld" oplevert.

4. Waarom is dit zo belangrijk?

Veel bedrijven denken: "Beveiliging is te duur" of "We weten niet waar we moeten beginnen".

Voor kleine bedrijven: Ze hebben vaak geen dure beveiligingsexperts in dienst. SECAdvisor fungeert als die expert die gratis advies geeft.
Voor iedereen: Het maakt het abstracte concept "cyberveiligheid" tastbaar in euro's en centen. Het maakt het minder eng en meer een logische zakelijke beslissing.

5. Werkt het echt?

De makers van het programma hebben het getest met echte mensen, van studenten tot consultants.

Resultaat: De mensen vonden het programma makkelijk te gebruiken (zoals een goede app op je telefoon).
Opleiding: Het werd gebruikt in cursussen om mensen te leren hoe ze veiligheidsplannen kunnen maken zonder in de wiskunde te verdwalen.

Samenvatting

SECAdvisor is als een slimme navigatie voor je zakelijke portemonnee. In plaats van blindelings geld uit te geven aan sloten en alarmen, helpt het je om:

Te zien wat echt waardevol is.
Te berekenen wat de perfecte hoeveelheid beveiliging is (niet te weinig, niet te veel).
De beste beveiligingsproducten te kiezen die je geld waard zijn.

Het zorgt ervoor dat bedrijven veilig kunnen slapen, zonder dat ze wakker worden van een lege rekening.

Probleemstelling

Cybersecurityplanning is een complexe uitdaging voor gedigitaliseerde bedrijven, met name voor Kleine en Middelgrote Ondernemingen (KMO's). De kernproblemen zijn:

Overspendering vs. Onderspendering: Bedrijven worstelen om een evenwicht te vinden tussen adequate bescherming en het vermijden van overmatige uitgaven.
Gebrek aan economisch inzicht: Veel bedrijven missen de juiste investeringen of hebben perverse economische prikkels, wat leidt tot succesvolle cyberaanvallen met aanzienlijke directe (bedrijfsstoring) en indirecte (reputatieschade, juridische boetes) verliezen.
Complexiteit van modellen: Bestaande economische modellen, zoals het Gordon-Loeb (GL) model, zijn theoretisch sterk maar moeilijk toe te passen voor niet-technische gebruikers of zonder specifieke expertise. Er ontbreekt een intuïtief hulpmiddel dat technische risico's koppelt aan economische optimalisatie.

Methodologie

Het artikel introduceert SECAdvisor, een open-source, visueel hulpmiddel dat cybersecurityplanning ondersteunt door economische modellen toe te passen. De methodologie is gebaseerd op drie pijlers:

Economische Modellen:
- Gordon-Loeb (GL) Model: Dit model bepaalt het optimale investeringsniveau in cybersecurity. Het stelt dat een bedrijf niet noodzakelijk moet investeren in de meest kwetsbare systemen, maar zich moet richten op systemen met een gemiddeld kwetsbaarheidsniveau waar de kosten-batenverhouding optimaal is. Een cruciale bevinding is dat de optimale investering zelden meer dan 37% ( $1/e$ ) van het verwachte verlies bedraagt.
- Informatie-segmentatie: Het GL-model wordt uitgebreid om rekening te houden met verschillende informatie-segmenten (bijv. databases, netwerken) binnen een bedrijf. De investering wordt per segment berekend op basis van de waarde ( $L$ ) en het kwetsbaarheidsprofiel ( $v$ ) van dat specifieke segment.
- Return On Security Investment (ROSI): Deze metriek wordt gebruikt om de kosteneffectiviteit van specifieke beveiligingsoplossingen te beoordelen. Een ROSI $\ge$ 1 geeft aan dat de oplossing kosteneffectief is (de voorkomen verliezen zijn groter dan de kosten van de oplossing).
Architectuur van SECAdvisor:
Het hulpmiddel bestaat uit drie lagen:
- Segment Layer: Beheert informatie-segmenten, schat de waarde en het risico in, en berekent de optimale investering per segment via het GL-model.
- Recommendation Layer: Gebruikt een externe aanbevelingsengine (MENTOR) om beveiligingsoplossingen te selecteren die passen bij het budget en de eisen.
- Data Layer: Slaat bedrijfsprofielen, segmentgegevens, configuraties en berekeningen op in een MongoDB-database.
Implementatie:
- Tech-stack: Gebouwd met AngularJS (frontend) en NestJS (backend), met MongoDB als database.
- Berekeningen: Gebruikt de bibliotheek nerdamer voor complexe wiskundige berekeningen die standaard in JavaScript ontbreken.
- Integratie: communiceert via RESTful API met de MENTOR-engine voor beveiligingsaanbevelingen.

Belangrijkste Bijdragen

Eerste van zijn soort: SECAdvisor is het eerste open-source, visuele hulpmiddel dat het GL-model en informatie-segmentatie integreert in een gebruiksvriendelijke interface voor cybersecurityplanning.
Geautomatiseerde Optimalisatie: Het tool stelt gebruikers in staat om de optimale investering per segment te berekenen en visualiseert het "Expected Net Benefit of Investment in Information Security" (ENBIS).
Kosteneffectiviteitsvergelijking: Het berekent automatisch de ROSI voor voorgestelde beveiligingsoplossingen, waardoor bedrijven kunnen kiezen tussen opties op basis van economische efficiëntie.
Aanpasbaarheid: Gebruikers kunnen de "Breach Probability Function" (BPF) aanpassen aan hun specifieke bedrijfsrealiteit of sector, hoewel er standaardwaarden zijn gebaseerd op bestaand onderzoek.
Ondersteuning voor Training: Het hulpmiddel is specifiek ontworpen om ook te dienen als educatief instrument voor studenten en consultants.

Resultaten en Evaluatie

De evaluatie van SECAdvisor omvatte een gebruikstest (usability) en praktijktoepassingen in educatieve settings:

Gebruikstest (Usability):
- Deelnemers: 13 personen met een technische achtergrond (van bachelor tot doctoraat).
- Opdrachten: Deelnemers moesten taken uitvoeren zoals het configureren van segmenten, het berekenen van optimale investeringen en het selecteren van de beste beveiliging op basis van ROSI.
- Succespercentages: Het algemene succespercentage lag op 87,2%.
  - Basisopdrachten (zoals het vinden van kwetsbaarheden en verwachte verliezen) hadden een succesrate van 92-100%.
  - Complexere taken (zoals het aanpassen van de BPF) hadden een lagere succesrate (69,2%), wat logisch is gezien de technische complexiteit.
- SUS-score: De System Usability Scale (SUS) score was 82,1, wat als "uitstekend" wordt beschouwd (alles boven de 70 is goed). Dit bevestigt dat het hulpmiddel intuïtief is, zelfs voor complexe economische berekeningen.
Praktische Toepassingen:
- Het hulpmiddel werd succesvol gebruikt in cursussen zoals "Becoming a Cybersecurity Consultant" (360 deelnemers) en bij masterstudenten aan de Universiteit van Zürich.
- Deelnemers konden concepten als GL en ROSI direct toepassen in realistische scenario's, wat de bruikbaarheid voor zowel onderwijs als industrie onderstreept.

Betekenis en Conclusie

SECAdvisor vult een kritieke lacune in de cybersecuritymarkt door de kloof tussen technische beveiliging en economische besluitvorming te overbruggen.

Voor KMO's: Het biedt een gestructureerde, kosteneffectieve manier om beveiligingsbudgetten te plannen zonder in te leveren op veiligheid, wat essentieel is voor bedrijven met beperkte middelen.
Strategisch Inzicht: Het helpt organisaties te begrijpen dat perfecte beveiliging economisch onhaalbaar is en dat de focus moet liggen op het minimaliseren van verliezen binnen een bepaald budget.
Toekomstperspectief: De auteurs plannen verdere evaluaties met industriële data, het gebruik van Monte Carlo-simulaties voor risicoanalyse, en de integratie van AI om waarden en risico's automatisch te infereren.

Samenvattend biedt SECAdvisor een robuust, wetenschappelijk onderbouwd maar toegankelijk framework om cybersecurityinvesteringen te optimaliseren, waardoor bedrijven beter beschermd zijn tegen cyberdreigingen zonder hun financiële gezondheid te schaden.