Steeds vaker zien we IT-leveranciers met Assurance verklaringen of ISO-certificaten. Gelukkig maar, want ik las laatst dat één op de vijf Nederlandse Organisaties niet goed is voorbereid op een ransomeware-aanval. Nu sluit niets in absolute zin het risico van een dergelijk succesvolle aanval uit, maar ik vermoed toch dat organisaties die een dergelijke objectieve waarborg hebben wellicht toch een minder groot risico lopen. Maar wat zeggen deze Assurance verklaringen en ISO-certificaten nu precies?

Zonder de illusie te hebben hier volledig te zijn, zal ik toch een aantal belangrijke verschillen benoemen waardoor je beter in staat bent te beoordelen wat voor jou relevant is. Allereerst is een ISO-certificaat er primair op gericht de organisatie op een gestructureerde wijze voortdurend te verbeteren. Dit is natuur-lijk heel goed, maar is wellicht niet voldoende als je wilt weten of de voor jouw organisatie relevante risico’s dankzij goede maatregelen ook daadwekelijk slechts een zeer kleine kans op daadwerkelijk manifesteren hebben. Dit is juist de doelstelling van een Assurance verklaring.

Van een Assurance verklaring bestaan er meerdere soorten. Voor IT-leveranciers zijn de zogenoemde ‘3402-verklaring’ en de SOC II/III verklaring’ de meest relevante. Hiervan is de SOC II/III eigenlijk de best passende voor IT-leveranciers. Je kunt hiermee namelijk op Vertrouwelijkheid, Integriteit van Processen, Beschikbaarheid en Security zekerheid geven. Daarbij onderkennen we dan weer twee varianten; een zogenoemd type I waarbij naar documentatie en eenmaal naar het bestaan wordt gekeken (zoals ook bij een ISO-audit) en een type II waarbij ook wordt getoetst of de maatregelen die de risico’s moeten voorkomen over een langere periode aantoonbaar gewerkt hebben.

Ik adviseer aan alle IT-leveranciers dus een SOC II/III verklaring en hoop dat alle organisaties die kiezen voor een IT-leverancier, kiezen voor een leverancier met een dergelijke verklaring!

Ben je benieuwd naar het magazine van Noord-Limburg Business? Kijk dan op deze link!

Met autorisatiemanagement bedoelen we het toewijzen van rechten en bevoegdheden binnen de IT-systemen (applicaties maar ook netwerk en infrastructuur). Een goede inrichting van autorisaties (need-to-have/need-to-know) is ook voor het verkleinen van de kans op een negatieve impact van bijvoorbeeld een hack, uitermate belangrijk. Hackers proberen vooral de inlogcredentials van functionarissen met ruimere bevoegdheden te achterhalen. Idealiter van ‘administrators’. Als dit lukt, kunnen ze namelijk veelal zichzelf als gebruiker aanmaken en gaan er vaak pas laat alarmbellen af (als dat al gebeurt).

Toch besteden wij in verhouding best veel tijd aan het overtuigen van onze klanten dat te veel mensen te veel bevoegdheden hebben. In de praktijk kan het namelijk zeer onpraktisch zijn wanneer een medewerker niet altijd toegang heeft. Ondanks dat dit soms maar één of twee keer per jaar nodig is. Dat is toch ook ‘need to have’ wordt dan weleens gezegd Een dergelijk beperkte noodzakelijke toegang is echter geen ‘need to have’. Vuistregel is dat er één reservefunctionaris moet zijn en dan nog één achtervang welke via een tijdelijke toegang in vakanties en dergelijke kan invallen.

Wellicht wordt dit probleem in de toekomst minder. Er zijn al diverse technische alternatieven waaronder PAM, dat staat voor ‘Privileged Access Management’. Met deze technologie krijgen gebruikers alleen toegang met een encrypted user-ID en wachtwoord wanneer er een directe gebeurtenis is, waar zij vanuit hun functie op moeten acteren én ze op dat moment ook aan het werk zijn.

Ik wens iedereen een snelle (pim) PAM (pet) toe!

Ben je benieuwd naar het magazine van Noord-Limburg Business? Kijk dan op deze link!