Steeds vaker zien we IT-leveranciers met Assurance verklaringen of ISO-certificaten. Gelukkig maar, want ik las laatst dat één op de vijf Nederlandse Organisaties niet goed is voorbereid op een ransomeware-aanval. Nu sluit niets in absolute zin het risico van een dergelijk succesvolle aanval uit, maar ik vermoed toch dat organisaties die een dergelijke objectieve waarborg hebben wellicht toch een minder groot risico lopen. Maar wat zeggen deze Assurance verklaringen en ISO-certificaten nu precies?

Zonder de illusie te hebben hier volledig te zijn, zal ik toch een aantal belangrijke verschillen benoemen waardoor je beter in staat bent te beoordelen wat voor jou relevant is. Allereerst is een ISO-certificaat er primair op gericht de organisatie op een gestructureerde wijze voortdurend te verbeteren. Dit is natuur-lijk heel goed, maar is wellicht niet voldoende als je wilt weten of de voor jouw organisatie relevante risico’s dankzij goede maatregelen ook daadwekelijk slechts een zeer kleine kans op daadwerkelijk manifesteren hebben. Dit is juist de doelstelling van een Assurance verklaring.

Van een Assurance verklaring bestaan er meerdere soorten. Voor IT-leveranciers zijn de zogenoemde ‘3402-verklaring’ en de SOC II/III verklaring’ de meest relevante. Hiervan is de SOC II/III eigenlijk de best passende voor IT-leveranciers. Je kunt hiermee namelijk op Vertrouwelijkheid, Integriteit van Processen, Beschikbaarheid en Security zekerheid geven. Daarbij onderkennen we dan weer twee varianten; een zogenoemd type I waarbij naar documentatie en eenmaal naar het bestaan wordt gekeken (zoals ook bij een ISO-audit) en een type II waarbij ook wordt getoetst of de maatregelen die de risico’s moeten voorkomen over een langere periode aantoonbaar gewerkt hebben.

Ik adviseer aan alle IT-leveranciers dus een SOC II/III verklaring en hoop dat alle organisaties die kiezen voor een IT-leverancier, kiezen voor een leverancier met een dergelijke verklaring!

Ben je benieuwd naar het magazine van Noord-Limburg Business? Kijk dan op deze link!

Om te weten of je als organisatie goed bent beschermd tegen digitale aanvallen van buitenaf (‘hacks’) is het verstandig om je bescherming periodiek te laten testen. Dit kan bijvoorbeeld door een vulnerability scan te laten uitvoeren of een penetratietest (ook wel ‘pentest’). Er zijn veel aanbieders van dergelijke testen, maar waar moet je nu op letten? Wanneer heb je bijvoorbeeld een pentest laten uitvoeren waar je enige zekerheid uit mag halen?

Er wordt vaak gesproken in de volgende soorten van pentesten:

Audittypen:
Black Box: de auditor heeft geen kennis van het systeem, behalve naam, IP-nummer etc. van de testomgeving. De tester moet als buitenstaander het interne systeem benaderen en technieken toepassen die een echte hacker ook zou gebruiken.

Grey box: de auditor beschikt over een login en voorkennis van de te testen systemen en kent de resultaten van de black box. Hij heeft geen login van de beheerders. Hiermee wordt onder andere geprobeerd hogere privileges te behartigen.

White box/Crystal box: de auditor heeft volledige voorkennis van de omgeving. Het voordeel daarvan is dat hij zo de gevonden kwetsbaarheden kan valideren en nadere verdieping kan aanbrengen (dit wordt soms ook wel een ‘vulnerability scan’ genoemd).

Vervolgens wordt met auditniveaus de diepgang van de pentest aangeduid:

Auditniveaus:
Niveau 1 (basisbedreigingen test): deze test simuleert een eenvoudige aanval meestal met behulp van gratis beschikbare tools.

Niveau 2 (opportunistische bedreigingtest): deze gaat uit van een ervaren hacker die op een eenvoudige, maar gerichte wijze met automatische en handmatige middelen aanvallen uitvoert op willekeurige systemen.

Niveau 3 (doelgerichte bedreigingentest): deze test simuleert een doelgerichte aanval op systemen door een ervaren hacker. Dit is de meest gekozen diepgang voor onder andere penetratietesten.

Niveau 4 (geavanceerde bedreigingentest): deze test simuleert een aanval door een zeer ervaren hacker met uitgebreide middelen en mogelijkheden.

De audits worden normaliter in fasen uitgevoerd. Meestal wordt gestart met een voorbereiding om een beeld te krijgen van de netwerken en apparaten, etc. Vervolgens vinden de meer specifieke toetsen plaats. Hierbij dient te worden uitgegaan van o.a. de ISO 27001 en de ISO 18028 (standaard voor netwerkbeveiliging), conform de PTES (Penetration Testing Execution Standard). Webapplicaties dienen getest te worden op kwetsbaarheden die zijn opgenomen in de OWASP- en WASC-TC standaarden, waaronder ‘SQL-injection’, ‘cross-site-scripting’ en configuratiefouten in de website. Er wordt normaliter getest op ten minste 300 mogelijke kwetsbaarheden.

Simpele vuistregel is dat de kwaliteit van een pentest sterk wordt beïnvloed door de duur van de test (over welke periode mag de test worden uitgevoerd) en welke software-tools de pentester gebruikt (‘hoe meer’ is in dit geval vaak ook ‘hoe beter’).

Nu je wat meer zicht hebt op de wijze waarop je een pentest kunt vormgeven, ben je wellicht ook beter in staat je af te vragen wat jij voor je organisatie nodig hebt en wat dus wanneer bij jouw behoefte aan zekerheid past!

Ben je benieuwd naar het magazine van Noord-Limburg Business? Kijk dan op deze link!

Verwarring en te weinig. Dat zijn mischien wel de juiste woorden om de situatie te beschrijven waar we op dit moment nog met z’n allen in zitten. Er was te weinig beademingsapparatuur, te weinig mondkapjes, te weinig mensen die tijdig konden prikken, te weinig vaccinaties en ook te weinig goede beveiliging van onze digitaal opgeslagen (test)informatie. Hierdoor ontstond verwarring: bij de mensen in de zorg, bij de mensen in de handhaving, bij rechters en advocaten en bij heel veel mensen zoals jij en ik. Wellicht veroorzaakt door te weinig ervaring van te veel mensen binnen de verschrikkelijke situatie van dit moment.

Er zijn meer organisaties die een belangrijk ‘leermomentje’ hadden zoals de GGD en Gemeente Hof van Twente. Ook kreeg een ziekenhuis weer een boete van de Autoriteit Persoonsgegevens omdat te veel mensen te veel toegang hadden, net als een retailonderneming in Duitsland die van haar privacy-toezichthouder een miljoenenboete ontving. Het resultaat van te weinig maatregelen en te weinig ervaring is hier verwarring én financiële schade.

Dit zijn allemaal op zichzelf staande gebeurtenissen. Maar wel met een belangrijke overeenkomst; het was voor al deze mensen bij al deze organisaties de eerste keer. Maar accepteren dat iets niet goed is gegaan omdat ‘het de eerste keer’ is, is naar mijn mening vandaag de dag steeds gevaarlijker. De dynamiek waarin we leven, zorgt er nu eenmaal voor dat iedereen van ons wellicht zeer regelmatig ‘een eerste keertje’ heeft. Dat geeft het leven ook wel een beetje jus. Maar het ongehinderd kunnen leren van ‘een eerste keertje’, wordt tegenwoordig steeds lastiger. We knopen alles digitaal aan elkaar, iedereen kan vrijwel direct alles van iedereen volgen en de belangen worden vaak steeds groter. Een explosief mengsel waarbij soms een relatief klein foutje maken steeds vaker serieuzere consequenties tot gevolg heeft.

Maar dat is toch vaak de realiteit, zul je misschien wel zeggen. Als iets ons voor de eerste keer overkomt, kán het toch niet anders dan dat we daar meer van zullen leren dan wanneer we het al meerdere malen hebben ervaren? Eens, maar er is wel iets wat in de buurt komt. Veel organisatie hebben procedures, regels en richtlijnen over hoe te handelen in een dergelijke en uitzonderlijke, maar impactvolle situatie. Of ze zouden deze naar mijn mening in passende vorm moeten hebben. Vaak worden deze opgesteld door specialisten en verdwijnen ze in de digitale la. Op het moment dat deze dan toegepast dienen te worden, is het voor velen de eerste keer. De eerste leerervaring is bovendien direct tijdens een wellicht directe bedreiging van het bedrijf. Niet de meest ideale situatie zul je begrijpen.

Wij proberen onze klanten steeds meer bewust te maken van een – in ieder geval gedeeltelijke – oplossing voor deze ‘onervarenheid’: de Spelsimulatie. Door een ‘spel’ te spelen dat voldoende dicht bij de realiteit komt, leer je in een gecontroleerde omgeving hoe een procedure werkt, maar ook hoe mensen zijn geneigd te handelen. Wij en enkele van onze klanten hebben inmiddels positieve ervaringen mogen opdoen door bijvoorbeeld met de inzet van acteurs en realistische locaties in de ‘bijna werkelijkheid’ te ‘spelen’. De snelheid en kwaliteit van de besluitvorming gaat hiermee met drastische schreden omhoog. De kans op fouten zoals in de hierboven aangehaalde voorbeelden gaan een stuk omlaag. Practice makes perfect is tenslotte niets voor niets een cliché.

Ben je benieuwd naar het magazine van Noord-Limburg Business? Kijk dan op deze link!

Veel bedrijven maken gebruik van ‘IT-leveranciers’. Zeker in het mkb zien we eigenlijk niet anders. Dat is ook zeer begrijpelijk. Niet elke mkb-ondernemer heeft daar interesse in of kennis van en met de huidige technologie hoeft dat ook niet altijd. Helaas zie ik dat het ondanks de beste intenties van alle betrokken partijen te vaak misgaat. Ook op het gebied van ‘cybersecurity’. Deze tips verkleinen een mogelijke valkuil.

1. Stel een goed contract op waarbij het voor partijen en een deskundige derde klip en klaar is welke IT-dienst wordt geleverd en wie welke verantwoordelijkheden heeft. Dit klinkt simpel maar is soms door de complexiteit van de dienst en de juridificering van een contract soms toch echt lastig.

2. Neem in deze overeenkomst ook een hoofdstuk op over ‘informatiebeveiliging’, of iets soortgelijks.

3. Werk in dit hoofdstuk concreet uit wat partijen moeten doen en probeer weg te blijven van algemene nietszeggende juridisch vocabulaire als ‘in overeenstemming met de wet’ of ‘marktconform’. Dit zijn termen gebruikt door juristen die helaas onvoldoende inhoudelijk zijn onderlegd om dit type overeenkomst voldoende concreet te maken.

4. Sluit bij het specificeren van deze verplichtingen met betrekking tot informatiebeveiliging aan bij een standaard voor informa-tiebeveiliging (zoals de ISO 27001, de NIST, OWASP, CobiT, etc), maar laat het hier niet bij. Werk in een bijlage nader uit op welke wijze door een leverancier invulling wordt gegeven aan een dergelijke standaard. Spreek bijvoorbeeld af dat een leverancier niet zonder expliciet akkoord van de klant op dat moment toe-stemming krijgt om bepaalde werkzaamheden uit te voeren en daarna de toegang weer goed te vergrendelen (hier ging het mis bij de hack op het Hof van Twente).

5. Dwing af dat er door de leverancier expliciete periodieke waarborgen worden verstrekt. Enkel een ISO 27001 certificaat is eigenlijk al niet meer voldoende. Denk ook aan een ‘3402-verklaring’ of een ‘SOCII/SOCIII’rapport. Maar ook meer specifiek als de resultaten van een periodiek (minstens eens per drie maanden) uitgevoerde pentest en/of vulnerability scan, de resultaten van de door de leverancier uit te voeren ‘Control Risk Self Assessment’.

Deze tips helpen je niet alleen bij het verkleinen van de kans dat je het slachtoffer wordt van hackers. Ze helpen je ook om aantoonbaar te voldoen aan de verplichtingen van de privacy wet voor diegene die persoonsgegevens verwerkt. En welke organisatie doet dat feitelijk niet?

Ben je benieuwd naar het magazine van Noord-Limburg Business? Kijk dan op deze link!

Hoe staat het eigenlijk écht met de ‘cyberweerbaarheid’ van het mkb in Nederland? Ik heb in 2021 diverse malen aangehaald dat er een reëel probleem is en dat voor het ‘tackelen’ van dit probleem vaak meer nodig is dan nu gebeurt of staat te gebeuren. Inmiddels is er echter een boek gepubliceerd met daarin diverse wetenschappelijke onderzoeken met betrekking tot cybersecurity in het mkb (“Van Theorie naar praktijk, de geleerde lessen van 4 jaar onderzoek naar cybersecurity in het MKB”, De Haagse Hogeschool, Rutger Leukfeldt e.a.). Ik kan u het boek van harte aanbevelen, maar op deze plek wil ik graag enkele van de geleerde lessen in mijn eigen woorden met u delen.

-Eén op de vijf onderzochte bedrijven geeft aan het slachtoffer te zijn geweest waarbij zij schade hebben ondervonden.

-Er is een grote behoefte aan hulp en dan met name in de vorm van informatie en gratis tooling.

-Uit eerder onderzoek is naar voren gekomen dat mkb-bedrijven niet bekend zijn met het uitvoeren van risico-analyses. Doordat ze geen goed zicht hebben op het risico dat ze lopen, weten ze ook niet welke maatregelen ze zouden kunnen of moeten nemen.

-Ook het eigen personeel levert een cyberrisico op (bewuste en onbewuste handelingen).

-Het merendeel van de deelnemers bij een van de onderzoeken bleek feitelijk helemaal geen risicomodel te gebruiken. Een simpel te gebruiken risicomodel is daarom al een hele verbetering.

-Mkb’ers lijken zich zeer wel bewust van de cyberrisico’s, maar onderschatten de kans dat zij zelf slachtoffer worden en de gevolgen daarvan.

-Ook is onderzocht hoe met mkb’ers gecommuniceerd zou moeten worden om de cyberweerbaarheid te vergroten. Een opmerkelijke daarbij voor mij was dat mkb’ers meer geneigd zijn zelfbeschermende maatregelen te nemen als dit vanuit hun (sociale) omgeving van hen wordt verwacht.

Lastige combinatie

Ruim twintig jaar ben ik inmiddels actief op het gebied van cybersecurity en aanpalende gebieden binnen het mkb. In deze periode heb ik gezien dat IT-risico’s en mkb een vaak lastige combinatie zijn. Onderzoeken zoals hierboven zijn in ieder geval voor mij van groot belang. Ze geven mij meer inzicht in de vraag waarom wij binnen het mkb omgaan met het cyberrisico zoals we dat (in al haar nuances en verschillen) dagdagelijks doen. Ik leer bijvoorbeeld uit bovenstaande dat het bij herhaling benoemen van die risico’s niet meer zo nodig is. Meer van belang is om uit te leggen met welke (soms simpele) maatregelen veel leed voorkomen kan worden. Ook de constatering dat ‘mkb’ers’ (als er al zo iemand bestaat) blijkbaar gevoelig zijn voor de sociale verwachting, is voor mij een eyeopener. Wellicht dat meer gerichte communicatie van simpele maatregelen op een bredere groep dan deze mkb’er een volgende stap zijn in het ‘tackelen’ van de meerkoppige draak die cyberrisico heet.

Wellicht dat ik hier in mijn toekomstige publicaties ook een bijdrage aan kan leveren. Voor nu houden mijn columns in het Noord-Limburg Business magazine echter op. Ik wil u als lezer graag bedanken voor uw interesse en hoop dat wij elkaar eens mogen treffen bij het ‘tackelen van deze meerkoppige draak’!

Ben je benieuwd naar het magazine van Noord-Limburg Business? Kijk dan op deze link!