Moderne informatiebeveiliging

Stempel van de auditor, YES! Maar wat doe je de rest van het jaar om de boel veilig te houden?

Informatiebeveiliging is voor veel organisaties een moeilijk onderwerp. Het is net als kwaliteit. Je hebt niet één apart proces en/of één aparte afdeling die de lading dekt. Kwaliteit zit in alle dagelijkse werkactiviteiten van de gehele organisatie. Dit is met informatiebeveiliging niet anders. Het zit in alle lagen van de organisatie, in alle besluitvorming, in alle processen en in alle technologie die de organisatie gebruikt. Daarbij is waarschijnlijk de meest belangrijke opmerking nog dat het tussen alle oren van de organisatie zit.

De opsomming (lagen, besluitvorming, processen, technologie en oren) schetst een ideaalplaatje. Typisch voor veel organisaties is de volgende situatie:

• Er is beleid gedocumenteerd,
• Er is een uitgebreide technische securityinfrastructuur.
• Er is een Security Officer binnen de IT-organisatie (‘security is een IT-feestje’)
• V-2B: De Security Officer heeft wél de Verantwoordelijkheid maar géén Budget en Bevoegdheden om security organisatiebreed te organiseren.
• Er is een gapend gat tussen strategisch beleid en de operationele security infrastructuur.

Vele dappere pogingen over de jaren heen maken dat informatiebeveiliging, met de hakken over de sloot, de goedkeuring krijgt van externe auditors. Informatiebeveiliging sneeuwt onder vanuit de strijd die de IT-afdeling überhaupt heeft om aan te sluiten bij de organisatorische doelstellingen.

Je kunt gerust stellen dat informatiebeveiliging in die situatie ondermijnd wordt door het grote  gapende tactische ‘security gap’. Tussen strategisch papieren beleid en operationele technische security infrastructuur.

Nu lijkt dit een typische beschrijving van een organisatie waar informatiebeveiliging als een IT-feestje gezien wordt. Maar ook in organisaties, waar informatiebeveiliging als verantwoordelijkheid wel is neergezet bij medewerkers in de business, zie je dat er nauwelijks effectieve informatiebeveiliging gerealiseerd is.

Met de huidige trends van HNW, BYOD, cloud en social media komt dit hele plaatje nog eens sterker onder druk te staan:

• Mensen werken niet meer op kantoor (HNW).
• Er is straks geen eigen IT-infrastructuur meer (BYOD, cloud).
• Applicaties zijn niet meer van de organisatie en staan niet meer in eigen rekencentra (cloud).
• Informatie wordt intensief gedeeld met de buitenwereld via social media en apps (Facebook, Dropbox, WeTransfer).

Je kunt straks als organisatie nog maar aan twee knoppen draaien om informatiebeveiliging goed te regelen: Het éne oor in, het andere oor uit!

Lastige materie

OK, lastig dus dat onderwerp informatiebeveiliging. Maar is er dan geen kijk op hoe het wel moet? Daar ligt een tweeledig probleem:

• Organisaties vinden het lastig om ambitieus aan de  kwaliteit van hun normale dagelijkse activiteiten te werken. Er is geen visie, geen richting en te weinig leiderschap om dingen steeds iets beter te gaan doen. Binnen IT zie je zaken als Agile, Lean en Scrum. Die principes gaan veelal uit van de effectiviteit en efficiëntie van het bestaande. Bestaande processen en procedures worden geoptimaliseerd. Het vervelende is alleen dat in die bestaande processen en procedures geen security is ingebed. Kortom, met Lean zul je eerder wegsnijden dan toevoegen. Ergo, security wordt nog sterker op de achtergrond gedrongen. Project Managers hebben nog maar sterk beperkte middelen om hun resultaten te halen. Ze deden vóór Agile, Lean en Scrum al niet aan security. Laat staan dat ze nu de tijd hebben om het woord security überhaupt uit te spreken in een projectvergadering.
• Naast de gebrekkige ontvankelijkheid van de organisatie moeten security professionals de hand in eigen boezem steken. Het is in de afgelopen decennia technische security professionals nauwelijks gelukt om een diepgewortelde boodschap tussen de oren van beslissers en bestuurders te planten. Veel bangmakerij over technische risico’s is niet geland buiten de IT-organisatie. Security professionals moeten daarvoor over een veelzijdig profiel beschikken. Ze zijn techneut, communicatiespecialist, bruggenbouwer, jurist, HR-specialist, proces manager, project manager, programma manager en ze moeten in de directiekamer hun mannetje staan. Kort gezegd: ‘c’est le ton qui fait la musique’. Aansluiten bij de beslissers en bestuurders, en in de ander verplaatsen dus. En dat is maar weinigen gegeven.

Als deze twee problemen de oorzaak zijn van gebrekkige informatiebeveiliging, dan is de oplossing toch simpel? Helaas, de werkelijkheid is weerbarstiger. Principes als Lean, Agile en Scrum buig je niet gemakkelijk om. Gebrek aan leiderschap en visie is van alle tijden. En security specialisten, die als schaap met de vijf poten het onderwerp informatiebeveiliging succesvol uitrollen in de organisatie,  zijn ook zeer dun gezaaid.

Van start

Dit alles neemt niet weg dat je kunt starten met één van die onderwerpen. Neem een visie en een strategie. Dat doet het tijdens een wandeling ook erg goed. ‘We gaan naar die kerktoren aan het einde van de horizon. En we gaan alleen via zandweggetjes’. Je kunt nog even discussiëren over welke kerktoren en soms een klinkerweggetje. Maar de eerste stap in de goede richting is al snel gezet.

Onderstaand is beschreven hoe een securityteam zich succesvol kan richten op effectieve informatiebeveiliging. Daarbij is een vertrekpunt aangegeven en een toekomstige situatie voor verschillende aspecten.

Onderwerp	Traditioneel	Nieuwe situatie
Missie	Focus op beleidsontwikkeling en implementatie/beheer van maatregelen.	Focus op de business en geavanceerde technische toepassingen: business risicoanalyse, classificatie van assets, integratie van IT-supplychain, analyse van securitydata, datawarehousing en procesoptimalisatie.
Expertise	IT-specialisten met securityvaardigheden	Multidisciplinair team met zowel organisatorische als technische vaardigheden.
Focus	Reactief op dagelijkse activiteiten.	Proactief op strategische activiteiten.
Werkwijze	Geïsoleerde aanpak in silo’s met naar binnen gekeerde houding.	Samenwerking met gezamenlijke verantwoordelijkheid voor het beveiligen van informatie.
Kijk op risico	Checklistbeveiliging en mitigatie van alle risico’s.	Besluitvorming ligt bij afdelingen. Het securityteam adviseert over risico inschatting en risicobeheer.
Dreigingsdetectie	Focus op securitydata uit speciale securityapparatuur.	Detectie van afwijkend gedrag op procesniveau, op basis van brede security intelligence: analyse van data uit verschillende apparatuur, correlatie en vorming contextuele toegevoegde waarde.
Beheer van maatregelen	Basic securityinfrastructuur beheerd door securitybeheerders.	Grondig opgezette en  geoptimaliseerde securityprocessen, die uitbesteed worden (zowel intern als extern). Procesbeheer door securityteam op basis van SLA’s.
Controle werking maatregelen	Periodieke assessments door (externe) auditors op basis van handmatige werkwijze.	Continue verzameling en analyse van de juiste werking van securitymaatregelen (processen, technologie). Auditors gebruiken die data voor hun oordeelsvorming.
Procesoptimalisatie	Securityprocessen worden op ad-hoc basis geoptimaliseerd.	Securityprocessen worden continu gemeten en geoptimaliseerd op basis van modern procesmanagement.
Kwaliteiten	Achtergrond in IT en security.	Multidisciplinair: informatie management, wiskunde, economie, bedrijfskunde,  geschiedenis, militaire inlichtingen.

De bovenstaande tabel geeft mooi weer waar de uitdagingen voor de samenstelling en werkwijze van het securityteam op hoofdlijnen liggen. In de onderstaande tabel is de werkwijze meer op procesniveau toegelicht.

Onderwerp	Werkwijze	Doel
Verschuiving focus van techniek naar bedrijfsprocessen	·         Diepgaande kennis van end-to-end bedrijfsprocessen. ·         Samenwerken met business voor beschrijven van de processen.	·         Weten wat afwijkend gedrag is op procesniveau. ·         Begrijpen hoe aanvallers bedrijfsprocessen kunnen omzeilen of ondermijnen. ·         Optimale werking securitymaatregelen op basis van procesinzicht.
Risico inschatting op basis van cyber risico’s	·         Vertaling van cyber risico’s in business terminologie. ·         Beschrijving van risicovolle scenario’s (kans en impact). ·         Kwantificeren van risico’s in globale bedragen.	·         Afwegen van risico’s tegen business kansen. ·         Prioriteit voor cyber risico’s boven standaard risico’s. ·         Risico inschatting op basis van tastbare aspecten en effectiviteit van maatregelen,
Risicoanalyses met focus op bedrijfsaspecten en - processen	·         Automatiseren van risico management proces. ·         Registratie van risico’s op basis van identificatie, evaluatie, acceptatie en mitigatie. ·         Mogelijk maken van grotere acceptabele risico’s voor projecten met een kortere levensduur (of snelle implementatietijd).	·         Een meer integrale kijk op cyber risico’s (business versus techniek). ·         De business wordt verantwoordelijk voor het managen van risico’s. ·         Meer ruimte voor tijdgevoelige business projecten.
Zekerheid werking maatregelen op basis van continue bewijsverzameling	·         Procedures opzetten voor continue monitoren en rapporteren over de effectiviteit van securitymaatregelen (processen, technologie). ·         Documenteren en systematisch beheer van de meest kritieke securitymaatregelen. ·         Automatiseren van monitoring en rapportage.	·         Optimalisatie van securitymaatregelen. ·         Audits zijn efficiënter en verstoren het bedrijfsproces minder. ·         Vereenvoudiging van zowel interne als 3rd party assessments.

Als de kijk op de toekomst er uitziet zoals hierboven is beschreven kun je gaan nadenken welke dienstverlening het securityteam moet gaan bieden. Hieronder is dat beschreven, inclusief kwalitatieve doelstellingen.

Security Services

Het security team weet dus nu welke onderliggende ideeën er zijn om aan de slag te gaan. Ze moeten echter wel een portfolio aan verschillende security services in de aanbieding hebben. Denk daarbij aan de onderstaande services:

• Werken onder security architectuur.
• Security awareness.
• Secure development (applicatieontwikkeling volgens securityrichtlijnen).
• Security assessments.
• Adequaat beveiligde en geconfigureerde systemen (security requirements en security architectuur).
• Toegangsrechten die in lijn zijn met de organisatorische requirements.
• Adequate bescherming tegen malware, externe aanvallen en inbraakpogingen.
• Adequate incident respons.
• Testen van security.
• Monitoring en alarmering met betrekking tot security gerelateerde events.

Deze services zijn op hun beurt onder te verdelen in verschillende subactiviteiten. De volgende tabel licht dit voor het ‘Werken onder security architectuur’ toe.

Security service	Activiteit	Omschrijving	Kwaliteitsdoelstelling
Werken onder security architectuur.	Inbedden van security in architectuur.	Eisen en wensen t.a.v. security worden meegewogen in gapanalyses en keuze voor oplossingen.	Eisen en wensen t.a.v. security zijn ingebed in de enterprise architectuur en vertaald in een formele security architectuur.
	Onderhouden van de security architectuur.	Opzetten en onderhouden van een architectuur ‘bibliotheek’ met  security gerelateerde standaarden, herbruikbare documenten of bouwblokken, tooling om te modelleren, overzichten met relaties en afhankelijkheden en ‘platen’ om eenduidigheid in ontwikkeling en architectuur te realiseren en onderhouden.	Securityarchitectuur is in lijn met de enterprise architectuur. Relevante wijzigingen aan de enterprise architectuur worden doorgevoerd in de securityarchitectuur.
	Opzetten van een database met alle relevante assets.	Opbouwen en raadplegen van een gedetailleerde database over logische en fysieke assets: classificatie, eigenaar, locatie, onderhoud, waarde en hoe kritiek de asset is.	·         Alle assets zijn volledig geïnventariseerd en up-to-date. ·         Nieuwe assets worden snel en volledig gedetecteerd.
	Management van security configuraties.	Configuratie management levert de gegevens die worden gebruikt om incidenten te identificeren en vooruitgang te boeken bij de oplossing ervan. Gebruik het onderliggende configuratie management systeem (CMS) om de impact van een incident te beoordelen en de getroffen gebruikers te identificeren. Het CMS bevat ook informatie over categorieën van incidenten. Gebruik het CMS op een proactieve manier om incidenten, als gevolg van onbekende configuraties, te voorkomen. Verlaag ook kosten door gestandaardiseerde security configuraties te gebruiken.	Van alle assets en entiteiten is er binnen het CMS een juiste, volledige en up-to-date configuratie vastgelegd.
	Opzetten, en onderhouden, van het actief in kaart brengen van de infrastructuur.	Maak de ontdekking van nieuwe activa en entiteiten mogelijk, die beschikbaar komen en gebruikt worden binnen de infrastructuur.	Nieuwe assets en entiteiten worden tijdig en accuraat ontdekt.

De bovenstaande tabel is een voorbeeld van de uitwerking van slechts één van de services. Ook de overige services zijn op deze manier te beschrijven, waarbij ook een kwaliteitsdoelstelling is verwoord voor de subactiviteiten.

Door deze services verder uit te werken is het goed mogelijk om de werkwijze van het securityteam duidelijk te maken voor de rest van de organisatie. De kwaliteitsdoelstelling dient als kerktoren aan de horizon. Specificatie van metrics maken de doelstellingen van het securityteam compleet. 

 Conclusie

Informatiebeveiliging is en blijft een moeilijk onderwerp voor organisaties. Gebrek aan visie,  leiderschap , durf en kwaliteiten  maakt het geen gemakkelijke opdracht voor individueel verantwoordelijk gestelde Security  Officers. ‘Security als IT-feestje’ en principes als Lean, Agile en Scrum werken goede informatiebeveiliging structureel tegen. Dat maakt het niet een onoplosbaar probleem.

Een punt dat nog niet genoemd is in dit verhaal is de toepassing van ‘checklistbeveiliging’. Dan gaan de verantwoordelijken voor security alleen doen ‘waarop ze worden afgerekend’. Het probleem hiermee is echter dat in veel gevallen de ‘afrekening’ afhangt van de mening van de (externe) auditor. Het ontbreekt dan veelal aan een eigen visie, strategie, eigen wil en ambitie om beveiliging op een hoger plan te brengen.

Dit kan ontstaan in de situatie waar óók de IT-afdeling geen stevige visie, strategie, eigen wil en ambitie heeft. Stuurloos, dobberend en afwachtend zie je beveiliging als een check-in-the-box. Dit is onverantwoord en onprofessioneel naar mijn mening.

Een beetje visie en strategie met betrekking tot informatiebeveiliging kun je al snel vormgeven. Bovenstaand is daar een voorbeeld van gegeven. Ook de doelstellingen voor het securityteam kun je al snel in kaart brengen. Wat houdt je tegen?

Oh, je hebt alles uitbesteed en je voert slechts regie?

Dat ontslaat je niet van de verantwoordelijkheid om, samen met je leverende partners een intensieve inspanning te plegen om de beschreven visie, strategie, werkwijze, security services en (kwaliteits)doelstellingen in te vullen en te realiseren.

Ik zou zeggen: ‘Handen uit de mouwen, professioneel aan de gang en beveiligen die organisatie van je!’

(Verantwoording: In dit artikel is een mix van eigen ervaring/inzichten  met best practices van vendoren en ISACA beschreven)

Last van cybercriminaliteit? Maak je systemen onaantrekkelijk!

Wat kunnen organisaties doen tegen cyberaanvallen?

Iedereen kan een willekeurige lijst opstellen van maatregelen die organisaties moeten nemen om zich te beveiligen tegen cyberaanvallen. Iedere lijst zal er verschillend uit zien. Dat is domweg het gevolg van ieders eigen voorkeuren, kennis en ervaring. Ikzelf kijk graag naar de effecten van een maatregel. Daarvoor gebruik ik bijvoorbeeld onderstaande figuur. De figuur is afkomstig uit het ISACA document  'Transforming Cybersecurity using COBIT 5'.

(ISACA document  'Transforming Cybersecurity using COBIT 5')

Het aantal aanvallen (links in het rood) is de optelsom van de interne aanvallen en de externe aanvallen. Deze twee worden beïnvloed door interne medewerkers en de externe aanvallers. Een hoger aantal aanvallen, dat wordt ontdekt, ontmoedigt aanvallers. Ook komen er meer kwetsbaarheden, bedreigingen en risico’s aan het licht hierdoor. Als gevolg hiervan verandert de totale aantrekkelijkheid van de organisatie als potentieel slachtoffer.

Meer specifiek is de aantrekkelijkheid van een individueel systeem bepalend voor de ‘window of opportunity’ voor een cyberaanval. Een onaantrekkelijk systeem vraagt meer inspanning, meer tijd, meer kennis en meer voorbereiding om de aanval succesvol te maken. De bovenste helft van de figuur bepaalt uiteindelijk hoe waarschijnlijk de aanval ook gaat plaatsvinden. De bepalende factoren zijn dan de aantrekkelijkheid van het systeem, het onderliggende motief en de kans die zich voordoet om een aanval te starten.

Binnen deze dynamiek moeten investeringen in securitymaatregelen tot een optimale beveiliging leiden. De volgende figuur laat zien welke maatregelen helpen.

(ISACA document  'Transforming Cybersecurity using COBIT 5')

Sommige systemen zijn helemaal niet aantrekkelijk. Classificatie brengt dit aan het licht. Aanvallen worden ontdekt door Intrusion Detection/Protection Systems, Event Logging en Incident Response. Scanning en monitoring brengen kwetsbaarheden aan het licht. Een goede security architectuur draagt bij aan de technische robuustheid van een systeem. Hardening maakt een systeem moeilijker te kraken. Kortom er zitten aardig wat aanknopingspunten in voor organisaties om te investeren in security.

Nu zijn deze maatregelen nog niet concreet genoeg. De onderstaande figuur is opgesteld door ISACA in het kader van cybersecurity. Het geeft de concrete maatregelen weer die organisaties ‘moeten’ nemen om zich goed te beveiligen tegen cyberaanvallen. 

Het lijkt bijna een voorschrift van de cybersecuritydokter. Als het veel toegepast wordt spreken we gerust van een best practise. 

(ISACA document 'Advanced Persistent Threats: How To Manage The Risk To Your Business') 

Al die maatregelen zorgen dus uiteindelijk voor afgenomen aantrekkelijkheid van systemen. Indirect zeg je daarmee: ‘AFBLIJVEN!’

Ok, nu weet je dat je de aantrekkelijkheid van assets volgens bovenstaande maatregelen kunt verminderen. De vraag is of je straks met al die tooling er wel aan toe komt om ze effectief te gebruiken. 

Het treurige beeld dat ik krijg bij mijn bezoeken aan diverse organisaties is dat ze best in staat zijn om de stekker in de muur te steken, de boel te configureren en geregeld te kijken of de spullen nog aan staan. Maar het functioneel gebruik van security tooling is veelal een ondergeschoven kindje. En dan ben ik toch weer blij dat er security professionals/bedrijven in de markt zijn die weten hoe je het functioneel gebruik van security tooling dagelijks procesmatig uitvoert. 

Ik stel me zo voor dat, als je meer uit je security tooling wilt halen, gewoon eens komt praten. Ik nodig je daarom graag uit voor de Onsight Wintermarkt op 17 december 2013. Een gezellig evenement waar je ontspannen kunt kennismaken met Onsight, de medewerkers en de leveranciers. Verzamel in winterse sferen je kerstpakket bij elkaar. Kijk hier voor meer informatie. 

Ik zie je graag de 17e december. Tot dan!

Is Noord Korea een Advanced Persistent Threat?

Vanmorgen heeft Noord-Korea een (langeafstands)raket gelanceerd en een satelliet in een vlucht om de aarde gebracht. De North American Aerospace Defense Command bevestigde het bericht. Gelukkig ‘vormden zowel de eerste trap als de tweede trap, inclusief bijbehorende afvalresten, geen gevaar voor Noord Amerika’. 

 

Ik stel me zo voor dat we hier te maken hebben met een geavanceerde tegenstander. Wellicht is de vergelijking met een Advanced Persistent Threat op z’n plaats.

 

Is dat wel zo? Laten we eens kijken naar de karakteristieken van een Advanced Persistent Threat. De volgende figuur geeft de levenscyclus van een APT weer.

 

 

De volgende aspecten zijn karakteristiek voor APT’s:

• Ze zijn erg doelgericht (targeted). Vooraf wordt in kaart gebracht welk doelwit de meest waarschijnlijke grote buit herbergt.
• Ze zijn complex. Ze zijn niet gemakkelijk te herkennen doordat ze samengesteld zijn uit verschillende aanvalsmethoden.
• Ze zijn permanent. Bij de eerste tegenslag laten ze zich niet uit het veld slaan. Vasthoudend als ze zijn blijven ze zoeken naar wegen om de waardevolle informatie te ontfutselen.
• Ze verstaan de kunst van het ontwijken. APT’s laten zich niet gemakkelijk zien. Ze kunnen nieuwe aanvalsmethoden toepassen op het moment van herkenning. Ze duiken zeer gemakkelijk onder de radar. 

 

De raketlancering van Noord-Korea is niet bepaald doelgericht te noemen. Althans niet gericht op een van hun opponenten (Amerika of Zuid-Korea). Maar wellicht dat hier een geavanceerde aanvalsstrategie achter zit en op later moment vanuit de ruimte een aanval gepleegd wordt? De mate waarin doelbewust voor deze aanval is gekozen valt te bezien. Misschien is het niet meer dan een stukje machtsvertoon en kan van een aanval domweg niet gesproken worden.

 

De complexiteit van de aanval laat zich moeilijker analyseren. Noord-Korea beschikt over de technologie om kernbommen te fabriceren. Op zichzelf is dat complex. Maar de complexiteit van de aanval maakt niet dat een potentiële aanval onherkenbaar blijft. Nogmaals, het kan zijn dat op later moment vanuit de ruimte een onverwachte aanval plaatsvindt. Dan zit momenteel de hele wereld zich onterecht te verontwaardigen over een NKISS (North Korean Impersonating Space Station). En hebben we regelrecht te maken met een atoomwapen.

 

Van de buiteland commentator van BNR (Bernard Hammelburg)  begreep ik dat Noord-Korea nog niet in staat is om hun kernkoppen dusdanig klein te maken dat ze op de langeafstandsraket passen. Het blijft gissen in mijn ogen. Wel staat boven water dat de raketlancering zeer zichtbaar is geweest voor de wereld.

 

Hoe lang het projectiel (lees satelliet) in de ruimte blijft is ook onbekend. Hoelang Noord-Korea in deze hoedanigheid dit soort spelletjes kan blijven spelen op het wereldtoneel is ook de vraag. Kortom, het is onduidelijk welke van de twee het meest permanente karakter heeft (de satelliet of Noord-Korea). Bij het permanente karakter van APT’s hoort ook een stuk vasthoudendheid. Met de geschiedenis van Noord-Korea voor ogen, in een snel veranderende wereld, wordt snel duidelijk dat er sprake is van vasthoudendheid bij de leiding van het land.

 

Hoe ontwijkend is Noord-Korea? APT’s hebben het vermogen om de aanvalstactiek aan te passen als ze op het punt staan ontdekt te worden. Hier is nauwelijks sprake van ‘op het punt staan om ontdekt te worden’. Het enige dat ik me kan voorstellen is het moment waarop de satelliet toch blijkt te beschikken over een geavanceerd wapensysteem. Daarbij is het goed mogelijk dat de communicatie tussen het control center in Noord-Korea en de satelliet te onderscheppen is. Ook hier is maar zeer beperkt sprake van enig ontwijkend karakter.

 

Is hiermee de vergelijking tussen Noord-Korea en APT’s voldoende duidelijk geworden?

 

De vraag is natuurlijk of je überhaupt die vergelijking kunt maken? Feit blijft dat APT’s tegenwoordig in vele verschijningsvormen een realiteit zijn. De dagelijkse werkelijkheid maakt dat organisaties zich echt zorgen moeten maken over verlies of diefstal van gevoelige informatie. Dreigend machtsvertoon van wederzijdse ‘Koude Oorlog praktijken’ speelt geen rol van betekenis hierbij.

 

De eenzijdige toepassing van deze tactieken door een land als Noord-Korea maken nog niet dat de wereld met een directe dreiging te maken heeft. Nauwlettend volgen van de situatie door de VN is het enig juiste wat moet gebeuren. Dat is een van de voordelen die deze raketlancering als gevolg heeft. In tegenstelling tot APT’s is het duidelijk welke dreiging er in de lucht hangt.

 

Wat dat betreft kun je jezelf misschien gelukkiger prijzen met deze situatie dan met de eerstvolgende cyberaanval op je IT-infrastructuur. Dat laat onverlet dat diefstal van vertrouwelijke informatie in geen verhouding staat tot de gevolgen van nucleaire dreiging!

 

APT's hebben de vervelende eigenschap onder de radar te duiken en te blijven. Vooropgesteld natuurlijk dat er een radar aanwezig is binnen de organisatie! Daarbij heeft het merendeel van organisaties enkele maanden nodig om te ontdekken dat ze geïnfecteerd zijn (Verizon). Er is geenszins te spreken van 'continuous monitoring'!

 

Dit in tegenstelling tot de raketlancering vanmorgen in Noord-Korea. Daarbij is direct duidelijk geworden dat de wereld op verschillende manieren dit soort activiteiten in de gaten houdt. Hier is weldegelijk sprake van een vorm van 'continuous monitoring'.

 

In mijn vorige blogartikel heb ik gesproken over 'terugkeer naar de basis'. Daar hoort wel de ambitie bij om sterk geautomatiseerd gebruik te gaan maken van security intelligence. Het gebruik van 'continuous monitoring' speelt een belangrijke rol. 

 

Is Noord-Korea een APT? Ik denk van niet. De situatie is wereldschokkend, dat wel. Maar de duidelijkheid van hetgeen gebeurt is maakt de behandeling door bijvoorbeeld de VN realiseerbaar. 

 

Vergelijk die situatie met je eigen organisatie. Is het duidelijk welke cyberaanvallen daar hebben plaatsgevonden? Is een concreet behandelplan actief om de infecties op te ruimen? Of duurt het nog enkele maanden voordat je door hebt dat de IT-infrastructuur geïnfecteerd is? 

 

Wat zul je staan te kijken als blijkt dat de eerstvolgende cyberaanval vanuit Noord-Korea plaatsvindt!

 

Succes met je voorbereiding op cyberaanvallen. 

 

 

 

 

Terug naar de basis

In november heb ik een aantal presentaties gegeven over de voorbereiding op cyberaanvallen. Op zowel het Cybersecurity congres van Heliview als het E-Crime congres vertelde ik over de wijze waarop organisaties zich zouden moeten voorbereiden op cyberaanvallen. Een aantal van de kernpunten in mijn betoog waren de volgende:

• Meer dan de helft van de organisaties hebben enkele maanden nodig om te ontdekken dat ze geïnfecteerd zijn. Het duurt dan vaak nog enkele weken voordat ze de boel opgeruimd hebben (Verizon).
• Advanced Persistent Threats zijn venijnige dingen. Ze blijven op geavanceerde wijze onder de radar (voor zover die aanwezig is in de organisatie). De malware draait al in de netwerken van organisaties in stealth mode.
• De kennis voor het detecteren en oplossen van cyberaanvallen is niet in voldoende mate op de arbeidsmarkt aanwezig. In de Verenigde Staten is NICE opgestart om 30.000 cyber security specialisten op te leiden. Verhoudsingsgewijs komen er de komende jaren in Nederland géén 1.500 cyber security specialisten van de hogescholen en universiteiten.
• Organisaties moeten een geavanceerd Cyber Defense Management System optuigen. Dit is een uitgebreid stelsel van maatregelen en services die gebaseerd zijn op security intelligence. Het systeem wordt gevoed vanuit verschillende feeds, waaronder bijvoorbeeld fraud feeds en geo-location feeds.

Organisaties beschikken gewoonweg niet over de kwaliteiten, de kennis en de ervaring om zich effectief te prepareren op cyberaanvallen. En daar waar ze willen investeren in kennis en/of ervaring is het aanbod de komende jaren minimaal. De keuze om eens met je security partner te gaan praten is in mijn ogen zo gek nog niet. De vraag is echter wat je verwacht van jouw security partner?

Je kunt je daarbij prima laten leiden door best practisces als die van SANS Institute (Twenty Critical Security Controls for Effective Cyber Defense). Op basis van die best practices kunnen bestaande security infrastructuren en het security management stapsgewijs op een hoger plan gebracht worden.

Veel van de organisaties waar ik over de vloer kom leunen nog op een perimeter-based security infrastructuur. Security wordt behandeld als een connectiviteitsvraagstuk. De beschikbaarheid en de performance van de firewall worden geoptimaliseerd. Dit is in mijn ogen dé snelweg naar een enorme crash waarbij vertrouwelijke personeelsgegevens, klantgegevens of patiëntendossiers op straat komen te liggen.

Ik ben ervan overtuigd dat meer security intelligence ingezet zal moeten worden om effectief voorbereid te zijn op cyberaanvallen. Helaas moet ik ook constateren dat in de basis nog veel zal moeten verbeteren voordat effectief gebruik gemaakt kan worden van security intelligence.

Terug naar de basis dus!      

Die basis bestaat uit de best practices zoals die in de SANS Critical Security Controls for Effective Cyber Defense zijn beschreven. Ze zijn ook gelinkt aan de Australische 35 Strategies to Mitigate Targeted Cyber Intrusions. Van deze 35 maatregelen hebben in het afgelopen jaar de eerste vier méér dan 85% van de cyberaanvallen op Australische overheidsinstellingen tegengehouden. We spreken hier over zaken als application whitelisting, patchen van applicaties en OS en beperken van admin rechten (local/domain).  

Nu zullen de meeste security professionals bezorgd zijn over de resterende 15%. Ikzelf maak me voor veel organisaties zorgen over die 85%. In de kern zullen veel organisaties nog alle zeilen moeten bijstellen om bovengenoemde basismaatregelen goed te realiseren. Vergaande automatisering is trouwens een voorwaarde voor een verhoogd effect van bijvoorbeeld de SANS best practices.

Goed voorbereid zijn voor cyberaanvallen lukt niet alleen door stapsgewijs de basismaatregelen in te gaan regelen. Met de wetenschap dat malware al in stealth mode in de netwerken draait bestaat de voorbereiding op cyberaanvallen ook uit een goede incident respons procedures. Wat ga je zeggen tegen de pers? Wie zijn de aangewezen personen om de gedupeerden te woord te staan? Welke weg bewandel je om dit soort bedrijfsrisico’s te managen?

Aan de huidige situatie rondom cyber security kleeft nu eenmaal de vraag ‘wanneer je gehackt wordt’. De vraag ‘of …’ is een gepasseerd station. 

Ben je er snel genoeg bij? De tijd zal het leren. 

Blijft het bij één keer? Wie zal het zeggen?

Maar in ogen van cyber criminelen zijn marketingplannen, pricingstrategieën, ontwerpplannen, klantgegevens en patiëntendossiers toch echt bijzonder aantrekkelijk.

De eerste inbraak is al bezig. De tweede inbraak loert al om de hoek! Dus bereid je voor en bouw je basis security infrastructuur uit!