Houdt jouw voornemen stand?

Allereerst, de beste wensen voor een veilig 2013!

Voor een beetje voornemen heb je jezelf de afgelopen feestdagen behoorlijk rondgegeten. Oliebolletje en een appelflapje erin. En na 30 dagen vermageren, diëten, rennen, zweten en het vervloeken van de weegschaal geef je er weer de brui aan. 

Die voornemens zijn eigenlijk de beste voorspellingen voor zo’n nieuw jaar. Je houdt het toch niet vol. Daar kun je met grote zekerheid van uit gaan. Beter nog dan Gartners voorspellingen over IT-security. Daar voegden ze nog wel eens een probability van zo’n 70% aan toe. Die 70% is veilig. Het is een beetje waar, maar toch ook weer niet. Je kunt Gartner er niet op afrekenen. Zullen ze wel een disclaimer voor hebben.

Halen jouw IT-security voornemens die 70% dit jaar? Verschillen ze van jouw persoonlijke voornemens (afvallen, …)? Heb je hoop dat je jouw IT-security voornemens wel succesvol realiseert? Natuurlijk, die wel! In tegenstelling tot het afvallen dat zeker strandt. 

Waar mik jij op in 2013? Meer firewalls, betere firewalls, goedkopere firewalls, efficiëntere firewalls, …? Of doe je het eens een jaartje zonder firewall? Ja, dat is een goed idee! Gewoon een jaartje open en bloot aan het internet. Dan ben je ook af van al die onzekerheid of de organisatie wel veilig is. Weg met die valse zekerheid. Trek de firewall gewoon uit je netwerk. 

Even een disclaimer van mijn kant: ‘ik adviseer je om de firewall gewoon in je netwerk te laten zitten’. Ik wil niet dat een manager bij jou in de organisatie mij aansprakelijk gaat stellen voor iets dat allang aan de gang is in jullie netwerk. De malware is daar in stealth mode al bezig om kostbare vertrouwelijke informatie te verzamelen. 

Ik kan die uitspraak makkelijk doen. Volgens Verizon zijn meer dan de helft van de organisaties er pas na maanden achter dat ze geïnfecteerd zijn. Ook de antivirus oplossing bij jou in het netwerk faalt bij zo’n 70% van de bedreigingen. 

‘Doemdenker’ hoor ik je al zeggen. Nee, integendeel. Er zijn mooie kansen om op te pakken. 

Ikzelf zou de handschoen oppakken om van 50% risicodekking naar bijvoorbeeld 75% of 80% te komen. Laat die ambitie om van 95% naar 98% te komen varen. Je zit namelijk pas op 50%. Let wel, iedere organisatie kent natuurlijk een eigen grens ten aanzien van de acceptabele restrisico’s. 

Ga van start met een goede set best practices. Bijvoorbeeld die van SANS of van de Australische overheid. Het mooie van de Australische best practices is de top vier maatregelen. Die hebben in het afgelopen jaar meer dan 85% van de cyberaanvallen op Australische overheidsinstellingen tegengehouden. Die top vier bestaat uit:

• Application whitelisting
• Patchen (applicaties)
• Patchen (OS)
• Beperken van admin rechten (local/domain)

Het zijn zeer fundamentele maatregelen, die in mijn opinie onvoldoende aandacht krijgen in veel organisaties. 

Specifiek wil ik even stilstaan bij application whitelisting. Daar zijn een aantal zaken interessant.  

• Weet jij wie welke applIcaties gebruikt?
• Op welke manier worden applIcaties gebruikt?
• Zijn gebruikers zich bewust van het gebruik van ongewenste applicaties?
• Zijn gebruikers zich bewust van applicatiegebonden risico’s?
• Hoeveel bandbreedte nemen ongewenste applicaties voor hun rekening?
• Hoe pas je policies voor ongewenste applicaties toe over verschillende gebruikersgroepen?
• Hoeveel productiviteit gaat verloren door het gebruik van ongewenste applicaties?
• Is er een mogelijkheid om integriteit van applicaties en apps te achterhalen?
• Hoe voorkom je dat ongewenste applicaties geïntroduceerd worden door gebruik van USB-sticks, CD/DVD en het downloaden vanaf internet?
• Application whitelisting houdt in dat ongewenste applicaties niet geïnstalleerd kunnen worden. 
• Ongewenste applicaties mogen ook niet worden opgestart of uitgevoerd.
• Goede aandacht voor application whitelisting krijg je door te starten bij hoger management. Die gebruiken minder applicaties zodat het aantal false positives beter te managen is.  
• Application whitelisting is onderdeel van verschillende endpoint security oplossingen.
• Gebruik wel een oplossing die vanuit centraal management eenduidig een policy kan invoeren en beheren. Combineer die policy over de perimeter en de endpoints

Een hoge mate van automatisering is voorwaarde bij het verhogen van de risicodekking!

Wat ik je mee wil geven is de uitdaging om een eenduidlige policy die geldt binnen de perimeter door te trekken naar de werkplek. Gebruik daar de juiste endpoint security oplossing voor. De perimeter is slechts één van de vele ingangen in de organisatie. Ook jouw organisatie heeft smartphones en tablets aangesloten op het netwerk waarvan je geen weet hebt. Ook jouw organisatie doet zaken met partijen waarvan je niet weet dat er vertrouwelijke informatie mee wordt uitgewisseld. Ook jouw organisatie kent medewerkers die vertrouwelijke bedrijfsinformatie op dropbox hebben neergezet. 

Ik doe geen voorspellingen. Maar gezond verstand zegt me wel dat bewezen maatregelen ook effectief kunnen zijn in jouw omgeving. Heb je de holy grail te pakken? Misschien niet, maar je bent een goed eind op weg. 

Voor de komende maand afzien bij het afvallen wil ik je nog succes wensen. Weten dat je gaat opgeven op 31 januari en toch stug volhouden. Dat kenmerkt de echte stijfkop! En dat is wat je moet zijn de komende tijd om ongewenste applicaties uit je netwerk te houden.

Terug naar de basis en op naar de juiste risicodekking! 

Maya-voorspellingen. Je bent er nog!

Echte profetieën.

Ongemerkt heb ik gisterenavond mijn kinderen een extra aai over hun bol gegeven toen ik ze naar bed bracht. In mijn achterhoofd speelde onbewust de Maya-voorspelling mee. Ik hoor ze deze morgen trouwens boven al op hun kamer rondlopen. Mijn ongerustheid was dus onterecht.

Ik weet niet hoe we hier op gaan terugkijken in de komende tijd. Wordt het een dag zoals iedere andere dag? Of komt 21 december 2012 in de geschiedenisboeken naast 2 juli 1600 te staan? Herinner je je die memorabele dag trouwens nog?  Iets met Nieuwpoort …? Feit blijft dat mensen er serieus aandacht hebben besteed. Er zijn ook mensen die zich opgesloten in Bugarach in de Pyreneën.

Voor mij is het de vraag of we ons iets moeten gaan aantrekken van de voorspellingen die onze mailbox binnenstromen. Ikzelf hecht er echt heel veel waarde aan. Ze zijn een trapleuning voor de security investeringen van volgend jaar! Daarom wil ik je als security professional graag een aantal profetische waarschuwingen voor 2013 meegeven.  

• Cloud – let op voor een toenemend aantal kwetsbaarheden!
• BYOD/Mobile malware – al die smartphones en tablets blijven lastig om te managen.
• Targeted attacks/Social engineering – er zijn mensen die malware op je systeem willen injecteren via slimme doelbewuste aanvallen.
• DDoS attacks – ook jij bent een potentieel doelwit!
• Big data – enorm veel kwetsbaarheden.
• Cyber espionage – Veelal kijkt er een buitenlandse overheidsmedewerker over je schouder mee.
• Advanced Persistent Threats – er worden steeds geavanceerdere aanvalsmthoden ontwikkeld en toegepast.
• Mac malware – ook jouw Apple is doelwit.
• Hacktivism – het is een echte bedreiging!

Deze voorspellingen had je ook zelf kunnen bedenken. Ik heb die moeite niet genomen. Getuige de bovenstaande lijst. Ere wie ere toekomt. Dit lijstje heb ik van Constantine von Hoffman, blogger bij CIO.com.

• De waarde van de voorspellingen ligt vooral in de voorspelbaarheid.
• Die van vorig jaar in een ander jasje.Veel self fulfilling prophecies!
• De een nog verwarrender dan de andere!

De vraag is welke leidraad jij nodig hebt voor de juiste security investeringen in 2013?

Een van de meest voorkomende vergissingen die ik tegenkom bij organisaties is de discussie om van 90% risicodekking tot 95% te komen. Dit gebeurt, terwijl met een kijkje in het datacenter en een paar vervelende vraagjes al snel duidelijk wordt waar de uitdaging echt ligt. Niet de overgang in de hoogste regionen van risicodekking. Nee, gewoon risicodekking van 50% tot 75% is voor veel organisaties al een hele kluif.

Pin me niet vast op de getallen, val me ook niet aan op het gebruik van getallen. Feit is dat de discussie op de verkeerde manier gevoerd wordt. En in veel gevallen over de verkeerde onderwerpen. Ik heb in een voorgaand artikel al gesproken over Terug naar de basis. ‘ First things first’ zoals Steven Covey verder uitgewerkt heeft in zijn boek ‘ Seven Habitsof Highly Effective People’.

Zijn voorspellingen dan helemaal niets waard? Nee, dat zeg ik niet.

Ik wijs alleen op de profetische waarde die je ook in je eigen gloeilamp had kunnen ontdekken. Ik vraag je goed na te denken over de risico’s die je loopt bij verwerken, opslaan en versturen van vertrouwelijke informatie.

Wil je een overzicht van risico’s? OK, hier vindt je een lijstje.  Het is maar een voorbeeld. De kracht ligt in het risico assessment van je belangrijkste processen. Discussie, nieuwe inzichten, met elkaar eens worden, besluiten, … Allemaal belangrijke elementen van een goede voedingsbodem voor investeringsbesluiten.

Even recapituleren.

• We zijn op 22 december 2012 nog steeds op deze aardbol ons leventje aan het leiden.
• We waren even de slag bij Nieuwpoort vergeten.
• De meeste profetische voorspellingen kun je zelf bedenken.
• De uitdaging bij jou in de organisatie ligt niet in risicodekking op 95%.
• Op basis van ‘ First Things First’  zul je moeten bouwen aan fundamentele bouwstenen in je security infrastructuur.
• De meest voor de hand liggende methode voor waardevolle investeringen is het uitvoeren van risico assessments voor de belangrijkste processen.

Ga de uitdaging aan om van de huidige risicodekking van om en nabij 50% te komen tot een risicodekking die past bij jouw organisatie. Daar hoort niet een vast getal bij. De key proceseigenaren bij jou in de organisatie beslissen zelf welk risico ze acceptabel vinden.

Mocht je moeite hebben om de juiste argumentatie te vinden val dan niet direct terug in je vertrouwde oplossingsmethode ‘Wij van WC-eend’ . Heb je vragen waar je niet uitkomt ga dan een serieus gesprek aan met je security partner. Dan bedoel ik niet die ene die je net de nieuwste producteigenschappen heeft opgesomd.

Op naar de kalkoen en de schoonfamilie! Fijne feestdagen. Ik zie je bij IKEA.