Wanneer is security effectief?

In de rol als Security Manager heb ik in het verleden verschillende voorstellen gedaan voor nieuwe security trajecten. De beslissers die ik tegenover me trof waren op dat moment eigenlijk maar in één ding geïnteresseerd: ‘Wat is de Return On Security Investment?’ Of te wel: ‘Al zet je tien slagbomen voor ons kantoor, ik wil weten wanneer ik die euro’s terugverdien’.

Als beslisser kun je jezelf vandaag de dag echter niet meer onttrekken aan een gefundeerde mening over security. Of je wordt persoonlijk aansprakelijk gesteld, of de reputatie van jouw organisatie wordt geschaad. Dit kan al door een simpele USB-stick die een van je medewerkers verliest.  Je moet er grip op krijgen!

De vraag is echter: Wanneer vind je security effectief?

Voor iedereen binnen een organisatie zal dit een ander antwoord opleveren. Zo zal de directie geïnteresseerd zijn in de organisatiebrede verdeling van verwantwoordelijkheden en budgetten voor security. De IT-Manager wil graag weten in hoeverre securityprocessen (vulnerability management, patch management, incident management) effectief zijn. De business unit manager wil graag weten in hoeverre zijn processen veilig en effectief door IT-security ondersteund worden. De IT-Security Officer is op zoek naar de effectieve werking van security oplossingen. De Corporate Security Officer heeft van nature interesse in alle bovenstaande zaken, dat legt zijn functie hem op.

Dit zijn slechts enkele voorbeelden van de individuele waardebeleving rondom security.  Een ander aandachtspunt hierbij is dat iedereen de lat voor zichzelf op een andere hoogte legt. Dit heeft direct te maken met het accepteren van restrisico’s. Het risicoprofiel van de organisatie speelt hierin naar mijn mening een grote rol.

Omdat de informatiebehoefte zo verschilt per rol in de organisatie moet security monitoring & rapportage hiermee rekening houden. Een samenhangende verzameling security metrics zal die gemengde informatiebehoefte moeten invullen. Voor mijzelf komt hier de samenhang tussen mens, proces en techniek om de hoek kijken. Voor ieder van die drie aandachtspunten zullen security metrics opgenomen moeten worden in de rapportage. De onderstaande tabel geeft enkele voorbeelden.

Categorie	Voorbeeld
Mens	·         Aantal medewerkers die de awareness training hebben doorlopen. ·         Aantallen afdrukken die op de printer zijn achtergelaten. ·         Naleving van de Clean Desk Policy. ·         Aantallen mails met vertrouwelijke data naar ‘privé’-accounts.
Proces	·         Gemiddelde tijd om incidenten op te lossen. ·         Gemiddelde kosten om kwetsbaarheden te identificeren en op te lossen. ·         Percentage systemen die gepatched zijn op het vereiste niveau.
Techniek	·         Aantal tegengehouden DDOS-aanvallen. ·         Aantal virussen die zijn ontdekt. ·         Aantal virusuitbraken die zijn voorkomen. ·         Aantal botnets die zijn ontdekt.

Momenteel zijn verschillende fabrikanten van securityproducten in staat om grote hoeveelheden informatie te rapporteren. Op basis van SIEM-oplossingen en GRC-oplossingen worden adviezen gegeven en workflows in gang gezet om geconstateerde misstanden op te lossen. Zo kan de RSA Envision SIEM-oplossing méér dan 1500 standaard rapporten opleveren. Een GRC-oplossing is in staat om te rapporteren over een totaal framework als COBIT met honderden controls en bijbehorende metrics, die voornamelijk gericht zijn op processen.

Het is bijna onmogelijk om hieruit een effectieve standaardrapportage te kiezen die recht doet aan de verschillende waardebelevingen met betrekking tot security, zoals ik die bovenstaand heb aangegeven.  

Is er tot nu toe dan geen set security metrics samengesteld die inspeelt op individuele wensen en de drie aandachtspunten mens, proces en techniek? Het antwoord is ja, en nee!

Er zijn verschillende initiatieven. Binnen COBIT 5.0 is de bijdrage van IT (en daarmee IT-security) aan de business centraal komen te staan. Zoals ik al eerder aangaf is COBIT erg procesgeoriënteerd. ISO 27004 geeft een richtlijn voor security metrics met betrekking tot het security management proces (ISO 27001). NIST heeft op basis van SP 800-55 een richtlijn opgesteld voor security metrics die meer technisch geörienteerd zijn. Het Center for Internet Security heeft een verzameling metrics samengesteld die grotendeels procesgeoriënteerd zijn.

Andrew Jaquith heeft met zijn boek ‘SecurityMetrics: Replacing Fear, Uncertainty, and Doubt’ in mijn ogen de beste kijk op security metrics neergezet. Dat is onderbouwd door de periodieke MetriCon meetings waar indringend gediscussieeerd wordt over de juiste security metrics. In hoofdstuk 10 bouwt Jaquith een ‘Balanced Security Score Card’ op met de indeling: financieel, klant, intern proces en leren & groeien. De voorbeelden van security metrics die hij geeft zijn veelzijdig en kunnen goed gebruikt worden om individuele wensen in te vullen. Daarbij is het ook mogelijk om samenhang aan te brengen tussen mens, proces en techniek.

Heeft Jaquith daarmee de ultieme methode en verzameling security metrics te pakken?

Wellicht, maar bedenk goed op welke wijze jouw organisatie stuurt op organisatiedoelstellingen. De balanced scorecard methode, zoals Jaquith in hoofdstuk 10 beschrijft, is van nature een top-down aanpak. Dat houdt in dat midden management en medewerkers mee moeten in de rapportagecultuur en beperkte mogelijkheid hebben tot eigen inbreng. De effectiviteit van security besturen in een organisatie is in mijn ogen sterk afhankelijk van de wijze waarop de organisatie als geheel bestuurd wordt. En de balanced score card past daar misschien niet bij.

Als je in jouw organisatie de effectiviteit van security duidelijk wilt maken, houd dan goed rekening met de individuele wensen. En probeer samenhang aan te brengen tussen mens, proces en techniek. Als je al gebruik maakt van standaardrapportages houd die dan eens tegen het licht en bekijk of ze voldoen aan die individuele wensen. Pas ze zonnodig aan.

Heb jij specifieke ervaringen op dit gebied, of heb je een uitgesproken mening over de waarde van security? Laat die dan weten! Alvast bedankt.  

Apps die jouw informatie versturen zonder je toestemming!

Gisteren berichtte ik nog over een onderzoek van de Sunday Times waarin apps vertrouwelijke informatie bleken te versturen naar India en China. Vandaag zijn verschillende organisaties in de Verenigde Staten aangeklaagd voor het distribueren van dit soort apps. Het betreft Facebook, Apple, Twitter, Yelp en 14 andere organisaties. Dit bericht geeft aan dat het ecosysteem rondom appstores onder het vergrootglas ligt. Ik ben ervan overtuigd dat app-whitelists een goede maatregel zijn om dit probleem te adresseren.

De Australische Department of Defence (Intelligence & Security) heeft in 2011 een top 35 maatregelen opgesteld waarmee een groot aantal cyberaanvallen op Australische overheidsinstellingen zijn tegen gehouden. Sterker nog, met de top vier maatregelen zijn in 2010 meer dan 80% van de aanvallen tegengehouden. De top vier maatregelen bestaat uit:

• Patchen van operating systems.
• Patchen van applicaties.
• Beperken van admin rechten.
• Toepassen van applicatie-whitelists.

Als een maatregel als applicatie-whitelists goed werkt in een Windows-omgeving, is het dan een goede maatregel voor smartphones?

Android stelt aardig wat eisen aan de gebruiker als het gaat om security. Apple daarentegen veel minder. Bij Android wordt een gebruiker gevraagd bewust in te stemmen met het toewijzen van allerlei rechten aan nieuwe apps. Dit kan echter doorslaan in het toekennen van teveel rechten. En daar kunnen kwaadaardige apps misbruik van maken zonder dat gebruikers dat door hebben.  

In een onderzoek bij standaard Android smartpones is gebleken dat het permissiemodel door verschillende modellen niet op de juiste manier is geimplementeerd. En daar kunnen kwaadaardige apps vrij eenvoudig misbruik van maken. Gebruikersinformatie wissen, SMS-berichten versturen of ongevraagd gesprekken opnemen behoren tot de mogelijkheden.

App-whitelists bieden hier een goede uitkomst hoewel ze natuurlijk de vrijheid beperken die je de gebruikers bij Bring Your Own Device wilt geven. Een oplossing die hierbij helpt is het afschermen van bepaalde API's zodat alleen goedgekeurde applicaties worden toegelaten. Daarnaast zouden bepaalde apps en signatures van ontwikkelaars op een blacklist gezet kunnen worden. 

Het toepassen van app-whitelists is niet eenvoudig, maar er zijn goede resultaten mee behaald in de Windows-omgeving. Gelukkig ontwikkelen verschillende security vendors betere anti-malware oplossingen voor mobiele apparaten waar ook whitelists tot de mogelijkheden behoren.

Speelt Bring Your Own Device bij jou in de organisatie? Bespreek dit dan vanaf het begin met de gebruikers. Zoek naar de juiste balans tussen individuele gebruikerservaring (onbeperkte functionaliteit) en goede beveiliging (o.a. app-whitelists). Gebruikers zijn in mijn ogen echt aan te spreken op de verantwoordelijkheid die ze hebben bij het verwerken van vertrouwelijke bedrijfsinformatie. Zeker als ze dat doen op hun eigen apparatuur, in hun eigen omgeving en via een provider die ze zelf hebben gekozen.

Ga niet uit van de standaard security van smartphones!

Met meer dan twintig jaar ervaring op het snijvlak van IT en organisatie verbaas ik me elke dag weer over de staat van security binnen organisaties. BYOD brengt de IT-afdeling in verwarring waardoor de rem erop gaat. Security speelt daarbij een belangrijke rol. Dat is terecht, maar het gesprek met de gebruikers moet wel gevoerd worden!

Security en Het Nieuwe Werken

Controle en vertrouwen

Nederland loopt wereldwijd voorop als het gaat om Het Nieuwe Werken. Intensief worden gebouwen en werkplekken aangepast aan de flexibele werkstijl. Soms met een eenzijdige aanpak op alleen de fysieke elementen (bricks & bytes), soms met een uitgebreidere aanpak waarbij ook zachtere aspecten van Het Nieuwe Werken worden meegenomen (behaviour). De uitdaging ligt in het ‘loslaten en verbinden’, maar daarbij moeten de medewerkers wel aangestuurd en vertrouwd kunnen worden.

Van oudsher worden medewerkers gecontroleerd op de voortgang van hun werk. Daarbij komt dat de politiek en wet- & regelgeving steeds meer de nadruk op controle van de bedrijfsvoering leggen. Het Nieuwe Werken vraagt echter om los te laten en te vertrouwen. Maar is dat realistisch in de situatie waar compliance en governance de druk voor controle opvoeren?

Een belangrijk element van de dagelijkse activiteiten is de kwaliteit van de dienstverlening aan de klanten. Dat betekent dat er bekwame professionals nodig zijn om het werk uit te kunnen voeren. Binnen de muren van het kantoor kan een manager met situationeel leiderschap prima de kwaliteit van het werk sturen. De doorgewinterde professional wordt vrijgelaten om op basis van zijn eigen verantwoordelijkheidsgevoel en ervaring zijn werk te doen. De minder ervaren collega kan, gecoacht door de manager, ook zijn werk op het benodigde kwaliteitsniveau afleveren.

De vraag is of onder Het Nieuwe Werken situationeel leiderschap zijn waarde verliest. Ja, er moet gestuurd worden op resultaat. Maar nee, niet iedere medewerker heeft voldoende verantwoordelijkheidsgevoel of ervaring om individueel zijn werk goed af te krijgen. Dat betekent dat een manager de medewerker op een positieve manier moet ondersteunen en/of coachen. Zo kan uiteindelijk die medewerker, onder de voorwaarden van Het Nieuwe Werken, toch zijn werk goed doen. Soms moeten managers dus hun medewerkers tussentijds kunnen controleren op de voortgang en kwaliteit van hun werk. Alleen dan is het mogelijk om de medewerker professioneler en meer verantwoordelijk te maken. Controle is dus wel nodig, maar het moet een positief doel nastreven.

Hetzelfde geldt voor het organiseren van security ‘rondom de medewerker’. Hier bedoel ik mee dat bij Het Nieuwe Werken we niet meer kunnen volstaan met het beveiligen van de infrastructuur. De data van de medewerker is straks opgeslagen in de cloud. De verbinding tussen de medewerker en de data wordt niet beheerd door de IT-afdeling. Kortom, de securityfuncties (zoals firewall, anti-virus, IPS, …) moeten rondom de medewerker georganiseerd worden. Die bepaalt waar hij is, op welke manier hij de data benadert en in de ultieme situatie waar de data is opgeslagen.

Bij de toegenomen vrijheid van de individuele medewerker hoort een grotere verantwoordelijkheid. De vakinhoudelijke kwaliteiten van medewerkers kan veelal goed worden ingeschat. Echter de mate waarin bewust verantwoordelijk wordt omgegaan met vertrouwelijke informatie is veel moeilijker in te schatten. Daar bestaan geen richtlijnen voor. Het loslaten van een vakinhoudelijk bekwame medewerker is vaak al moeilijk voor managers. Dat houdt in dat het loslaten van medewerkers, die zich niet bewust zijn van de risico’s, nog veel moeilijker moet zijn voor managers.

Feit is dat managers zich vaak ook niet bewust zijn van de risico’s die ze lopen bij het werken met vertrouwelijke informatie. Er is dus geen fundament voor loslaten en vertrouwen als het gaat om de privacy van klantgegevens, patiëntgegevens, financiële gegevens of persoonlijke gegevens. De medewerkers moeten zich van moment tot moment bewust zijn van het werken met privacy gevoelige informatie. Dat zijn ze binnen de kantoormuren nauwelijks gewend, laat staan als ze thuiswerken of bij Starbucks aan het werk zijn.

Dit alles houdt in dat de medewerkers stevig ondersteund moeten worden om bewust te kunnen handelen bij het verwerken van vertrouwelijke gegevens. Daar hoort een positieve manier van controle bij. Dit is niets anders dan de controle van de managers op de vakinhoudelijke voortgang en kwaliteit van het werk van de minder ervaren medewerker.

Ten slotte komt het neer op een positieve ondersteuning van alle medewerkers als ze aan Het Nieuwe Werken mogen beginnen. Ze moeten, nog meer dan op basis van hun vakinhoudelijke professionaliteit, geholpen worden bij wat ik noem ‘risicomanagement op de werkplek’. Dit kan door een transparante manier van monitoren van het gebruikersgedrag. De organisatie voldoet daarmee aan de compliancyrichtlijnen en de medewerkers kunnen hun werk veilig doen. Belangrijk blijft om op te merken dat het monitoren van gebruikersgedrag gepaard gaat met privacyvraagstukken die aan de hand van de richtlijn ‘Goed werken in netwerken’ van het College Bescherming Persoonsgegevens geadresseerd kunnen worden.