Security budget excl. BTW

Een maand zonder saldo!

‘In navolging van het plan van de PVV, een maand zonder BTW, bereidt de ING zich voor op de maand zonder saldo’ (Pieter Derks, DWDD).

Als securityprofessional kijk je tegenwoordig niet zo snel op van dienstverlening die op z’n gat ligt. Geenstijl gaf aan dat de cyberjihad de pijlen op de bank gericht had. ING zelf gaf aan dat het afgelopen woensdag lag aan de foutieve verwerking van éénbestand.    

Gewoon de foutieve verwerking van een bestand. Niets cybercrime, gewoon een fout in de verwerking. Integriteitsissue? Toch wel weer een beetje security?

Treurig was dat de bank geen goed communicatieplan heeft toegepast om de storm van beschuldigingen op de sociale media in te dammen. Ik heb het idee dat na ‘de run op gratis geld in 2010’ er toch lessen geleerd waren.  

Dan is het vreemd dat deze week die geleerde lessen niet van stal gehaald werden. Wellicht zijn de hersenpannen, die deze geleerde lessen bevatten, intussen weggesaneerd.

Later deze week heeft de bank beter gecommuniceerd. Toen betrof het een massale DDOS-aanval.

Het is zorgwekkend als blijkt dat banken, die onderdeel zijn van de kritieke infrastructuur in Nederland, specifiek doelwit worden. Anderzijds is het zorgwekkend dat diezelfde banken het toch steeds weer moeilijk vinden om de juiste maatregelen te nemen en uit te voeren.

Maar hier geen uitgebreid verhaal hoe slecht de Nederlandse kritieke infrastructuren zijn voorbereid op wat Geenstijl de ‘Cyberjihad’ noemt.

Veel meer ben ik geïnteresseerd in jouw voorbereidingen op het volgende securityincident.

Bij al die organisaties waar ik kom heeft de jaarlijkse audit aan het licht gebracht welke risico’s gelopen worden. De organisaties zijn op grote schaal niet in staat om zelf een deugdelijk risicomanagement proces in elkaar te schroeven en uit te rollen. Dat moet de externe auditor weer voor ze doen (of een incidentje brengt de directie wel weer op de hoogte van de noodzaak).

Directeuren en Groot Aandeelhouders maken zich sterk zorgen over afnemende marges, teruglopende omzet, sterkere concurrentie, late betalingen, hoge loonkosten, klanten die afscheid nemen, etc. Ze zijn zich erg bewust van risico’s die de organisatie loopt. De mindset om risico’s te managen is in mijn ogen bij directies sterk aanwezig.

Hoe komt het dan dat risico’s zoals cybercrime en bijbehorende securityissues niet tussen de oren te krijgen zijn van de beslissers?

Gek is dat er een toenemend aantal security officers/managers te vinden is in organisaties. Veel van die security officers die ik spreek komen met hetzelfde verhaal: ‘ze willen niet luisteren’. Ook al fikt de buitenwereld af, het lukt niet om security serieus onder de aandacht te brengen.    

Is dit een op zichzelf staand probleem? Of zijn er vergelijkbare problemen?

Voor mezelf heb ik de vergelijking wel eens gemaakt met ‘kwaliteit’. Security is toch ook een kwaliteitsaspect van bedrijfsvoering? Bestaan daar dan geen parallellen? Hoe is kwaliteit op basis van ISO 9001 dan wel ingevoerd? De vergelijking loopt uiteindelijk mank in mijn ogen. ISO 9001 certificering werd een onderscheidend vermogen ten opzichte van de concurrentie. En dat wordt in directiekamers erg goed begrepen. Hoe je security buigt, wendt of keert, het wordt geen concurrentievoordeel.  

Bang maken laat ik maar over aan de commercianten van WC-Eend. Ik denk dat je angst moet wegnemen. Meten is weten. Dan kom ik terecht bij het goede boek van Andrew Jaquith ‘Security Metrics: Replacing Fear, Uncertainty, and Doubt’ Vooral het hoofdstuk over de Security Balanced Score Card geeft goede handvatten om security serieus te koppelen aan bedrijfsdoelstellingen.

Maar door te meten krijg je de juiste ingrediënten voor een fundamentele discussie over security met de directie. Die discussie is noodzakelijk, maar in mijn ogen moet je security breder aanpakken.

Als kritieke dienstverlening zo makkelijk onder druk komt te staan door DDOS-aanvallen en de foutieve verwerking van één bestand. Dan kun je niet anders concluderen dat die werkelijkheid ook sneller op jouw organisatie afkomt. In dat licht bekeken zie ik de noodzaak om te komen tot een goede strategie om de risico’s van cybercrime tegen te gaan. Naast de afnemende marges, de teruglopende omzetten, de steeds hoger wordende kosten en de afscheidnemende klanten bestaat het reële risico dat de organisatie bloot komt te staan aan serieuze securityincidenten.

De vraag is hoe je dit tussen de oren van de directie, de managers en uiteindelijk de werknemers krijgt?

Bij een grote financiële dienstverlener kreeg ik eens de vraag hoe de directie duidelijk was te maken dat ‘APT’s’ echt een risico van betekenis waren? Vanuit de bezorgdheid van een firewallbeheerder of IT-Security Officer kan ik me die vraag voorstellen. Alleen je moet wel de directie op hun eigen behoeften gaan aanspreken. Jargon is natuurlijk een valkuil. Je moet ook financieel je mannetje staan en goed begrijpen welke issues er spelen rondom processen als sales & marketing, logistiek, finance, HR, inkoop, …

Maar dat zijn allemaal ingrediënten voor de dialoog. Het gaat me veel meer om de mechanismen, zoals dialoog, die nodig zijn om een beweging in gang te zetten. Hoe breng je een goed verhaal tot leven? Daar is volgens mij meer voor nodig dan de juiste ingrediënten voor de dialoog. Alleen dialoog is trouwens ook niet voldoende.

Ik wil je graag wijzen op de veranderaanpak van John Kotter. Hij heeft een aanpak, gebaseerd op 8 stappen, ontwikkeld die intussen wereldwijd veel wordt toegepast. De acht stappen zijn de volgende:

Bereid de weg voor

• Creëer een gevoel van urgentie - Help anderen inzien waarom verandering noodzakelijk is en waarom het belangrijk is om meteen te handelen.

• Verzamel een leidend team - Zorg dat er een sterke groep is die de verandering stuurt – met leiderschapsvaardigheden, geloofwaardigheid, communicatieve vaardigheden, autoriteit, analytische vaardigheden en urgentiebesef.

Maak een plan van aanpak

• Ontwikkel een visie en strategie voor de verandering - Maak duidelijk hoe de toekomst verschilt van het verleden en hoe die toekomst kan worden gerealiseerd. Zorg dat het gebeurt.
• Communiceer om draagvlak en betrokkenheid te creëren - Zorg dat zo veel mogelijk anderen de visie en strategie begrijpen en accepteren.
• Maak het anderen mogelijk om te handelen  Neem zo veel mogelijk obstakels weg, zodat degenen die de visie willen realiseren, dit ook kunnen doen.
• Genereer kortetermijnsuccessen - Creëer zo snel mogelijk een aantal zichtbare, overtuigende successen.
• Houd het tempo hoog - Voer de druk en het tempo op na de eerste successen. Blijf veranderingen doorvoeren totdat de visie is gerealiseerd.

Bestendig de nieuwe situatie

• Creëer een nieuwe cultuur - Houd vast aan de nieuwe benaderingen en zorg dat deze resultaten opleveren, totdat ze sterk genoeg zijn om oude tradities te vervangen. 

Een echte aanrader om de aanpak te zien werken is het boekje ‘Onze ijsberg smelt’ van John Kotter. Een pinguïnkolonie krijgt op een dag door dat hun ijsberg smelt. De noodzaak tot veranderen wordt niet door allemaal gezien. Sommigen willen wel planmatig hun voorbereidingen treffen. Voorstanders, tegenstanders en zwevende kiezers zijn allemaal herkenbaar. Uiteindelijk lukt het om vanuit een heldere visie een leidende coalitie te vormen en de verandering in gang te zetten. Je zult vele rollen in het boekje kunnen herkennen in jouw organisatie.

Security is een organisatiebreed probleem. De realiteit voor veel organisaties met betrekking tot security lijkt erg op die smeltende ijsberg. Ja, realiseer de juiste ingrediënten voor de dialoog. Maar besef dat er meer nodig is dan de juiste taal en de juiste feiten. Er zijn mechanismen nodig om taal en feiten beter tot hun recht te laten komen. De aanpak volgens Kotter kan hierbij wel eens een goede vliegwielwerking hebben.

Ga jij de komende tijd je organisatie in de securitysteigers zetten, doe het dan in juni, Dat houdt de kosten lekker laag. Geen BTW in ieder geval, als het aan de PVV ligt (Pieter Derks, DWDD)

Is jouw security programma kleurrijk?

Ik heb in mijn rol als security professional geleerd de positieve kant van alles te bekijken. De beroepsgroep staat als ‘drempel’, ‘obstakel’ en ‘prominent dwarsligger’ te boek. ‘Dat is een imago dat ik moet afwerpen’ dacht ik enkele jaren geleden. Op een gegeven moment kreeg ik via via terug dat ik als security manager ‘best wel een aardige gozer’ was.

Daar gaat je imago. Met aardig zijn red je de wereld niet. Maar met dwarsliggen lukt het je ook niet. Het is een gave om geloofwaardig jouw boodschap over te brengen op de rest van de organisatie. Je weet wel, die honderden medewerkers minus die ene (jijzelf).

Vandaag even gegoogled naar afbeeldingen van ‘hacked’. Je ziet het resultaat hieronder.

Dit is maar een snapshot.

Ik schrok er van. De perceptie met betrekking tot ‘hacked’ is doorspekt met zwartgalligheid. Ik heb een aantal ethical hackers als collega, maar die dragen toch geen zwarte kleding. Kan komen doordat ze ook nog wel eens naar klanten moeten. Toch hebben we recent afscheid genomen van een stagiair die echt door en door zwart gekleed was. Mooie vent die een goede opdracht uitgevoerd heeft trouwens! Vrolijk en erg scherp in zijn waarnemingen. Niet het prototype van een depressieve knakker.

Maar als we het internet met zijn allen met zwarte afbeeldingen bevuilen, als we het hebben over ‘hacked’, ga ik me toch echt afvragen of we het bijltje er bij neer hebben gegooid?

Met de nationale initiatieven als het NCSC en commerciële bedrijven die jullie als toiletpot zien en ‘wij van WC-eend’ kwaken, moet er toch echt licht aan het einde van de tunnel te zien zijn. Dat je nog even op zoek bent naar de juiste oplossing of ‘way-to-go’ kan ik me voorstellen.

In voorgaande blogartikelen heb ik al gesproken over het feit dat je met 1-0 achter staat. Je hebt geen budget, kennis, ervaring, tools en mensen om de ratrace met de hackers te beslechten. Feit is dat je met zeer grote waarschijnlijkheid behoort tot de meerderheid van de organisaties die er meer dan enkele maanden over doen om te ontdekken dat ze geïnfecteerd zijn. Daarna ruim je de rommel pas na enkele weken tot maanden op. Google maar even op Verizon Data Breach Investigation Report.

Ga jij morgen lachend naar je werk? Ga jij met alle plezier de iPad van je directeur aansluiten op het bedrijfsnetwerk? Leg jij met een grote grijns die marketeer uit dat dropbox echt risico’s met zich meebrengt? Wijs jij met een stralend gezicht alle informatieeigenaren aan in de organisatie? Ontvang jij met een gerust gevoel de auditor? Sta jij zonder blikken of blozen de externe audit van die ene klant toe? Heb jij er vertrouwen in dat je morgen die nare pop-ups bij de directiesecretaresse de nek omdraait? Vertel jij met een goed humeur dat je directeur een geweldige mededeling op LinkedIn gedaan heeft over de ambitieuze overname?

Respect!

Maar goed, ik ga me hier niet verder begeven op het zwartgallige pad. Liever ben ik realistisch. Of er dan andere teksten uit de pen vloeien weet ik niet. Wel weet ik dat er een aandrang moet zijn om:

•       Het imago van ‘notoire dwarsligger’ af te werpen.
•      De oplossingen te blijven zoeken voor de 1-0 achterstand op hackende Chinezen en Russen.
•      De mannen met geld te blijven bestoken met de rationele werkelijkheid. ‘We zijn al gehacked’. ‘Het kost wat om de rotzooi op te ruimen’. ‘Nee, we zijn zelf niet in staat om deze risico’s het hoofd te bieden’. ‘We moeten op zoek naar expertise en ervaring die we zelf niet hebben’.

Ik wil je vragen morgen een kleurrijke outfit aan te trekken. Laten we in godsnaam die zwartgalligheid afwerpen. Die ‘diep-in-de-put-mentaliteit’moeten we kwijt. Toch moet je ook realistisch blijven. Verizon geeft al meerdere jaren aan dat organisaties maanden nodig hebben om infecties op te merken. Dat alleen biedt al genoeg handvatten om in de put te gaan zitten.

Dus, wat gaan we doen?

Morgen trekken we die leuke blouse uit 1990 aan. Kleurrijk en overdreven. We geven ze niet de kans om te denken dat we de hoop hebben opgegeven. ‘Zij’ zullen er aan moeten geloven. Binnen jouw organisatie is een herboren security professional opgestaan. Die zal ze wel eens vertellen wat hun verantwoordelijkheid is. Big smile en een onovertroffen zelfovertuiging!

Ik zou zeggen: ‘Succes met je kruistocht’! Win de juiste zieltjes voor je verhaal. En laat ze maar zeggen dat je ‘best wel een aardige gozer’ bent.

De eerstvolgende keer dat je ‘hacked’ googlet ziet je scherm er kleurrijk uit!  

Op een oude fiets moet je het leren

In mijn jeugd heb ik veel gesport. Ik speelde hockey en tennis. Daarbij spreek ik niet over topsport maar er bestond wel aandrang om te winnen en steeds beter te willen spelen. Nu zijn hockey en tennis sporten waar je veel creativiteit in kwijt kunt. Er zijn weinig stramienen waarbinnen je moet blijven om tot een goede prestatie te komen.

Op een gegeven moment kwam er een squashclub in het dorp. Een grote hal werd neergezet en ik was gelijk verkocht. Tennis werd ingeruild voor squash en ik begon fanatiek mijn vrije tijd in het spelletje te stoppen. Het eerste seizoen waren er al clubkampioenschappen en ik stond in de finale tegen een sluwe ervaren vos. Met 3-0 werd ik van de baan gemept. Maar ik was wel tweede bij de clubkampioenschappen!

In de jaren hierna nam het fanatisme niet af en heb ik steeds de uitdaging gehad om squash te spelen via vaste stramienen. Lange slagenwisselingen en een groot gebrek aan creativiteit. Ballen moesten strak langs de muur geslagen worden. Ook de juiste lengte speelde een belangrijke rol. Met mijn niveau heb ik eigenlijk altijd geworsteld om die stramienen tot in perfectie uit te kunnen voeren.

In de beginjaren is in die strijd, mede door de onkunde van een startende squashspeler, menig racket gesneuveld. De ontwikkeling op het vlak van het materiaal was enorm. En ik ben vaak gezwicht voor de nieuwste en mooiste rackets. Drie weken later stond ik dan weer met een kapot racket op de baan. Het mooie was dat de fabrikanten hun rackets voorzien hadden van de tekst 'Due to the nature of the game of squash we can not guarantee this racket'.

Briljant, je kocht een duur racket, maar de garantie was niet eens tot aan de deur. Gewoonweg omdat er teveel muren in het spel zijn waartegen je het racket kunt beschadigen.

Waarom vertel ik je dit? Twee zaken die ik hierboven beschrijf zie ik in mijn professie terugkomen.

Vooropgesteld, ik zie veel organisaties fanatiek hun IT en bijbehorende security regelen. Toch valt het op dat veel investeringen in security gebaseerd worden op de keuze van het beste apparaat. Na veel 'Fear, Uncertainty en Doubt' door fabrikanten en commerciële broeders van 'Wij van WC-eend' kiezen organisaties vaak voor het 'beste' product. De kostenoverwegingen even daargelaten.

Het tweede aspect is het gebrek aan structuur waarmee securityprocessen worden uitgevoerd. Soms voeren organisaties te weinig securityprocessen uit. Elders houden organisaties er een ad-hoc beleid op na en wordt pas gereageerd als er een virusinfectie plaatsvindt.

Gelukkig worden technische securityoplossingen wel gegarandeerd en kun je er denkbeeldig naar hartelust mee tegen de muren van je securityorganisatie aan slaan. Toch maakt de beste apparatuur je nog niet de professional die je moet zijn in dit vakgebied. Messi scoort meer dan 85 keer in een seizoen, maar niet doordat hij de beste schoenen draagt. Hij is wel de beste speler, en krijgt daarom ook de beste schoenen. 

Ik zie de fabrikanten trouwens nog niet hun apparatuur sponsoren aan organisaties die security op topsport niveau willen uitvoeren.

Je zult daarnaast security moeten gaan organiseren volgens saaie vaste stramienen van security management. Enerzijds het leren spelen op een gestructureerde wijze, en anderzijds het volharden in het steeds beter uitvoeren van de vaste stramienen maken je tot de profspeler die je moet zijn.

Als squashspeler luisterde ik goed naar mijn trainer. Hij leerde mij een betere speler te worden. Ook gaf hij me advies over mijn materiaalkeuze. Gelukkig trof ik trainers die met beide voeten op de grond stonden, en koos ik voor goed materiaal. De duurste rackets bleven in de winkel. Ze hebben me geleerd hoe ik via lange vaste stramienen de mogelijkheid had om steeds beter te gaan spelen. Het was aan mij en mijn gebrekkige talent om daarbij het onderste uit de kan te halen.

Tegenwoordig sta ik niet vaak meer op de squashbaan. De instelling om steeds beter te worden is niet gewijzigd. Professioneel bezoek ik daarom regelmatig een coach die mij leert werken volgens vaste stramienen. Het doel is om beter te worden.

Ik wil je meegeven om goed na te denken over de wijze waarop je security organisatiebreed wilt opzetten. Verlaat het ad-hoc beleid en overweeg welke risico's je wilt afdekken. Zoek daar de goede middelen voor. Daarnaast zul je procesmatig aan de gang moeten. Security management is wat anders dan ITIL, ITSM of COBIT. De verwevenheid daarmee is bij de een groter dan bij de ander. Maar security management kent een eigen set processen en procedures die vervlochten moeten worden met de processen van je IT-beheer.

Die procesmatige aanpak maakt security management net zo saai als een slagenwisseling van 20 tot 30 forehandslagen langs de muren van een squashbaan. Maar net als met squash kun je jezelf bij security management geen rare fratsen veroorloven. Die worden direct afgestraft.

Ik heb al vaker aangegeven dat je eens met de juiste security partner om tafel moet gaan zitten. Bespreek dan waar je volgend jaar wilt staan op het gebied van security management. Laat je begeleiden en opleiden tot een betere speler op het vlak van security. Leer lange saaie slagenwisselingen te maken op het gebied van security. Laat je niet iedere keer verleiden tot het aanschaffen van de duurste materialen.

Als je de opzet en de uitvoering van het spel niet beheerst maken de duurste technische hulpmiddelen geen prof van je! 

Anders dan de titel doet vermoeden zul je de oude fiets niet moeten gebruiken. Haal echter wel het beste uit je huidige security infrastructuur! Dat lukt door een goede procesmatige opzet van het beheer en het bijbehorende security management.

Ik hoor graag waar jij volgend jaar wilt staan op het gebied van security. Waar wil jij beter in worden? Welke aspecten van security management in jouw organisatie wil je beter gaan organiseren en uitvoeren?

Succes met de volgende virusuitbraak!

Is Noord Korea een Advanced Persistent Threat?

Vanmorgen heeft Noord-Korea een (langeafstands)raket gelanceerd en een satelliet in een vlucht om de aarde gebracht. De North American Aerospace Defense Command bevestigde het bericht. Gelukkig ‘vormden zowel de eerste trap als de tweede trap, inclusief bijbehorende afvalresten, geen gevaar voor Noord Amerika’. 

 

Ik stel me zo voor dat we hier te maken hebben met een geavanceerde tegenstander. Wellicht is de vergelijking met een Advanced Persistent Threat op z’n plaats.

 

Is dat wel zo? Laten we eens kijken naar de karakteristieken van een Advanced Persistent Threat. De volgende figuur geeft de levenscyclus van een APT weer.

 

 

De volgende aspecten zijn karakteristiek voor APT’s:

• Ze zijn erg doelgericht (targeted). Vooraf wordt in kaart gebracht welk doelwit de meest waarschijnlijke grote buit herbergt.
• Ze zijn complex. Ze zijn niet gemakkelijk te herkennen doordat ze samengesteld zijn uit verschillende aanvalsmethoden.
• Ze zijn permanent. Bij de eerste tegenslag laten ze zich niet uit het veld slaan. Vasthoudend als ze zijn blijven ze zoeken naar wegen om de waardevolle informatie te ontfutselen.
• Ze verstaan de kunst van het ontwijken. APT’s laten zich niet gemakkelijk zien. Ze kunnen nieuwe aanvalsmethoden toepassen op het moment van herkenning. Ze duiken zeer gemakkelijk onder de radar. 

 

De raketlancering van Noord-Korea is niet bepaald doelgericht te noemen. Althans niet gericht op een van hun opponenten (Amerika of Zuid-Korea). Maar wellicht dat hier een geavanceerde aanvalsstrategie achter zit en op later moment vanuit de ruimte een aanval gepleegd wordt? De mate waarin doelbewust voor deze aanval is gekozen valt te bezien. Misschien is het niet meer dan een stukje machtsvertoon en kan van een aanval domweg niet gesproken worden.

 

De complexiteit van de aanval laat zich moeilijker analyseren. Noord-Korea beschikt over de technologie om kernbommen te fabriceren. Op zichzelf is dat complex. Maar de complexiteit van de aanval maakt niet dat een potentiële aanval onherkenbaar blijft. Nogmaals, het kan zijn dat op later moment vanuit de ruimte een onverwachte aanval plaatsvindt. Dan zit momenteel de hele wereld zich onterecht te verontwaardigen over een NKISS (North Korean Impersonating Space Station). En hebben we regelrecht te maken met een atoomwapen.

 

Van de buiteland commentator van BNR (Bernard Hammelburg)  begreep ik dat Noord-Korea nog niet in staat is om hun kernkoppen dusdanig klein te maken dat ze op de langeafstandsraket passen. Het blijft gissen in mijn ogen. Wel staat boven water dat de raketlancering zeer zichtbaar is geweest voor de wereld.

 

Hoe lang het projectiel (lees satelliet) in de ruimte blijft is ook onbekend. Hoelang Noord-Korea in deze hoedanigheid dit soort spelletjes kan blijven spelen op het wereldtoneel is ook de vraag. Kortom, het is onduidelijk welke van de twee het meest permanente karakter heeft (de satelliet of Noord-Korea). Bij het permanente karakter van APT’s hoort ook een stuk vasthoudendheid. Met de geschiedenis van Noord-Korea voor ogen, in een snel veranderende wereld, wordt snel duidelijk dat er sprake is van vasthoudendheid bij de leiding van het land.

 

Hoe ontwijkend is Noord-Korea? APT’s hebben het vermogen om de aanvalstactiek aan te passen als ze op het punt staan ontdekt te worden. Hier is nauwelijks sprake van ‘op het punt staan om ontdekt te worden’. Het enige dat ik me kan voorstellen is het moment waarop de satelliet toch blijkt te beschikken over een geavanceerd wapensysteem. Daarbij is het goed mogelijk dat de communicatie tussen het control center in Noord-Korea en de satelliet te onderscheppen is. Ook hier is maar zeer beperkt sprake van enig ontwijkend karakter.

 

Is hiermee de vergelijking tussen Noord-Korea en APT’s voldoende duidelijk geworden?

 

De vraag is natuurlijk of je überhaupt die vergelijking kunt maken? Feit blijft dat APT’s tegenwoordig in vele verschijningsvormen een realiteit zijn. De dagelijkse werkelijkheid maakt dat organisaties zich echt zorgen moeten maken over verlies of diefstal van gevoelige informatie. Dreigend machtsvertoon van wederzijdse ‘Koude Oorlog praktijken’ speelt geen rol van betekenis hierbij.

 

De eenzijdige toepassing van deze tactieken door een land als Noord-Korea maken nog niet dat de wereld met een directe dreiging te maken heeft. Nauwlettend volgen van de situatie door de VN is het enig juiste wat moet gebeuren. Dat is een van de voordelen die deze raketlancering als gevolg heeft. In tegenstelling tot APT’s is het duidelijk welke dreiging er in de lucht hangt.

 

Wat dat betreft kun je jezelf misschien gelukkiger prijzen met deze situatie dan met de eerstvolgende cyberaanval op je IT-infrastructuur. Dat laat onverlet dat diefstal van vertrouwelijke informatie in geen verhouding staat tot de gevolgen van nucleaire dreiging!

 

APT's hebben de vervelende eigenschap onder de radar te duiken en te blijven. Vooropgesteld natuurlijk dat er een radar aanwezig is binnen de organisatie! Daarbij heeft het merendeel van organisaties enkele maanden nodig om te ontdekken dat ze geïnfecteerd zijn (Verizon). Er is geenszins te spreken van 'continuous monitoring'!

 

Dit in tegenstelling tot de raketlancering vanmorgen in Noord-Korea. Daarbij is direct duidelijk geworden dat de wereld op verschillende manieren dit soort activiteiten in de gaten houdt. Hier is weldegelijk sprake van een vorm van 'continuous monitoring'.

 

In mijn vorige blogartikel heb ik gesproken over 'terugkeer naar de basis'. Daar hoort wel de ambitie bij om sterk geautomatiseerd gebruik te gaan maken van security intelligence. Het gebruik van 'continuous monitoring' speelt een belangrijke rol. 

 

Is Noord-Korea een APT? Ik denk van niet. De situatie is wereldschokkend, dat wel. Maar de duidelijkheid van hetgeen gebeurt is maakt de behandeling door bijvoorbeeld de VN realiseerbaar. 

 

Vergelijk die situatie met je eigen organisatie. Is het duidelijk welke cyberaanvallen daar hebben plaatsgevonden? Is een concreet behandelplan actief om de infecties op te ruimen? Of duurt het nog enkele maanden voordat je door hebt dat de IT-infrastructuur geïnfecteerd is? 

 

Wat zul je staan te kijken als blijkt dat de eerstvolgende cyberaanval vanuit Noord-Korea plaatsvindt!

 

Succes met je voorbereiding op cyberaanvallen. 

 

 

 

 

Waar haalt u uw Cyber Security kennis vandaan?

Het aantal cyberaanvallen neemt intensief toe. Ze vormen voor iedere organisatie een probleem. De schade als gevolg van cyberaanvallen neemt verschillende vormen aan: omzet- & winstdaling, diefstal van intellectuele eigendommen, hoge kosten (boetes en herstelwerkzaamheden) en aantasting van de concurrentiepositie.

Deze week opende Minister Opstelten de site Alert Online om het bewustzijn ten aanzien van cyber security te vergroten. De site opende maandag 12 november met een aantal beginnersfouten (cookiewetgeving, auteursrechten, ..). Maar dat is ze vergeven. Feit is dat de site van start is en er waardevolle tips en handreikingen worden gegeven.

Om goed voorbereid te zijn op cyberaanvallen zullen organisaties echter een vergaande integrale aanpak moeten hanteren. Mensen, processen en technologie vormen één dimensie. Preventie, detectie en respons de tweede dimensie. Die aanpak moet procesmatig aangepakt worden (Plan–Do–Check–Act). Het is een aanpak die opgebouwd is rondom security intelligence en vraagt om ondersteuning door hoogwaardige cyber security specialisten.

De vraag is echter waar de benodigde kennis te halen is?

In de Verenigde Staten is in 2011 het National Initiative for Cybersecurity Education (NICE) van start gegaan. Dit is een programma met afspraken tussen overheid en opleidingsinstituten om naar schatting 30.000 cyber security specialisten op te leiden in de komende jaren. Momenteel betreft het een volwassen programma dat bestaat uit:

·        Een curriculum met opleidingen.

·        Job descriptions.

·        Richtlijnen voor opwaarderen van de cyber security workforce binnen organisaties.

·        Maturity scans.

Als de Verenigde Staten 30.000 specialisten nodig hebben, betekent dat de vraag in Nederland verhoudingsgewijs 1500 hoogwaardig opgeleide specialisten bedraagt. Op nationaal niveau bestaat de Nationale Cyber Security Research Agenda. Via intensief onderzoek moet kennis ontwikkeld worden voor het opleiden van cyber security specialisten op een breed scala onderwerpen. Ondanks dat er een Nationale Cyber Security Research Agenda bestaat ben ik van mening dat die 1500 specialisten de komende jaren niet in die grote getale aan de Nederlandse opleidingen zullen afstuderen.

Bedenk nog even dat volgens het Verizon Data Breach Investigation Report 2012 meer dan 50% van de onderzochte bedrijven enkele maanden nodig heeft om te ontdekken dat ze geïnfecteerd zijn.

Tel daarbij op dat Advanced Persistent Threats doelgericht en vasthoudend onder de radar bezig zijn om waardevolle informatie te verzamelen in uw netwerk.

De nationale initiatieven zijn goed maar de resultaten laten op zich wachten (begrijpelijk).

Kortom, u moet op zoek naar de juiste kennis en ervaring om een intensieve aanpak op poten te zetten tegen cybercriminaliteit.  Die kennis en ervaring is momenteel alleen voorradig bij security experts en vendoren. 

Mijn advies is dan ook: Ontwikkel met uw security partner een gedeelde ambitie voor een gedeeld probleem.

Zorg er dan wel voor dat uw security partner echt goede kennis en praktisch toepasbare ideeën heeft.

Succes met het opzetten van een succesvolle aanpak van cybercriminaliteit!

Let op! Malware draait al in stealth mode in uw netwerk!

In volgende blogberichten zal ik toelichting geven op enkele praktische maatregelen die u kunt nemen. 

Herfstweer, dicht met die deuren

Nu alle zorgplannen van Rutte II van tafel lijken is het echter nog niet gedaan met mijn bezorgdheid over kosten van de huishouding. Net heb ik nog lekker door de natuur gewandeld en genoten van het lekkere weer. Toch ben ik scherp op alles waarop we kunnen besparen. Zo zijn we thuis intensief bezig om de kinderen besef bij te brengen over onnodige kosten voor verwarming en elektricieit.

Het start met vriendelijk vragen om het licht uit te doen op hun kamer, of de deur achter zich dicht te doen. Een beetje ouder onder u weet dat zoiets niet effectief is. Dan komen de zwaardere maatregelen aan de orde. Drie keer deur openlaten betekent vandaag niet op de iPad. En als dat niet werkt gaan we aan het zakgeld sleutelen. En het werkt ook nog!

Het is deze week trouwens ‘week van het geld’, het is dus een prima week om je kinderen besef van kosten bij te brengen. Kijk even op 'week van het geld'.

Waarom begin ik over kosten van energie en deuren die dicht moeten?

Afgelopen vrijdag heeft Homme Bitter op ‘security.nl’ zijn column geschreven over ‘open deuren van DigiNotar’. Natuurlijk wisten we al veel van DigiNotar en hebben velen van u het rapport van Fox IT door zitten spitten. Homme legt echter op eenvoudige wijze uit dat het bij DigiNotar wel over een heleboel open deuren ging. Ik kijk al uit naar het tweede deel van zijn column.

De vraag is natuurlijk hoe dat soort open deuren ontstaan in beveiligingsinfrastructuren? Een beheerder die op eigen initiatief iets openzet? Of ligt hier een andere oorzaak aan ten grondslag?

Bij Diginotar waren vele open deuren niet gedocumenteerd. Voor mij is het dan al snel duidelijk. Gebrek aan kwaliteit van IT-beheer, ontbrekende security awareness en ondoordachte bedrijfsvoering binnen zo’n organisatie. Als security niet een serieus onderdeel is binnen een organisatie krijg je vanzelf open deuren.

Uit eigen ervaring weet ik dat het merendeel van die open deuren het gevolg zijn van snelle projecten, bijbehorende managers en ongeliniteerde dadendrang. De nieuwe services moeten de lucht in, de nieuwe klant moet gisteren aangesloten zijn, …

Natuurlijk ligt er een verantwoordelijkheid voor een security officer om bij ieder project van te voren de eisen t.a.v. security onder de aandacht te brengen. Maar het is niet iedere security officer gegeven om dat in de politieke arena te bevechten. Vooropgesteld natuurlijk dat er in de organisatie een security officer is aangesteld.

Kortom, open deuren als gevolg van een gebrekkig besef van security. Ik denk dan aan een regelrecht gebrek aan risicomanagement. De signalen kennen we wel. Angstige gezichten van directieleden als hun organisatie negatief in de pers komt.

Terug naar mijn kinderen. Bij mij thuis doen de kinderen de deuren nu vaker dicht door het direct gevolg voor hun zakgeld. 

Je hoeft geen gedragswetenschapper te zijn om te weten dat een gemiddeld directielid nerveus wordt als je aan zijn bonus zit. Ik stel voor dat je eens met de firewall beheerder doorneemt hoeveel deuren onbedoeld open staan. Schat eens in hoeveel daarvan het gevolg zijn van snelle projecten, doordrukken en politieke spelletjes.

Gebruik dat getal eens in het volgende gesprek met de directie over security. Laat hem zelf dan aangeven wel deel hij van zijn bonus bereid is in te leveren per open deur! Kijk deze week samen met directieleden ook even op ‘week van het geld’.

Wees wel snel want de malware draait al in stealth mode in je netwerk!

Succes met opvoeden.

Wanneer is security effectief?

In de rol als Security Manager heb ik in het verleden verschillende voorstellen gedaan voor nieuwe security trajecten. De beslissers die ik tegenover me trof waren op dat moment eigenlijk maar in één ding geïnteresseerd: ‘Wat is de Return On Security Investment?’ Of te wel: ‘Al zet je tien slagbomen voor ons kantoor, ik wil weten wanneer ik die euro’s terugverdien’.

Als beslisser kun je jezelf vandaag de dag echter niet meer onttrekken aan een gefundeerde mening over security. Of je wordt persoonlijk aansprakelijk gesteld, of de reputatie van jouw organisatie wordt geschaad. Dit kan al door een simpele USB-stick die een van je medewerkers verliest.  Je moet er grip op krijgen!

De vraag is echter: Wanneer vind je security effectief?

Voor iedereen binnen een organisatie zal dit een ander antwoord opleveren. Zo zal de directie geïnteresseerd zijn in de organisatiebrede verdeling van verwantwoordelijkheden en budgetten voor security. De IT-Manager wil graag weten in hoeverre securityprocessen (vulnerability management, patch management, incident management) effectief zijn. De business unit manager wil graag weten in hoeverre zijn processen veilig en effectief door IT-security ondersteund worden. De IT-Security Officer is op zoek naar de effectieve werking van security oplossingen. De Corporate Security Officer heeft van nature interesse in alle bovenstaande zaken, dat legt zijn functie hem op.

Dit zijn slechts enkele voorbeelden van de individuele waardebeleving rondom security.  Een ander aandachtspunt hierbij is dat iedereen de lat voor zichzelf op een andere hoogte legt. Dit heeft direct te maken met het accepteren van restrisico’s. Het risicoprofiel van de organisatie speelt hierin naar mijn mening een grote rol.

Omdat de informatiebehoefte zo verschilt per rol in de organisatie moet security monitoring & rapportage hiermee rekening houden. Een samenhangende verzameling security metrics zal die gemengde informatiebehoefte moeten invullen. Voor mijzelf komt hier de samenhang tussen mens, proces en techniek om de hoek kijken. Voor ieder van die drie aandachtspunten zullen security metrics opgenomen moeten worden in de rapportage. De onderstaande tabel geeft enkele voorbeelden.

Categorie	Voorbeeld
Mens	·         Aantal medewerkers die de awareness training hebben doorlopen. ·         Aantallen afdrukken die op de printer zijn achtergelaten. ·         Naleving van de Clean Desk Policy. ·         Aantallen mails met vertrouwelijke data naar ‘privé’-accounts.
Proces	·         Gemiddelde tijd om incidenten op te lossen. ·         Gemiddelde kosten om kwetsbaarheden te identificeren en op te lossen. ·         Percentage systemen die gepatched zijn op het vereiste niveau.
Techniek	·         Aantal tegengehouden DDOS-aanvallen. ·         Aantal virussen die zijn ontdekt. ·         Aantal virusuitbraken die zijn voorkomen. ·         Aantal botnets die zijn ontdekt.

Momenteel zijn verschillende fabrikanten van securityproducten in staat om grote hoeveelheden informatie te rapporteren. Op basis van SIEM-oplossingen en GRC-oplossingen worden adviezen gegeven en workflows in gang gezet om geconstateerde misstanden op te lossen. Zo kan de RSA Envision SIEM-oplossing méér dan 1500 standaard rapporten opleveren. Een GRC-oplossing is in staat om te rapporteren over een totaal framework als COBIT met honderden controls en bijbehorende metrics, die voornamelijk gericht zijn op processen.

Het is bijna onmogelijk om hieruit een effectieve standaardrapportage te kiezen die recht doet aan de verschillende waardebelevingen met betrekking tot security, zoals ik die bovenstaand heb aangegeven.  

Is er tot nu toe dan geen set security metrics samengesteld die inspeelt op individuele wensen en de drie aandachtspunten mens, proces en techniek? Het antwoord is ja, en nee!

Er zijn verschillende initiatieven. Binnen COBIT 5.0 is de bijdrage van IT (en daarmee IT-security) aan de business centraal komen te staan. Zoals ik al eerder aangaf is COBIT erg procesgeoriënteerd. ISO 27004 geeft een richtlijn voor security metrics met betrekking tot het security management proces (ISO 27001). NIST heeft op basis van SP 800-55 een richtlijn opgesteld voor security metrics die meer technisch geörienteerd zijn. Het Center for Internet Security heeft een verzameling metrics samengesteld die grotendeels procesgeoriënteerd zijn.

Andrew Jaquith heeft met zijn boek ‘SecurityMetrics: Replacing Fear, Uncertainty, and Doubt’ in mijn ogen de beste kijk op security metrics neergezet. Dat is onderbouwd door de periodieke MetriCon meetings waar indringend gediscussieeerd wordt over de juiste security metrics. In hoofdstuk 10 bouwt Jaquith een ‘Balanced Security Score Card’ op met de indeling: financieel, klant, intern proces en leren & groeien. De voorbeelden van security metrics die hij geeft zijn veelzijdig en kunnen goed gebruikt worden om individuele wensen in te vullen. Daarbij is het ook mogelijk om samenhang aan te brengen tussen mens, proces en techniek.

Heeft Jaquith daarmee de ultieme methode en verzameling security metrics te pakken?

Wellicht, maar bedenk goed op welke wijze jouw organisatie stuurt op organisatiedoelstellingen. De balanced scorecard methode, zoals Jaquith in hoofdstuk 10 beschrijft, is van nature een top-down aanpak. Dat houdt in dat midden management en medewerkers mee moeten in de rapportagecultuur en beperkte mogelijkheid hebben tot eigen inbreng. De effectiviteit van security besturen in een organisatie is in mijn ogen sterk afhankelijk van de wijze waarop de organisatie als geheel bestuurd wordt. En de balanced score card past daar misschien niet bij.

Als je in jouw organisatie de effectiviteit van security duidelijk wilt maken, houd dan goed rekening met de individuele wensen. En probeer samenhang aan te brengen tussen mens, proces en techniek. Als je al gebruik maakt van standaardrapportages houd die dan eens tegen het licht en bekijk of ze voldoen aan die individuele wensen. Pas ze zonnodig aan.

Heb jij specifieke ervaringen op dit gebied, of heb je een uitgesproken mening over de waarde van security? Laat die dan weten! Alvast bedankt.  

Je software wordt veilig!

Kwetsbaarheden voorkomen is goedkoper dan ze tijdens het gebruik van software verhelpen. Dat is in onderzoek al diverse keren aangetoond. 


Eerder gaf ik al aan dat softwarebedrijven de plicht hebben om veilige software af te leveren. Daarvoor kunnen ze dan gebruik maken van een methode als OpenSAMM. 


Door mijn allergie tegen onveilige software vallen berichten hierover me steeds vaker op. Zo ook het bericht dat Google het testen van Chrome geautomatiseerd heeft. Google heeft een 'virtuele' martelkamer ingericht waar 6000 instances van de Chrome-browser worden bestookt met 50 miljoen flodders code per dag. 


Het heeft ook al diverse kwetsbaarheden aan het licht gebracht waarvan een substantieel deel al voor release zijn ontdekt en verholpen. 


Nu heeft Google het proces van Fuzzing geoptimaliseerd, want het schieten met hagel heeft zelden voldoende resultaat. Het hoge aantal parallelle tests, waaraan Chrome wordt blootgesteld, levert genoeg informatie op om voortijdig de kwetsbaarheden te ontdekken. 


Deze manier van werken is natuurlijk niet voor iedere organisatie weggelegd (kosten, complexiteit, ...). Maar dat neemt niet weg dat iedere organisatie die applicaties bouwt de ambitie moet hebben om veilige software af te leveren.


Ik denk zelfs dat iedere organisatie die nieuwe software aanschaft ook de plicht heeft om de leverancier op de pijnbank te leggen om er achter te komen hoe veilig ze de software hebben gebouwd. Software is een duur bedrijfsmiddel en daar mogen we eisen aan stellen als afnemer! 


Is de software die jouw organisatie gebruikt veilig? Of is er een laag 'veiligheid' omheen geknutseld?


Ik ben benieuwd.


Blijf alert! Niet alleen de software op je PC moet veilig zijn, maar ook al je apps! Heb je daar controle over? Bekijk het ecosysteem van de app-stores. Daar zijn meer dan 65 risico's in vastgesteld!


  

Security organiseren - de triade (2)

In een vorig artikel heb ik aangegeven dat na een certificeringstraject voor ISO 27001 al vlug sprake is van practical drift. De discipline van verantwoord omgaan met vertrouwelijke informatie verandert al vlug in nalatigheid (bewust of onbewust). 


Voor goede aandacht voor security binnen een organisatie ben ik er van overtuigd dat de CEO, de CIO en de CSO intensief moeten samenwerken. Todd Fitzgerald heeft daar een goed artikel over geschreven in 2007. Ondanks dat security zich in snel tempo aanpast aan de ontwikkelingen op het gebied van cybersecurity blijft datgene wat Todd Fitzgerald beschrijft van waarde. 


Het spreekt me erg aan juist omdat het uitgaat van een gedeelde verantwoordelijkheid waarbij de betrokkenen elkaar moeten vinden en begrijpen. En dat is vaak niet het geval in een (hiërarchische) organisatie. 


Het vorige artikel zoomde in op de vragen die de CEO aan de CSO kan stellen voor een betere samenwerking. Onderstaand zijn de vragen weergegeven die de CIO aan de CSO kan stellen.

• Welke inspanning is er minimaal nodig om veilige software te ontwikkelen?
• Wat moeten we doen om audit issues te voorkomen in de softwareontwikkeling, zonder significante kosten of vertragingen op te lopen bij onze IT-projecten?
• Hoe zie jij jouw rol, als reviewer van geïmplementeerde securitymaatregelen of als promoter vóór de implementatie?
• Welke technologieën zijn er beschikbaar om het arbeidsintensieve aspect van patch management, vulnerability management, configuration management en compliance monitoring te verminderen?
• Kun je nuttige informatie over reële risico’s in onze branche en alternatieve tegenmaatregelen die organisaties gebruiken opleveren?
• Hoe kunnen we verzekeren dat we aan minder risico’s blootstaan, zodanig dat we op een acceptabel risiconiveau zitten?
• Welk tastbaar voordeel bieden de investeringen in security om de business mogelijk te maken?
• Welke interne en/of externe audit issues worden verholpen door de investeringen in security?
• Welke IT-resources zijn nodig, in aanvulling op security medewerkers, om de security oplossing te kunnen implementeren? Welke ondersteuning van de business hebben we nodig?
• Hoe integreren we de security eisen in het software ontwikkelingsproces? Voeren we die taken al uit?
• Hebben we alle noodzakelijke kennis en ervaring in huis om deze security oplossing te implementeren? Moeten we wellicht overwegen om enkele van de functies uit te besteden?
• Wat zijn de kritieke succesfactoren voor succesvol beveiligen van de IT-infrastructuur? Hoeveel is genoeg?
• Hoe kun jij me helpen om mijn tijd en inspanning, met betrekking tot compliance activiteiten, te reduceren?

Er zijn natuurlijk veel vragen te bedenken. Het komt er op neer dat verantwoordelijke mensen binnen de organisatie zich er van bewust zijn dat ze die gedeelde verantwoordelijkheid hebben. Je kunt hier natuurlijk vanuit vele invalshoeken je licht op laten schijnen (leiderschap of onderhandelen). Maar dat gaat te ver voor dit artikel.  

Zie jij binnen jouw organisatie hoe de drie (CEO,CIO en CEO) samenwerken op het gebied van security? Of zie jij geheel andere positieve verbanden waardoor security juist goed georganiseerd is? Dat is interessant. Laat het me weten!

Blijf alert! Je hebt het laatste artikel over de triade nog van me te goed. Heb je opmerkingen, of wil je bepaalde onderwerpen terugzien? Laat het me dan weten. Reageer!

Verzuim - privacy van medische gegevens!

Mijn medisch dossier inzien ? Nee, dat is iets tussen mij en mijn arts.

Zembla zendt haar tweede uitzending over 'Verzuimpolitie' uit. Op kinderlijk eenvoudige wijze wordt duidelijk dat medische dossiers kunnen worden blootgelegd. Als security professional ben je wel wat gewend en sta je niet zo snel raar te kijken van dit soort beveiligingsissues.

We hebben DigiNotar en 'lektober' gehad, NING heeft ook de mogelijkheid geboden om 100 miljoen accounts in te zien. Maar in de uitzending van Zembla kwam die dagelijkse werkelijkheid wel heel dichtbij. Professor Bart Jacobs (Radboud Universiteit Nijmegen) schrok toen hij de gegevens kon inzien. Hij wilde op een gegeven moment de informatie niet eens inkijken. 

Het start al op het moment dat door 'case managers' medische gegevens gevraagd worden aan zieke medewerkers. Vervolgens worden die gegevens opgeslagen in de verzuimsoftware. Je staat er niet eens meer van te kijken dat zoiets gebeurt. De wet vraagt om actieve participatie van werkgever en zieke medewerker om het arbeidsverzuim efficiënt terug te dringen. Dan springen gewillig allerlei commerciële bureau's in het 'gat van de markt'.

Kun je dit tegengaan?

Wetgeving en gaten in de markt, waar iedereen gewillig in springt, zijn moeilijker te beïnvloeden. Dat is helder. Op dat vlak zal zeker veel moeten gebeuren. Maar het veilig ontwerpen, ontwikkelen, testen, in gebruiknemen en beheren van software is niet iets dat je links kunt laten liggen.

Softwareontwikkelaars hebben de simpele plicht om software veilig te maken. Onderzoek heeft ook aangetoond dat het voorkomen van kwetsbaarheden in software goedkoper is dan het verhelpen van kwetsbaarheden als de software al in gebruik is.   

Veilige software ontwikkelen is een organisatieaspect voor softwarebedrijven. Om dit goed in te richten is er bijvoorbeeld het OpenSAMM raamwerk. Een procesmatige aanpak waarin risicomanagement gedurende de gehele software lifecycle is verweven.

OpenSAMM of soortgelijke raamwerken lijken erg complex en overdone voor het probleem. Toch ben ik van mening dat het een (in)directe koppeling zou moeten hebben met wetgeving waarin gesteld wordt dat vertrouwelijke (medische) gegevens 'adequaat' beveiligd moeten worden 'naar de stand van de techniek'. 

Als een organisatie gecertificeerd is voor ISO 27001/2 kan met enige zekerheid iets gezegd worden over de beveiliging van vertrouwelijke gegevens. Echter deze internationale standaard richt zich maar voor een klein deel op de veilige ontwikkeling van software. Daar hoort mijns inziens echt een verdiepingsslag achter (de koppeling met raamwerken als OpenSAMM).

Doktortje spelen als commercieel bureau is verwerpelijk. Onveilige software ontwikkelen ligt daar mee in lijn. Denk hier over na als je in jouw organisatie een nieuw softwaretraject opstart. Beter nog, denk hier over na als je nieuwe software aanschaft! Ook dan heb je de verplichting om de kwaliteit van je bedrijfsmiddel onder de loep te nemen!

Een medisch gegeven van mijzelf wil ik wel met je delen. Ik ben allergisch voor onveilige software!

Blijf alert - je hebt nog enkele artikelen te goed over de securitytriade (CEO, CIO en CSO) en wetgeving met betrekking tot cybersecurity! Tot de volgende post!