Beheer je security infrastructuur

Het is bijna perfect

De laatste jaren heb je als organisatie intensief geïnvesteerd in de technische security infrastructuur. Intussen kun je gerust zeggen dat je iedere commerciant van ‘Wij-van-WC-eend’ wel over de vloer gehad hebt. Je hebt iedere keer succes bij de directie en krijgt je voorgestelde investeringen zonder mokken.

 Laten we even kijken wat je in huis hebt:

• Firewalls
• Web Application Firewalls
• VPN’s
• Intrusion Prevention
• URL-filtering
• Antispam & email security oplossingen
• Antivirus en antibot oplossingen
• Data Loss Prevention
• Identity Management oplossingen
• Encryption oplossingen
• Remote access oplossingen
• Mobile security oplossingen
• Endpoint security oplossingen
• Logging, Monitoring & Reporting met SIEM-tooling.
• Procesbeheer voor Operational Security Management op basis van GRC-tooling
• Threat Management oplossingen
• Vulnerability Management oplossingen
• Patch Management oplossingen

Alles werkt geïntegreerd en je kijkt alleen nog maar op de schermen om afwijkingen van de ‘dagelijkse gang van zaken’ te identificeren.

De risicobewuste medewerkers werken buiten de deur met vertrouwelijke informatie op hun eigen apparatuur. Ze slaan klantgegevens en/of patiëntgegevens veilig op in Dropbox, ze wisselen veilig vertrouwelijke informatie uit met andere organisaties via WeTransfer.

De jongens van Risk & Compliance zijn tevreden, de CFO weet precies wat er aan de hand is op het vlak van security, de directie verantwoord zich met een gerust geweten tegenover de auditors en de accountants.

Alles loopt gladjes en veilig.  

Wat? Herken je jouw situatie hierin niet?

OK, bellen met Ed van ‘WC-eend’, offertes aanvragen, projectvoorstellen doen, aanschaffen, implementeren en smile! Eindelijk veilig.

Als je security bottom-up benaderd dan beschrijft het bovenstaande ongeveer de weg die je bewandelt. Ik ben wellicht nog een tool vergeten, maar zo ongeveer het hele commerciële aanbod kun je er wel in terugvinden. Dat je als organisatie nog niet alles in huis hebt begrijp ik wel. Je wist niet dat dit allemaal mogelijk was, of je hebt een beperkte kijk op wat ‘veilig’ is. Misschien is je overredingskracht bij de directie als sneeuw voor de zon vertrokken. Kortom, allemaal redenen om nog niet zo ver te zijn.

Een bijkomend punt is dat strategisch, tactisch en operationeel security management nauwelijks is ingevuld. OK, er is een verantwoordelijk directielid, er staat iets in het IT-handboek over security en privacy en medewerkers hebben verklaard dat ze als goed huisvader de verstrekte IT-middelen zullen behandelen.

Het vervelende van security management is de praktijksituatie waarin via een top-down-aanpak diverse zaken zijn beschreven. Er is echter geen aansluiting bij het operationele security beheer en de technische security infrastructuur. Veelal eindigt het in het beschrijven van de noodzakelijke ISO 27002 controls.

Nou, knappe jongen als je die een beetje samenhangend hebt kunnen vertalen naar de operationele security management processen en de technische security infrastructuur.

Goed. Een knap beroerde situatie als je het bovenstaande leest. Herken je het?

Schepje er bovenop, leuk!

Stel dat je als organisatie strategisch en tactisch security management wel in de steigers gezet hebt. Stel dat jouw technische security infrastructuur wel het merendeel van de genoemde tooling bevat.

Het volstaat tegenwoordig niet meer om te vertrouwen op tooling die kwaadaardige software herkent op basis van statische signatures. Moderne inbraken vinden plaats op basis van nieuwe onbekende patronen. De aanvallen passen zich aan als ze ten dele herkend worden. Advanced Persistent Threats laten zich niet makkelijk identificeren en duiken direct weer onder de radar als dat wel het geval is.

Operationeel security management is meer dan het beheer van de technische security infrastructuur. Jouw mensen moeten security analisten zijn. De traditionele beheerder die de firewall er ‘even bij doet’ voldeed al niet, maar de securitybeheerder die dedicated de security infrastructuur ‘in de lucht houdt’ schiet ook te kort. Het draait om (security) informatie management.

Hebben jouw mensen die kennis en ervaring? Heb je de eerste sollicitanten naar die functie al op bezoek gehad? Zie jij voldoende gekwalificeerde mensen van de opleidingen de arbeidsmarkt opstromen?

Goed, misschien heb ik mijn bril niet op. Mij zijn ze nog niet opgevallen.       

Mooi balen, nou moet je ook nog eens met 3 P’s aan de gang: Product, Process & People.

Laten we even kijken naar het ideale plaatje:

• Je hebt het merendeel van de genoemde tooling in huis.
• Je hebt security management goed beschreven en de nodige processen gedocumenteerd.
• Je hebt een aantal goede security professionals in dienst.

Mijn ervaring is dat technologie en processen niet vanzelf werken. In sommige organisaties is het treurig gesteld en werken zelfs de mensen niet vanzelf. Dat laatste is wel erg negatief. Toch zijn producten en processen wel erg afhankelijk van de mensen. En daar wil ik je als laatste een paar tips voor meegeven. Daarbij maak ik de vergelijking met het elftal van mijn zoon. Een goede veldverdeling, iedereen een eigen taak/verantwoordelijkheid en een gemeenschappelijk doel. Samenwerking als een team.

 Wat kun je doen om jouw mensen als team te laten samenwerken? De medewerkers van een goed team beschikken over een aantal eigenschappen:

• Ze hebben een eenduidig beeld van de taken en doelstellingen van het team.
• Ze beschikken over de juiste vaardigheden, expertise en kennis.
• Ze werken op dezelfde manier aan hun taken.
• Ze zijn bereid om informatie met elkaar te delen.
• Ze vertrouwen en ondersteunen elkaar.
• Ze kunnen goed met conflicten omgaan.
• Ze nemen verantwoordelijkheid voor zowel hun individuele taken als de teamtaken.

Een aantal tips voor het bouwen aan je team zijn de volgende:

• Beschrijf een teammissie: waarom bestaat het team?
• Besluit welke doelstellingen het team nastreeft (korte en lange termijn).
• Maak een overzicht van de kennis, ervaring en vaardigheden binnen het team.
• Verdeel de teamrollen binnen het team (Belbin-rollen).
• Stel vast hoe meetings verlopen en welke werkwijzen gehanteerd worden (conflicten oplossen, informatie delen, communiceren, besluitvorming, ondersteuning bieden, creativiteit en innovatie, …).
• Breng de stakeholders in beeld (samenwerken met het team, blokkeren van het team, …).
• Verdeel de taken binnen het team.

OK, nu je dit weet, aan de slag dus. Bel Ed van ‘WC-eend’, die technische security infrastructuur moet voller! Bel Sjaak, de externe security consultant die security management pragmatisch bij jullie in de steigers komt zetten. Bel HR om de juiste mensen te werven. Ontwikkel je visie op professioneel, organisatiebreed, security management (strategisch, tactisch, operationeel). En kies je leiderschapsstijl.

Vertrekpunt voor goed security management moet zijn: risicobewust beheer van security waarbij de (uitvoerende) mensen bepalend zijn voor het succes.

People, Process & Product! Houd die volgorde aan!  

Haal jij, na het lezen van het bovenstaande verhaal, je schouders op? Is alles bij jou in de organisatie al perfect? 

Dan daag ik je uit. Laat het weten, treed naar buiten en leer ons hoe je dat gedaan hebt. Je bent redelijk uniek naar mijn oordeel. Je hebt eigenlijk een morele verplichting om te helpen bij de veilige verwerking van vertrouwelijke informatie binnen Nederlandse organisaties! 

Ik hoor vast snel van je. Alvast bedankt.  

Bruggenbouwen met securitypatronen

In het vorige blogartikel heb ik je bericht over het structureel bouwen aan security infrastructuren. Dat doe je op basis van security patronen. De patronen die het PVIB heeft opgesteld zijn goed gedocumenteerd en kun je HIER downloaden. 

Ik zeg: 'veel leesplezier'. 

Heilige huisjes en bruggenbouwen

28 februari gaat de geschiedenis in als de dag waarop de paus aftrad. De laatste paus die dat deed was paus Celestinus V in 1294. De vraag is wanneer een volgende paus zijn functie neerlegt? Wellicht weer over 700 jaar. Gisteren was dus een dag van betekenis voor een heilig huis als de kerk!

Deze week is het laatste heilige huis voor de VVD gesneuveld. De 3% limiet voor het begrotingstekort is door de VVD losgelaten voor 2013. Maar, in 2014 moet er weer strak aan voldaan worden!

In het laatste geval zagen we Minister van Financiën Dijsselbloem een trektocht maken langs de fracties van de oppositie. Dit zagen we in 2012 ook al gebeuren door de toenmalige Minister van Financiën, de Jager. Als ware bruggenbouwers zijn zij klinkende akkoorden in elkaar gaan smeden. Lenteakkoord was het in 2012, nu spreken ze over Oranjeakkoord.

In het geval van de nieuwe paus hoopt een groot deel van de westerse wereld op een paus die als bruggenbouwer optreedt. Een leeglopende kerk, mede als gevolg van het optreden van de net afgetreden paus , snakt naar een paus die de hand reikt naar de nieuwe generatie. Hij moet generaties en continenten verbinden.

Als we kijken naar ons vakgebied zien we dat security managers ook bruggenbouwers moeten zijn. Niet de Security Manager is verantwoordelijk voor security, maar het is een organisatiebrede verantwoordelijkheid. De Security Manager moet belangen bij elkaar brengen en bruggen bouwen tussen afdelingen. Daarvoor moet hij over verschillende expertises beschikken. Hij moet specialist zijn op het vlak van HR, communicatie, wet- & regelgeving, techniek, bedrijfsstrategie, …

Deze week heeft het PVIB tijdens de bijeenkomst ‘Securitypatronen’ het gedachtengoed over gestructureerd bouwen van securityinfrastructuren gepresenteerd. Vier leden van een uitgebreide community rondom securitypatronen gaven uitleg over de goed gedocumenteerde materie (Renato Kuiper, Jaap van der Veen, Onno Massar en Rinus Braak). Een mooie prestatie!

Wat lost een securitypatroon op?

Dit werd verduidelijkt door het voorbeeld van een te bouwen brug. Een lange stalen balk buigt door en geeft onvoldoende steun voor een stevige brug. Daarom moet die balk verstevigd worden. Daarvoor is een driehoek een prima constructie. In de onderstaande plaat is dit weergegeven.

De driehoek is een standaard oplossing voor het specifieke probleem van doorbuiging van lange constructies zoals een stalen balk.

Gisterenavond waren de genoemde heren bescheiden in hun uitingen. Graag wilden ze nog meer kunnen presenteren, maar daarvoor deden ze een beroep op de aanwezige PVIB-leden. Het heeft hun veel vrije tijd gekost en er moest na drie jaar echt iets op papier komen, vonden zij zelf.

Het document bevat meer dan 30 beschouwingsmodellen en thema’s die verdeeld zijn in een aantal categorieën: koppelvlakken, identity management, encryptie en logging/monitoring/continuïteit. Het voert te ver om de patronen inhoudelijk de revue te laten passeren. Achterin het document staat een mooie verwijzing vanuit de verschillende ISO 27001/2 aandachtsgebieden naar de bijbehorende securitypatronen.

Als bekend is waar het document verkrijgbaar is zal ik dat laten weten. Je kunt zelf ook de PVIB-website in de gaten houden.  Er wordt trouwens ook een Masterclass georganiseerd op 14 maart. 

Voor mij ligt de waarde van de securitypatronen in de eenduidigheid. Architecten en security experts kunnen nu, aan de hand van iets wat lijkt op een cookbook, robuuste en logische security infrastructuren gaan vormgeven. De commerciant van ‘Wij-van WC-eend’ zal duidelijk moeten maken hoe zijn oplossing past in de beschreven security architectuur.

Met het document over securitypatronen is een mooie stap voorwaarts gezet als het gaat om eenduidig construeren van een technische security infrastructuur.  

Zit je zelf met de vraag hoe je die technische security infrastructuur goed aan elkaar moet knopen?  Houd dan de PVIB site of deze blog in de gaten. Succes met het oplossen van je security problemen!

Is de identiteit van medewerkers, klanten en patiënten veilig achter de staldeur?

Gegevens vliegen de deur uit. Ook die van jouw klanten, patiënten en medewerkers?

Op basis van Pobelka is 750GB data onfutseld aan overheidsinstellingen en het bedrijfsleven. Daar zitten ook inlogcodes, wachtwoorden, persoonlijke informatie en creditcard gegevens bij. Door onduidelijke toewijzing van taken, bevoegdheden en verantwoordelijkheden opereert het Nationale Cyber Security Center in een vacuüm. Als je gegevens ontvreemd zijn, en als dat bekend is, kan of wil het NCSC daar te weinig mee doen.

Vertrouwelijke gegevens zijn binnen de muren van jouw organisatie niet meer veilig. Veel organisaties, vergelijkbaar met die van jou, beveiligen de koppeling aan het internet met een staldeur.

Dat is verre van toereikend, bewijst Pobelka maar weer. Dus gaan die organisaties investeren in betere voordeuren. Feit is echter dat de gegevens op allerlei andere manieren het pand verlaten. Tel het aantal clouddiensten bij jou in de organisatie maar eens op. Vermenigvuldig die met het aantal eigen tablets en smartphones. Maak een inschatting van de bewuste medewerker.

Die rekensom vertelt je dat het risicoprofiel van jouw organisaties enorm is opgeblazen. Daarbij komt de grensvervaging tussen binnen en buiten en de vermenging van werk en privé. Gegevens verlaten het pand op allerlei onbeheersbare wijzen. Erger nog, het pand bestaat niet meer!

Er is een schaduwinfrastructuur ontstaan van werkplekken, systemen, netwerken, clouddiensten, apps en storage waarop de organisatie geen vat meer heeft.

Waar leg jij het zwaartepunt van security in de beschreven situatie? Er zijn echt nog wel betere voordeuren nodig. Kies dan echter wel een oplossing die op basis van eenduidige policies de beveiliging van IT-infrastructuur én endpoints realiseert. Val niet voor de blauwe ogen van de commercianten van ‘Wij-van-WC-eend’. Die zien jouw organisatie alleen maar als toiletpot die zij wel even schoon zullen maken. Risicoanalyse zegt dat je risico niet alleen in de perimeter zit.

OK, dus niet alleen een staldeurupgrade!

De organisatie heeft geen grip op de schaduwinfrastructuur. De medewerkers daarentegen wel. Op grond van de ideeën van het Jericho-forum is enkele jaren geleden al aangegeven dat beveiliging van data en identiteit leidt tot een effectievere beveiliging van vertrouwelijke gegevens. Er ontstaat een nieuwe perimeter, identiteit!

De organisatie moet dan ook op zoek naar een manier om naadloos beveiligde toegang te bieden tot vertrouwelijke zakelijke gegevens in verschillende SAAS-oplossingen, en tot privégegevens van medewerkers in clouddiensten (dropbox, drive, …). Dan komt al vlug Federated Identity Management om de hoek kijken. Maar hoe krijg je als organisatie al die cloud providers op één lijn?

Diverse organisaties hebben natuurlijk al veel tijd gestoken in Identity Access Manegement projecten toen er nog geen schaduwinfrastructuur bestond. Ik kan me voorstellen dat menig directielid de wenkbrauwen fronst bij de budgetaanvraag voor een nieuw IAM-project. Wellicht dat standaarden als SAML en OAuth een rol van betekenis kunnen spelen in de zoektocht naar goed Identity Management. Wel zullen cloud providers mee moeten bewegen. Niet iedere partij is daartoe in staat. Zoek dus de juiste partijen die bereidwillig zijn om ook jouw gegevens veilig te houden.

Een bijkomend aspect van de nieuwe identiteitsperimeter is de context waarbinnen die identiteit van kracht is. Thuis, op een eigen apparaat, is de identiteit van het directielid snel afgezwakt. Moet hij dan alle autorisaties krijgen die op kantoor wel gelden?

Kijk echter niet te holistisch naar identiteit. Neuro Linguistisch Programmeren biedt met logische niveaus van Bateson een mooie kijk op de verschillende niveaus van identiteit. Het start onderaan met omgeving. Of de andere niveaus van toegevoegde waarde zijn voor het vaststellen van toegangsrechten betwijfel ik echter.   

Daar sta je dan. Een half opengezwaaide staldeur, een schaduwinfrastructuur en de wetenschap dat je straks geen pand meer hebt waarbinnen gegevens beveiligd hoeven te worden.

Ga jij die perimeter ‘identiteit’ de prioriteit geven die het verdiend? Of ga je toch voor een staldeurupgrade? Wellicht ga je allebei doen. Ik kan me wel vinden in de laatste.

Mocht jij het totaal niet meer zien zitten als beveiliger dan verwijs ik je naar de Paardenkamp. Kijk uit voor al die staldeuren! 

Is jouw security programma kleurrijk?

Ik heb in mijn rol als security professional geleerd de positieve kant van alles te bekijken. De beroepsgroep staat als ‘drempel’, ‘obstakel’ en ‘prominent dwarsligger’ te boek. ‘Dat is een imago dat ik moet afwerpen’ dacht ik enkele jaren geleden. Op een gegeven moment kreeg ik via via terug dat ik als security manager ‘best wel een aardige gozer’ was.

Daar gaat je imago. Met aardig zijn red je de wereld niet. Maar met dwarsliggen lukt het je ook niet. Het is een gave om geloofwaardig jouw boodschap over te brengen op de rest van de organisatie. Je weet wel, die honderden medewerkers minus die ene (jijzelf).

Vandaag even gegoogled naar afbeeldingen van ‘hacked’. Je ziet het resultaat hieronder.

Dit is maar een snapshot.

Ik schrok er van. De perceptie met betrekking tot ‘hacked’ is doorspekt met zwartgalligheid. Ik heb een aantal ethical hackers als collega, maar die dragen toch geen zwarte kleding. Kan komen doordat ze ook nog wel eens naar klanten moeten. Toch hebben we recent afscheid genomen van een stagiair die echt door en door zwart gekleed was. Mooie vent die een goede opdracht uitgevoerd heeft trouwens! Vrolijk en erg scherp in zijn waarnemingen. Niet het prototype van een depressieve knakker.

Maar als we het internet met zijn allen met zwarte afbeeldingen bevuilen, als we het hebben over ‘hacked’, ga ik me toch echt afvragen of we het bijltje er bij neer hebben gegooid?

Met de nationale initiatieven als het NCSC en commerciële bedrijven die jullie als toiletpot zien en ‘wij van WC-eend’ kwaken, moet er toch echt licht aan het einde van de tunnel te zien zijn. Dat je nog even op zoek bent naar de juiste oplossing of ‘way-to-go’ kan ik me voorstellen.

In voorgaande blogartikelen heb ik al gesproken over het feit dat je met 1-0 achter staat. Je hebt geen budget, kennis, ervaring, tools en mensen om de ratrace met de hackers te beslechten. Feit is dat je met zeer grote waarschijnlijkheid behoort tot de meerderheid van de organisaties die er meer dan enkele maanden over doen om te ontdekken dat ze geïnfecteerd zijn. Daarna ruim je de rommel pas na enkele weken tot maanden op. Google maar even op Verizon Data Breach Investigation Report.

Ga jij morgen lachend naar je werk? Ga jij met alle plezier de iPad van je directeur aansluiten op het bedrijfsnetwerk? Leg jij met een grote grijns die marketeer uit dat dropbox echt risico’s met zich meebrengt? Wijs jij met een stralend gezicht alle informatieeigenaren aan in de organisatie? Ontvang jij met een gerust gevoel de auditor? Sta jij zonder blikken of blozen de externe audit van die ene klant toe? Heb jij er vertrouwen in dat je morgen die nare pop-ups bij de directiesecretaresse de nek omdraait? Vertel jij met een goed humeur dat je directeur een geweldige mededeling op LinkedIn gedaan heeft over de ambitieuze overname?

Respect!

Maar goed, ik ga me hier niet verder begeven op het zwartgallige pad. Liever ben ik realistisch. Of er dan andere teksten uit de pen vloeien weet ik niet. Wel weet ik dat er een aandrang moet zijn om:

•       Het imago van ‘notoire dwarsligger’ af te werpen.
•      De oplossingen te blijven zoeken voor de 1-0 achterstand op hackende Chinezen en Russen.
•      De mannen met geld te blijven bestoken met de rationele werkelijkheid. ‘We zijn al gehacked’. ‘Het kost wat om de rotzooi op te ruimen’. ‘Nee, we zijn zelf niet in staat om deze risico’s het hoofd te bieden’. ‘We moeten op zoek naar expertise en ervaring die we zelf niet hebben’.

Ik wil je vragen morgen een kleurrijke outfit aan te trekken. Laten we in godsnaam die zwartgalligheid afwerpen. Die ‘diep-in-de-put-mentaliteit’moeten we kwijt. Toch moet je ook realistisch blijven. Verizon geeft al meerdere jaren aan dat organisaties maanden nodig hebben om infecties op te merken. Dat alleen biedt al genoeg handvatten om in de put te gaan zitten.

Dus, wat gaan we doen?

Morgen trekken we die leuke blouse uit 1990 aan. Kleurrijk en overdreven. We geven ze niet de kans om te denken dat we de hoop hebben opgegeven. ‘Zij’ zullen er aan moeten geloven. Binnen jouw organisatie is een herboren security professional opgestaan. Die zal ze wel eens vertellen wat hun verantwoordelijkheid is. Big smile en een onovertroffen zelfovertuiging!

Ik zou zeggen: ‘Succes met je kruistocht’! Win de juiste zieltjes voor je verhaal. En laat ze maar zeggen dat je ‘best wel een aardige gozer’ bent.

De eerstvolgende keer dat je ‘hacked’ googlet ziet je scherm er kleurrijk uit!  

Onderzoeksjournalistiek loont!

NRC hoofdredacteur hoopt op meer onderzoeksjournalistiek.

Gisterenavond heeft Peter Vandermeersch in De Wereld Draait Door gepleit voor meer onderzoeksjournalistiek. Dat deed hij naar aanleiding van het gespreksonderwerp waarvoor hij was gevraagd ‘Het einde van de krant’. 

In de hoop dat de krant internet overleeft stelt hij dat meer onderzoeksjournalistiek de redding van de papieren kranten kan betekenen.

Dan maar even het sprongetje naar de onderzoeksjournalistiek van de New York Times. 

Vier maanden lang hebben Chinezen de IT-systemen van de New York Times geïnfiltreerd. Dit gebeurde naar aanleiding van een achtergrondartikel over de zelfverrijking van de familie van de Chinese leider Wen Jiabao. 

De Chinezen waren op zoek naar sporen van informanten. Webwereld heeft hier al over bericht.

Er is gebruik gemaakt van 45 verschillende soorten ‘op maat gemaakte’ malware. Daarvan werd er slechts één ontdekt en tegengehouden door de endpoint security oplossing die de New York Times in gebruik had. De krant geeft Symantec de schuld van de hack. En andersom!

Helaas wordt weer eens bewezen dat geavanceerde aanvalsmethoden ingezet worden om gericht informatie naar boven te halen. De Chinezen konden de New York Times 4 maanden lang platleggen. Dat was niet de opzet.

Die antivirus oplossing die jij hebt draaien in je netwerk, en die werkt aan de hand van statische signatures, is niet toereikend. Het is een minimum vereiste!

Wat kun je nog méér doen?

Certificering voor ISO 27001 is een stap in de goede richting. Echter mijn ervaring is dat er bij  gecertificeerde organisaties net zo goed kruiwagens vol vertrouwelijke informatie het pand via de achterdeur verlaten.

De huidige IT-security infrastructuren blijken toch ontoereikend te zijn voor de hedendaagse aanvallen. De kloof tussen bekende software en onbekende kwaadaardige software groeit gestaag. De kans dat je als securityorganisatie die ontwikkeling bijhoudt is nihil.

Als securityorganisatie beschik je nu over te weinig budget, kennis, ervaring, middelen en specialisten. Je kunt er maar beter van uitgaan dat je al gehackt bent. Je staat op achterstand.

Twee tips kan ik je geven:

1. Adopteer een best practices framework met cyber security controls. Bijvoorbeeld dat van SANS. 
2. Werk samen met een professionele security provider. Krijg vat op je operationele security management. Contracteer de juiste kennis, ervaring en middelen.

Mocht je verder willen kijken dan je neus lang is, dan raad ik je aan om niet te veel onderzoeksjournalistiek in China uit te voeren.

Voor Peter Vandermeersch van het NRC hoop ik dat onderzoeksjournalistiek het ei van Columbus is voor de kranten. Daarnaast zou ik het op prijs stellen als hij me even belt voor een goed gesprek over operational security management.

Blijf alert, de cybercriminelen zitten al op je netwerk!

Bea besteedt koningschap uit! Wat doe jij met je security management?

Durf je security management uit te besteden!

Het is zover, Beatrix besteedt haar koningschap uit. ‘Koning Willem Alexander’ en ‘koningsdag’ daar zullen we aan moeten wennen. Dat ze 75 jaar wordt en dat Nederland 200 jaar een koninkrijk is lijken aanwijzingen dat ze bewust het stokje overgeeft aan haar zoon, de ‘Prins van Oranje’. De vraag is of er voldoende criteria tegen het licht gehouden zijn om te spreken van een ‘weloverwogen’ beslissing.

 

Gesteund door Maxima, heb ik wel vertrouwen in de komende 33 jaar met Lex. Met een gedegen microkredietaanpak weet Lex prima de spaarpotten van de prinsesjes te managen. Ook de waterschappen zullen opleven onder het bewind van de Global Water Manager Lex. Alleen nog maar Chaudfontaine en Vittel uit de kraan!

De vraag is hoeveel vertrouwen jij hebt in je Managed Security Provider?

Sinds de jaren negentig zijn IT-managers naarstig op zoek naar de goedkoopste en meest efficiënte beheeroplossingen voor hun IT-infrastructuur. Operational Excellence maakt dat op procesmatige wijze afwijkingen van de norm zo goed mogelijk worden voorkomen. Veel IT-beheer wordt geoutsourcet naar lage-lonen-landen. Dit werd in 2003 nog eens aangemoedigd door een artikel van Nicholas Carr ‘ITdoesn’t matter’.

Nu wil je als klant echter ook wel eens buiten de grenzen van het ‘wurgcontract’ met je outsourcingspartner treden. Klassiek neemt die partner voor de laagste prijs het beheer van de bestaande IT-infrastructuur over. Daar staat tegenover dat iedere wijziging extra geld kost en enorm veel ophef oplevert om door te voeren. Standaardisatie voert de boventoon, en jij wilde voor een dubbeltje op de eerste rang zitten.

Een beetje Fyra-gevoel bekruipt mij hier toch wel!

 

 Laten we eens kijken naar IT-security.

Security betekent in veel gevallen vertrouwen. Lekken we geen gevoelige data? Is het klantenbestand wel versleuteld? Mag die persoon wel bij die informatie? Hoe weten we zeker dat onze outsourcingspartner geen ongeoorloofde acties uitvoert op de systemen? Hoe weet ik zeker dat het Elektronisch Patiënten Dossier onder de Patriot Act wel veilig is bij de Amerikaanse outsourcingspartner? Dit zijn slechts enkele voorbeelden.

Omwille van Operational Excellence steekt menig IT-Manager nog wel eens de kop in het zand als het om dit soort vragen gaat. Lekker goedkoop en efficiënt, daar wint hij de oorlog mee.

Naar mijn mening is het niet mogelijk om al je security management uit te besteden onder die condities. Allereerst blijf jezelf verantwoordelijk. Uitbesteding van security is een maatregel om goed tegengewicht te bieden aan risico’s die de organisatie loopt. Te weinig resources, kennis, ervaring, capaciteit of tijd zijn goede redenen om te outsourcen. De verantwoordelijkheid blijft echter bij de organisatie zelf!

Als het gaat om beheer van de firewall kun je gerust onder Operational Excellence de boel outsourcen. Die firewall wordt echter steeds slimmer en houdt zich bezig met de hogere lagen van het OSI-model. Ook worden er steeds meer functies op die firewall geconsolideerd. Die situatie brengt twee nieuwe ontwikkelingen met zich mee:

• De intelligentie die nodig is om gelogde informatie van de firewall te analyseren vraagt kennis van jouw business en de bijbehorende processen. Zonder context geen advies over jouw veiligheid.
• De technieken die geconsolideerd op de firewall functioneren brengen leercurves, finetuning en organisatorische inbedding met zich mee. Intrusion Prevention en Data Loss Prevention staan bekend om hun false-positives. Die moet je gedurende een aanloopfase terug managen.

Deze twee aspecten vragen een extra inspanning van jouw Managed Security Provider (MSP). Hier redt je het niet met dienstverlening die gekenmerkt wordt door Operational Excellence. Hier verwacht je meer en zal jouw MSP aan de gang moeten met Customer Intimacy. Dan leeft de MSP zich in jouw situatie in en weet exact wat je nodig hebt om jouw bedrijfsprocessen te beveiligen.

Hetzelfde geldt voor diepgaande security analytics als het gaat over Managed SIEM-dienstverlening. Het feit dat je het niet meer zelf hoeft te managen maakt nog niet dat je een veilige dienstverlening hebt. De ‘tick-in-the-box’ is mooi om je auditor om de tuin te leiden, maar strookt niet met de ambitie die je zou moeten hebben om veilige bedrijfsvoering na te streven. Je zult jezelf moeten afvragen wat je nou verwacht van je MSP.

Een advies om in te grijpen op een kritiek punt in je primaire bedrijfsproces, op basis van geconstateerde security events biedt gerichte meerwaarde. Constateren dat er ‘iets mis’ is met een IT-systeem op basis van gecorreleerde security events is niet meer dan een mededeling.   

Voor degenen die de Operational Excellence en Customer Intimacy niet uit elkaar weten te houden is onderstaand een overzicht met kenmerken weergegeven. Ook Product Leadership is weergegeven.

Goed, je blijft dus in je maag zitten met een deel van dat verdraaid lastige security management! Je blijft eindverantwoordelijk, je moet gericht advies eisen van je MSP, die moet zich inleven in jouw specifieke situatie, jij moet meer tijd kunnen spenderen aan security informatie in plaats van beschikbaarheidsaspecten van de firewall, … Je moet voor een dubbeltje op de eerste rang zitten, want niemand heeft de moeite genomen om te berekenen hoe duur de kroonjuwelen zijn. En je moet de outsourcingspartner uitknijpen om meer hoogwaardig advies los te krijgen.

Ik zeg: ‘geen gemakkelijke positie waar je in zit’.

Daarom wens ik je veel sterkte bij je beslissing security buiten de deur te brengen. Vraag je echter wel af wat je exact verwacht van je MSP! Een beetje Operational Excellence en een boel Customer Intimacy.  Laat Product Leadership nog even links liggen. Je wordt geen Messi door de beste voetbalschoenen! Security management leren vraagt tijd, doorzettingsvermogen en incasseringsvermogen om saaie procesmatige werkzaamheden uit te voeren.

Als het jou al zoveel moeite kost, waarom zou je dan voor een habbekrats bij je MSP op de eerste rang willen zitten? Een beetje begrip voor jouw situatie, een beetje inleving en een redelijke factuur voor net dat beetje meer. Ik zou het doen! Pak de telefoon en nodig je MSP uit voor een goed gesprek.

Zou Rutte de rekening al opmaken voor zijn nieuwe Royalness Service Provider Willem Alexander? Gaat de Groene Draeck toch nog zo’n 4 ton op jaarbasis kosten! (Terug te vinden onder de post ‘regulier JSF-onderhoud’).