Update

Het Cybersecurity Dreigingsbeeld en advies rapport is uit! Download hem hier.

Lees verder

NIS 2: wat betekent deze Europese security-richtlijn voor Nederlandse organisaties

Door: Eric van Loon, Manager Security Consultancy bij Pinewood

De tweede generatie van de Europese Network and Information Systems (NIS 2) richtlijn zal in 2023 in Nederland om worden gezet in wetgeving. De richtlijn bouwt voort op de oorspronkelijke NIS-richtlijn uit 2016. Het doel was toen om eenheid te brengen in het Europees beleid voor netwerk- en informatiebeveiliging om zo de gevolgen van cyberincidenten te verkleinen, met name gericht op bedrijven en instellingen van cruciale aard. De NIS 2 richtlijn bouwt hierop verder en voegt meer sectoren toe aan deze ‘essentiële diensten’. Het moet ervoor zorgen dat organisaties binnen Europa aan de richtlijn gaan voldoen. Maar wat betekent dit voor Nederlandse organisaties?

nis 2 nib 2 nederland richtlijnen security

Volwassen cybersecurity

Allereerst is het goed om het verschil tussen de NIS 2 en de NIB 2 te begrijpen. Gelukkig is dit geen ingewikkeld verhaal, de NIB 2 is namelijk gewoon de Nederlandse vertaling van de NIS 2. Dus of het nu gaat over de network and information systems richtlijn of de netwerk- en informatiebeveiliging richtlijn, de inhoud is grotendeels hetzelfde. Wel is er tijdens het vertalen van de Europese richtlijn naar Nederlandse wetgeving ruimte voor vrije interpretatie. De overheid is momenteel druk bezig met die vertaalslag, dus hoe de wet er precies uit gaat zien is nog even afwachten.

Wel kunnen we er alvast vanuit gaan dat de kern van de richtlijn grotendeels hetzelfde blijft. Deze kern bestaat uit twee elementen: de zorgplicht en de meldplicht. De zorgplicht verplicht organisaties om ervoor te zorgen dat de hele infrastructuur op orde is. Zo wordt het verplicht om de faciliteiten te hebben om te monitoren wat er gebeurt op het netwerk. De meldplicht zorgt ervoor dat organisaties melding moeten maken wanneer ze te maken krijgen met een cyberincident. Voor alle organisaties die gezien worden als leverancier van ‘essentiële diensten’ zal er dus (veel) werk aan de winkel zijn.

Het ziet er dus naar uit dat organisaties in allerlei sectoren maatregelen moeten gaan treffen om de cybersecurity-volwassenheid naar een hoger niveau te brengen. De exacte hoogte van dit volwassenheidsniveau zal nog worden bepaald door de Nederlandse overheid. Dit kan bijvoorbeeld gelijk worden getrokken met de norm waaraan overheidsinstellingen momenteel moeten voldoen, maar er kunnen ook andere regels gaan gelden. De details moeten uiteindelijk blijken uit de resulterende wetgeving, net zoals de wet beveiliging netwerk en informatiesystemen een interpretatie is van originele NIS-richtlijn.

Vitale sectoren

De noodzaak om de cyberweerbaarheid van essentiële diensten te vergroten is voor de hand liggend. Over de afgelopen jaren zien we een stijgende lijn in het aantal organisaties dat te maken heeft met cyberaanvallen. Daarnaast zien we ook een flinke stijging in de schade en impact van een succesvolle aanval. De NIS 2 richtlijn is daarom in het leven geroepen om de continuïteit en integriteit van een aantal vitale sectoren te waarborgen.

Onder de originele NIS vielen sectoren zoals energie, drinkwater en banken. De NIS 2 breidt het lijstje met vitale sectoren aardig uit met onder andere overheidsdiensten, levensmiddelen en managed service providers. In Nederland zal dit neerkomen op zo’n zesduizend extra organisaties die moeten gaan voldoen aan de nieuwe wetgeving. Op dit moment wordt er nog flink gediscussieerd over welke bedrijven hier onder vallen en welke niet. Zo staat er nog niet vast welke definitie van een managed service provider er gehanteerd zal gaan worden.

De verwachting is dat de NIS eind dit jaar wordt vastgesteld op Europees niveau. Zodra dit rond is hebben de lidstaten 21 maanden de tijd om de wetgeving rond te krijgen. Dat klinkt misschien lang, maar voor een wet van dit formaat is dat een redelijk korte termijn.

Meer veiligheid, minder vrijheid

De NIS 2 is een grote stap in de goede richting als het om cybersecurity gaat. Wel valt er een bepaalde mate van vrijheid weg. Momenteel is het cybersecurity-landschap onder bedrijven erg gefragmenteerd. Bedrijven kiezen zelf in welke mate ze iets aan cybersecurity doen of niet. Door een richtlijn te implementeren neem je deze vrijheid weg, maar je weet wel zeker dat delen van de infrastructuur goed beveiligd zijn.

De meldplicht zal de cyberweerbaarheid verhogen. In de huidige situatie hoeft een organisatie alleen melding te doen van een datalek, maar niet van bijvoorbeeld een ransomware-aanval of misbruik van een kwetsbaarheid. Dit gaat dus veranderen.

Doordat informatie over een cyberaanval gemeld en gedeeld wordt, kunnen bedrijven makkelijker leren van elkaar hoe ze hun beveiliging optimaal in kunnen richten.

Maar ook de zorgplicht zal het een en ander gaan vragen van organisaties. Afhankelijk van de huidige infrastructuur moet er wellicht veel gebeuren om te voldoen aan de norm die uiteindelijk in de wet wordt opgenomen. Er kan bijvoorbeeld geëist worden dat bedrijven moeten voldoen aan de ISO 27001 norm. Dit zal voor veel bedrijven betekenen dat ze flink moeten gaan investeren. Er wordt gesproken over een omzetplafond dat kleinere bedrijven hiervan vrijstelt, maar deze organisaties lopen dan nog net zoveel risico als voorheen.

Aan de slag

Organisaties waarop de NIS 2 van toepassing is, krijgen dus aardig wat voor hun kiezen. De verschillende plichten vragen veel investeringen. Zo is een belangrijk onderdeel van de zorgplicht het monitoren van de systemen. Dit gebeurt doorgaans in een Security Operation Center (SOC) maar om dit in te richten is veel apparatuur en, nog lastiger, personeel nodig. Voor veel organisaties zal het dan ook interessant zijn om dit uit te besteden aan een partij die een SOC als dienst aanbiedt. Op deze manier kan een organisatie voldoen aan de nieuwe zorgplicht, zonder een heel SOC op te hoeven zetten. Daarnaast bieden deze cybersecurity-partijen vaak aanvullende diensten om de cyberweerbaarheid te vergroten.

Maar ook wanneer een organisatie niet binnen de scope van de NIS 2 valt, is het verstandig om op te letten. Het feit dat je niet aangemerkt wordt als vitale sector betekent niet dat je minder risico loopt. Ook deze organisaties kunnen veel leren van de plichten en eisen die in de nieuwe wet zullen worden opgenomen. De NIS kan dan werken als vliegwiel en andere organisatie meekrijgen, waardoor heel Nederland er sterker voor komt te staan op het gebied van cybersecurity.

De NIS 2 is onvermijdelijk en het is daarom belangrijk om te kijken of je als organisatie binnen de scope valt. Als dat zo is, dan is het verstandig om zo snel mogelijk aan de slag te gaan want het kan veel tijd kosten om uit te zoeken wat de nieuwe wet voor jou gaat betekenen. Een eerste stap die je als bedrijf nu al kan zetten is het in kaart brengen van je cyberbeveiliging-volwassenheidsniveau en de mate van risicobeheersing. Heb je al een informatiebeveiligingsbeleid? Weten medewerkers wat hun rol is? Weten ze hoe ze phishing e-mails kunnen herkennen? Door er nu serieus mee aan de slag te gaan, voorkom je verrassingen wanneer de wet in werking treedt.

Wilt u meer weten of hulp bij de inrichting van NIS 2 (NIB 2) vraagstukken. Neem dan contact met ons op voor een vrijblijvend advies gesprek.

EDR, MDR of SOC. wat is de juiste oplossing voor uw organisatie?

EDR, MDR en SOC zijn begrippen die vaak door elkaar worden gehaald. Echter hebben deze technische security oplossingen ieder hun eigen functie voor het monitoren en stoppen van potentiële security incidenten. In dit opgenomen webinar gaan we in op de verschillen tussen deze verschillende oplossing zodat u een betere keuze kunt maken welke oplossing het meest geschikt is voor uw eigen organisatie.

Wilt u meer weten of een advies op maat? Neem dan contact met ons op voor een vrijblijvend advies gesprek.

 

Arthur van Vliet

Sales Manager

06 – 53 93 88 38

arthur.vanvliet@pinewood.nl

FHI Industrial Cyber Security Event 8 november 2022

Het FHI, de branchevereniging voor industriële automatisering, organiseert op 8 november a.s. het Industrial Cyber Security event in Hart van Holland te Nijkerk.

Laat u op een interactieve manier informeren om goed voorbereid te zijn op potentiële dreigingen, die vaak uit onverwachtse hoek komen. Tijdens dit event worden diverse actuele vraagstukken behandeld binnen uw vakgebied. Wij nodigen u van harte uit om dit event te bezoeken en mee te doen met onze Pinewood Cyber Security Game. In deze game dagen wij u uit met scherpe stellingen en complexe vragen. Na afloop is er ook een mogelijkheid om met ons van gedachte te wisselen over cyber security en dieper in te gaan op wat u kunt doen om goed voorbereid te zijn.

U kunt zich hier registreren voor een gratis toegangskaart voor het event.

Marina Spelbrink

Marketing & Communicatie

015 251 36 36

marina.spelbrink@pinewood.nl

GGI-Veilig SOC/SIEM voor gemeenten mislukt. Wat nu?

Vereniging Nederlandse Gemeenten (VNG) heeft het contract met KPN voor het leveren van siem/soc-diensten aan gemeenten opgezegd. Het gaat om het perceel van de gemeentebrede aanbesteding GGI-Veilig die in 2019 aan KPN werd gegund. Dit betekent dat gemeenten op zoek moeten naar een alternatief.

Waarom ook alweer een SIEM/SOC voor gemeenten?
In een SOC wordt met behulp van siem tooling alle beschikbare, aan de security gerelateerde informatie binnen de gemeentelijke ict-infrastructuur verzameld en geanalyseerd. Doel van de analyses is kwetsbaarheden ontdekken en verdacht gedrag in een zo vroeg mogelijk stadium te detecteren en hier adequaat op te reageren.

5 gemeenten gehackt
Onlangs werden er nogvijf Limburgse gemeenten getroffen door een cyberaanval. Daarbij werd de administratie van het sociaal domein vergrendeld. De aanval was gericht op de softwareleverancier van de gemeenten.

De noodzaak voor SIEM/SOC wordt alleen maar groter voor gemeenten
Vanaf 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. Op korte termijn wordt daarnaast ook de NIS 2 van kracht. Een van de eisen die zowel de BIO als de NIS 2 stellen aan overheden, is het gebruik van SIEM en/of SOC met als doel overheden digitaal weerbaarder te maken. Ook voor hackers zijn de gemeenten steeds vaker een interessant doelwit door onder andere de toegang die gemeenten hebben tot vele persoonsgegevens via diverse netwerken.

Het SOC/SIEM alternatief voor Nederlandse gemeenten
Pinewood is al ruim 28 jaar de cybersecurity specialist van Nederlandse bodem en beschikt over een hypermodern SOC/SIEM. Ten tijde van de aanbesteding zat Pinewood bij de beste aanbieders, echter is toen de keuze gevallen op KPN .

Wij geloven dat gemeenten niet allemaal dezelfde behoeften en wensen hebben en dat ze graag samenwerken met een specialist waarmee je flexibel en snel kunt schakelen. Dit vraagt om een andere attitude. Het Pinewood SOC is onder andere aangesloten op het Nationaal Detectie Netwerk (NCSC) en heeft een grote set aan cyber security use-cases, maar ook specifieke use-cases voor de gemeenten. Deze use-cases worden op basis van uw eisen en wensen door ons geïmplementeerd. Het Pinewood SOC-team bestaat uit onder andere uit Security Analisten en Security Officers. Op deze manier verbetert u continu uw beveiligingsniveau op zowel technisch als organisatorisch niveau. Wij zijn groot genoeg om iedere gemeenten in Nederland te kunnen bedienen met een schaalbare en veilige SOC/SIEM dienst, Wij zijn met zo’n 60 cybersecuity professionals ook nog klein genoeg voor de nodige snelheid, flexibiliteit en persoonlijke aandacht.

SOC highlights:
• Al 28 jaar de cybersecurity specialist van Nederlandse bodem
• Ruime ervaring en kennis van de gemeentemarkt
• 24×7 security monitoring van cyberdreigingen & Incident Response
• Rapportages en security bulletins voor management en operatie
• Overleg op operationeel, tactisch en strategisch niveau
• Advies: concrete verbetermaatregelen (techniek en organisatie)
• 60 cybersecurity specialisten die dag en nacht voor u klaar staan
• Flexibiliteit en aandacht voor u specifieke situatie.

Wij nodigen u van harte uit een kijkje te komen nemen in onze hypermoderne SOC in Delft. Online of een bezoek bij u op locatie om de mogelijkheden te bespreken kan natuurlijk ook. Wilt u meer informatie of een afspraak maken, neemt u dan contact op met Arthur van Vliet, 06 53938838 of email arthur@pinewood.nl. Wij helpen u graag verder de digitale weerbaarheid van uw gemeente te verhogen.

Note: Om alvast wat inspiratie op te doen, bekijk  onze 2 minuten SOC-video: Zie:https://www.pinewood.nl/diensten/soc/Heeft u advies of ondersteuning nodig, neemt u dan contact met ons op. Wij helpen u graag verder.

Marina Spelbrink

Accountmanager Healthcare en overheid

015 251 36 36

marina.spelbrink@pinewood.nl

GGI-Veilig SOC/SIEM voor gemeenten mislukt. Wat nu?

Vereniging Nederlandse Gemeenten (VNG) heeft het contract met KPN voor het leveren van siem/soc-diensten aan gemeenten opgezegd. Het gaat om het perceel van de gemeentebrede aanbesteding GGI-Veilig die in 2019 aan KPN werd gegund. Dit betekent dat gemeenten op zoek moeten naar een alternatief.

Waarom ook alweer een SIEM/SOC voor gemeenten?
In een SOC wordt met behulp van siem tooling alle beschikbare, aan de security gerelateerde informatie binnen de gemeentelijke ict-infrastructuur verzameld en geanalyseerd. Doel van de analyses is kwetsbaarheden ontdekken en verdacht gedrag in een zo vroeg mogelijk stadium te detecteren en hier adequaat op te reageren.

5 gemeenten gehackt
Onlangs werden er nogvijf Limburgse gemeenten getroffen door een cyberaanval. Daarbij werd de administratie van het sociaal domein vergrendeld. De aanval was gericht op de softwareleverancier van de gemeenten.

De noodzaak voor SIEM/SOC wordt alleen maar groter voor gemeenten
Vanaf 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. Op korte termijn wordt daarnaast ook de NIS 2 van kracht. Een van de eisen die zowel de BIO als de NIS 2 stellen aan overheden, is het gebruik van SIEM en/of SOC met als doel overheden digitaal weerbaarder te maken. Ook voor hackers zijn de gemeenten steeds vaker een interessant doelwit door onder andere de toegang die gemeenten hebben tot vele persoonsgegevens via diverse netwerken.

Het SOC/SIEM alternatief voor Nederlandse gemeenten
Pinewood is al ruim 28 jaar de cybersecurity specialist van Nederlandse bodem en beschikt over een hypermodern SOC/SIEM. Ten tijde van de aanbesteding zat Pinewood bij de beste aanbieders, echter is toen de keuze gevallen op KPN .

Wij geloven dat gemeenten niet allemaal dezelfde behoeften en wensen hebben en dat ze graag samenwerken met een specialist waarmee je flexibel en snel kunt schakelen. Dit vraagt om een andere attitude. Het Pinewood SOC is onder andere aangesloten op het Nationaal Detectie Netwerk (NCSC) en heeft een grote set aan cyber security use-cases, maar ook specifieke use-cases voor de gemeenten. Deze use-cases worden op basis van uw eisen en wensen door ons geïmplementeerd. Het Pinewood SOC-team bestaat uit onder andere uit Security Analisten en Security Officers. Op deze manier verbetert u continu uw beveiligingsniveau op zowel technisch als organisatorisch niveau. Wij zijn groot genoeg om iedere gemeenten in Nederland te kunnen bedienen met een schaalbare en veilige SOC/SIEM dienst, Wij zijn met zo’n 60 cybersecuity professionals ook nog klein genoeg voor de nodige snelheid, flexibiliteit en persoonlijke aandacht.

SOC highlights:
• Al 28 jaar de cybersecurity specialist van Nederlandse bodem
• Ruime ervaring en kennis van de gemeentemarkt
• 24×7 security monitoring van cyberdreigingen & Incident Response
• Rapportages en security bulletins voor management en operatie
• Overleg op operationeel, tactisch en strategisch niveau
• Advies: concrete verbetermaatregelen (techniek en organisatie)
• 60 cybersecurity specialisten die dag en nacht voor u klaar staan
• Flexibiliteit en aandacht voor u specifieke situatie.

Wij nodigen u van harte uit een kijkje te komen nemen in onze hypermoderne SOC in Delft. Online of een bezoek bij u op locatie om de mogelijkheden te bespreken kan natuurlijk ook. Wilt u meer informatie of een afspraak maken, neemt u dan contact op met Arthur van Vliet, 06 53938838 of email arthur@pinewood.nl. Wij helpen u graag verder de digitale weerbaarheid van uw gemeente te verhogen.

Note: Om alvast wat inspiratie op te doen, bekijk  onze 2 minuten SOC-video: Zie:https://www.pinewood.nl/diensten/soc/Heeft u advies of ondersteuning nodig, neemt u dan contact met ons op. Wij helpen u graag verder.

Marina Spelbrink

Accountmanager Healthcare en overheid

015 251 36 36

marina.spelbrink@pinewood.nl

Cyber360 event

Op donderdag 16 juni jl. heeft het security cluster (Pinewood en DataExpert) van Interstellar het event Cyber360 georganiseerd. Vanuit een 360 graden benadering hebben we deze middag laten zien hoe maatregelen rondom de vier stappen Prediction, Prevention, Detection (Security Operations Center) en Resonse (Incident Response) samenwerken om organisaties veiliger te maken.

Onze key-note spreker deze dag was Xander Koppelmans die een heel indrukwekkend en persoonlijk verhaal heeft verteld over hoe het is om zelf gehackt te worden.

Het was een geslaagde dag die vraagt om een vervolg.

Houd onze website in de gaten voor meer informatie en een blog over deze 360 graden benadering.

 

 

Rebranding Pinewood & website

Pinewood is in een nieuw jasje gestoken. Passend bij onze ontwikkeling en ambitie. Met deze rebranding kunnen wij onze aangescherpte propositie nog beter communiceren.

We blijven doen wat we goed kunnen. Organisaties weerbaarder maken tegen digitale risico’s, waarbij wij altijd uitgaan van de pijlers, Prediction, Prevention, Detection en Response.
Door onze nieuwe ontwikkelingen kunnen we deze pijlers nog beter met elkaar in balans brengen. En zorgen we zo voor de best mogelijke beveiligingsstrategie voor uw organisatie.

De nieuwe huisstijl is zoals wij zijn. Duidelijk, modern en no-nonsense.

Neem even de tijd om onze nieuwe website  te bekijken. Er is veel informatie te vinden over ons SOC en onze diensten in de vorm van o.a.  video’s en whitepapers.

 

 

Sebastiaan Kors

CEO

015-251 36 36

sebastiaan.kors@pinewood.nl

Het Pinewood Cybersecurity Dreigingsbeeld & Adviesrapport NL is uit!

Ons eerste Cybersecurity Dreigingsbeeld & Adviesrapport NL uit!

In dit rapport delen wij onze kijk op de aanpak van cybersecurity, maar ook die van gebruikersorganisaties en experts om ons heen. De scherpe blik en praktijkervaring op de huidige status van cybercrime en hun vaak interessante en gevarieerde visies op de bestrijding ervan, verrijkt ons eigen inzicht. Samen delen we best practices en tips waarmee u als lezer direct aan de slag kunt. In die zin is dit dreigingsbeeld dan ook zeker niet bedoeld om alleen te waarschuwen, laat staan angst aan te jagen. Het is nadrukkelijk óók een middel om samen tot passende oplossingen te komen om uw organisatie veiliger te maken.

Bent u geïnteresseerd?

Download now

 

Sebastiaan Kors

CEO

015-251 36 36

sebastiaan.kors@pinewood.nl

Webinar: “Cyberweerbaarheid omtrent situatie Oekraïne”

Op Donderdag 10 maart 2022 hielden wij een webinar

Wij krijgen momenteel veel vragen van onze klanten over eventueel extra te nemen cyberweerbaarheidsmaatregelen door de situatie in Oekraïne. Op dit moment zijn er weinig concrete aanwijzingen in Nederland voor digitale aanvallen in relatie tot de crisis in Oekraïne, maar dit wil niet zeggen dat dit ook niet gebeurt. Mede op advies van het NCSC is een verhoogde alertheid daarom op zijn plaats. Maar wat betekent dit? Waar moet u rekening mee houden en wat kunt u doen om uw cyberweerbaarheid te vergroten in dergelijke situaties?

In dit webinar schetst cybersecurity specialist Pinewood, een beeld van typische incidenten tijdens een crisis, mogelijke intenties aanvallers en geeft Edwin advies over de maatregelen die u op korte termijn kunt nemen om uw organisatie hiertegen te beschermen.

Marina Spelbrink

Marketing & Communicatie

015 251 36 36

marina.spelbrink@pinewood.nl

Digitale weerbaarheid in de zorg. Hoe organiseer je het en waar moet je als zorginstelling rekening mee houden.

Tijdens een eerder gesprek hebben wij uitgebreid stilgestaan bij een mogelijke aanval van ransomware; wat is de impact? Hoe moet je reageren? en Hoe kun je het voorkomen? Als het gaat om de digitale weerbaarheid van organisaties zijn de berichten hierover alarmerend en urgent. De situatie is ernstig. Veel zorginstellingen lopen achter op het gebied van digitale weerbaarheid. Incidenten hebben vaak grote gevolgen voor de beschikbaarheid, integriteit en vertrouwelijkheid van persoonsgegevens. Maar er zijn ook grote financiële gevolgen en het imago van de organisatie kan schade oplopen. Informatiebeveiliging is van strategisch belang en het vereist blijvende aandacht.

IP-zorg logo

Op 24 februari zijn wij tijdens het webinar Cyberweerbaarheid hierover in gesprek geweest met Rens van der Logt (Infozorg), Richard Strooper en Wijnand Verweij (beiden van Pinewood). Pinewood is specialist in informatiebeveiliging en levert een scala aan diensten op dit gebied, waaronder ook aan zorginstellingen. Zij is hiervoor aangesloten op het Zorg Detectie Netwerk. Infozorg richt zich specifiek op de zorgsector bij de advisering en ondersteuning van beheer, ontwikkeling en implementatie. Hierbij wordt o.a. gebruik gemaakt van SAAR dat ook ondersteunt bij de inrichting van informatiebeveiligingsprocessen. Infozorg en Pinewood zijn kennispartner van Stichting IP-Zorg.

Relevantie van dit onderwerp blijkt o.a. uit een deze maand gepubliceerd IBM-rapport over ontwikkelingen in het dreigingenprofiel. In het rapport wordt verwezen naar een toename van dreigingen als gevolg van thuiswerken, maar ook door geo-politieke spanningen. In conflicten tussen landen wordt steeds meer gebruik gemaakt van cyber attacks.

Ontwikkelingen op het gebied van informatiebeveiliging

Pinewood ziet dat steeds meer gebruik wordt gemaakt van cloudleveranciers; klanten komen met vragen over veiligheid van SAAS-oplossingen. Er wordt steeds meer thuisgewerkt en er is een toename van ransomware, phising, e.d. Ook is er steeds meer aandacht voor de NEN 7510. Peter merkt  op dat je bij zorgorganisaties die gebruik maken van cloudoplossingen vaak hoort dat ze geen zorgen hebben over informatieveiligheid, omdat de clouddienstverlener dat regelt. Maar bij het uitbesteden van de techniek moet de klant ook securityeisen opstellen én controleren! De klant blijft verantwoordelijk. De klant vraagt daarom regelmatig aan Pinewood om een security review uit te voeren. Ook Infozorg ziet steeds meer SAAS-applicaties, vooral in combinatie met SSO-oplossingen. Men wil immers voorkomen dat medewerkers steeds opnieuw moeten inloggen, wanneer gebruik wordt gemaakt van meerdere SAAS-applicaties. Daarnaast is er een toename van bewustwording voor vertrouwelijkheid van data. Extra inzet training en aanscherping beleid.

Inrichting SSO-oplossing bij meerdere leveranciers.

Juist wanneer organisaties steeds meer gebruik maken van cloudoplossingen (SAAS), is het van belang goed na te denken over de toegang tot deze applicaties. Immers, niet alleen moet worden voorkomen dat medewerkers steeds opnieuw per toepassing moeten inloggen, maar ook is het van belang dat het toegangsbeheer goed wordt ingericht en bij voorkeur centraal wordt beheerd. Vaak wordt gebruik gemaakt van Azure AD als centrale authenticatievoorziening, waarbij ook een koppeling met het personeelssysteem wordt gerealiseerd. Het borgt bijvoorbeeld dat wanneer medewerkers de organisatie verlaten, toegang tot de verschillende applicaties wordt geblokkeerd. Ook wanneer gebruik wordt gemaakt van cloud toepassingen, dient access control goed te zijn ingericht. Denk dus aan dingen als condition access; kijk naar wat die persoon is, wie is die persoon en 3 / 11 waar komt die persoon vandaan; met andere woorden: welke rol vervult de betreffende persoon en voor welke organisatie-eenheid heeft hij rechten nodig. De toegenomen kwetsbaarheid heeft overigens niet alleen te maken met het feit dat meer in de cloud wordt gewerkt, maar ook sprake is van een grotere verscheidenheid aan (mobiele) devices waarmee toegang wordt verkregen en de verschillende internet-of-things. Deze krijgen vanaf verschillende locaties toegang tot het bedrijfsnetwerk en kunnen niet op voorhand worden vertrouwd. Organisaties dienen daarom het zero-trust concept als basis voor hun beveiliging te kiezen (niets is op voorhand vertrouwd). Vroeger was een locatie met wat daar gebeurde veilig; nu ga je ervan uit dat mensen vanaf allerlei locaties kunnen inloggen en moet je er van uit gaan dat dat op voorhand niet veilig is.

cyberweerbaarheid in de zorg

Hoe ga je vanuit functioneel beheer hiermee om?

Zorgorganisaties zijn zich bewust van vertrouwelijke data, maar het inzicht in welke applicaties en in welke koppelingen ze aanwezig zijn wordt niet altijd op één plek beheerd. En ook nog eens vanuit verschillende invalshoeken; bijvoorbeeld ook vanuit een managementsysteem voor informatiebeveiliging. Het is lastig verschillende documentaties overzichtelijk te houden. Dus maak ook je ISMS een integraal onderdeel van je informatiehuishoudingssyteem. Je moet weten welke data je verwerkt (AVG), om zo je risico’s te documenteren, verantwoordelijkheid inzichtelijk te maken en te koppelen aan de beheersnormen van de NEN 7510.

Organisaties kiezen vaak ook voor een (centrale) authenticatievoorziening voor een cloudoplossing; in de zorg wordt Azure AD vaak gekozen. Hiermee wordt ook invulling gegeven aan de single-sign-on. Aandachtspunt is wel de aankomende Wet Digitale Overheid. Deze wet zal naar verwachting dit jaar in werking treden en betekent dat de portalen voor clienten die zorginstellingen bieden, toegankelijk moeten zijn via de wettelijk erkende (Europese) inlogmiddelen (zoals DigID). Voor veel zorginstellijngen betekent dit nog een transitie die ze moeten uitvoeren.

Wat wordt verstaan onder Cyberweerbaarheid?

Preventieve maatregelen zoals een firewallbescherming en anti-virussoftware zijn altijd wel getroffen; wat veelal nog niet duidelijk is welke risico’s je daarmee hebt afgedekt. Ga eerst na welke risico’s je wilt afdekken en bepaal dan je maatregelen.  Ook de detectieve en correctieve maatregelen zijn van belang (denk aan continue monitoring van je bedrijfsnetwerk)! Cyberweerbaarheid is een samenspel tussen risico’s en samenhangende maatregelen. Wat je veel ziet is, dat maatregelen technisch in orde zijn, maar dat beleid en beveiligingsplannen als losse documenten zijn gemaakt, niet helder samengevoegd zijn in een proces dat volgens de PDCA-cyclus kan worden gevolgd. Hiervoor wordt meestal ondersteuning gevraagd. Maar 100% veiligheid bestaat niet! Dat zou een onwerkbare situatie creëren. Daarnaast is de zorg inherent aan een open cultuur; de zorg staat voorop en de security mag niet al te beperkend zijn. Goede afwegingen zijn nodig. Als er wat gebeurt moet het mogelijk zijn tijdig te reageren om de schade zoveel mogelijk te beperken.

Hoe gaan zorgorganisaties om met risico’s?

In de zorg heb je vaak capaciteitsproblemen en wordt veel gewerkt met uitzendkrachten. Ook die moeten in een cliëntendossier kunnen kijken. Daarvoor moet je beheersbare afspraken maken en controleren. De technische kennis is wel aanwezig, maar de controleslag ontbreekt meestal. Organisaties worden geconfronteerd met nieuwe ontwikkelingen en vooral nieuwe kwetsbaarheden. Ze moeten daarin keuzes maken op basis van de gevoeligheid van informatie; zoals processen uitschakelen of 4 / 11 risico accepteren? En weer de controleslag waarmee je ook duidelijk kunt maken dat maatregelen niet meer werken en dus niet nodig zijn. Het beveiligingsbewustzijn van medewerkers wordt steeds beter maar voorkom overbodige maatregelen. Met technische maatregelen alleen ben je er niet; de mens blijft de zwakke schakel in de beveiliging. Peter wijst in dit verband op de wegwijzer Informatieveilig gedrag in de zorg; een initiatief van VWS en brancheorganisaties Zorg; vanaf 1 april belegd bij ECP in het programma Digivaardig in de zorg.

Wordt inzage in dossiers goed gelogd.

Met andere woorden, heb je een afspraak of is er een proces waarin je kunt nagaan of de toegang tot het dossier juist verloopt. Je kunt bijvoorbeeld periodiek standaard checks doen. Bij Pinewood komen verzoeken binnen om toegang tot ECD’s te monitoren. Resultaten realtime te filteren en een alarmering doen op verdachte benaderingen. Filtering rules worden met de klant opgesteld. Monitoring initieert reactive maatregelen en bevordert awareness. Medewerkers weten dat activiteiten worden gemonitord.

Security-by-design, Hoe gaat een zorgorganisatie daarmee om bij aanschaf van software?

In de eerste plaats beleidsmatig vastleggen waaraan leveranciers moeten voldoen en dat ook toetsen. En ga periodiek met leveranciers in overleg; naast het certificaat NEN 7510 kun ook pentesten laten uitvoeren. Hou een overzicht bij van je leveranciers. A.g.v. acute kwestbaarheid moet je bij je leveranciers terecht kunnen; hou ook bij hoe snel ze reageren. Leveranciersmanagement wordt steeds belangrijker en moet een onderdeel zijn van risicomanagement. Wat je normaliter doet in je eigen infrastructuur moet nu de leverancier doen. Zorg vooraf voor goede contracten en bewerkersovereenkomsten. Let vooral op bij koppelingen naar ‘achterliggende’ leveranciers in de keten; ga ook na of voor je vaste leveranciers de toeleveranciers in beeld zijn. In het eerdergenoemde rapport van IBM wordt dit ook als toenemend risico genoemd.

Leveranciersketens zijn een toenemende kwetsbaarheid; klanten zijn verplicht bij leveranciers door te vragen naar de toeleveranciers.

Relatie Z-Cert en SOC Zoals eerder aangegeven is een continue monitoring van het ICTnetwerk van groot belang; immers, bedrijfsnetwerken zijn vrijwel altijd gekoppeld aan het internet; dit betekent dat ze per definitie doorlopend door kwaadwillenden worden gescand op kwetsbaarheden die misschien de mogelijkheid bieden om in te breken op het bedrijfsnetwerk. Om schade te beperken is het allereerst van belang het netwerk in te delen in verschillende zones en de koppeling met internet via een DMZ (de-militarized zone) te laten lopen.

Maar het netwerk continu bewaken met behulp van een intrusion detection en prevention systeem (IDS IPS) is van toenemend belang om bijvoorbeeld een ransomware aanval te voorkomen. Deze continue bewaking vindt plaats vanuit een zogenaamd Security Operations Center (SOC). Probleem is echter dat voor veel zorginstellingen het niet mogelijk is om hier 7×24 uur monitoring op uit te laten voeren door een SOC, hetgeen zowel met beschikbaarheid als met de hiervoor benodigde specialistische expertise te maken heeft. Veel zorginstellingen kiezen er daarom voor gebruik te maken van een SOC-dienstverlener zoals Pinewood.

Het SOC van Pinewood legt voor elke klant een log-collector aan die de logfiles van de verschillende applicaties verzamelt. Dit wordt gemapt met Z-Cert meldingen; ‘matches’ worden teruggekoppeld naar de klant. Bij het Pinewood SOC worden vanuit een centrale post alle klantensystemen gemonitoord; monitoring is per klant ingesteld voor de klantspecifieke situaties / risico’s.

Leesbaarheid van security rapportages.

Het is een algemeen probleem dat bij klanten vaak de kennis ontbreekt om securityrapporten (pentesten, security scans) te interpreteren. Belangrijk is dat er partijen zijn  die de vertaling naar jouw situatie kunnen maken en advies uitbrengen wat je ermee moet doen; niet alleen technisch, ook procesmatig.

Specifieke kenmerken cyberweerbaarheid zorgsector?

De balans tussen ‘open karakter’ zorg en privacy; naast preventieve maatregelen moet dan wel extra worden geïnvesteerd in het vroegtijdig ontdekken van incidenten en de afhandeling daarvan. Security verplaatst zich van IT naar business; IT is slechts nodig voor inrichtingszaken. Apparatuur wordt aangeschaft voor de lange termijn; dit geldt niet voor de sofware. Dat vergt aanvullende security/ controle maatregelen.

Domotica en IoT

Alle mogelijke systemen kunnen worden gekoppeld aan internet of aan systemen. Maak bijv. met scans inzichtelijk wat er aan je netwerk hangt zodat je het kunt beheren Er worden op IoT-systemen wel testen uitgevoerd; maar ze zijn zeer divers en er zijn nog geen keurmerken. Ga er in beginsel van uit dat ze onveilig zijn. Het even koppelen van een digitale camera of planbord wordt steeds gangbaarder; een extra kwetsbaarheid voor het netwerk. Pentesters hebben vaak veel succes bij printers en camera’s!

De verschillende security scans

Een Security scan is vooral organisatorisch; faciliterend; gericht op processen. Een kwetsbaarheidsscan (zogenaamde pentest) is een scan op zwakke plekken in je ICT-omgeving die je bijvoorbeeld maandelijks uitvoert; het signaleert bijvoorbeeld wanneer patches, security updates niet zijn uitgevoerd waardoor kwetsbaarheden kunnen worden misbruikt. Een kwetsbaarheidsscanning vraagt resources van een organisatie; output moet worden beoordeeld en o.b.v. prioritering moeten acties volgen. Waar een kwetsbaarheidsscan inzicht geeft in de kwetsbaarheden van de in gebruik zijnde software, geeft een pentest bijvoorbeeld inzicht in de mate waarin de kwetsbare software ook daadwerkelijk kan worden misbruikt. Of wordt het voorkomen door een adequate scheiding tussen de verschillende zones in het netwerk dan wel verschillende maatregelen op applicatieniveau? De pentest kijkt dus ook naar de opbouw en gebruik van de infrastructuur.

Zijn bestuurders van zorginstelling zich voldoende bewust van cyberweerbaarheid?

Wordt er voldoende in geinvesteerd? Is er draagvlak? Voorwaarde is dan wel dat de SO-rol niet is belegd binnen de ict-afdeling maar dichter bij het bestuur. 6 / 11 Pinewood geeft aan dat bij risicoworkshops steeds vaker andere dan ict-afdelingen worden betrokken; cyberweerbaarheid is de verantwoordelijkheid van de hele organisatie. Problemen liggen vaak niet alleen bij de ict-afdeling; die heeft meestal zijn zaakjes wel op orde. Het zijn meestal de bedrijfsprocessen; de awareness waar de grootste risico’s liggen. En bestuurder niet pas betreken a.g.v. een incident.

Security tips!

  • Zorg dat je onafhankelijk kunt functioneren.
  • Zorg ervoor dat je niet zelf bij uitvoering van security betrokken bent. Eerst risico dan de techniek.
  • Laat risico’s leidend zijn voor je maatregelen.
  • Houd korte lijnen met de IT-afdeling en schroom niet om een specialist in de arm te nemen als het nodig is.
  • Betrek zoveel mogelijk de bestuurslaag bij beslissingen Beoordeel op vooraf vastgestelde termijnen de risico’s met de bestuurders.
  • Houd je ISMS bij zodat je altijd een overall inzicht hebt Scherm het ISMS niet af maar laat het een intern-open document zijn.

Nieuwe technologieën en platforms bieden vele mogelijkheden om gegevens uit te wisselen en wordt een steeds grotere uitdaging. Denk voor dergelijke installaties van goed na over de inrichting; besteed aandacht aan autorisaties. Hou de mogelijkheden van een pakket tegen je risico’s aan; bouw zo nodig beperkingen in. Security by design.

Platforms als Teams en Sharepoint zijn gericht op samenwerking maar zorg wel dat je dat goed regelt. Zelfs als je de configuratie uit handen geeft ziet Pinewood soms achteraf nog kwetsbaarheden als gevolg van foute configuraties. Documenten kunnen bijvoorbeeld hierdoor onbedoeld gedeeld worden of toegankelijk zijn voor andere organisaties

Naar aanleiding van een chatvraag over de complexe kwetsbaarheid log4j een enkele tip. Securitytechniek is een apart vak; als je de kennis niet binnen bereik hebt schroom dan niet een specialist in te huren. Ga er niet van uit dat je dit soort zaken zelf kunt doen en regel vooraf je contacten. Als onderdeel van je incident response maatregelen.

Peter benadrukt nog eens enkele punten:

  • Op risico’s gebaseerde benadering voor beveiligingsmaatregelen.
  • Ervan uitgaan dat eigenlijk niets veilig is.
  • Awareness bij medewerkers en betrokkenheid bestuurders.
  • Security geen onderdeel is van de ict en moet aansluiten op het beheerproces.

Meer weten hoe wij uw organisatie kunnen helpen? Neem dan contact op met Pinewood of onderstaande contactpersoon.

Wijnand Verweij

Accountmanager Healthcare

015 251 36 36

wijnand.verweij@pinewood.nl