Ransomware is een trend. Er wordt veel tijd besteed aan preventieve maatregelen, maar is dit wel voldoende? Sebastiaan Kors (CEO Pinewood) stelt dat voor een optimale beveiliging je niet alleen dient te investeren in preventie, maar vooral ook in predictie, detectie en respons maatregelen welke vaak onderbelicht worden. In de Dutch IT Security Talkshow gaat Sebastiaan hier dieper op in met moderator Danny Frietman.

Lees ook ons interview met Richard Strooper (CTO) over goede security gaat uit van predictie, preventie, detectie en respons.

Bijna heel Nederland is genoodzaakt thuis te werken door de nare omstandigheden die nu ons land beheersen. Thuiswerken vergt naast het vertrouwen van de werkgever ook discipline van de werknemer. Maar nog veel belangrijker is dat het op een veilige manier gebeurt en de werknemer zich bewust is van de gevaren die er zijn bij het gebruik van externe communicatiemiddelen. Communicatiemiddelen om elkaar te contacten of informatie te delen. Wat zijn nu de risico’s en hoe kun je je hiertegen wapenen?

Risico’s zowel op het gebied van privacy als informatiebeveiliging:
Een van de grootste risico’s die er ontstaat bij thuiswerken is Shadow-IT. Het gebruik maken van tools die niet door de IT-afdeling ondersteund worden zoals Whatsapp, Zoom, Wetransfer, Dropbox of Google Drive, maar ook USB-sticks of het gebruik van privé-laptops. Bij de inzet van deze communicatiemiddelen is er geen controle over de data die verstuurd wordt en inzicht in het veilig gebruik van deze middelen. De IT-afdeling heeft geen controle over de beveiliging hiervan en gebruikers weten vaak niet hoe ze deze veilig moeten gebruiken. Dit noemen we Shadow-IT.

Daarnaast zijn er ook cybercriminelen die misbruik maken van de situatie die ontstaan is en via phishing proberen computervirussen en ransomware te verspreiden of persoonlijke gegevens te achterhalen. Door de grote stroom aan nieuwsberichten over het coronavirus zijn gebruikers minder op hun hoede voor e-mails met ongebruikelijke verzoeken die vanwege het coronavirus nodig zouden zijn.

Welke maatregelen kun je als organisatie nemen?
Als organisatie is het van belang dat je keuzes maakt hoe veilig thuis te werken en daarvoor procedures en protocollen opstelt, zodat het voor iedereen duidelijk is wat wel en niet toegestaan is. Procedures met betrekking tot het delen van informatie hoe en in welke vorm en het gebruik van applicaties met betrekking tot videobellen.

Persoonsgegevens mogen vanwege de AVG alleen worden gedeeld als daar een juiste grondslag (reden) voor is. Het delen van een sheet met persoonsgegevens via Excel met een gehele afdeling kan ook een datalek zijn. Alléén de medewerkers voor wie het noodzakelijk is deze gegevens te ontvangen mogen toegang krijgen. Leg dit vast in een procedure en geef aan met welke communicatiemiddelen deze informatie gedeeld mag worden.

Basismaatregelen die de medewerkers zelf kunnen en moeten hanteren :
• Zorg voor een beveiligde WiFi thuis.
• Gebruik een gezonde vorm van wantrouwen bij het lezen van mail en openen van links.
• Zorg dat de werk PC alleen voor werk gebruikt wordt en niet voor privé-doeleinden.
• Gebruik de applicaties die het bedrijf voorstelt, overleg met IT-beheerders of je andere toepassingen mag gebruiken.
• Printen – indien toegestaan, vernietig de papieren.
• Let op dat er bij vertrouwelijke gesprekken (of eigenlijk altijd) geen Google Home, Alexa of andere apparaten aan staan.
• Tóch informatie delen via een ongebruikelijke weg? Niet alleen via een link of e-mail, maar verpak het bijvoorbeeld in een zip-bestand met een wachtwoord, stuur het wachtwoord via SMS of Whatsapp.

De volgende acties kun je als organisatie nemen:
• Informeer je medewerkers over de risico’s en de maatregelen die de organisatie genomen heeft met betrekking tot veilig thuiswerken, regels en protocollen.
• Systemen en remote gebruikers moeten voorzien zijn van de laatste updates.
• Geef aan dat er een meldplicht geldt voor incidenten zoals het lekken van data en op welke manier en bij wie dit gemeld moet worden.
• Informeer medewerkers dat het aantal phishingmails toeneemt door het coronavirus, zodat ze zich hier bewust van zijn en alert hierop zijn. Geef tevens aan dat er een meldplicht geldt zoals hierboven aangegeven.

Voor ondersteuning of meer informatie neemt u gerust contact met ons op via info@pinewood.nl of via tel.nr. 015-2513636. Wij helpen u graag verder.

Voor de bedrijfsvoering van organisaties is een goed Vulnerability Management beleid voor iedereen binnen een organisatie belangrijk. Door gebruik te maken van Vulnerability Management krijgt u op continue basis inzicht in de kwetsbaarheden binnen uw infrastructuur en de risico’s. De risico’s worden gedetecteerd nog voordat ze problemen veroorzaken. Om het juiste resultaat te behalen, is het van essentieel belang dat er op basis van de risico’s ook maatregelen genomen worden. In de praktijk zien wij vaak dat organisaties geautomatiseerd een overzicht genereren van alle kwetsbaarheden, maar de tijd of beschikbare kennis ontbreekt om hierop te acteren. Door Vulnerabilty Management als een proces te benaderen, wordt het een onderdeel van uw Security beleid.

Door het continue karakter van de Vulnerabiltiy Scanning volgt er back-to-back Vulnerability informatie, waardoor er trends gesignaleerd kunnen worden over de korte- en lange termijn. Deze informatie is van belang voor Security Officers, Auditors en Directie. Tevens een reden om het onderdeel van het security beleid te maken.

Onderdeel Security beleid:
Voor een optimale beveiliging is het van belang om Vulnerability Management onderdeel van uw Security beleid te maken en is een Security team bestaande uit een IT-beheerder en Security Officer essentieel voor een juiste inschatting van de risico’s en prioritering (kans x impact) en voor het uitvoeren van de benodigde maatregelen. Op deze wijze worden zowel de bedrijfsprocessen binnen een organisatie hierop aangepast als de technische maatregelen uitgevoerd, zodat u altijd het juiste security niveau heeft inclusief de eisen die de wet- en regelgeving van organisaties verwacht.

Tips die Pinewood u graag wil meegeven:

• Blijf Vulnerability Management zien als een continu proces. De hoeveelheid bekende kwetsbaarheden wereldwijd blijft continu groeien. Terwijl uw IT-omgeving wellicht niet verandert doen de hoeveelheid kwetsbaarheden in uw omgeving dat wel.
• Een lijst of dashboard van kwetsbaarheden genereren is niet alles. Het genereren van de output uit een scanning tool is niet het doel. Binnen het proces draait het erom dat u de kwetsbaarheden beoordeelt en waar nodig omzet tot acties.
• Het draait om de werkelijke risico’s. Uit uw scanning tool krijgt u kwetsbaarheden voorzien van prioriteiten (vaak: laag, medium, urgent en kritisch). Het risico dat uw organisatie loopt per kwetsbaarheid is verschillend. Er zijn situaties waar zelfs een kritische kwetsbaarheid wordt geaccepteerd.
• Vulnerability Management is niet alleen een aangelegenheid voor de IT-afdeling. Binnen de risicobepaling dient de daadwerkelijke kans en impact vastgeteld te worden. Dit heeft een groot raakvlak met uw business en security overwegingen.
• Start met basis scanning en breid uit. Er zijn mogelijkheden om nog meer kwetsbaarheden in kaart te brengen (bijvoorbeeld authenticated scanning). Wanneer u voldoende ervaring en kennis van security heeft opgebouwd, kunt u de scanning verder uitbreiden.
• Zorg voor de juiste opvolging. Wanneer u een kwetsbaarheid heeft geïndentificeerd waar actie op benodigd is, zorg dan dat conform uw processen (bijvoorbeeld ticket aanmaken) de wijziging wordt uitgevoerd. Indien dit een groot risico voor uw organisatie betreft, vraag dan een second opinion aan. Indien er geen mogelijkheid is om te patchen of geen tijd, neem andere passende mitigerende maatregelen eventueel in overleg met uw security partner.

Pinewood kan als security partner een waardevolle bijdrage leveren in het Vulnerabilty Management proces door o.a.:

• Pinewood Vulnerability Scanning tool inrichten en beheren.
• Uitkomst vulnerability scan vertalen, samenvatten en prioriteren op basis van uw organisatie.
• Periodieke rapportages opleveren met de meest kritische en hoge urgentie; kwetsbaarheden. Om de risico inschatting en urgentiebepaling voor uw team makkelijker te maken.
• Online dashboard opleveren met specifieke dashboards en overzichten.
• Aanspreekpunt voor uw vragen met betrekking tot het mitigeren van kwetsbaarheden.
• Kennisopbouw of samenwerken.

Overweegt of u zelf de juiste kennis in huis heeft, wilt opbouwen of dat het uw voorkeur heeft om hierbij een externe partij te betrekken.
Voor meer informatie kunt u contact met ons opnemen via info@pinewood.nl of via tel.nr. 015-2513636.

Richard Strooper, CTO

Cybersecurity is niet standaard belegd bij IT, maar wordt het liefst organisatiebreed opgepakt, vertelt Richard Strooper, CTO bij Pinewood. ‘De bedrijfsrisico’s worden door deze bedrijfsbrede aanpak inzichtelijk en vormen de basis van passende maatregelen, verdeeld over vier kerngebieden, namelijk: predictie, preventie, detectie en respons. Overigens kunnen dit zowel IT- als niet IT-gerelateerde maatregelen zijn.’‘Het grootste probleem met security is dat executives te veel focussen op ransomware omdat dat in het nieuws komt’, vertelt Richard Strooper, CTO bij Pinewood. ‘Natuurlijk, ransomware is heel vervelend, maar het is een hele aanvalsketen die voorafgaat aan de gijzeling. Het begint met een verkenning, dan een aanval op het netwerk. Als ze binnen zijn, vindt exfiltratie plaats en stelen ze de data. Pas dan vindt de afpersing plaats.’Ransomware komt niet voort uit het klikken op een linkje.

‘Als je je alleen focust op de besmetting, dan ben je eigenlijk al te laat. Belangrijk is om de focus te leggen op de risico’s binnen de infrastructuur en het netwerk. Voor criminelen zijn deze risico’s een ingang om binnen te dringen. Alleen klikken op een linkje is dan ook niet de oorzaak. Het niet doorvoeren van updates, het ontbreken van een wachtwoordbeleid zoals een multifactor authenticatiebeleid zijn bijvoorbeeld factoren die Ransomware uitlokken.’Organisaties die hun cybersecurity op orde hebben, investeren volgens Strooper in vier gebieden, namelijk: predictie (inventariseren van risico’s), preventie (technische oplossingen), detectie (monitoren van de maatregelen en de risico’s) en respons (acties die de uitkomst zijn van de monitoring).De eerste stap, de predictie, is vergelijkbaar met wat criminelen doen, vertelt Strooper: ‘Criminelen inventariseren als eerste de kwetsbaarheden door middel van scans. Het is dus noodzaak dat je als organisatie dezelfde soort scans doet en op de hoogte bent van de kwetsbaarheden of de risico’s.’

Een paar voorbeelden van kwetsbaarheden
Strooper: ‘Recente voorbeelden zijn Citrix-, Exchange- en FortinetSSL-kwetsbaarheden. Als je dit soort kwetsbaarheden niet patcht, dan is de kans vrij groot dat de criminelen al binnen zijn. Dit type aanvallen kan je eenvoudig stoppen door simpelweg de software te updaten. Maar ondanks dat deze belangrijke maatregelen simpel lijken, vinden organisaties het lastig om hun systemen up-to-date te houden. ‘Ze hebben een wildgroei aan apparaten en oplossingen, en geen duidelijk overzicht van de assets.’Een andere reden waarom patches en updates niet altijd worden doorgevoerd, is dat de organisatie het belang er niet van inziet of de operatie een hoger belang toeschrijft. ‘Als je voor een update een operationeel proces moet stilleggen, dan wordt er vaak voor gekozen om de updates uit te stellen of helemaal niet door te voeren. Deze stap kan dus heel eenvoudig zijn, maar de urgentie moet wel duidelijk zijn.’

Gebruikers en gedrag volgen
Stel dat je je updates niet hebt gedraaid en de hackers zijn via die weg binnengekomen, wat is het volgende dat je kunt doen? Strooper: ‘Na het implementeren van technische oplossingen zoals firewalls en antivirus die onderdeel zijn van de stap die wij preventie noemen, komt het ‘detecteren’.’‘Detectie draait om het continu bekijken wat er in je omgeving gebeurt, wat in je apparaten gebeurt, wie heeft ingelogd, welk gedrag wordt vertoond. Met detectie monitor je naast gedrag en de logging ook de nieuwe evoluerende dreigingen en de preventieve maatregelen. Het is hierbij van groot belang dat de urgentie van een melding van vreemd gedrag serieus wordt genomen.’Strooper noemt het voorbeeld van de Universiteit van Maastricht, waar het antivirusprogramma wel de melding had gegeven van verdacht gedrag, maar de operatie dit niet had gezien. ‘Daarom moet je logging continu monitoren en de risico’s helder in beeld hebben.’ Het is volgens Strooper overigens vaak geen onwil. ‘Ze missen de kennis en mensen om hun omgeving te monitoren en te acteren op vreemd gedrag dat gemeld wordt.’

Het uitbesteden van detectie
Kan detectie dan gemanaged worden door een externe organisatie? Strooper lacht: ‘Zeker. Organisaties die niet de resources, budgetten of de tijd hebben om zelf een FTE op security te zetten, komen bij ons. In deze tijd, waar al veel uitbesteed wordt (denk aan cloud oplossingen en de opkomst van managed services), is het volkomen logisch om ook je detectie uit te besteden.’Als ondanks de maatregelen toch een besmetting of diefstal heeft plaatsgevonden, dan moeten responsmaatregelen in werking treden. ‘Als het te laat is, moet een crisisplan klaarliggen om de schade te beperken. Deze stap draait niet alleen om techniek, maar om de hele organisatie. Bijvoorbeeld: wie moet je informeren, wie is de woordvoerder en gaan we betalen of niet in het geval van ransomware en offline backups?’Security is geen operationeel proces

Gelukkig, vertelt Strooper, realiseren steeds meer organisaties zich dat ze een crisismanagementplan nodig hebben. Kortom: security is geen operationeel proces, maar gebaseerd op bedrijfsrisico’s. Zonder deze risico’s in kaart te brengen, concentreer je je als IT-afdeling wellicht niet op de juiste maatregelen en krijgen criminelen nog steeds ruimte om binnen te dringen.