Visibility
Wat je niet ziet,
kan je niet beschermen
Welke clouddienst, hard- of software een bedrijf ook gebruikt, er hangt altijd
een securityrisico aan vast. Deze kunnen immers ook mee veranderen en bewegen met ontwikkelingen die de organisatie doormaakt. Een overzicht bewaren, is daarom cruciaal. “Wat je niet ziet, kan je niet beschermen”, zegt Stephen Corbiaux van Davinsi Labs.
Met de roadmap in de hand kan u aan de slag met een gezonde security-strategie.
De kwetsbaarheden van de organisatie zijn duidelijk in kaart gebracht en dat maakt
het plan behapbaar. Dat helpt niet alleen het IT-team: het zorgt ook voor bewustwording bij medewerkers en beleidsmakers. Met de roadmap hebt u duidelijke richtlijnen voor uw medewerkers en stelt u een waterdicht veiligheidsbeleid op. Als
een veiligheidslek uw organisatie veel geld kan kosten, dan hebt u goede argumenten om budget vrij te maken voor een oplossing. Een win-winsituatie voor elke laag van
de organisatie.
5. Een securityroadmap geeft houvast
4. Van IT-security assessment naar roadmap
Het assessment is een uitstekende basis om de securityroadmap uit te stippelen.
De roadmap gaat helpen om een langetermijnstrategie uit te werken. Een belangrijk onderdeel daarvan is een prioriteitenlijst. Als een bedrijfsproces gevaar loopt door
een beveiligingslek, onderzoekt u wat die impact kost. Deze constateringen komen voort uit de interviews en technische scan. Deze dreigingen zet u af tegen een lijst van veel voorkomende dreigingen in de informatiebeveiligingswereld, zoals de RAVIB-methode. Door de KANS dat een incident zich voordoet te koppelen aan de IMPACT, maakt u een lijst RISICO’s.
Deze methode maakt het mogelijk passende maatregelen te nemen om dreigingen
te voorkomen. Die maatregelen kunnen zowel organisatorisch als technisch van aard zijn. Als maatregelen meerdere dreigingen en risico’s dekken, zet u ze hoger op de lijst. Daarbij kan u ook rekening houden met het beschikbare budget en ambitieniveau van uw organisatie.
De volgende stap in het assessment is bepalen welke securitymaatregelen al genomen zijn om het gevaar af te wenden en vaststellen of dit nog altijd toereikend is. U stelt vast of de securitymaatregelen die u hebt genomen nog steeds in lijn zijn met de impact van de risico’s die u opnieuw hebt beoordeeld.
De kans is groot dat er een aantal onderdelen uit balans zijn die u moet herstellen. Met de resultaten van dit assessment hebt u een degelijke onderbouwing wanneer u nieuwe investeringen in security moet verdedigen. De resultaten van het scannen van het netwerkverkeer helpen hier ontzettend bij; er staat zwart op wit waar de kwetsbaarheden zitten.
3. Securitymaatregelen in kaart brengen
2. Kwetsbaarheden in de IT-architectuur blootleggen
Met het lijstje businessrisico’s dat eerder werd opgesteld, kijkt u naar de IT-architectuur en bepaalt u welke IT-componenten verbonden zijn aan risico’s met een grote impact. Denk aan (delen van) het netwerk, business applicaties (CRM of ERP) of een productieomgeving die is voorzien van IoT-oplossingen en sensordata levert. Hierbij kan het helpen een stukje software in het netwerk te plaatsen, waarmee het netwerkverkeer kan gemonitord en gescand worden. Zo worden risico’s en kwetsbaarheden automatisch blootgelegd en verzamelt u technische bewijzen om een theoretische kader te ondersteunen.
Idealiter begint u met het vaststellen van de primaire bedrijfsprocessen. Welke processen geven uw organisatie bestaansrecht? Kijk hierbij naar de producten die u ontwikkelt en levert, de diensten die u aanbiedt, de klanten of klantsegmenten die
de meeste waarde genereren, welke bedrijfsapplicaties de primaire processen ondersteunen en welke informatie daarbij onmisbaar is. Bedenk wat de gevolgen zijn als er een inbraak plaatsvindt op een primaire database.
Wanneer u de kans van optreden maal de omvang van de impact berekent, kan u
een soort ranglijst maken van de risico’s en er prioriteiten aan koppelen.
1. Prioriteiten aanbrengen in security
Stephen Corbiaux, Data & Direct Marketing Manager bij Decathlon België
"OM DE SECURITY POSTURE TE VERBETEREN, MOET JE GERICHT INZETTEN OP EXTRA WEERBAARHEID. DAT DOE JE DOOR TE WERKEN OP DRIE PIJLERS: MENSEN, TECHNOLOGIE EN PROCESSEN.”
Davinsi Labs is een Proximus Accelerator en helpt bedrijven Digital Service Excellence te bereiken door gespecialiseerde Security Intelligence en Service Intelligence oplossingen. In de huidige digitale wereld verwachten klanten dat hun gegevens uitermate veilig beheerd worden én wensen ze een snelle, vlekkeloze customer experience. Als Managed Services Provider biedt Davinsi Labs een portfolio aan oplossingen om Digital Service Excellence te realiseren voor de meest bedrijfskritische applicaties en services.
Waarom houdt het gebruik van cloudoplossingen mogelijk een beveiligingsrisico in?
“Omdat de aanbieder van de clouddienst wel het platform voor je beheert, maar niet de security. Vandaag kan je op clouddiensten wel makkelijk out of the box security toepassen. Met een oplossing voor Intrusion Detection & Response kan je dan bijvoorbeeld zien wie vanop welke locatie op je clouddienst heeft ingelogd – en daar indien nodig op reageren. Het blijft natuurlijk een uitdaging om tijd en expertise in te zetten om iets te doen met de alerts die je securityomgeving genereert. Daarom besteden bedrijven dat luik vaak ook uit, waarbij een partner via een managed service hun security posture versterkt.”
Telindus Luxemburg is
een Proximus Accelerator en levert globale oplossingen op het gebied van ICT- en telecomdiensten aan ondernemingen en overheidsdiensten. Het bedrijf is onder meer gespecialiseerd in vaste en mobiele telecommunicatie, ICT-infrastructuur, multicloud, Fintech-oplossingen, cybersecurity en managed services.
Telindus Nederland is een Proximus Accelerator en levert globale oplossingen op het gebied van ICT- en telecomdiensten aan ondernemingen en overheidsdiensten. Het bedrijf is onder meer gespecialiseerd in vaste en mobiele telecommunicatie, ICT-infrastructuur, multicloud, Fintech-oplossingen, cybersecurity en managed services.
Case
ESA en Telindus verleggen de grenzen van cyberbeveiliging
Vandaag de dag worden ruimtesystemen en de gegevens, producten en services die ze bieden steeds meer ingezet ter ondersteuning van kritieke infrastructuren en diensten, communicatie, wetenschappelijke studies, ontdekkingstochten, beleid en beslissingen. Het feit dat de maatschappij steeds meer vertrouwt op ruimtesystemen, maakt ze echter ook tot aantrekkelijkere doelwitten voor tegenstanders.
Telindus Luxemburg helpt de Europese Ruimtevaartorganisatie (ESA) om
de bedrijfsmiddelen en intellectuele eigendom te beschermen met geautomatiseerde penetratietests en door bewustmaking van de gebruikers.
Marcus Wallum, Operations Data Systems Engineer bij ESA: “ESA heeft
een uitgerijpt beveiligingsframework met traceerbaarheid van verordeningen op topniveau naar richtlijnen, beleid en uitvoering. Dat omvat een accreditatie- en certificeringsregeling, bijbehorende verantwoordelijke functies en een beheersysteem voor informatiebeveiliging met ISO-27001-certificaat.
Ondanks de toegenomen focus is er nog veel werk aan de winkel. Zo moet er bijvoorbeeld voldoende bewustzijn worden gecreëerd opdat beveiligingsvereisten vanaf het begin van een programma of missie worden ondersteund en tot op engineeringniveau worden doorgevoerd.”
“Het PenBox-systeem maakt het mogelijk om systemen op een voor niet-ervaren gebruikers eenvoudige en herhaalbare manier te onderwerpen aan generische penetratietests, wat de kostprijs en herhaalbaarheid ten goede komt. Specifieke aanvalsscenario’s voor ruimtevaartmissies geven een potentiële missie-impact aan, wat het bewustzijn van de gebruikers en systeemeigenaars sterk verbetert.”
Marcus Wallum vertelt uitgebreid over cybersecurity in de ruimtevaartsector en
het PenBox-systeem.
Bereid uw security assessment voor
Security Assessment in 5 stappen
Een security assessment geeft inzicht in welke securitycomponenten essentieel zijn en stelt u in staat de effectiviteit van investeringen te monitoren en te verbeteren.
Hebt u behoefte aan direct inzicht in de status van uw IT-security? Door slechts 12 vragen te beantwoorden krijgt u een globaal beeld hoe
uw security ervoor staat en ontvangt u een persoonlijk rapport.
Security Maturity Quick Scan
Stephen Corbiaux
studeerde software engineering aan
de Erasmushogeschool in Brussel. Hij is Solution Lead Vulnerability Management bij Proximus Accelerator Davinsi Labs.
Een modern netwerk uitbouwen
Stephen Corbiaux, Solution Lead Vulnerability Management bij Davinsi Labs:
“Een modern netwerk is vandaag meestal een hybride omgeving: deels on-premise, deels in de cloud. Jonge organisaties hebben vaak geen eigen infrastructuur meer en werken volledig in de cloud.
In de cloud kan je in één klik nieuwe instances genereren. Het is onmogelijk om dat soort activiteiten op de klassieke manier te inventariseren en te beheren. Maar toch moet de IT-afdeling ook hier voor de nodige ondersteuning zorgen. Wat je niet ziet, kan je niet beschermen. Daarom is visibiliteit essentieel, omdat je zo ook zicht krijgt op de mogelijke gevaren.”
Ook shadow IT verwijst naar IT-activiteiten die onder de radar van de IT-afdeling gebeuren – en waarvan die afdeling de beveiliging dus niet kan garanderen.
Wat ziet u daar als grootste risico?
“Iedereen met een e-mailadres en een kredietkaart kan in de cloud een service afnemen. Het gevaar zit vooral in de data die op die systemen terechtkomen. Maar als bedrijf kan je onmogelijk alles hermetisch afsluiten. Er is geen magische oplossing om shadow IT
te vermijden. Je moet er vooral duidelijk over communiceren: wijzen op de gevaren en zo het bewustzijn vergroten. Tegelijk moet de IT-afdeling zich ook afvragen wat het gebruik van shadow IT veroorzaakt. Waarom gebruikt iemand een online file host? Wellicht omdat de oplossing die het bedrijf ter beschikking stelt niet aan zijn behoeften voldoet.”
“De risico’s veranderen doorheen de tijd.
Ook de technologie en de businesscontext veranderen.
Al die elementen moet je in de oefening meenemen.”
beschermen
Welke clouddienst, hard- of software een bedrijf ook gebruikt, er hangt altijd
een securityrisico aan vast. Deze kunnen immers ook mee veranderen en bewegen met ontwikkelingen die de organisatie doormaakt. Een overzicht bewaren, is daarom cruciaal. “Wat je niet ziet, kan je niet beschermen”, zegt Stephen Corbiaux van Davinsi Labs.
kan je niet
Wat je niet ziet,
Visibility
Het assessment is een uitstekende basis om de securityroadmap uit te stippelen.
De roadmap gaat helpen om een langetermijnstrategie uit te werken. Een belangrijk onderdeel daarvan is een prioriteitenlijst. Als een bedrijfsproces gevaar loopt door
een beveiligingslek, onderzoekt u wat die impact kost. Deze constateringen komen voort uit de interviews en technische scan. Deze dreigingen zet u af tegen een lijst van veel voorkomende dreigingen in de informatiebeveiligingswereld, zoals de RAVIB-methode. Door de KANS dat een incident zich voordoet te koppelen aan de IMPACT, maakt u een lijst RISICO’s.
Deze methode maakt het mogelijk passende maatregelen te nemen om dreigingen
te voorkomen. Die maatregelen kunnen zowel organisatorisch als technisch van aard zijn. Als maatregelen meerdere dreigingen en risico’s dekken, zet u ze hoger op de lijst. Daarbij kan u ook rekening houden met het beschikbare budget en ambitieniveau van uw organisatie.
4. Van IT-security assessment naar roadmap
Met de roadmap in de hand kan u aan de slag met een gezonde security-strategie.
De kwetsbaarheden van de organisatie zijn duidelijk in kaart gebracht en dat maakt
het plan behapbaar. Dat helpt niet alleen het IT-team: het zorgt ook voor bewustwording bij medewerkers en beleidsmakers. Met de roadmap hebt u duidelijke richtlijnen voor uw medewerkers en stelt u een waterdicht veiligheidsbeleid op. Als
een veiligheidslek uw organisatie veel geld kan kosten, dan hebt u goede argumenten om budget vrij te maken voor een oplossing. Een win-winsituatie voor elke laag van
de organisatie.
5. Een securityroadmap geeft houvast
De volgende stap in het assessment is bepalen welke securitymaatregelen al genomen zijn om het gevaar af te wenden en vaststellen of dit nog altijd toereikend is. U stelt vast of de securitymaatregelen die u hebt genomen nog steeds in lijn zijn met de impact van de risico’s die u opnieuw hebt beoordeeld.
De kans is groot dat er een aantal onderdelen uit balans zijn die u moet herstellen. Met de resultaten van dit assessment hebt u een degelijke onderbouwing wanneer u nieuwe investeringen in security moet verdedigen. De resultaten van het scannen van het netwerkverkeer helpen hier ontzettend bij; er staat zwart op wit waar de kwetsbaarheden zitten.
3. Securitymaatregelen in kaart brengen
Met het lijstje businessrisico’s dat eerder werd opgesteld, kijkt u naar de IT-architectuur en bepaalt u welke IT-componenten verbonden zijn aan risico’s met een grote impact. Denk aan (delen van) het netwerk, business applicaties (CRM of ERP) of een productieomgeving die is voorzien van IoT-oplossingen en sensordata levert. Hierbij kan het helpen een stukje software in het netwerk te plaatsen, waarmee het netwerkverkeer kan gemonitord en gescand worden. Zo worden risico’s en kwetsbaarheden automatisch blootgelegd en verzamelt u technische bewijzen om een theoretische kader te ondersteunen.
2. Kwetsbaarheden in de IT-architectuur blootleggen
Idealiter begint u met het vaststellen van de primaire bedrijfsprocessen. Welke processen geven uw organisatie bestaansrecht? Kijk hierbij naar de producten die u ontwikkelt en levert, de diensten die u aanbiedt, de klanten of klantsegmenten die
de meeste waarde genereren, welke bedrijfsapplicaties de primaire processen ondersteunen en welke informatie daarbij onmisbaar is. Bedenk wat de gevolgen zijn als er een inbraak plaatsvindt op een primaire database.
Wanneer u de kans van optreden maal de omvang van de impact berekent, kan u
een soort ranglijst maken van de risico’s en er prioriteiten aan koppelen.
1. Prioriteiten aanbrengen in security
Telindus Nederland is een Proximus Accelerator en levert globale oplossingen op het gebied van ICT- en telecomdiensten aan ondernemingen en overheidsdiensten. Het bedrijf is onder meer gespecialiseerd in vaste en mobiele telecommunicatie, ICT-infrastructuur, multicloud, Fintech-oplossingen, cybersecurity en managed services.
Davinsi Labs is een Proximus Accelerator en helpt bedrijven Digital Service Excellence te bereiken door gespecialiseerde Security Intelligence en Service Intelligence oplossingen. In de huidige digitale wereld verwachten klanten dat hun gegevens uitermate veilig beheerd worden én wensen ze een snelle, vlekkeloze customer experience. Als Managed Services Provider biedt Davinsi Labs een portfolio aan oplossingen om Digital Service Excellence te realiseren voor de meest bedrijfskritische applicaties en services.
Telindus Luxemburg is
een Proximus Accelerator en levert globale oplossingen op het gebied van ICT- en telecomdiensten aan ondernemingen en overheidsdiensten. Het bedrijf is onder meer gespecialiseerd in vaste en mobiele telecommunicatie, ICT-infrastructuur, multicloud, Fintech-oplossingen, cybersecurity en managed services.
Marcus Wallum vertelt uitgebreid over cybersecurity in de ruimtevaartsector en
het PenBox-systeem.
Vandaag de dag worden ruimtesystemen en de gegevens, producten en services die ze bieden steeds meer ingezet ter ondersteuning van kritieke infrastructuren en diensten, communicatie, wetenschappelijke studies, ontdekkingstochten, beleid en beslissingen. Het feit dat de maatschappij steeds meer vertrouwt op ruimtesystemen, maakt ze echter ook tot aantrekkelijkere doelwitten voor tegenstanders.
Telindus Luxemburg helpt de Europese Ruimtevaartorganisatie (ESA) om
de bedrijfsmiddelen en intellectuele eigendom te beschermen met geautomatiseerde penetratietests en door bewustmaking van de gebruikers.
Marcus Wallum, Operations Data Systems Engineer bij ESA: “ESA heeft
een uitgerijpt beveiligingsframework met traceerbaarheid van verordeningen op topniveau naar richtlijnen, beleid en uitvoering. Dat omvat een accreditatie- en certificeringsregeling, bijbehorende verantwoordelijke functies en een beheersysteem voor informatiebeveiliging met ISO-27001-certificaat.
Ondanks de toegenomen focus is er nog veel werk aan de winkel. Zo moet er bijvoorbeeld voldoende bewustzijn worden gecreëerd opdat beveiligingsvereisten vanaf het begin van een programma of missie worden ondersteund en tot op engineeringniveau worden doorgevoerd.”
“Het PenBox-systeem maakt het mogelijk om systemen op een voor niet-ervaren gebruikers eenvoudige en herhaalbare manier te onderwerpen aan generische penetratietests, wat de kostprijs en herhaalbaarheid ten goede komt. Specifieke aanvalsscenario’s voor ruimtevaartmissies geven een potentiële missie-impact aan, wat het bewustzijn van de gebruikers en systeemeigenaars sterk verbetert.”
ESA en Telindus verleggen de grenzen van cyberbeveiliging
Case
Bereid uw security assessment voor
Hebt u behoefte aan direct inzicht in de status van uw IT-security? Door slechts 12 vragen te beantwoorden krijgt u een globaal beeld hoe
uw security ervoor staat en ontvangt u een persoonlijk rapport.
Security Maturity Quick Scan
Een security assessment geeft inzicht in welke securitycomponenten essentieel zijn en stelt u in staat de effectiviteit van investeringen te monitoren en te verbeteren.
Security Assessment in 5 stappen
Waarom houdt het gebruik van cloudoplossingen mogelijk een beveiligingsrisico in?
“Omdat de aanbieder van de clouddienst wel het platform voor je beheert, maar niet de security. Vandaag kan je op clouddiensten wel makkelijk out of the box security toepassen. Met een oplossing voor Intrusion Detection & Response kan je dan bijvoorbeeld zien wie vanop welke locatie op je clouddienst heeft ingelogd – en daar indien nodig op reageren. Het blijft natuurlijk een uitdaging om tijd en expertise in te zetten om iets te doen met de alerts die je securityomgeving genereert. Daarom besteden bedrijven dat luik vaak ook uit, waarbij een partner via een managed service hun security posture versterkt.”
“De risico’s veranderen doorheen de tijd.
Ook de technologie en de businesscontext veranderen.
Al die elementen moet je in de oefening meenemen.”
Stephen Corbiaux
studeerde software engineering aan
de Erasmushogeschool in Brussel. Hij is Solution Lead Vulnerability Management bij Proximus Accelerator Davinsi Labs.
Stephen Corbiaux, Solution Lead Vulnerability Management bij Davinsi Labs:
“Een modern netwerk is vandaag meestal een hybride omgeving: deels on-premise, deels in de cloud. Jonge organisaties hebben vaak geen eigen infrastructuur meer en werken volledig in de cloud.
In de cloud kan je in één klik nieuwe instances genereren. Het is onmogelijk om dat soort activiteiten op de klassieke manier te inventariseren en te beheren. Maar toch moet de IT-afdeling ook hier voor de nodige ondersteuning zorgen. Wat je niet ziet, kan je niet beschermen. Daarom is visibiliteit essentieel, omdat je zo ook zicht krijgt op de mogelijke gevaren.”
Ook shadow IT verwijst naar IT-activiteiten die onder de radar van de IT-afdeling gebeuren – en waarvan die afdeling de beveiliging dus niet kan garanderen.
Wat ziet u daar als grootste risico?
“Iedereen met een e-mailadres en een kredietkaart kan in de cloud een service afnemen. Het gevaar zit vooral in de data die op die systemen terechtkomen. Maar als bedrijf kan je onmogelijk alles hermetisch afsluiten. Er is geen magische oplossing om shadow IT
te vermijden. Je moet er vooral duidelijk over communiceren: wijzen op de gevaren en zo het bewustzijn vergroten. Tegelijk moet de IT-afdeling zich ook afvragen wat het gebruik van shadow IT veroorzaakt. Waarom gebruikt iemand een online file host? Wellicht omdat de oplossing die het bedrijf ter beschikking stelt niet aan zijn behoeften voldoet.”
Een modern netwerk uitbouwen