CYBER SECURITY SPECIALIST.

Als cyber security specialist zien we in 2020 toenemende cyber security risico’s voor het Nederlandse bedrijfsleven en de overheid. Welke rol speelt de cloud daarin? Hoe zit het met mobiele databeveiliging in relatie tot de wet en regelgeving rondom de AVG? En wat zijn de risico’s van het Internet of Things nu er steeds meer apparaten aangesloten zijn op het internet. Maar nog belangrijker, wat is hierin jouw verantwoordelijkheid als IT-manager binnen een commerciële of non-profit organisatie?

Deze blogpost is dus geschreven voor jou als IT-manager of anderszins IT-verantwoordelijke in de zorg, bij de overheid/ een gemeente, of bij een grotere MKB onderneming. In dit artikel zoomen we namelijk naast dieper in op eerdergenoemde onderwerpen, ook expliciet in op de uitdagingen in jouw branche.

Top 10 Nederlandse digitale dreigingen volgens cyber security specialist

Al een aantal jaren is het beeld van de cyber security dreigingen veelal onveranderd. De verschillende soorten dreigingen zijn grotendeels hetzelfde. Ik zeg grotendeels want volgens ons als cyber security specialist zijn er een aantal dreigingen in opmars en is er één opvallende nieuwkomer.

1. Virus & malware
2. Verlies informatiedrager
3. Ransomware
4. DDoS aanval
5. Hack
6. Spearphishing
7. ID-diefstal
8. Social engineering
9. Datadiefstal
10. CEO-fraude

Als kundige IT-manager hoeven we je de betekenis en impact van een wankele IT-beveiliging niet uit te leggen. Maar wellicht helpt het je om collega’s met minder vakinhoudelijke kennis de noodzaak van actie in te laten zien. Dus hieronder een korte uitleg over de tien meest actuele security dreigingen van vandaag.

Virus en Malware – saboteren van data

Malware, ook wel virus genoemd, staat voor ‘malicious software’. Met andere woorden software met een opzettelijk kwaadaardige intentie. Deze software heeft namelijk de intentie de data lokaal of zelfs op het gehele netwerk te saboteren. Denk hierbij aan het beschadigen of verwijderen van documenten. Ook kan de software acties of systeemopdrachten uitvoeren met alle nadelige gevolgen en eventuele imago schade van dien.

Datalek – verlies informatiedrager

Informatiedrager zijn laptops, telefoons en USB sticks. Het mag voor zich spreken dat het verlies of zelfs diefstal in de zorg kan leiden tot pijnlijke privacy schade. Dit nog los van de ernstige imago schade voor de instelling. Maar ook voor overheden en MKB-bedrijven is het een van de meest voorkomende cyber security dreigingen. Een dreiging die meer dan eens heeft geleid tot het verlies van kritische bedrijfsdata met grote operationele en financiële gevolgen als resultaat.

Ransomware – betalen voor gegijzelde data

Ransomware verspreidt zich veelal via email en gedraagt zich als een virus. Het besmet de systemen en netwerken en maakt bestanden onbereikbaar. Pas na het voldoen van de opgelegde financiële transactie wordt beloofd de gegijzelde data vrij te geven.

DDoS aanval – system overload

DDoS staat voor Distributed Denial of Service. Door het massaal en gelijktijdig aanspreken van één server wordt deze server traag of werkt zelfs helemaal niet meer. Het slecht of niet functioneren van zo’n server kan voor bedrijven en instanties op elke afdeling grote gevolgen hebben.

Hack – digitale inbreker

Via beveiligingslekken in software krijgen ongeoorloofde toegang tot één systeem en daarna vaak tot het gehele netwerk en alle data.

Spear phishing – collectieve misleiding 

Spear phishing gebeurt middels een link in een zorgvuldig opgemaakte email van veelal een financiële instelling. Hier wordt de ontvanger verleid deze aan te klikken. De klik leidt naar een frauduleuze website waar malware wordt geïnstalleerd of de bezoeker gevraagd wordt bank of creditcard gegevens achter te laten.

ID-diefstal – fraude met persoonsgegevens

Identiteitsdiefstal heeft als doel het plegen van identiteitsfraude. Dit is het op naam van de gedupeerde goederen / diensten aankopen en contracten aangaan. De financiële gevolgen hiervan zijn vaak niet te overzien. Oorzaak ligt meestal in het onrechtmatig toegang krijgen tot digitale mappen met deze bijzonder privacygevoelige data.

Social Engineering – misleiding van één collega

Via diverse social media platforms wordt informatie vergaart om bij één specifiek persoon binnen een organisatie gevoelige informatie los te krijgen. Denk hierbij aan inloggegevens, bank gegevens enzovoort. De strategie hierbij is onder valse voorwendselen voldoende vertrouwen te wekken, zodat de beoogde informatie zonder al te veel argwaan gedeeld wordt met de criminelen.

Datadiefstal – data doorverkopen

Datadiefstal ontstaat wanneer een werknemer of bezoeker ongemerkt data kopieert van het netwerk. De achterliggende reden is hier altijd financieel gewin. Op het darkweb is namelijk een levendige handel actief waar veel geld betaald wordt voor ID’s, bankgegevens, bedrijfskritische – en privacygevoelige informatie.

CEO-fraude – stelen uit naam van de directie

Bij CEO-fraude doen cyber criminelen grondig onderzoek naar één specifieke persoon binnen de organisatie. Er wordt een verzoek gedaan uit naam van de directie aan deze collega om met spoed geld over te maken. Door de grondige research en de professionele opzet is elke schijn van fraude zorgvuldig weggepoetst. 

Beslissers zien de noodzaak van investeringen ICT beveiliging

In de bovenstaande lijst zijn ransomware en hack aan een opmars bezig. CEO-fraude is nieuw in de lijst. Maar daartegenover staat gelukkig dat de noodzaak ook op directieniveau en tot de diverse board rooms doorgedrongen is. We merken duidelijk dat beslissers open staan voor een verkennend gesprek met een cyber security specialist. Iets wat de lobby om budget vrij te maken voor cyber security voor jou als IT-manager zeker een stuk gemakkelijker maakt.

Maar merk jij hier nog maar weinig van en heb jij binnen jouw bedrijf of organisatie problemen met het succesvol aankaarten van de noodzaak te investeren in cyber beveiliging? Maak dan zelf eens vrijblijvend een afspraak met een van onze cyber adviseurs voor een verkennend gesprek. 

De cloud als grootste drijfveer voor cyber security investeringen

De ziekenhuizen, diverse Nederlandse gemeenten en MKB-bedrijven waar wij mee spreken, geven aan dat de afhankelijkheid van de cloud in combinatie met de wet en regelgeving rondom de AVG in veel gevallen reden zijn voor een eerste verkennend gesprek.

Kenniskloof over cybercriminaliteit leidt tot impasse

Al pratende komen onderwerpen als algehele security beleid, data- en netwerkbeveiliging aan de orde. Dit zijn veelal hot items binnen organisaties gezien de kenniskloof tussen het management en de IT-afdeling. Een kloof die meer dan eens een impasse tot gevolg heeft. En dat is jammer, vooral met de wetenschap dat de ontwikkelingen en het dreigingsniveau alleen maar verder toenemen.

De beslissing fors te investeren in security komt voort uit het feit dat de cloud inmiddels een vast onderdeel is van het bedrijfsnetwerk. Hierdoor belandt elk document van de kleinste notitie tot het miljoenen contract op dezelfde niet volledig beheersbare omgeving. Iets wat waarschijnlijk bij jou direct de noodzaak van onderwerp databeveiliging door encryptie doet oppoppen.

Collega’s zijn het cyberrisico

Collega’s zijn de zwakste schakel in de keten van oplossingen. Want als IT-manager kun je het allemaal nog zo goed voor elkaar hebben qua ICT beveiliging. Maar wanneer door gebrek aan inzicht, kennis of betrokkenheid er gaten geslagen worden in jouw veiligheidsprotocollen is al je werk voor niets geweest.

Het creëren van draagvlak moet dan ook een prioriteit zijn binnen bedrijven en instellingen. Voorlichting en richtlijnen voor het veilig gebruik van mobiele devices en alle overige ICT–middelen is hierbij een speerpunt.

Cyberrisico’s van het ‘Internet of Things’

Gemak dient de mens. Maar in het geval van het Internet of Things niet zonder goed stil te staan bij de cyberrisico’s naast al deze gemakken. Want het koppelen van verschillende apparaten is zoals jij weet absoluut niet zonder gevaren.

Nu veel organisaties de stap naar de cloud doorzetten, wordt er data toevertrouwd aan een cloud die in veel gevallen toch nog niet helemaal goed te managen is. Identiteitsbeheer en veilig werken op deze cloud is dan ook zeker iets dat de prioriteit moet dragen. Verhalen van leveranciers die het minder nauw nemen met de beveiliging komen namelijk niet uit de lucht vallen. Hiermee is een handige draadloze printer op het kantoor van de directeur mogelijk een gateway voor kwaadwillende om het gehele bedrijfsnetwerk te infiltreren. En dit met alle gevolgen van dien.

De wetenschap dat fabrikanten hier dus een steekje laten vallen geeft jou als IT-manager de niet te onderschatte taak het gebruik van allerlei handige apparaten organisatie breed te overzien. Een niets vermoedende collega met een leuke gadget wordt zo ineens een code rood security threat. Al met al een behoorlijke klus en een flinke verantwoordelijkheid tot dat security by design de global standaard is.

Opvolgen van regelgeving rondom AVG

Om de cirkel dan rond te maken blijkt ook nog eens dat veel organisaties een security dreiging of een feitelijk datalek niet opvolgen zoals de AVG het voorschrijft. Dit niet per definitie uit kwaadwillendheid, maar het gebrek aan kennis om ook hier exact te handelen speelt een grote rol. Daarnaast is de beoordeling aangaande de ernst van het specifieke voorval in veel gevallen door de betrokken collega’s ook nog eens lastig te bepalen.

Dus ook hier leest een oplettende IT-manager wederom dezelfde twee uitdagingen:

• Creëren van draagvlak voor de noodzaak van cyber security-oplossingen
• Gebrek aan kennis bij de gemiddelde collega op elk niveau

De glorieuze rol van de IT-manager

Het mag voor zich spreken dat anno 2019 IT-security een serieuze zaak is. Je kunt ervan uit gaan dat je niet meer lastiggevallen wordt door collega’s of de directie met vragen als; ‘Wat is cyber security eigenlijk?’. Dagelijks verschijnen er legio artikelen online en is er ergens wel een bedrijf in het nieuws dat het slachtoffer is geworden van één van de dreigingen uit de eerdergenoemde top 10. Hoog tijd voor actie dus.

Maar elke branche wordt ook gekenmerkt door zijn eigen unieke security uitdagingen. Daarom is er geen oplossing die standaard overal 1:1 toegepast kan worden. Cyber security is maatwerk dat zorgvuldig afgestemd moet worden op de branche en de organisatie in kwestie. Hieronder daarom kort de grootste security uitdaging in jouw branche en de manier hoe wij daar als cyber securityspecialisten tegen aankijken:

Cyber security uitdagingen in de zorg

Welk personeelslid mag bij welke data en hoe om te gaan met flex-werkers?

• Uitdaging: Hoe beheren en controleren we wie op welke applicatie / waar op het netwerk mag?
• Oplossing: Met single sign on als authenticatie management is dit relatief eenvoudig te organiseren. Door dit te automatiseren middels een fingerprint, token of two-way-authentication wordt bepaald wie toegang heeft tot welk niveau in de applicatie of het netwerk.

End point security

• Uitdaging: Hoe bescherm je de data nu er in de zorg steeds meer gewerkt wordt met mobile devices?
• Oplossing: Mobile Device Management is een must have om de bedrijfskritische en privacygevoelige data in ziekenhuizen en zorginstellingen te beschermen. End Point Security zorgt er hier voor dat alle data die zich op het mobile device bevindt veilig opgeborgen is. Als IT-afdeling kun je hiermee o.a. organisatiebreed blokkeren, wissen, lokaliseren en op afstand eenvoudig apps toevoegen op één of juist alle devices.

Artificial Intelligence (AI) in relatie tot AVG/GDPR

• Uitdaging: De zorg maakt steeds meer gebruik van artificial intelligence. Beslissingen in de zorg worden gebaseerd op actuele patiënten data gecombineerd met big data. Dit geeft een beter inzicht en dus wordt daarmee de kwaliteit van de zorg verhoogd. Maar wat doen we met de risico’s die het inbrengen van deze privacygevoelige patiënt data met zich meebrengt?
• Oplossing: Uitsluiten van risico’s is de basis. Ook hebben we hier eerder een algemeen artikel geschreven waarin dit punt besproken wordt: https://commit-it.nl/hoe-machine-learning-jouw-business-veiliger-maakt/

Kosten downtime in de zorg

• Uitdaging: Wanneer het gehele netwerk van een ziekenhuis down is zijn de kosten en de getroffen imagoschade niet te overzien. Downtime heeft invloed op alle afdelingen. Direct is merkbaar dat de SEH gesloten wordt en patiënten worden doorverwezen naar andere ziekenhuizen. Hoe wordt dit geborgd?
• Oplossing: Het weghalen van Singel Points of Failure door gebruik te maken van redundant oplossingen.

Cyber security uitdagingen voor gemeenten en overheden

Digitale diensten aan burgers moeten veilig zijn

• Uitdaging: Hoe zorg je er voor dat alle digitale aanvragen van burgers veilig geschieden? Want vaak worden voor het beantwoorden van aanvragen ook andere instanties geraadpleegd voordat de burger een reactie krijgt.
• Oplossing: Het beschermen van privacygevoelige informatie van burgers start bij een veilige verbinding maar stopt daar zeker niet. Als gemeente ben je namelijk ook verantwoordelijk voor alles wat er in de keten wordt gebruikt. Het hebben van goede verwerkersovereenkomsten en goede security–maatregelen is dus een absolute must.

Data loss prevention data leakage prevention, end point security en MDM

• Uitdaging: Steeds meer gemeente medewerkers zijn mobiel actief. Zeker in het sociaal domein is dit eerder regel dan uitzondering. Informatie staat en wordt geraadpleegd op laptops, tablets en smart phones. Hoe zorg je ervoor dat deze informatie niet op straat komt en hoe beheer je al deze devices?
• Oplossing: Door gebruik te maken van Mobile Device Management (MDM) kun je data en mobile devices beheren en beveiligen. Een andere mogelijkheid is om geen data op het mobiele device te hebben door gebruik te maken van een virtuele desktop.

BIO (Baseline Informatiebeveiliging Overheid) / Single Sign On

• Uitdaging: In 2020 moeten alle gemeentes voldoen aan de BIO–richtlijnen de opvolger van de BIG. Naast alle specifieke eisen die daarin gesteld worden staat er ook dat er een password safe noodzakelijk is waarin alle authenticatie informatie is opgeslagen. Als CISO is het natuurlijk eenvoudig om deze maatregel uit te schrijven en op te dragen aan alle collega’s. Maar hoe verhoog je het adoptieniveau?
• Oplossing: Naast de extra maatregelen moeten gebruikers op de juiste manier ondersteund worden. Een oplossing met Imprivata is dan het ei van columbus. Want Imprivata slaat voor de gebruikers alle authenticatie informatie veilig op zonder dat de gebruiker er omkijken naar heeft. En zo wordt het echt gemakkelijker voor de gebruikers. https://commit-it.nl/bio/

Verwerkersovereenkomst: met wie wel en met wie niet?

• Uitdagingen: Steeds vaker worden applicaties en administraties vanuit de cloud aangeboden. Maar als gemeentelijke organisatie blijf je verantwoordelijk voor de informatie en bewerkingen die in de cloud plaats vinden. Hoe zorg je er dan voor dat je de juiste vragen stelt aan de soms grote cloud aanbieders en zicht krijgt op de ondoorzichtige infrastructuren die veelal gebruikt worden?
• Oplossing: Een gesprek met onze ervaren GDPR–specialist, Data Protection Officer (DPO) is de beste start.

Hoe om te gaan met flexwerkers

• Uitdaging: De arbeidsmarkt wordt steeds flexibeler en dat merken gemeentes ook doordat vaak zo’n 25% van de collega’s extern is. Hoe ga je in deze dynamische wereld om wanneer deze medewerkers met hun eigen device toegang willen tot het netwerk en de beschikbare informatiesystemen?
• Oplossing: Het begint hier met een duidelijk beleid wat wordt wel en wat wordt niet toegestaan. Zodra dat bekend is kunnen technische maatregelen genomen worden om dit beleid te ondersteunen. De toegang tot het netwerk van onbekende devices kan gemonitord worden middels Network Access Control (NAC).

Cyber security uitdagingen voor het groot MKB

Hoe houd ik mijn data veilig?

• Uitdaging: Binnen het MKB is de concurrentie vaak sterk. Je wilt zeker niet dat jouw concurrent inzicht heeft in jouw informatie en daarmee jouw concurrentiepositie Maar hoe borg je dat?
• Oplossing: Uiteraard begint dit met een goede firewall en sterke authenticatie. Maar zeker niet onbelangrijk een bewustwording onder het personeel. Nog steeds is de menselijke factor een van de belangrijkste risico’s op dit gebied. Dus gebruik de juiste security–oplossingen maar besteed ook aandacht aan het opleiden van personeel.

Malware/cryptolockers

• Uitdaging: MKB–ondernemers willen geen kans missen en zijn van nature geïnteresseerd in de mogelijkheden die voorbijkomen. Kwam vroeger de accountmanager in persoon langs, klopt deze tegenwoordig aan als een digitale verschijning. Nu blijkt dat medewerkers een persoon in real life beter kunnen beoordelen dan de digitale verkoper. Hoe signaleren medewerkers deze potentiële gevaren?
• Oplossing: De software die wij gebruiken om ongure digitale types te identificeren wordt steeds beter en maakt gebruik van AI– Maar de noodzaak van bewustwording bij de medewerkers moet niet onderschat worden. Tijdens een test waarbij wij een onschuldig maar zeer verdacht mailtje versturen wordt er door gemiddeld zo’n 45% toch op de link geklikt. Goede voorlichting helpt.

Physing emails voor overmaken geld

• Uitdaging: De laatste trend is dat criminelen zich voordoen als een manager of zelfs eigenaar van een bedrijf. Weken soms maanden volgen ze slachtoffers op social media om een goed beeld te krijgen van hun normale gedragingen. Opmerkingen als: “Veel zin in komende week in Brazilië om daar onze business uit te breiden.” kan de crimineel laten besluiten een mailtje aan de secretaresse te sturen. Dit uit naam van de manager met de tekst: “slecht internet hier dus kort bericht kun je geld overmaken naar dit nummer omdat mijn creditcard weigert”.
• Oplossing: Juist in bedrijven die erg ondernemend zijn is dit een echt risico wat onderkend moet worden. Voorlichting vanuit Commit-IT kan hierin veel betekenen.

Verwerkersovereenkomst: met wie wel en met wie niet?

• Uitdaging: Als ondernemer wil je ondernemen en zo efficiënt mogelijk werken. Vervelend om dan je bezig te moeten houden met vragen als met wie moet ik wel en met wie hoef ik geen verwerkersovereenkomst te sluiten?
• Oplossing: Vaak zien wij de meest vreemde verwerkersovereenkomsten liggen die totaal niet nodig zijn maar bijvoorbeeld vanuit een accountantscontrole wel geroepen zijn. Regel alleen die zaken die nodig zijn en verspil geen tijd aan onnodige overeenkomsten.

Multi factor authenticatie voor SaaS-diensten

• Uitdaging: Een steeds groter deel van de informatievoorziening wordt tegenwoordig geregeld door SAAS– Voor de ondernemer een heerlijk gevoel dat het goed georganiseerd is en dat de ondernemer zich op zijn eigen onderneming kan richten. Maar hoe weet je of de SaaS-provider wel écht betrouwbaar is?
• Oplossing: Blijf wel kritisch op de SAAS-dienst. Richt je niet alleen op de kosten en de functionaliteit maar verdiep je ook eens in de veiligheid. Nog te vaak zien wij dat de toegang tot een SAAS–dienst, zelfs bij salaris verwerkingssystemen, niet is uitgevoerd met een dubbele authenticatie. Dit is echt niet meer van deze tijd.

Wat kost een dag downtime?

• Uitdaging: Dat ICT van groot belang is voor het bedrijfsleven is inmiddels wel duidelijk. Zeker binnen het MKB is het voorkomen van downtime van levensbelang. Daar waar overheden, ziekenhuizen en multinationals het hebben over imago schade, hebben ondernemers het over het voortbestaan van hun bedrijf.
• Oplossing: Het voorkomen van downtime is het redundant opbouwen van een ICT– Vaak merken wij dat er helaas geen goede analyse wordt gemaakt wat downtime kost en daarmee wat de extra kosten mogen zijn van het redundant uitvoeren hiervan.

Security inzicht omzetten naar actie

Maar nu zoals eerder gezegd de directie en de board rooms de noodzaak inzien van actie, staan voor jou alle seinen op groen om de cyber security-zaken voor jouw organisatie goed te regelen. Een goede voorbereiding is hierbij essentieel. Want ook al is de noodzaak op beslissingsniveau meer dan duidelijk, moet de boodschap nog wel in begrijpelijke taal overgebracht worden. De essentie hierbij is generiek voor elke branche:

• Het dreigingsniveau neemt toe
• De impact van incidenten wordt steeds groter
• Terwijl de afhankelijkheid van IT met de dag groeit

Men hoeft geen kundige IT-manager te zijn om te zien dat ‘niets doen’, of ‘niet voldoende doen’ simpelweg geen optie meer is. Struisvogelpolitiek vormt hiermee vandaag de dag een serieuze bedreiging voor de continuïteit van elke organisatie.

“Struisvogelpolitiek vormt vandaag de dag een serieuze bedreiging voor de continuïteit van elke organisatie.”

Investeren in cyber security maatregelen is de enige optie

Investeren is de enige optie gezien het dreigingsniveau en het aantal meldingen van cyber criminaliteit alsmaar toeneemt. Maar cybercriminelen lijken zich sneller te ontwikkelen dan wij brave burgers. Wanneer er één strategie de spreekwoordelijke kop ingedrukt wordt, wordt er een dag later een nieuwe aanpak gesignaleerd. Dit zorgt ervoor dat de IT-branche steeds reactief handelt. Daarom is de enige optie voor ons allemaal: up-to-date blijven zodat zowel nieuwe als oude dreigingen zo efficiënt mogelijk het hoofd worden geboden.

Conclusie van Commit-IT

De uitdaging is alle neuzen binnen jouw organisatie dezelfde kant op te krijgen. Beslissers moeten budgetten beschikbaar stellen, terwijl je collega’s de essentie van jouw werkzaamheden in gaan zien. Zorg dat security op de agenda staat en blijft staan want het is een continue proces.  Je kunt niet achterover gaan zitten en denken ik heb ernaar gekeken en dus is het geregeld.

Maar wij zien ook iedere dag dat dit geen makkelijke opgave is want ondertussen ben jij ook nog gewoon je kennisniveau up-to-date aan het houden. En dan natuurlijk niet alleen over cyber security. Nee je weet ook alles over VDI, thin clients, disaster recovery, BIG vs BIO, HIX, IaaS en nog veel meer.

Maak daarom ook gebruik van de kennis en ervaring die wij dagelijks opdoen bij al onze klanten in jouw branche en leer daarvan. Wij delen al deze ervaringen en kennis graag met jou, want alleen op die manier zitten we samen dicht op de huid van de cyber crimineel en kunnen we de juiste bescherming bieden.

Dus wie zegt dat IT-manager maar een saai beroep is weet niet waar hij het over heeft. Daarom zeggen wij een goede IT-manager is zijn gewicht in goud waard. Iets wat overigens geen excuus is om nu meteen een candybar te gaan halen.

Commit-IT als cyber security specialist

Commit-IT is een IT-bedrijf in Zuid-Holland dat nauw samenwerkt met IT-managers, CISO’s en bestuurders in de zorg, bij de overheid en het groot MKB. Samen met bestaande IT-afdelingen van deze bedrijven en organisaties leveren we IT-ondersteuning in diensten en uren. Dit altijd om de efficiëntie te bevorderen en de continuïteit te waarborgen.  

Heb je zelf een cyber security uitdaging?