Cybercriminelen gebruiken vaak bekende kwetsbaarheden om bij organisaties binnen te dringen. Je ICT-infrastructuur bestaat uit verschillende onderdelen en componenten, zoals servers, databases en gekoppelde computers. De manier waarop je parameters en configuraties instelt en software-, firmware- en security updates tijdig installeert, bepalen voor een groot deel het basisniveau van je cybersecurity.
Om dit basisniveau op orde te houden, is het belangrijk volledig inzicht te hebben in de juistheid van de configuratie instellingen en dat je patches en security updates tijdig installeert. Met dit inzicht kun je maatregelen nemen, waarmee je voorkomt dat bekende kwetsbaarheden een gemakkelijke ingang worden voor cybercriminelen.
Compliance
Veiligheid is niet alleen belangrijk voor je eigen organisatie en bedrijfscontinuïteit, maar ook voor het voldoen aan wet- en regelgeving en je auditverplichtingen. Zowel interne als externe stakeholders, de overheid en andere beleidsbepalers in je branche, stellen immers steeds hogere eisen aan de bescherming van privacy of bedrijfsgevoelige gegevens. Daarnaast is ook de beschikbaarheid van je systemen van belang. Als je niet aantoonbaar ‘in control’ bent, kan dat leiden tot boetes tot wel 20 miljoen euro of 4 procent van je jaaromzet, vanuit bijvoorbeeld de AVG. De audit- en compliance lasten om aan normenkaders van bijvoorbeeld ISO, NEN en DigiD/Logius te voldoen, nemen dan ook in sterke mate toe.
Cybersecurity Schijf van Vijf
Steeds meer organisaties implementeren verschillende, complexe beveiligingsmaatregelen om zo goed mogelijk te voldoen aan strenger wordende eisen en risico's te beperken. Die zijn niet alleen duur in aanschaf, maar vragen ook veel van je ICT-medewerkers in het beheer. Het implementeren en uitvoeren van een aantal kleine(re), maar fundamentele basismaatregelen kan echter ook al een hoop opleveren. Want als je organisatie de basisbeveiliging goed op orde heeft, zullen veel aanvallen aan je voorbijgaan. Onderzoek vanuit het Digital Trust Center toont aan dat de invoering van 5 technische maatregelen al een effectieve bescherming biedt tegen ongeveer 85% van de meest voorkomende cyberaanvallen.
De ‘cybersecurityschijf van 5' bestaat uit de volgende onderdelen:
1. Het verkleinen van de risico’s door het optimaliseren van de hardware- en softwareconfiguraties (hardening).
2. Het correct inregelen van de firewall en/of het intrusion prevention system (IPS).
3. Het patchen van software om misbruik van kwetsbaarheden tegen te gaan.
4. Het aanscherpen van toegangscontrole.
5. Het installeren van antivirus-toepassingen.
Het is belangrijk om te weten of deze fundamentele basismaatregelen correct en consequent zijn geïmplementeerd, in overeenstemming met bijvoorbeeld de AVG. Compliancy aantonen voor technische maatregelen is echter complex en tijdrovend. Zo neemt het controleren van de 322 veiligheidsinstellingen van slechts 1 Windows Server 2012-server al snel 8 uur in beslag.
De configuratie van besturingssystemen, zoals Windows en Linux, vormt een belangrijk IT-security risico. Hiertegen zijn echter maatregelen mogelijk. Hardening is het proces waarbij de beveiligingsinstellingen van een besturingssysteem correct worden ingesteld; een noodzakelijke stap binnen IT-security. Daarbij worden verschillende zaken gecontroleerd en waar nodig aangepast. Zijn security policy’s goed ingesteld? Staan ongebruikte functionaliteiten wel echt op inactief? Zijn alle securitypatches geïnstalleerd?
Factsheet Compas
Krijg controle over de basismaatregelen van je security met COMPAS (Compliance as a Service).
DownloadCompliance as a Service
Securityrisico’s op basis van de configuratie van besturingssystemen aantoonbaar onder controle hebben (aan de hand van heldere normen) is noodzakelijk, zowel voor interne als externe stakeholders. Voor iedere organisatie is compliance rapportage van deze configuratie een complexe en arbeidsintensieve uitdaging, terwijl de noodzaak evident is. Het controleren van 1 enkel systeem en hierover rapporteren kost tussen de 6 en 8 uur. Periodiek meerdere, honderden of duizenden systemen controleren is dus zo goed als onmogelijk. Het gevolg: deze belangrijke stap in IT-security krijgt niet of nauwelijks aandacht. Er vindt onjuiste of onvolledige hardening en patching van besturingssystemen plaats, waardoor deze een mooie opening voor cybercriminelen vormen.
De dienstverlening COMPAS van KPN Security biedt hiervoor een efficiënte en effectieve oplossing. De configuratie wordt automatisch gecontroleerd en over de resultaten wordt ook automatisch gerapporteerd. Met de rapportage kun je niet alleen verantwoording afleggen over je compliance niveau, het is ook zeer geschikt voor beheeractiviteiten en als basis voor je plan-do-check-act-cycli.
