Na vele malen overdenken, wikken en wegen, terugkrabbelen nu toch eindelijk mijn Microsoft365 Business Standard abonnement opgezegd.
Waarom?
Vele redenen. Ik zal ze kort opsommen:
Kosten
Mijn domeinnaam heb ik al geruime tijd bij TransIP. En daar heb ik ook mijn website (hoe beperkt deze ook is :-)). Een onderdeel van deze website is ook e-mail. Maar mijn e-mail beheerde ik in 365. Hetzelfde gold voor bestanden. Want Onedrive. Maar TransIP heeft Stack. Ik betaalde dus twee keer voor het grotendeels gebruik maken van dezelfde dienstverlening.
Beheer
Ik merkte dat ik steeds minder lol had in het beheer van mijn 365-tenant. Terwijl het product steeds sneller anders werd. Ik werd daar niet vrolijk van.
Risico
Ik had maar 1 licentie en 1 extra gebruiker (zonder licentie). Maar het risico of uiteindelijk niet meer je tenant in kunnen gaf mij een ongerust gevoel. Uiteraard had ik unieke wachtwoorden, MFA en dergelijke waardoor de kans niet groot was. Maar toch.
Verschuiving naar AI
Ook Microsoft gaat hard met het embedden van het toepassen van AI. Ook in hun support proces. En ik wilde als eenvoudige gebruiker hier niet het slachtoffer van worden. Ook daar werd ik een beetje nerveus van. Nu kan mijn provider ook meer en meer AI gaan gebruiken, maar daar kan in een ultiem doem scenario nog wel naar toe rijden en hen vragen mij te helpen.
Huidige Amerikaanse regering
Deze zijn de rest van de wereld niet heel positief gezind. Niet dat Microsoft nu gelijk “het as van het kwaad” is. Maar de huidige regering maakt gekke sprongen en Microsoft moet daar, ondanks dat het datacenter in Nederland staat, toch echt naar luisteren.
Vandaag wordt er een hoop 365 van mijn laptop en andere devices gehaald. Misschien dat ik t.z.t. wel weer een Office licentie koop, maar voor nu probeer ik eerst een opensource variant.
Ik ga proberen om hier weer wat te plaatsen en mijn bevindingen te delen.
De cybersecurity awareness maand van 2022 is bijna ten einde. Ook dit jaar was er weer veel te leren, lezen en bezoeken. De oplettende lezer denkt nu wellicht het volgende en dat is; hoe zit het met de twee thema’s die European Union Agency for Cybersecurity (ENISA) had gekozen? Daar is nog geen woord aan besteedt. En dat klopt ook. Tot nu.
Uiteraard wil ik stil staan bij deze twee (ook) belangrijke onderwerpen. De onderwerpen die dit jaar gekozen zijn, zijn Phishing en Ransomware. Niet geheel verwonderlijk dat deze twee onderwerpen gekozen zijn. Beide onderwerpen zijn sinds lange tijd steeds meer aanwezig in ons digitale leven en zorgen daarmee voor grote problemen. De twee onderwerpen zijn ook nog eens aan elkaar te koppelen. Immers kan via een phishing campagne een medewerker misleidt worden en een website bezoeken en / of een bestand downloaden en openen waardoor ongemerkt “de deur” voor de crimineel geopend wordt. Deze kan dan in de organisatie zijn gang gaan.
Dit betekent overigens niet dat indien je per ongeluk een phishing link aan klikt, er gelijk een ransomware aanval komt. Phishing wordt natuurlijk ook nog heel “traditioneel” gebruikt om naar (inlog)gegeven te vissen. En hoewel jouw organisatie je natuurlijk al heeft vertelt hoe je e.e.a. kunt herkennen willen wij dit hier nogmaals beschrijven. Indien je organisatie je nog niet hier in heeft onderricht geef mij dan een seintje.
Een eerste en eenvoudig item om te controleren is het taalgebruik en spelling. Mijn d en t gebruik is helaas niet altijd 100% (mijn lerares Nederlands kan zich hier nog steeds over opwinden ;-)), maar bij criminelen is het schering en inslag. Daarnaast is de opbouw van de zin vaak ook onlogisch, of hebben ze een online vertaal website gebruikt die niet altijd even goed is. Een ander item om te controleren is de URL waar je geacht wordt op te moeten klikken. Veelal komt het domein van de afzender niet overeen met de link in de e-mail. Een andere tip om scherp op te zijn is tijdsdruk. Vaak wordt er geschreven dat “iets” snel gedaan moet worden op straffe van een boete, slechte beoordeling, etc.. Negeer dit soort zaken en meldt de e-mail (indien zo afgesproken in de organisatie) op de afsproken manier bij het verantwoordelijke team. Zij kunnen aan de hand van de e-mail bepalen of het inderdaad een phishing e-mail is en indien nodig maatregelen treffen. Wees ook niet bang om snel melding te maken indien je per ongeluk toch ergens op geklikt of geopend hebt. Hoe sneller het verantwoordelijke team dit weet, hoe sneller zij (technische) maatregelen kunnen treffen. Zij zullen je eeuwig dankbaar zijn en lering trekken uit het mogelijke incident.
Dat mogelijke incident had er een van het type ransomware kunnen zijn. En in dat soort situaties is o.a. snelheid gewenst. Hoe sneller namelijk systemen (gecontroleerd) afgeschakeld kunnen worden, hoe minder herstelwerkzaamheden er nodig zijn. Wat kun je naast het snel melden nog meer doen om sowieso dit type incidenten te voorkomen? Het lijkt voor de hand liggend maar vaak gebruiken medewerkers toch nog onbekende USB devices omdat het toch net even handig is. Maar dat is het dus niet. Wil je bestanden veilig meenemen, versturen of ontvangen gebruik de hiervoor aangeboden bestandenuitwisseling software zoals door je organisatie beschikbaar is gesteld. Heeft je organisatie nog niet deze middelen beschikbaar gesteld, vraag hier dan om. Daarnaast maken criminelen eenvoudig weg gebruik van (bekende) kwetsbaarheden in applicaties, besturingssystemen en dergelijke. Zorg dus dat je altijd up2date bent met updates van alles wat je gebruikt. Dat maakt het aanvalsoppervlak voor criminelen al weer een stuk kleiner.
Als ICT/ Security team kun je, zoals ik in een eerdere blogpost heb aangegeven, overigens niet alleen afhankelijk zijn van collega’s die wel of niet per ongeluk op een link klikken of een bestand openen. Zorg dat je van te voren dit type incidenten en/of scenario’s hebt doorgenomen en de bijbehorende technische maatregelen hebt getroffen. Een enkele klik of bestand dat geopend wordt zou vervolgens dus niet de gehele organisatie tot stilstand mogen brengen. Voor het geval dat dit toch gebeurd is het dan ook vereist dat hier over is nagedacht en dat acties zijn ondernomen. Denk bijvoorbeeld aan een juiste back-up en restore strategie (die ook getest is). Maak deze strategie onderdeel van het plan dat uitgevoerd moet worden als een incident zich voor doet. En ook hier niet onbelangrijk is dat het plan minimaal één keer doorgenomen moet worden zodat iedereen (alle stakeholders) zeker weet dat het plan werkt.
Wat ik nog mee wil geven is dat indien een incident zich voor doet er over twee zaken heen gestapt moet worden:
Geen enkele organisatie heeft alle wijsheid in pacht. En zeker tijdens grootschalige cybersecurity incidenten kan door de stress e.e.a. vergeten worden. Schroom dan ook niet om waar nodig gelijk externe expertise in te schakelen. Maak dit ook onderdeel van het incidentplan.
Wees helder en zoveel mogelijk transparant in je communicatie naar stakeholders (o.a. medewerkers en klanten). Open waar het kan, gesloten waar het moet (je wilt immers criminelen niet wijzer maken dan dat ze al zijn). De (jonge) geschiedenis leert ons dat niet-transparante communicatie vaak een (extra) averechts effect heeft.
Na deze laatste opsomming ben ik aan het einde gekomen van mijn wekelijkse bijdrage in het kader van de Cybersecurity Awareness maand. Ik hoop dat u het informatief en leuk vond. Graag ontvang ik terugkoppeling of tips over onderwerpen voor een volgende keer.
Het is al de derde week van deze cybersecurity maand…. Time flies when you’re having fun!
Tijdens deze Cyber Month sta ik stil bij informatiebeveiliging in de breedste zin van het woord. Gedurende deze maand worden er ook verscheidene bijeenkomsten, beurzen en conferenties georganiseerd door organisaties en experts. Een voorbeeld van een bijeenkomst die ikzelf heb bijgewoond is de ONE Conference in Den Haag. Wat mij meteen opviel bij het aanmelden was de registratie: ik moest mij vooraf registreren op de website en bij het aanmelden mijn rijbewijs of paspoort tonen ter identificatie. Hier dient een account als gatekeeper, enkel met mijn gegevens (identificatie) lieten ze me passeren.
Maar hoe zit dat nu met die accounts? Elke organisatie heeft accounts maar niet elke organisatie is zich altijd bewust van de soorten accounts en welke toegang en rechten deze hebben. Daar zou ik mij vandaag op willen toespitsen: het gebruik en beheer van accounts binnen organisaties.
Accountbeheer mag dan geen trendy topic zijn, maar het uitvoeren van goed accountbeheer kan van levensbelang zijn binnen een organisatieperspectief. Denk bijvoorbeeld aan het aanwerven en uit dienst treden van medewerkers of een functiewijziging binnen een organisatie. Hierbij is het belangrijk om stil te staan bij wie er al dan niet (meer) kan inloggen en of deze (nog steeds) de juiste rechten kregen toegewezen.
Wanneer een medewerker bijvoorbeeld opstart als projectmanager binnen een organisatie en naderhand deel uitmaakt van het salesteam, wordt vaak vergeten dat er niet meer dezelfde rechten van toepassing zijn in deze nieuwe rol. Zo is het mogelijk dat deze persoon te veel rechten bezit als salespersoon met alle mogelijke gevolgen van dien. Denk bijvoorbeeld aan de toegang tot specifieke klantendata waar de medewerker eigenlijk geen toegang tot mag hebben. Een degelijk proces binnen accountbeheer met periodieke controle op de uitvoering van dit proces is binnen een organisatie dus van groot belang.
Verder zijn de vereisten van een account ook essentieel. In de eerste plaats moet de accountnaam een logische opbouw hebben, bijvoorbeeld ‘voornaam.achternaam’. Meer algemene, niet-persoonlijke accounts zoals sales[at]organisatie.com bestaan echter ook. Deze worden aangemaakt met als doel dat een volledig departement toegang heeft tot dat account. Om de informatiebeveiliging te garanderen bij zulke accounts is het belangrijk om een niet-muteerbaar register bij te houden dat vastlegt wie toegang heeft tot welk account en wie het beheert. Periodiek controleren en continue monitoring is noodzakelijk bij deze algemene accounts.
Wat vaak als uitdaging binnen accountbeheer wordt gezien zijn de accounts voor externen en leveranciers. Het is mogelijk dat leveranciers een account nodig hebben binnen uw organisatie. Als organisatie is het gebruikelijk om hier duidelijke afspraken over te maken. De Multi-factor Authentication (MFA) van de medewerkers geldt vaak niet voor de externen of leveranciers. Het advies is dus om ook voor dit type accounts MFA toe te passen. Een extra suggestie is om persoonlijke accounts te gebruiken voor externen ‘naam_leverancier[at]organisatie.com’ en maak deze dan ook onderdeel van het proces van periodieke controle en continue monitoring.
Wanneer ik mijn aanwijzingen over accountbeheer samenvat kom ik tot de volgende opsomming:
Zorg voor een doordacht, gestandaardiseerd proces met betrekking tot de in-en uitstroom en positiewijziging van medewerkers;
Zorg voor monitoring op afwijkend gedrag op alle accounts;
Review periodiek de verschillende accounts en de toegewezen rechten.
Heeft de bijvoorbeeld de leidinggevende van het verkoop team die ooit als projectmanager is begonnen niet te veel rechten?
Maak een lijst met (extra) vereisten voor accounts met gebruik door externen.
Zorg bijvoorbeeld hier ook voor het standaard afdwingen van MFA;
Maak ook deze accounts onderdeel van het controle proces en wijs een eigenaar toe.
Zoals ik bij de eerste tip van deze maand had aangegeven is het toch echt een hele maand waarin de aandacht voor informatiebeveiliging wordt gevraagd. En als ik eerlijk ben zou ik eigenlijk het hele jaar door hier aandacht voor willen zien. Immers informatiebeveiliging stopt niet nadat wij voorzichtig richting Kerst gaan.
Sterker nog; ‘All I want for Christmas’ is dat iedereen toch altijd even stilstaat bij informatiebeveiliging. Een bekend gezegde luidt: je bent nooit te oud om te leren. Dit is ook wel een heel voor de hand liggend bruggetje naar het tweede onderwerp van deze maand. Namelijk; awareness. Volgens het woordenboek betekend awareness het volgende:
“Knowledge that something exists, or understanding of a situation or subject at the present time based on information or experience”.
Enerzijds betekend dit dus dat je weet dat het onderwerp bestaat en anderzijds dat je het onderwerp begrijpt op basis van je huidige kennisniveau of ervaring. Voor informatiebeveiliging is het dan ook belangrijk dat iedereen in de organisatie weet dat het onderwerp er is en aandacht behoeft en dat je daarnaast ook de kennis van het onderwerp continue uitbreidt. Uiteraard geldt dit voor meerdere onderwerpen, maar veelal veranderen deze niet met de snelheid als waar informatiebeveiliging dit wel doet.
Een veelgehoorde opmerking is ook vaak; de zwakste schakel binnen het onderwerp informatiebeveiliging is de medewerker (eindgebruiker). En toegegeven dat kan in een enkel gevallen ook zo zijn, maar indien een bedrijf slachtoffer is van bijvoorbeeld een ransomware aanval, is er vaak al eerder veel mis gegaan. In theorie zou een enkele klik op een URL of het open van een bestand niet een heel bedrijf tot stilstand moeten brengen.
Awareness zou zich binnen een organisatie dan ook niet alleen moeten richten op de (nieuwe) eindgebruikers, maar ook op de medewerkers die de infrastructuur (hard- en software) opzetten en beheren. De voorbeelden van het gebruik van niet sterke wachtwoorden op belangrijke beheers omgevingen zijn volop de revue gepasseerd in het nieuws. Als het dus al niet goed gaat daar waar de kwaadaardige e-mail of het bestand de organisatie binnen komt, dan is de eindgebruiker niet de zwakste schakel, maar de laatste verdedigingslinie. Overigens gaat awareness hier meer over de daadwerkelijke educatie van de medewerkers die zich actief met informatiebeveiliging bezig houden en deze proberen te verbeteren.
Een organisatie moet awareness dan ook niet als een vinkje op de lijst moeten hebben puur “omdat de norm het vereist”. Awareness dient ook een integraal onderdeel zijn van het (informatiebeveiligings-)beleid. En beperkt tot de verplichte onderdelen in het onboarding-proces, maar ook zeer zeker gedurende het gehele dienstverband van de medewerker. Je kunt als organisatie alles omtrent awareness zelfstandig inregelen, maar voor kleinere organisatie is daar niet altijd tijd en ruimte voor. Maak het je als organisatie dan gemakkelijker door bijvoorbeeld de diensten van een Learning Management System (LMS) aanbieder af te nemen waar medewerkers in een (online) omgeving aan hun awareness kunnen werken. In overleg met de beheerder van het LMS kunnen dan zaken die belangrijk zijn voor de organisatie in de lesstof verwerkt worden.
Om deze blog met betrekking tot awareness dan ook samen te vatten:
Awareness is niet alleen van toepassing op de eindgebruikers in een organisatie;
Zorg dat de medewerkers die verantwoordelijk zijn voor de infrastructuur (hard- en software) blijvend voldoende kennis en kunde op doen;
Indien de organisatie niet direct de middelen heeft om zelf een volledige awareness programma op te zetten, maak dan slim gebruik van de diensten van derden;
Vergeet dan niet de gemaakte afspraken goed door te nemen (tips hiervoor vindt u in mijn vorige blog).
Voor mijn (voormalig (red.)) werkgever Eurofins Cybersecurity ga ik deze maand een aantal tips schrijven. De eerste tip van deze cybersecurity maand is: wat kunt u doen om het risico van de gevolgen van een supply chain-attack te minimalizeren.
Maar een hele maand zeg je?! Waarom niet een dag net zoals bijvoorbeeld vader- en moederdag. Of, wat meer ICT georiënteerd, System Administrator Appreciation dag op de laatste vrijdag van Juli? Is het niet overdreven om een hele maand aan dit onderwerp te wijden?
Het korte antwoord is Nee. Een maand is zeker niet te kort om stil te staan bij en extra aandacht te geven aan het onderwerp cybersecurity. En nee, dat komt niet alleen maar omdat ik veel bezig ben met informatiebeveiliging. Het uitroepen van de maand oktober als cybersecurity maand is een wereldwijd initiatief dat al dateert van 2004[1]. In dat jaar werd door de president in de Verenigde Staten van Amerika de maand oktober uitgeroepen als “Cybersecurity awareness month”.
In Europa kennen wij sinds 2012 een gelijk initiatief[2]. En dit jaar is dan ook het 10-jarig bestaan van de oktober cybersecuritymaand. Dit jaar is er gekozen voor de volgende twee onderwerpen: Phishing en Ransomware. Daarnaast kennen de deelnemende lidstaten ook hun eigen campagnes voor deze maand. Zo ook in Nederland. Via de Alert Online[3] website kunt u geïnformeerd raken over de verschillende onderwerpen en deelnemen aan meerdere bijeenkomsten.
Maar er zijn een aantal onderwerpen naast phishing en ransomware die ook belangrijk zijn.
In dit eerste artikel (van vier) wil ik dan ook de aandacht vestigen op uw toeleveranciers ook wel suppliers genoemd in de business en de hiermee gepaarde aanvallen. In de vele documenten en artikelen die beschikbaar zijn wordt dit veel in het Engels omschreven als: supply chain-attack of third party risk.
Wat wordt er nu onder een supply chain-attack verstaan? Dit zijn aanvallen die niet direct op uw bedrijf uitgevoerd worden, maar op leveranciers waar u gebruik van maakt. Een bekend voorbeeld in 2022 was het probleem met de Kaseya [4]software. Deze software maakt het mogelijk voor bedrijven om ICT infrastructuur van andere bedrijven te beheren. Om van deze software gebruik te maken dient er een vertrouwde verbinding te zijn tussen de leverancier en uw omgeving. In deze software zat helaas een fout die vervolgens door de criminelen is benut. Zij hebben in dit geval hun aanval alleen hoeven in te zetten op één bedrijf om zodoende bij heel veel andere bedrijven binnen te kunnen komen en daar hun criminele activiteiten te ontplooien.
Wat kunt u (of moet u misschien) zelfs nu doen om een probleem als deze zoveel mogelijk proberen te voorkomen? U neemt immers niet voor niets de diensten af van een (in dit voorbeeld) externe ICT beheerder.
Dat begint al heel eenvoudig met het bijhouden / opstellen van een register waarin u al uw leveranciers opneemt.
Vervolgens bekijkt u welke van deze leveranciers direct (en indirect) toegang tot uw omgeving hebben.
Zodra dit overzicht is gemaakt bekijkt u of deze leveranciers daadwerkelijk toegang vereisen, op welke manier en voor hoe lang. Veelal wordt er standaard toegang gevraagd omdat dit makkelijk is. Dit is soms via een directe (continue) verbinding of er wordt gebruik gemaakt van software die toegang op afstand kan bewerkstelligen (indirecte verbinding). Maar wie controleert die verbinding? En welke software wordt er gebruikt om op afstand te kunnen helpen? Het is noodzakelijk om dit te inventariseren en te monitoren.
Omdat het voor bedrijven vaak ook niet haalbaar is om andere bedrijven op veel zaken met betrekking tot informatiebeveiliging te controleren is het aan te raden om minimaal na te gaan of de leverancier een geldig ISO/IEC 27001 certificaat heeft.
Voor uw meest belangrijke processen is het van belang dat u uw vastgelegde afspraken (in bijvoorbeeld een service level agreement) goed doorneemt met uw leveranciers (dus niet alleen degene die (in)direct toegang hebben). Op welke actie/reactie kunt rekenen bij een incident?
Van welke (toe)leveranciers maakt uw leverancier gebruik?
Staan hier mogelijk leveranciers tussen die voor u een potentieel risico kunnen vormen? Kan uw leverancier bijvoorbeeld nog wel zijn dienstverlening aan u garanderen indien een van zijn toeleveranciers is uitgevallen?
Een ander belangrijk punt is het nagaan of er een verwerkersovereenkomst nodig is. Op de website van de Autoriteit Persoonsgegevens[5] (Engels: Data Protection Authority) zijn de voorwaarden hiervoor beschreven. En als blijkt dat deze inderdaad nodig is, heeft u deze dan goed doorgenomen en bijvoorbeeld gecontroleerd welke subverwerkers er bekend zijn?
Als laatste item willen wij u meegeven om uw gemaakte afspraken periodiek (minimaal één keer per jaar) te controleren en herzien. Dit omdat zoals u weet er niets zo snel veranderd als het cybersecurity landschap.
Het uitbesteden van diensten/taken bij derden is in deze tijd gemeengoed geworden. En dat is ook niet vreemd, want om alles zoals apparatuur en kennis zelf in huis te hebben is vrij kostbaar. Het is dan dus wel zaak om goed op de hoogte te zijn bij wie u wat uitbesteedt. Het uitbesteden van deze diensten ontslaat u niet namelijk niet van uw verantwoordelijkheid.
Ik wens u een leerzame en informatieve cybersecurity maand toe.
