Bereid je voor op een cyberaanval
Met securitytesten kun je een aanvaller naspelen waardoor je beter voorbereid bent, mocht het echt gebeuren. Het helpt om gericht kwetsbaarheden van organisaties te onderzoeken en de weerbaarheid te verhogen.
Dit artikel beschrijft aan de hand van onderstaand DNB-model (Figuur 1) welke type securitytesten er zijn en hoe ze onderling samenhangen. Het model is op ervaring gebaseerd en kan door instellingen gebruikt worden om tot een securitytest-roadmap te komen. Hiermee kunnen zij zich stap voor stap steeds beter voorbereiden op een echte cyberaanval.
In de Good Practise Informatiebeveiliging van DNB komt het belang van securitytesten duidelijk aan de orde. Zo zijn er verschillende type securitytesten om fysieke locaties, informatiesystemen, medewerkers en (business)processen te onderzoeken op hun kwetsbaarheid.
Op de horizontale as van figuur 1 wordt de mate van volwassenheid van de security-organisatie weergegeven. De verticale as toont het trappetje van steeds realistischer wordende securitytesten (aanvalssimulaties).
De volgorde van stappen is niet in beton gegoten. Het kan goed zijn dat bepaalde testen regelmatig terugkomen, terwijl de meest geavanceerde testen niet jaarlijks worden uitgevoerd. Het gaat erom dat de organisatie optimaal leert van de testervaring en zich continu blijft verbeteren.
Eerst de security-organisatie op orde brengen
Een volwassen security-organisatie heeft vier basisvoorwaarden ingevuld (Figuur 1: blokje 1 tot en met 4):
- De security-functie, (meestal een CISO) krijgt de opdracht om een volwassen information security-organisatie te beschrijven. Om grip te houden op informatiebeveiliging komen de volgende aspecten aan bod: fysiek, techniek (ICT), processen en mensen. Het bestuur is eindverantwoordelijk voor een goede implementatie van het beleid. Het doel is beheerste bedrijfsvoering doordat de cyberweerbaarheid van de organisatie in lijn is met relevante cyberdreiging.
- Een volwassen security-organisatie beschikt over de vereiste ISO27001 certificering, of een afgeleide daarvan zoals de NEN7510 voor de gezondheidszorg of de BIO voor de overheid. Daarmee is de basis-hygiene op orde. Bij DNB zien we de cyberdreiging op de financiele sector verder toenemen terwijl de basismaatregelen bij verschillende financiele instellingen niet altijd op orde zijn of in lijn met bestaande cyberdreiging. Het is belangrijk voor organisaties om een goed beeld hebben van de kritieke business functies (kroonjuwelen) en onderliggende systemen en services. Deze vormen het doelwit voor verschillende internationale hackersgroepen.
- Voorwaarden burgers en zorgverleners bij delen gegevens - 14 mei 2024
- Tot 10 miljoen boete voor onaangepaste cyberbeveiliging - 14 mei 2024
- Hoe AI de SOC expert te hulp schiet - 13 mei 2024
Lees ons boek
Gemeenten. Bewustzijn. Privacy.
Nieuwsbrief
Deze versturen we 3-4x per jaar.
Recente blogs
Meer recente berichten
Voorwaarden burgers en zorgverleners bij delen gegevens | Verder lezen | |
Tot 10 miljoen boete voor onaangepaste cyberbeveiliging | Verder lezen | |
Hoe AI de SOC expert te hulp schiet | Verder lezen | |
Kinderporno opsporen met detectiesoftware op mobiel: experts tegen EU wetsvoorstel | Verder lezen | |
Zoom scherpt privacybeleid voor Europese gebruikers verder aan als resultaat van samenwerking met SURF | Verder lezen | |
Applicatiebeveiliging in Nederland schiet flink tekort | Verder lezen | |
Nederlandse cyberexperts waarschuwen voor aanval gijzelsoftware | Verder lezen | |
Betaaldienst Klarna moet toch hogere boete betalen voor overtreden AVG | Verder lezen | |
Avast krijgt Tsjechische AVG boete van 14 miljoen voor doorverkopen van data | Verder lezen | |
Dit zijn geleerde lessen uit XZ kwetsbaarheid | Verder lezen |