Met securitytesten kun je een aanvaller naspelen waardoor je beter voorbereid bent, mocht het echt gebeuren. Het helpt om gericht  kwetsbaarheden van organisaties te onderzoeken en de weerbaarheid te verhogen.

Dit artikel beschrijft aan de hand van onderstaand DNB-model (Figuur 1) welke type securitytesten er zijn en hoe ze onderling samenhangen. Het model is op ervaring gebaseerd en kan door instellingen gebruikt worden om tot een securitytest-roadmap te komen. Hiermee kunnen zij zich stap voor stap steeds beter voorbereiden op een echte cyberaanval.

In de Good Practise Informatiebeveiliging van DNB komt het belang van securitytesten duidelijk aan de orde. Zo zijn er verschillende type securitytesten om fysieke locaties, informatiesystemen, medewerkers en (business)processen te onderzoeken op hun kwetsbaarheid.

Op de horizontale as van figuur 1 wordt de mate van volwassenheid van de security-organisatie weergegeven. De verticale as toont het trappetje van steeds realistischer wordende securitytesten (aanvalssimulaties).

De volgorde van stappen is niet in beton gegoten. Het kan goed zijn dat bepaalde testen regelmatig terugkomen, terwijl de meest geavanceerde testen niet jaarlijks worden uitgevoerd. Het gaat erom dat de organisatie optimaal leert van de testervaring en zich continu blijft verbeteren.

Eerst de security-organisatie op orde brengen

Een volwassen security-organisatie heeft vier basisvoorwaarden ingevuld (Figuur 1: blokje 1 tot en met 4):

1. De security-functie, (meestal een CISO) krijgt de opdracht om een volwassen information security-organisatie te beschrijven. Om grip te houden op informatiebeveiliging komen de volgende aspecten aan bod: fysiek, techniek (ICT), processen en mensen. Het bestuur is eindverantwoordelijk voor een goede implementatie van het beleid. Het doel is beheerste bedrijfsvoering doordat de cyberweerbaarheid van de organisatie in lijn is met relevante cyberdreiging.
2. Een volwassen security-organisatie beschikt over de vereiste ISO27001 certificering, of een afgeleide daarvan zoals de NEN7510 voor de gezondheidszorg of de BIO voor de overheid. Daarmee is de basis-hygiene op orde. Bij DNB zien we de cyberdreiging op de financiele sector verder toenemen terwijl de basismaatregelen bij verschillende financiele instellingen niet altijd op orde zijn of in lijn met bestaande cyberdreiging. Het is belangrijk voor organisaties om een goed beeld hebben van de kritieke business functies (kroonjuwelen) en onderliggende systemen en services. Deze vormen het doelwit voor verschillende internationale hackersgroepen.

Deze versturen we 3-4x per jaar.