Infosecurity Magazine 03/2019

INFO

SECURITY MAGAZINE

JAARGANG 18 - JULI 2019 - WWW.INFOSECURITYMAGAZINE.NL

ONDERWIJS ALS MOTOR DIGITAAL WEERBAAR BEDRIJFSLEVEN

ZIJN APPARATUUR EN SOFTWARE NOG WEL TE VERTROUWEN?

OVERHEID LOOPT QUA

INNOVATIE ACHTER OP CRIMINELEN

NIEUWE KANSEN VOOR CYBER­ CRIMINELEN

ICT en Security Trainingen

Want security start bij mensen!! Fast Track Certified Information Systems Security Professional CISSP 26–30 augustus 2019 Fast Track Certified Cloud Security Professional CCSP 26–30 augustus 2019 Fast Track Certified Data Protection Officer CDPO 16–20 september 2019 Fast Track Certified Chief Information Officer C|CISO 4–8 november 2019

www.tstc.nl

EDITORIAL: ROBBERT HOEFFNAGEL

COLOFON Infosecurity Magazine is het enige onafhankelijke vakblad in de Benelux dat zich expliciet bezighoudt met informatie­ beveiliging. Het blad beweegt zich op het snijvlak van technologie en beleid. Vanaf het hekwerk tot in de boardroom. Toezending van Infosecurity Magazine vindt plaats op basis van abonnementen en controlled circulation. Vraag uw abonnement aan via abonnementen@vakbladen.com. Abonnementen kunnen iedere maand ingaan en worden jaarlijks automatisch verlengd. Opzeggingen, uitsluitend schriftelijk, dienen

Security moet altijd - niet alleen tijdens de vakantie We naderen weer de zomervakantie. En dus ontvangt de redactie van Infosecurity Magazine zoals ieder jaar weer een aantal persberichten met reuze handige tips voor wie ook in het buitenland digitaal veilig door het leven wil gaan. Dat leidt soms tot interessante discussies. Zoals met een marketing manager die ik kort na het ontvangen van zo’n persbericht vol tips tegenkwam.

uiterlijk twee maanden voor het einde van de abonnementsperiode in ons bezit te zijn.

Uitgever Rik Stuivenberg

Hoofdredacteur Robbert Hoeffnagel +31 (0)6 - 51 28 20 40 r.hoeffnagel@vakbladen.com

Advertentie-exploitatie Jos Raaphorst +31 (0)6 - 34 73 54 24 j.raaphorst@archermedia.nl

Redactie-coördinatie Ab Muilwijk

Abonnementen abonnementen@vakbladen.com +31 (0)88 -22 666 80

Vormgeving Content Innovators, Den Haag

Druk Veldhuis Media B.V., Raalte Niets uit deze uitgave mag op enigerlei wijze worden overgenomen zonder uitdrukkelijke toestemming van de uitgever.

Meer informatie: www.infosecuritymagazine.nl Infosecurity Magazine is een uitgave van

Eerste reactie van deze marketing manager: ‘Ik weet het, ik weet het … daar krijgen jullie er vast veel meer van’. Maar, zo zei ze, wij merken dat zich na de zomervakantie bij onze klanten veel meer security-incidenten voordoen dan in de rest van het jaar. Dus kennelijk gaat er in de zomermaanden toch iets fout bij een aantal mensen. Misschien is mijn beeld wat anders omdat ik persoonlijk vrij veel reis. Voor mij is het heel normaal om in het buitenland ‘online te gaan’. Of beter gezegd: ik ben altijd online, waar ik ook ben. Wat security betreft neem ik eerlijk gezegd in het buitenland ook geen andere maatregelen dan als ik in Nederland ben. Ja, ik gebruik als het even kan een VPN-verbinding. En nee, ik gebruik nooit een openbaar wifi-netwerk. Dat doe ik niet als ik in Nederland op bezoek ben bij een bedrijf of tijdens een event. Dus waarom zou ik dat in het buitenland wel doen? Is mijn telefoon herkenbaar als mijn telefoon? Uiteraard niet. En u zult in mijn directe omgeving ook geen ‘Hotspot van Robbert Hoeffnagel’ tegenkomen. En ga zo maar door. Maar hierbij maakt het niet uit of ik in Nederland ben, in Duitsland, Spanje, Oekraïne of Thailand. En zo heb ik nog een aantal maatregelen genomen

En een oud-collega heeft wel eens een probleem met ransomware gehad dat zich dankzij flitsend ingrijpen van een andere collega niet verder kon verspreiden. Maar verder heb ik eigenlijk weinig problemen gehad tot nu toe. Wel zie ik dat er ‘van alles’ geprobeerd wordt via e-mail. Tot en met de bij u vast ook wel bekende mailtjes dat mijn mailaccount gehackt zou zijn en dat ‘ze’ volledige toegang tot mijn mail en liefst ook mijn notebook hebben. En of ik maar even een bedrag in bitcoins wil betalen. Nee dus, dat wil ik niet en dat doe ik ook niet. En guess what: er gebeurt verder nooit iets. Security op vakantie is natuurlijk een belangrijk thema. Maar het is in mijn ogen niet zo dat we op vakantie gaan naar het buitenland en we ‘dus’ extra maatregelen moeten nemen. We moeten simpelweg altijd veilig werken. En de tips dan? Natuurlijk zijn die nuttig: op de camping in Frankrijk, in het all-inclusive resort in Turkije, backpackend door Zuid-Amerika, maar ook in de trein van Rotterdam naar Den Haag of tijdens De Toppers in de Arena. ROBBERT HOEFFNAGEL is hoofdredacteur van Infosecurity Magazine (NL/BE)

Heb ik dan nooit last gehad van securityincidenten? Jazeker wel. Ik heb eens een probleem met WhatsApp gehad. En ik heb wel eens een - zeg maar - ‘merkwaardige’ afschrijving gehad via mijn credit card.

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 3

Inhoud

INFOSECURITY MAGAZINE NUMMER 3 - JULI 2019 - JAARGANG 17

10 NTT Security lanceert Women in Cybersecurity Awards in Europa

32

12 Zijn apparatuur en software nog wel te vertrouwen? 14 Blockchain-platform helpt voertuigdata veilig benutten 16 ‘Met één klik heb je een VPN-tunnel gelegd’ 18 OneSpan stroomlijnt openen digitale accounts 20 Nieuwe kansen voor cybercriminelen 22 ‘Systemen voor beveiligen e-mail niet effectief’ 24 Cyber Defence moet innovatie versnellen 26 Hackers volgen geen standaardprocedures, waarom u dan wel? 28 WatchGuard ziet enorme toename aantal malware-aanvallen 30 Barracuda breidt SD-WAN-aanbod uit met analyticsplatform Firewall Insights 31 Jonge familieleden onder druk door techhulpvraag van 55-plussers 32 Overheid loopt qua innovatie achter op criminelen 34 Risk Analytics helpt fraude met nieuwe accounts tegengaan 35 CodeMeter Certificate Vault vereenvoudigt uitgifte van beveiligingscertificaten

10

14

16

22

36 Omgaan met cyberaanvallen: best practices voor CISO’s 39 Tien miljoen voor onderzoek naar veilig IoT 40 ‘Risk-based cybersecurity bespaart tijd en geld’ 42 Nieuw evenement voor industriële cybersecurity

4 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

06

ONDERWIJS ALS MOTOR VOOR EEN DIGITAAL WEERBAAR BEDRIJFSLEVEN Dat het middelgrote en kleinere bedrijfsleven kwetsbaar is voor digitale criminaliteit, is een algemeen bekend gegeven. Met name zzp’ers of het kleine mkb hebben veelal niet de expertise of de financiële middelen om maatregelen te treffen. Studenten van ROC Friese Poort Cyber@Work spelen in Friesland nu een belangrijke rol bij het versterken van de digitale weerbaarheid van het mkb.

12

20

NIEUWE KANS VOOR CYBERCRIMINELEN

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 5

ONDERWIJS

Project van studenten ROC Friese Poort Cyber@Work

Onderwijs als motor voor een digitaal weerbaar bedrijfsleven

6 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

Dat het middelgrote en kleinere bedrijfsleven kwetsbaar is voor digitale criminaliteit, is een algemeen bekend gegeven. Met name zzp’ers of het kleine mkb hebben veelal niet de expertise of de financiële middelen om maatregelen te treffen. Studenten van ROC Friese Poort Cyber@Work spelen in Friesland nu een belangrijke rol bij het versterken van de digitale weerbaarheid van het mkb. Ook kleine bedrijven verwerken veel (bijzondere) persoonsgegevens. Tegelijkertijd zijn zij vaak onvoldoende in staat om deze gegevens op een goede manier te beschermen. Laten we een paar praktijkvoorbeelden noemen: • Een restaurant met een ‘open’ kassasysteem dat benaderbaar is vanuit het wifi-netwerk voor gasten. • Een handelaar in GPS-apparatuur met een publiekelijk toegankelijke website waar coördinaten en persoons­ gegevens in te lezen waren. Het betrof een bèta-versie van een website waarvan de ondernemer dacht dat deze afgeschermd was. De website was al een aantal jaren online. • Een makelaar die wekelijks een off-site back-up maakt van zijn administratie en deze thuis op een NAS plaatst. De NAS met kopieën van ID-bewijzen was slecht beveiligd en gemakkelijk via het internet benaderbaar. Deze groep bedrijven wordt in Friesland nu actief geholpen door studenten van het mbo en hbo. In dit artikel vertel ik graag meer over de wijze waarop het INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 7

Onderwijs onderwijs in Friesland de motor is voor een digitaal weerbaar mkb.

Quick Start AVG en Digitaal Veilig Ondernemen Door middel van het project ‘Quick Start AVG en Digitaal Veilig Ondernemen’ gaan studenten van ROC Friese Poort en NHL-Stenden in multidisciplinaire teams gedurende een hele dag naar een bedrijf. Studenten zijn daarbij gewapend met een toolkit AVG en een check-list Digitaal Veilig Ondernemen. De toolkit AVG is uitgerust met formats als een privacyverklaring of een register voor datalekken. De formats worden door studenten aangepast op de specifieke situatie van het bedrijf. Ook een toelichting over AVG is een belangrijk onderdeel. Is het bedrijf na afloop AVG Proof? Zeker niet. De studenten geven een Quick-Start en het is aan het bedrijf om adequaat om te gaan met bijvoorbeeld het registreren van datalekken. Naast het meer juridische gedeelte van AVG doen studenten ook onderzoek naar de veel voorkomende digitale kwetsbaar­ heden. We merken dat bedrijven soms data (persoonsgegevens) lekken, zonder dat ze dit door hebben. Denk bijvoorbeeld aan de hiervoor genoemde handelaar in GPS-apparatuur waarbij gegevens als naam, adres en exacte coördinaten waren in te zien. Het

‘In twee uur tijd werden zo’n 3.000 ­ wifi-netwerken gescand, waarbij ongeveer dertig procent kwetsbaar bleek’

onderdeel ‘Digitale Voetafdruk’ heeft dit lek boven water gekregen. Studenten voeren tal van specifieke zoekopdrach­ ten in op Google, Bing en Yahoo, zoeken naar informatie op websites, maar ook naar Word- en Excel-bestanden. We zien ook dat bedrijven vaak handige online tools als Padlet of Trello gebruiken. Deze tools hebben de mogelijkheid om de inhoud door middel van een privé-link met iemand te delen. Het woord ‘privé’ suggereert dat het uitsluitend wordt gedeeld met een specifiek opgegeven persoon, maar met gerichte zoekopdrachten is de inhoud desondanks voor iedereen beschikbaar. Een voorbeeld van zo’n zoekopdracht is: inurl:padlet.com intext:’naam bedrijf’ In ongeveer een jaar zijn op deze manier in Friesland zo’n 100 mkb-bedrijven geholpen. We merken dat er veel vraag is naar praktische handreikingen.

Verdringen studenten daarmee commerciële activiteiten van bedrijven? Nee, studenten doen onderzoek en aanbevelingen, maar voeren geen configuratiewerkzaamheden uit. De ondernemer kan met het aanbevelings­ rapport wel naar een lokale IT-leverancier.

Roadshows en voorlichingsavonden Naast het project Quick Start AVG en Digitaal Veilig Ondernemen organiseert ROC Friese Poort - in samenwerking met de gemeente en politie zogenaamde Cyber-to-Go roadshows voor ondernemers en Digitale Inbraak Preventie-avonden voor inwoners van dorpen en wijken. Beide activiteiten zijn interactieve informatie avonden. Ondernemers en inwoners worden hierbij op een laagdrempelige manier bewust gemaakt van digitale criminaliteit. Ze krijgen praktische handreikingen om zich hiertegen te beschermen.

Een Cyber meet-up waarbij ondernemers worden geadviseerd over het veilig omgaan met wachtwoorden. 8 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

Ook hierin speelt het onderwijs een belangrijke rol. Bij aanvang adviseren studenten mbo ICT over het beveiligen van mobiele telefoons. De sessies worden afgesloten met een cyber meet-up waarbij studenten korte demonstraties geven over bijvoorbeeld het gebruik van een wachtwoordkluis en geven zij antwoord op vragen als waarom wifi-netwerken onveilig kunnen zijn. Voorafgaand aan de sessie hebben mbo ICT studenten de wifi-netwerken van een bedrijventerrein of een dorp of wijk gescand en beoordeeld op beveiligings­sterkte. Bij een sessie die onlangs in Leeuwarden heeft plaatsgevonden, zijn zo in twee uur tijd zo’n 3.000 wifi-netwerken gescand waarbij ongeveer dertig procent kwetsbaar bleek. De resultaten werden in het plenaire gedeelte getoond op een grote Google Earth-kaart, waarbij inwoners of ondernemers direct kunnen zien of wifi goed beveiligd is.

Stichting Cyber Safety Noord Nederland

‘Ondernemers en inwoners worden hierbij op een laagdrempelige manier bewust gemaakt van digitale criminaliteit’

De activiteiten worden georganiseerd in samenwerking met de Stichting Cyber Safety Noord Nederland. Deze stichting is onderdeel van het Landelijk Digital Trust Center. De stichting en het DTC zijn van grote meerwaarde bij het initiëren van deze activiteiten. Vanuit de stichting trekken het Noordelijk mbo en hbo, bedrijven en organisaties samen op in het versterken van de digitale weerbaarheid. Het DTC bekijkt op welke wijze de best practice uit het noorden kan worden gedeeld met andere DTC initiatieven in Nederland.

Onderwijs Met deze activiteiten brengen we studenten in bijzonder rijke leersituaties. Studenten kijken in korte tijd bij tal van bedrijven in de keuken en voeren diepgaande gesprekken. Studenten vinden het leuk, omdat dit onderwijs is dat ertoe doet. Voor de één zit de leerwinst in het telefonisch maken van een afspraak met een bedrijf en voor de ander in het uitvoeren van een diepgaande scan naar digitale kwetsbaarheden. Deze projecten gaan dan ook niet alleen over vakinhoud ICT of Juridisch, maar ook over communi­ catieve vaardigheden en burgerschap. RENZE TJOELKER, ROC Friese Poort

Een workshop over het versterken van de digitale weerbaarheid door de auteur van dit artikel.

Meer weten? Wilt u meer weten over de wijze waarop het onderwijs de motor kan zijn in het versterken van de digitale weerbaarheid van ondernemers of inwoners? Neem gerust contact op met Renze Tjoelker rtjoelker@rocfriesepoort.nl

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 9

NIEUWS

NTT Security lanceert Women in Cybersecurity Awards in Europa

NTT Security lanceert de Women in Cybersecurity Awards. Het bedrijf wil met deze awards getalenteerde vrouwelijke professionals en nieuwkomers in de cybersecurity-sector eren en inspireren. De awards zijn ontwikkeld in samenwerking met Global Digital Women (GDW) en geven een stem aan vrouwen die in Europa actief zijn in cyber­ security. Daarnaast inspireren ze vrouwen om een loopbaan in deze branche te overwegen. Het project is tevens onderdeel van de langetermijndoelstelling van NTT Security om meer vrouwen aan te nemen. Op dit moment is 26 procent van het Europese werknemersbestand van NTT Security vrouw.

Nieuwkomers en professionals Iedereen kan vrouwelijke cybersecurity experts voordragen in twee categorieën: ‘Nieuwkomers’ - zij die twaalf maanden actief zijn in cybersecurity - en ‘Professionals’ - zij die meer dan vijf jaar werkzaam zijn in de branche. Daarnaast is het mogelijk voor kandidaten om zichzelf aan te melden. Aanmeldingen zijn tot 16 augustus 2019 mogelijk in Duitsland, Oostenrijk en Zwitserland en tot 13 september in het Verenigd Koninkrijk, de Benelux en de Scandinavische landen. Een panel van onafhankelijke experts zal deze inzendingen dan beoordelen en de winnaars kiezen. Deze worden bekendgemaakt tijdens Information Security World, een reeks van twee branche-events die NTT Security op 17 september organiseert in Wenen en op 15 oktober in Londen.

Kai Grunwitz, senior vicepresident NTT Security EMEA: “Zo lang we ons kunnen herinneren, heeft de tech-industrie een sterke onbalans tussen mannen en vrouwen. Als we kijken naar het wereldwijde gebrek aan cyber-skills is het duidelijk dat we in de richting van een crisis gaan. Met deze Women in Cybersecurity Awards is het onze missie om getalenteerde vrouwen in de branche de zichtbaarheid te geven die ze verdienen. Wij bedanken hen voor wat ze dagelijks in de praktijk doen en willen ook meer vrouwen aanmoedigen om naam te maken in cybersecurity. Er zijn nog te weinig vrouwen werkzaam in de branche en het lukt recruiters niet om de beloftes op het gebied van diversiteit in te lossen.” Volgens de meest recente gegevens van (ISC)2 is er een tekort van 2,9 miljoen professionals in de cybersecurity-sector. Van alle professionals in de branche is 24 procent vrouw. Dat is een verbetering ten opzichte van de eerder voorspelde 11 procent, dat in Europa zakte naar 7 procent. Die stijging heeft echter meer te maken met een andere rekenmethode dan met een significante verbetering. Mannen domineren nog steeds de sector als het om topfuncties gaat; 87 procent van alle CISO’s bij Fortune 500-bedrijven is man. VAN DE REDACTIE

10 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

Solutions have a platform At the leading international trade fair for IT security, you will learn everything about the latest security standards. Get your free ticket for it-sa 2019! Nuremberg, Germany it-sa.de/it-security4U

8 -10 October 2019

DIGITAAL VERTROUWEN

Over beveiligingsrisico’s van Internet of Things:

Zijn apparatuur en software nog wel te vertrouwen?

12 | JULI 2019 INFOSECURITY

| NR. 3 | MAGAZINE

Mensen worden via hun identiteitsbewijs, DigiD, gebruikersnaam en wachtwoord gecontroleerd en vertrouwd. Maar hoe zit het eigenlijk met het steeds grotere aantal apparaten? Naarmate meer apparaten met het Internet of Things (IoT) worden verbonden en software (onder andere via DevOps) een grotere rol in ieders leven gaat spelen, wordt digitaal vertrouwen steeds belangrijker. Diederik Klijn, sales manager Northern Europe bij Venafi, legt uit waarom het nodig en verstandig is alle gebruikte digitale certificaten en encryptiesleutels geautomatiseerd te gaan beheren.

12 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

Bedrijven migreren in toenemende mate naar de cloud om flexibeler en sneller nieuwe IT-toepassingen en services te kunnen implementeren. Of om deel uit te maken van de platformeconomie waarin vraag en aanbod tegenwoordig 24/7 online worden gematched. Hoewel de toenemende cloudmigraties en platformen grote voordelen met zich meebrengen, zit er ook een groot nadeel aan, namelijk alle mogelijke beveiligings­ risico’s. Steeds meer apparaten en softwaretoepassingen communiceren tegenwoordig volledig autonoom met elkaar, dus zonder enige menselijke controle. Heeft u als IT- of securityverantwoordelijke nog wel voldoende grip en inzicht in het digitaal vertrouwen waarop al die automatische communicatie is gebaseerd?

Slow versus Fast IT Behalve geplande migraties naar de cloud en implementaties van IoT, moeten IT-ers ook nog een toenemend aantal zogeheten ‘Fast-Track IT’-initiatieven in goede banen leiden. “Wij zien bij veel bedrijven dat de ‘Chief Marketing Officer’ (CMO) parallelle IT-projecten initieert, om leads te genereren of zich van concurrenten te onderscheiden”, zegt Klijn. CMO’s besteden de laatste jaren een groter deel van hun budget aan marketing gerelateerde IT-technologieën, vaak buiten de controle en het gezichtsveld van traditionele IT-teams. “Daarnaast worden door DevOps-teams nieuwe ontwikkeltools ingezet, tijdelijke domeinnamen geregistreerd en API’s met elkaar verbonden. Deze ‘Fast-Track IT’ontwikkelingen zijn door traditionele ‘Slow IT’-afdelingen amper bij te houden, laat staan gestructureerd te managen. Ook die trend zorgt soms voor ongecontroleerde IT-projecten.”

Digitaal vertrouwen ondermijnen Vergelijkbaar met de toename aan nepnieuws en misleidende campagnes om opinies te beïnvloeden, worden cybercriminelen slimmer in het misbruik maken van het digitaal vertrouwen tussen apparaten en software. Dat IT-securityverantwoordelijken daarop moeten letten, blijkt onder andere uit de onlangs ontdekte backdoor in de Asus Live Update-software en de mogelijke ZombieLoad aanvallen op Intel-chips. Via dit soort zwakheden is onopgemerkt informatie te stelen, malware te

‘Een categorie die speciale aandacht verdient, is die van de code-signing certificaten’

installeren, of de controle van apparatuur of software over te nemen. Backdoors en bugs in software die toegang geven tot apparatuur ondermijnen in toenemende mate het digitaal vertrouwen, waarop zowel onze hele digitale infrastructuur als economie zijn gebaseerd.

Aandacht voor code signing certificaten Een categorie die speciale aandacht verdient, is die van de ‘code-signing certificaten’. Dat zijn namelijk digitale handtekeningen voor het ondertekenen van vertrouwde software en andere programmacode. Dankzij dit type certificaten was de bekende Stuxnethack zo succesvol. Uit recent onderzoek van Venafi blijkt dat maar 28% van de 320 ondervraagde securityverant­ woordelijken in Canada, Europa en de Verenigde Staten een procedure heeft voor het consistent beveiligen door middel van code signing certificaten. Toch maakt 50% van de respondenten zich zorgen dat cybercriminelen gestolen of op het darkweb verkochte nagemaakte code signing certificaten gaan misbruiken voor cyberaanvallen op hun organisatie.

Open Source Libraries Een ander belangrijk aandachtspunt is het toenemend gebruik van open source libraries (OSL), voor het ontwikkelen van apps, programma’s en websites. Cybercriminelen spelen in op het vertrouwen dat mensen in OSL’s hebben, door er malafide code aan toe te voegen. Met als mogelijk gevolg een sneeuw­ baleffect voor de hele keten van softwareontwikkelingen. Onderzoek van Sonatype heeft al een toename van 55% aan OSL-aanvallen in 2018 onthuld. Het securityrisico gerelateerd aan OSL’s is aanzienlijk te verkleinen door code signing certificaten

te gebruiken voor het authenticeren, alleen moeten die certificaten dan natuurlijk wel betrouwbaar zijn.

Beter beveiligen en monitoren Venafi pleit al jaren voor het beter beveiligen en monitoren van alle machine-identiteiten, als oplossing tegen het toenemend aantal cyberaanvallen en security-incidenten. “Alle digitale communicatie tussen hardware, sensoren, API’s, Containers, MicroServices, et cetera is gebaseerd op certificaten en encryptiesleutels”, legt Klijn uit. “Toch weten maar weinig IT-ers en securityverantwoordelijken hoe een ‘Public Key Infrastructure’ (PKI) werkt en wie daarin welke rollen heeft. Met als gevolg onterechte schijnveiligheid. Net zoals er tijdelijke domeinen niet worden opgezegd na gebruik voor een marketingcampagne, worden er ook uitgegeven digitale certificaten en sleutels niet ingetrokken als medewerkers de organisatie verlaten.”

Lifecyclemanagement Behalve continu monitoren tegen misbruik, is het tevens belangrijk te letten op het verlopen van certificaten. LinkedIn en Mozilla kwamen daarmee namelijk vorige maand nog negatief in het nieuws. Verder heeft nota bene de CEO van Ericsson eind vorig jaar zijn excuses aangeboden voor een verlopen certificaat waardoor miljoenen mensen wereldwijd niet meer mobiel konden bellen. “Momenteel worden het gebruik en de verloopdata van certificaten bij veel organisaties nog in spreadsheets beheerd”, vervolgt Klijn. “Omdat het aantal al snel enkele (tien)duizenden betreft, is het verstandig een geautomatiseerde oplossing voor lifecyclemanagement van alle gebruikte certificaten en encryptiesleutels te implementeren.” VAN DE REDACTIE

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 13

BLOCKCHAIN

Gezamenlijk project van HPE en Continental

Blockchain-platform helpt voertuigdata veilig benutten

Hewlett Packard Enterprise (HPE) en het technologiebedrijf Continental hebben een platform ontwikkeld voor het delen van voertuigdata. Het platform is naar verwachting in de loop van dit jaar beschikbaar. Het delen van data via het platform maakt nieuwe services mogelijk om veiligheid en gemak voor de bestuurder te verbeteren. Tegelijkertijd helpt het autofabrikanten om waarde te halen uit de data en daarmee hun merk te differentiëren. Op basis van blockchain-technologie biedt het platform datasoevereiniteit, security, transparantie en efficiëntie om uitdagingen aan te gaan die plaatsvinden bij het delen van voertuigdata. Continental ontwikkelt - zo positioneert het Duitse concern zichzelf - nieuwe technologieën en diensten voor mobiliteit van mensen en hun goederen. Het technologiebedrijf is opgericht in 1871 en biedt - zo stelt men - veilige, efficiënte, intelligente en betaal­ bare oplossingen voor voertuigen, machines, verkeer en vervoer. In 2018 genereerde Continental een voorlopige sales van ongeveer 44,4 miljard euro en heeft het momenteel ongeveer 244.000 mensen in 61 landen en markten in dienst. 14 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

Datasilo’s doorbreken Organisaties in tal van branches zien in dat er behoefte is aan manieren om datasilo’s te verbreken waardoor (concurrerende) partijen in staat gesteld worden om samen te werken. Alleen dan kan de volledige waarde uit alle verzamelde data gehaald worden. In het geval van connected en autonome voertuigen is het van doorslaggevend belang dat data gedeeld kan worden tussen verschillende automerken, zodat bijvoorbeeld bestuurders­

assistentie ingeschakeld kan worden om gevaren in het verkeer te herkennen en de meest optimale route te kiezen. Denk bijvoorbeeld aan realtime verkeers­ waarschuwingen bij een ongeluk en het tonen van beschikbare parkeerplaatsen.

Gedecentraliseerde architectuur Verschillende bestaande digitale ecosystemen maken data-uitwisseling mogelijk op basis van het zogeheten ‘middleman model’. Hierbij coördineren eigenaren van platformen de data­ stromen centraal, zodat alle verbonden partijen de data kunnen benutten. Als aanvulling hierop maken HPE en Continental gebruik van een gedecen­ traliseerde architectuur op basis van blockchain-technologie. Deelnemers, zoals autoproducenten, blijven data opslaan in hun eigen datacenters en delen alleen specifieke datasets direct bij aankoop. Deze aanpak biedt datasoevereiniteit aan alle deelnemers aan het ecosysteem, maar biedt tegelijkertijd ook een efficiënte en veilige procedure voor het benutten van voertuigdata.

Het platform stelt autofabrikanten en andere partners in staat om voertuigdata met elkaar te delen, zodat digitale services voor bestuurders verbeterd kunnen worden en de data optimaal kan worden benut. Het delen van deze data is echter alleen mogelijk met toestem­ ming van de bestuurder. Daarom integreert het platform een systeem voor toestemmingsbeheer en een gebruiksvriendelijk systeem voor opt-in en opt-out voor de bestuurder.

Gordiaanse knoop HPE en Continental hebben van autofabrikanten al positieve reacties op het platform ontvangen. “We zijn er zeker van dat ons platform de gordiaanse knoop van data-uitwisseling en dataprivacy ontwart”, aldus Helmut Matschi, member of the Executive Board van de Interior Division bij Continental. “We nodigen autofabrikanten wereldwijd uit om aan te sluiten bij ons platform, zodat we gezamenlijk vorm kunnen geven aan dit snelgroeiende

ecosysteem.” Als onderdeel van het strategisch partnership tussen HPE en Continental is het nieuwe platform ontworpen door HPE Pointnext en de Interior-divisie van Continental. HPE en Continental willen aanvullende diensten aanbieden om het delen van data en de integratie van voertuigdata in backendsystemen en -services van autofabrikanten te faciliteren. Dankzij de interface­mogelijkheden van het platform kunnen meerdere ecosystemen, zowel gecentraliseerd als gedecentraliseerd, worden gekoppeld. Ook kunnen andere partijen gebruik­ maken van nieuwe manieren om data te benutten en er zo waarde uit te halen. Bovendien voldoet het platform aan het VDA NEVADA Share & Secure-concept dat door de Duitse automobielindustrie is ontwikkeld om de veilige overdracht van voertuig­data aan derden te regelen. VAN DE REDACTIE

Verkeersproblemen “Het delen van voertuigdata tussen leveranciers heeft de potentie om de moeilijkste verkeersproblemen op te lossen en daarnaast de bestuurders­ ervaring tijdens het rijden te verbeteren door zwermtechnologie”, aldus Phil Davis, als ‘president Hybrid IT’ verbonden aan HPE. “Samen met Continental bieden wij de tool om het maximale uit alle data te halen. Niet door zelf de controle over de data te nemen, maar door deze juist aan de bestuurders en autofabrikanten te geven.” INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 15

PRAKTIJK

VidaXL neemt Firebox-clusters af voor zijn gedistribueerde omgeving

‘Met één klik heb je een VPN-tunnel gelegd’ VidaXL begon ooit op een zolderkamer als webwinkel voor pokerfiches. Ondertussen is het een wereldwijd opererend e-commercebedrijf. Maar de firewalloplossing kon de groei van 30 tot 40 procent per jaar niet bijbenen en de support was onvoldoende. “Het was een mkb-oplossing, maar we zijn ondertussen een enterprise.” Nieuwe Firebox TSS-clusters van WatchGuard brachten uitkomst. Waar ter wereld je ook zit, de kans is groot dat je meubels, tuinspullen, accessoires, en ja: pokersets van VidaXL kunt bestellen. Het bedrijf heeft kantoren en warenhuizen in 29 landen en levert aan grote retailers. Daarnaast werkt VidaXL wereldwijd met dropshippers: webshops van derden die verder niet betrokken zijn bij de levering. In totaal verkoopt VidaXL zijn producten op ongeveer 300 websites. 16 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

“We doen alles zelf”, zegt Bart van Es, IT-manager bij VidaXL. “Bij VidaXL werken 1.500 mensen en we hebben een eigen klantenservice en eigen transportdienst. Maar we hebben geen fysieke winkels. 90 procent van de waren verkopen we onder eigen merk.” VidaXL stelt zijn aanbod af op de specifieke markt, en biedt hierdoor lage prijzen. Daardoor is het bedrijf succesvol in het

minimaliseren van de kosten en het maximaliseren van de verkopen. Per jaar groeit VidaXL met 30 tot 40 procent. “Dagelijks vertrekken vanuit onze hoofdlocatie in Venlo alleen al zestig vrachtwagens met producten die we in Europa verkopen.”

Echt gedistribueerde omgeving Die groei vraagt om een infrastructuur die het kan bijbenen. VidaXL is een echt gedistribueerd bedrijf, met een zeer sterke spreiding van locaties. Het hart van het netwerk staat in drie datacenters. In Amsterdam worden de webshops gehost, in Eindhoven de backoffice en in Venlo staat een fallbacklocatie in geval van problemen. Daar overheen draait een hybride cloudomgeving: een private cloud met koppelingen naar de Google Cloud in Amsterdam en Hongkong. “We hebben wereldwijd een MPLS-cloud om alle locaties en kantoren met elkaar te verbinden, en we zetten in op een SD-WAN voor lagere latency. Daardoor is de oplevertijd van een nieuwe locatie ook zeer kort. De ICT-omgeving beweegt flexibel en kosteneffectief mee met de groei van het bedrijf.” Maar toen Van Es twee jaar geleden bij VidaXL begon, had hij meteen een uitdaging met de firewalls die het bedrijf toen inzette. “Die waren niet geschikt voor de schaal waarop VidaXL opereerde”, vertelt hij. “Dat probeerden we voor te zijn door op te schalen. Toch bleven we verstoringen hebben door verbindingen die eruit vlogen.” Het stak hem bovendien dat de ondersteuning te wensen overliet. “Vraagstukken pikte de leverancier niet op, en we werden steevast doorverwezen naar een reseller in plaats van dat we meteen geholpen werden. Het was naar mijn gevoel meer een mkb-oplossing, maar we zijn ondertussen een enterprise.”

Flexibele en hoogbeschikbare oplossing Toen die firewalls een ernstige netwerkstoring veroorzaakten, besloot Van Es om de hele firewallinfrastructuur te vervangen. “Ik heb meteen een businesscase geschreven en een eisenpakket opgesteld.” Voor hem was het belangrijk dat de hardware ook daadwerkelijk doet wat de leverancier belooft. “Te vaak heb ik meegemaakt dat een oplossing wel een vinkje had voor

een bepaalde functie, maar vervolgens niet deed wat het moest doen.” Als voorbeeld noemt hij de highavailabilityfunctie in de firewalls van de vorige leveranciers. “Op papier zag het er goed uit. Maar wanneer een verbin­ ding eruit vloog, ging het helemaal mis.” De firewalls dienen ook in staat te zijn om in een zeer dynamische omgeving te

staan.” Over de ondersteuning vanuit WatchGuard is Van Es eveneens enthousiast. “Ze staan altijd voor je klaar. WatchGuard pakt ieder supportticket meteen op. We staan eigenlijk nooit voor onaangename verrassingen.” VidaXL begon in het najaar van 2018 met de implementatie. Gekozen werd voor een organische

‘De ICT-omgeving beweegt flexibel en kosteneffectief mee met de groei van het bedrijf’

opereren. Omdat VidaXL locaties over de hele wereld heeft, moeten de firewalls werken in uiteenlopende omstandig­ heden. “We hebben gemengde netwerken met variabele snelheden, van glasvezel tot UTP.”

Precies zoals het moet De keuze viel op Firebox-clusters van WatchGuard, bestaande uit de appliances M270, M470 en M4600. Van Es kende WatchGuard al omdat VidaXL tijdens een grote storing enkele appliances in heeft gezet als tijdelijke oplossing (zie kader). “Die werkten bijzonder prettig”, herinnert hij zich. “Ze werken precies zoals in de documentatie beschreven is.” Daarnaast bood WatchGuard precies de apparaten die VidaXL nodig had. “We kunnen alles dubbel uitvoeren voor High-Availability. Ook hebben we Intrusion Detection aan

vervanging, waarbij de oude firewalls geleidelijk worden vervangen wanneer het onder­steuningscontract dat afloopt. Op het moment van schrijven heeft VidaXL acht clusters draaien, en worden er nog vier geïmplementeerd. “We hebben er nog eens twee bijbesteld”, zegt Van Es. “Alle nieuwe locaties worden standaard uitgerust met de WatchGuard-firewalls.” Met deze implementatie kan VidaXL minstens vijf jaar vooruit. Bij aanhoudende groei zijn de clusters echter ook schaalbaar genoeg om eenvoudig uit te breiden. “Het is een zeer flexibel platform met genoeg fysieke poorten. Met één klik heb je een VPN-tunnel liggen tussen verschillende apparaten. Bij de vorige leverancier was dat een enorm gedoe.” VAN DE REDACTIE

Alkum Alkum is de toeleverancier die VidaXL bijstaat bij al hun ICT-uitdagingen. Dat was niet anders toen het snelgroeiende bedrijf problemen kreeg door hun verouderde firewallinfrastructuur. Daardoor vielen verbindingen uit, wat de business van VidaXL in gevaar bracht. Het voorstel om voor WatchGuard te kiezen kwam van Alkum. “Ze reageren altijd direct en zijn heel erg flexibel”, zegt Van Es over deze partner. “Dat bleek ook toen we een noodoplossing nodig hadden omdat de vorige firewalls niet stabiel waren. Het werkte allemaal direct zoals het moet.” Alkum richt zich vooral op firewalloplossingen, back-upoplossingen en archiveringsoplossingen. “Maar als partner kijkt Alkum altijd naar de complete behoefte bij de klant”, zegt CEO Andy Schuurman van Alkum. Die klantgerichtheid van Alkum en WatchGuard speelde voor Van Es een belangrijke rol in de uiteindelijke keuze voor de Firebox-clusters. “Alkum zorgt voor de implementatie en helpt ons met trainingen”, zegt Van Es. “Het is de sparringpartner die we op IT-gebied nodig hebben, zeker omdat we zo snel groeien.”

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 17

FRAUDE

Lanceert Secure Agreement Automation

OneSpan

stroomlijnt openen digitale accounts

OneSpan lanceert Secure Agreement Automation, een cloudoplossing die het volledige proces van accountopening digitaliseert en identiteitsfraude reduceert. Secure Agreement Automation is de eerste oplossing voor accountopening die verschillende elementen combineert: identiteitsverificatie via een hub, elektronische handtekeningen, workflow en een end-to-end audit trail, allemaal geleverd via een open API. Door het proces voor accountopening te automatiseren en te beveiligen, kunnen financiële instellingen nieuwe klanten werven in enkele minuten, met minder risico, lagere kosten en een betere gebruikservaring.

Extra druk De vraag naar mobiel bankieren en een groeiende competitie zet extra druk op financiële instellingen om digitale diensten met een hoge gebruikservaring af te leveren. Tegelijkertijd schatten de banken dat het wereldwijde verlies aan fraude vorig jaar meer dan 31 miljard dollar bedroeg. In de Verenigde Staten steeg het verlies voor identiteitsfraude van 3 miljard dollar in 2017 naar 3,4 miljard dollar in 2018.

Positief Secure Agreement Automation vermindert fraude bij accountopening door de werving van nieuwe klanten te automatiseren en gekwalificeerde klanten positief te identificeren door het aanvraagproces heen. Dit gebeurt via een identiteitsverificatiehub die verschillende controles kan uitvoeren, zoals krediet­ checks, multifactor-authenticatie, en biometrische vergelijkingen zoals gezichts­herkenning. Dat resulteert in minder vals-positieven en de mogelijkheid om het aantal klanten dat afhaakt tijdens het proces, terug te dringen. Nu schommelt dat aantal bij financiële instellingen tussen de 65 en 95%. 18 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

WORD SPONSOR VAN DE GROOTSTE

12 November 2019 | Haarlem

‘Door het proces voor accountopening te automatiseren, verkleinen financiële instellingen het risico van het werven van nieuwe klanten’

Belangrijkste driver

Profiteer van maximale exposure tijdens dit event. Meld je als één van de eersten aan als Gold, Silver of Bronze sponsor en laat zien dat jouw bedrijf een serieuze, toekomstgerichte speler is die Additive Manufacturing hoog in haar strategie heeft staan. • Spreker op hèt congres over Additive Manufacturing/3D-printing • Table top presentatie in de zaal zelf! • Promotie in ALLE technische bladen van Vakbladen.com!

“Hoewel identiteitsfraude steeds groeit, toont onderzoek dat de verbetering van de gebruiks­ ervaring de belangrijkste driver blijft voor financiële instellingen om te investeren in oplossingen voor de opening van nieuwe accounts”, zegt Julie Conroy, Fraud & AML Research Director bij Aite Group. “Oplossingen zoals Secure Agreement Automation beloven een win-win. Ze brengen automatisatie om de accountopening te stroomlijnen, en tegelijkertijd verschaffen ze de noodzakelijke controles tegen fraude en voor Know Your Customer (KYC).”

Digitale ervaring “De strijd om bankklanten te werven en te behouden wordt beslist op basis van de kwaliteit van de digitale ervaring. Die vereist gebruiksgemak, minder klanten die afhaken en een sterke beveiliging om fraude tegen te gaan”, zegt Scott Clements, CEO bij OneSpan. “Secure Agreement Automation toont de realisering van OneSpans belofte: financiële instellingen helpen de kosten te beperken en groei te realiseren door vertrouwen te brengen in identiteiten, toestellen en transacties door het hele digitale proces heen.”

Beschikbaar via API Secure Agreement Automation is beschikbaar via een API en connecteert met OneSpans Trusted Identity (TID) platform. Dit laat banken toe om Risk Analytics, Intelligent Adaptive Authentication en mobiele applicatiebeveiliging toe te voegen, die kunnen samenwerken met bestaande systemen en oplossingen van derde partijen. VAN DE REDACTIE

GA VOOR DE BESTE DEAL EN MELD JE SNEL AAN! Neem voor de sponsormogelijkheden contact op met Peter van den Bosch M: +31 6 2903 5649 E: p.vandenbosch@archermedia.nl

www.3d-printconference.com INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 19

ONDERZOEKSRAPPORT

Door samenkomen van digitale en fysieke omgevingen

Nieuwe kansen voor

cybercriminelen Fortinet heeft een nieuwe editie van zijn kwartaalpublicatie Global Threat Landscape Report gepubliceerd. Hieruit blijkt dat cybercriminelen hun aanvalstechnieken voortdurend aanscherpen. Of het nu gaat om misbruik van de uiterst gebrekkige beveiliging van IoT-apparaten of het omvormen van open source-tools tot nieuwe cyberbedreigingen. Het aantal exploits bereikt een recordniveau. Volgens de Fortinet Threat Landscape Index blijven cyber­ criminelen ook tijdens de feestdagen hard aan het werk. Na een dramatische start daalde het aantal exploits (misbruik van kwetsbaarheden) in de tweede helft van het kwartaal. Hoewel de totale activiteit van cybercriminelen enigszins afzwakte, nam het aantal exploits per bedrijf met 10% toe en groeide het aantal gedetecteerde unieke exploits met 5%. Tegelijkertijd werden botnets complexer en moeilijker 20 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

detecteerbaar. De infectieduur van botnets nam met 15% toe en bereikte een gemiddelde van bijna twaalf dagen per bedrijf. Cybercriminelen maken tegen­ woordig gebruik van automatisering en machine learning. Organisaties moeten hetzelfde doen om deze geavanceerde aanvallen af te kunnen slaan.

Bewaak de bewakers Er is bewaking nodig van bewakingsapparatuur. De convergentie (samenkomst) van fysieke en digitale

systemen resulteert in een groter aanvalsoppervlak dat cybercriminelen steeds intensiever bestoken. De helft van de meest wereldwijd voorkomende twaalf exploits hielden verband met IoT-apparatuur, en vier van de twaalf belangrijkste met IP-camera’s. Als cybercriminelen toegang tot dergelijke apparaten krijgen, kunnen ze die gebruiken om mensen te bespioneren, kwaadaardige activiteiten op locatie uit te voeren of zich toegang te verschaffen tot digitale systemen voor het uitvoeren van DDoS- of ransomware-aanvallen. Het is belangrijk voor organisaties om de mogelijkheid van dit soort stiekeme aanvallen in acht te nemen, zelfs via apparaten die ze voor bewakings- of beveiligingsdoeleinden gebruiken.

Misbruik van open source-tools Open source malware-tools bieden de cybersecurity-gemeenschap diverse voordelen. Ze stellen hen in staat om beveiligingsmechanismen te testen, onderzoek te doen naar exploits en beveiligingstraining te geven aan de hand van voorbeelden uit de praktijk. Deze tools zijn beschikbaar via uitwisselingssites als GitHub. En omdat ze voor iedereen toegankelijk zijn, kunnen cybercriminelen ze ook voor hun duistere praktijken inzetten. Zij vormen deze tools om tot cyberwapens en gebruiken die vaak voor het uitvoeren van ransomware-aanvallen. Hiervan was bijvoorbeeld sprake bij de aanvallen met het IoT-botnet Mirai. Sinds dit botnet in 2016 de kop op stak, is er sprake geweest van een explosieve groei van het aantal varianten en botnetactivi­ teiten. Innovatie blijft cybercriminelen gouden kansen bieden.

Opmars van stenografie Ontwikkelingen op het gebied van stenografie hebben een oud type aanval nieuw leven ingeblazen. Stenografie wordt normaliter niet gebruikt door de meest voorkomende cyberbedreigingen. De enige uitzondering hierop is Vawtrak, dat het afgelopen kwartaal de lijst met snelst groeiende botnets haalde. De onderzoekers van Fortinet observeerden in hetzelfde kwartaal ook malwarevarianten die gebruikmaakten van stenografie om kwaadaardige codes te verbergen in memes die op sociale media werden gedeeld. Deze malware probeerde contact te zoeken met een command & control (C&C)-host om

‘Fundamentele aspecten van cybersecurity, zoals overzicht, automatisering en netwerk­ segmentatie, zijn belangrijker dan ooit’

vervolgens naar afbeeldingen te zoeken in een bijbehorende Twitter-feed. De malware downloadde deze afbeeldingen en zocht naar verborgen instructies in die afbeeldingen om kwaadaardige activiteiten in gang te zetten. Uit deze heimelijke aanpak blijkt dat cyber­ criminelen blijven experimenteren met de ontwikkeling van hun malware.

Infiltratie van adware Adware is niet alleen een lastig fenomeen. Het is en blijft een serieuze bedreiging. In de meeste regio’s prijkt adware bovenaan de lijst van malwareinfecties. In Noord-Amerika en Oceanië was deze vorm van malware goed voor ruim een kwart van alle infecties, en in Europa voor iets minder dan een kwart. Omdat adware aanwezig is in apps die nu via non-officiële app stores worden aangeboden, vertegenwoordigt dit type aanval een serieuze bedreiging, en voornamelijk voor nietsvermoedende mobiele gebruikers.

Operationele technologie De groeiende convergentie van informatietechnologie (IT) en operationele technologie (OT) heeft volgens het onderzoek geresulteerd in een verschuiving in het aantal en de frequentie van aanvallen op industrial control systems (ICS). Hieruit blijkt dat cybercriminelen dit soort vernietigende aanvallen met hernieuwde energie uitvoeren. Een succesvolle cyberaanval op een OT-systeem kan verwoestende gevolgen hebben voor vitale infrastruc­ turen en diensten, het milieu en zelfs mensenlevens. Phil Quade, chief information security officer bij Fortinet: “We leven in een tijdperk waarin digitale en fysieke omgevingen samensmelten. Hoewel de

koppeling met de digitale economie veel weg heeft van sciencefiction, zijn de beveiligingsrisico’s helaas zeer reëel. Cybercriminelen zijn naarstig op zoek naar kwetsbaarheden in digitale en fysieke systemen waarvan ze misbruik kunnen maken. Fundamentele aspecten van cybersecurity, zoals overzicht, automatisering en netwerksegmentatie, zijn daarmee belangrijker dan ooit om te kunnen gedijen in de digitale economie en bescherming te bieden tegen de kwaadaardige activiteiten van cyber­ criminelen.”

Behoefte aan geautomatiseerde beveiliging De bedreigingsdata voor dit kwartaal bevestigen eens temeer de voorspellingen op het gebied van cyberbedreigingen van het wereldwijde onderzoeksteam van FortiGuard Labs. Om de onophoudelijk actieve cybercriminelen een stap voor te blijven, moeten organisaties hun beveiliging transformeren als onderdeel van hun strategie voor digitale transformatie. Ze hebben een security fabric nodig die de complete netwerkomgeving omspant, van IoT-endpoints tot multi-cloudomge­ vingen, en elke beveiligingscomponent integreert. Dit is nodig om het groeiende aantal bedreigingen de baas te blijven en bescherming te bieden voor het uitdijende aanvalsoppervlak. Deze aanpak biedt organisaties de mogelijkheid om snel en op grote schaal praktisch inzetbare bedreigings­ informatie uit te wisselen, de detectie­ tijden te verkorten en geautomatiseerde tegenmaatregelen te treffen tegen moderne cyberbedreigingen. VAN DE REDACTIE

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 21

ONDERZOEK

‘Systemen voor beveiligen e-mail niet effectief’ Populaire systemen voor e-mailbeveiliging houden lang niet alle gevaarlijke e-mails tegen. Ruim 1 op de 10 doorgelaten e-mails kan wel degelijk schadelijk zijn voor de ontvanger. Dat concludeert Mimecast op basis van langlopend Email Security Risk Assessment (ESRA)-onderzoek naar de effectiviteit van e-mailbeveiligingssoftware. Voor een ESRA-test inspecteert Mimecast de binnenkomende e-mails van deelnemende organisaties die als veilig zijn aangemerkt door hun e-mailbeveiligingssysteem. De test brengt het aantal ‘false negatives’ in kaart: spam, phishingaanvallen, schadelijke bijlages en URL’s en impersonatie­ aanvallen die de e-mailbeveiliging van Mimecast wél geblokkeerd zou hebben.

Uitkomsten In totaal werden 398.119 gebruikers gedurende een periode van 2.088 dagen getest. Zij kregen bij elkaar meer dan 237 miljoen e-mails binnen. 11 procent van die e-mails werd ten onrechte doorgelaten. Daarvan was 99,6 procent een spambericht. Naast de ruim 26 miljoen spammails kwamen ook 466.905 malafide URL’s, 24.279 gevaarlijke bestandstypes, 55.190 impersonatieaanvallen en 27.156 keer malware door de beveiliging. Mimecast noemt drie recente voorbeelden van onopgemerkte dreigingen: • Internetfraude - de aanvaller stuurt uit naam van een medewerker een e-mail naar een hr-manager met het verzoek om zijn salaris voortaan op een andere bankrekening te storten. Hierbij wordt gebruikgemaakt van spoofing. In het afzenderveld wordt bijvoorbeeld daadwerkelijk de naam van de medewerker getoond. • Gegevensdiefstal - de aanvaller vraagt het doelwit om zijn ‘verlopen’ wachtwoord voor Office 365 te wijzigen. De domeinnaam onderaan de e-mail lijkt van Microsoft te zijn, maar in werkelijkheid is het een malafide website. • Malwarebesmetting - de aanvaller stuurt een e-mail met het verzoek van ‘de klantenservice’ om een bestelling te controleren. In de bijlage zit een Word-document met een macro die na het openen gevaarlijke code downloadt.

State of Email Security 2019 Impersonatie- en phishingaanvallen zijn een groeiend probleem. Zo bleek uit de nieuwste editie van het State of Email Security-rapport dat 85 procent van de 1.025 respondenten in 2018 een impersonatie­ 22 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

aanval heeft meegemaakt. Bijna drie kwart ondervond hier directe schade van, zoals klantverlies, gegevensverlies of financiële schade. Maar liefst 94 procent werd slachtoffer van een phishingaanval. Volgens ruim de helft van de ondervraagden is de dreiging van phishing toegenomen.

Weerbaarheid tegen cybercriminaliteit “Het dreigingslandschap evolueert continu”, zegt Joshua Douglas, vice president of threat intelligence bij Mimecast. “Cybercriminelen passen hun aanvalsmethoden aan om detectie door traditionele securityoplossingen te vermijden. Dit geldt in het bijzonder voor aanvallen via e-mail. Elke organisatie wereldwijd, hoe groot of klein ook, is een potentieel doelwit.” “Het ESRA-onderzoek geeft onze klanten inzicht in de verschillende typen aanvallen die hun bedrijfs­ voering kunnen schaden”, vervolgt Douglas. “Mimecast helpt klanten bij het vormgeven van een overkoepelende strategie voor cyberresilience, die onder meer bestaat uit betere e-mailbeveiliging en een verhoogd securitybewustzijn. Alleen dan zijn organisaties goed beschermd tegen zowel bekende als nieuwe cyberdreigingen.”

BEZOEK

ADDITIVE MANUFACTURING MATURITY

A SERIOUS GAME CHANGER IN YOUR BUSINESS Applied innovation trough 3D-printing | 3D-Printing & Automation | Integration & Co-creation | Large Scale & Large Format 3D-Printing | 3D-Printing in Construction | Circulair Economy & Recycling 3D-Printing & The Digital Supply Chain | Platforms | Digital Warehousing & Spare Parts

12 November 2019 | 3D Makers Zone | Haarlem MAAK GEBRUIK VAN DE VROEGBOEKKORTING. NU SLECHTS € 100,-!

www.3d-printconference.com Informatie over sponsoring: Peter van den Bosch, p.vandenbosch@archermedia.nl, +31 6 2903 5649

vision Robotics

mechatronica

STRATEGIE

Cyber Defence moet innovatie versnellen Wat meer optimisme over onze weerbaarheid voor cyber-aanvallen is goed voor Nederland, vindt Roel van Rijsewijk, directeur Cyber Defence bij Thales. Het is ook goed dat de Nationaal Coördinator Terrorismebestrijding en Veiligheid onlangs in het Cybersecuritybeeld Nederland 2019 opnieuw de noodklok luidde over de kwetsbaarheid van de Nederlandse samenleving. Maar het heeft weinig zin om vervolgens met de wolven mee te huilen en heel bang te worden. Voortdurend blijven hameren op gevaar is contra­ productief, meent Van Rijsewijk: het dringt niet meer door en het lost niets op. Het grootste risico is dat het een rem zet op Nederlandse innovatie, terwijl we het ons niet kunnen veroorloven stil te blijven staan. “Als we ons door angst laten regeren, worden we straks aan twee kanten geraakt: de dreiging blijft bestaan en we worden ingehaald door landen en organisaties die wél durven innoveren.”

Vitale processen In het CSBN2019 waarschuwt de Nationaal 24 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

Coördinator Terrorismebestrijding en Veiligheid dat vitale processen door gebrekkige cybersecurity in gevaar komen, van onze gas, water en elektra, tot onze waterhuishouding, ons vervoer en ons betalingsverkeer. Als het gevolg van die waarschuwing zou zijn dat de integratie van IT en operationele technologie (OT) wordt afgeremd en bemoeilijkt, is dat volgens Van Rijsewijk ongelofelijk zonde: “IT helpt OT beter controleerbaar en efficiënter te maken, zodat bijvoorbeeld de productie omhoog kan, storingen worden voorkomen en apparatuur langer meegaat. Als je die voordelen laat

lopen omdat je bang bent dat je dan te kwetsbaar wordt voor kwaadaardige hackers, schiet je jezelf in de voet.” In juni heeft Thales het Data Threat Report 2019 uitgebracht, en hoewel ook daaruit blijkt dat cybersecurity voor veel bedrijven nog een uitdaging is, geeft het ook reden tot optimisme. “Het is duidelijk dat Nederlanders de risico’s zeker niet onderschatten”, zegt Van Rijsewijk. Vergeleken met de rest van de wereld zijn we zelfs tamelijk op onze hoede. Volgens het onderzoek heeft 24% van de Nederlandse bedrijven maar weinig vertrouwen in veilig gebruik van nieuwe technologie. Tegelijkertijd weerhoudt dat 97% van de Nederlandse organisaties er niet van om gevoelige data te gebruiken in combinatie met digitale transformatie­technologieën (tegen 84% gemiddeld in Europa). “Kennelijk beseft het Nederlandse bedrijfsleven heel goed dat stilstand achteruitgang is en dat daarbij risico’s horen die je moet beheersen!”

Risico durven nemen Een zeker risico durven nemen is heel gezond, denkt Van Rijsewijk. “Zolang we de dreiging maar wel onder ogen zien. Daardoor leren we ermee om te gaan en het te gebruiken om er sterker van te worden.” Zelf spreekt hij liever helemaal niet van dreigingen, maar van kansen. “Vergelijk cyberaanvallen met infectie­ ziekten: als je ten koste van alles probeert te vermijden dat je ziek wordt, word je nooit sterker. Je immuunsysteem grijpt infecties aan om te leren en een verdediging op te bouwen. De combina­ tie van een gezond immuun­systeem en goede gezondheidszorg als back-up, maakt, dat je veilig naar buiten kunt.” Hetzelfde geldt voor cybersecurity. Of liever: Cyber Defence, want ‘veilig’ is een rekbaar en enigszins misleidend begrip, vindt Van Rijsewijk. “Wanneer ben je nu echt veilig? 100% veiligheid bestaat helemaal niet. Waar het om gaat is dat je je verdediging zo op orde hebt dat je je veilig voelt, omdat je weet dat je er klaar voor bent als er een aanval komt.” Het is heel goed dat een organisatie leert omgaan met onvermij­ delijke dreigingen: “Als je goed bent voorbereid, heb je er eigenlijk weinig van te vrezen.”

‘Een zeker risico durven nemen is heel gezond. Zolang we de dreiging maar wel onder ogen zien’

In beweging blijven Het belangrijkste doel van Cyber Defence is ervoor te zorgen, dat organisaties in beweging kunnen blijven. Innovatie zonder cyberrisico bestaat niet, weet Van Rijsewijk. “Het is niet erg als er af en toe iets mis gaat, zolang je er maar tijdig bij bent, direct in staat bent de juiste maatregelen te nemen, en ervan leert zodat het niet opnieuw gebeurt. Vooroplopen maakt je altijd kwetsbaar, maar als je de boot niet wilt missen, mag je niet stil blijven staan.” Minstens zo belangrijk is volgens hem dat het omgekeerde ook waar is: “Juist het feit dat je bent voorbereid, maakt dat je geschikt bent om voorop te lopen.” Voor het Nederlandse bedrijfs­ leven liggen hier enorme kansen. “Alleen focussen op veiligheid brengt je niet verder, dat vertraagt. Maar blind naar voren rennen zonder jezelf te verdedigen is ook geen optie. Bedrijven die nu laten zien dat ze kunnen innoveren en tegelijkertijd hun weerbaarheid vergroten, hebben de beste papieren voor een succesvolle digitale toekomst.”

Groeiende complexiteit Een van de belangrijkste conclusies uit het Thales Data Threat Report is dat organisaties kwetsbaar worden door groeiende complexiteit. Van Rijsewijk ziet het beheersbaar maken van die complexiteit als een belangrijke taak voor Cyber Defence. “Wat we in de eerder genoemde OT-wereld bijvoorbeeld vaak zien, is dat er onvoldoende inzicht is in de onderlinge afhankelijkheid van systemen. Dat betekent dat niemand precies weet wat de gevolgen zijn als ergens in de keten iets mis gaat. Die onbekendheid leidt tot angst en verkeerde beslissingen. Daar moeten we vanaf.” Inzicht is een voorwaarde om een goede verdediging op te bouwen, meent Van Rijsewijk. Weten hoe de organisatie in

elkaar zit, hoe de verschillende systemen op elkaar ingrijpen, over welke data je beschikt, hoe de toegangsrechten zijn verdeeld en hoe de informatiestromen lopen, is de enige manier om incidenten tijdig te signaleren. Incidenten op waarde kunnen schatten en de juiste urgentie meegeven, zodat schade voorkomen of beperkt kan worden en dan herstellen naar een hoger niveau: dat zijn de vaardigheden die een organisatie nodig heeft om flexibel en innovatief te blijven. “En je kunt je ook laten inenten om de weerbaarheid op te bouwen, dat noemen ze in de cyber­ wereld red teaming”.

Samenwerking Om dat goed te doen, is het voor de meeste organisaties verstandig een samenwerking te zoeken met een ervaren security specialist. Een goede security partner is in staat het gehele IT- en OT-landschap van een organisatie snel en volledig in kaart te brengen. Van daaruit kan een cyberdefensie-strategie worden uitgestippeld die leidt tot een coherente beveiligingsketen voor alle bedrijfskritische systemen, inclusief preventie, detectie, analyse, respons en herstel. Cyber Defence betekent voorbereid zijn, en zelfs bereid zijn het offensief te kiezen als dat nodig is, vindt Van Rijsewijk. “Er liggen ongekende mogelijkheden voor bedrijven om met behulp van technologie nieuwe kansen te ontwikkelen. Dat mogen we ons niet laten ontnemen. In plaats van ons bang te laten maken voor onze kwetsbaarheid, kunnen we het beter omdraaien: als we de risico’s beheersen, kunnen we beter en sneller innoveren.” VAN DE REDACTIE De Europese editie van het Thales Data Threat Report 2019 is beschikbaar via https://bit.ly/31N1bIb

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 25

STRATEGIE

Hackers volgen geen standaardprocedures, waarom u dan wel?

Om informatie te beschermen, vertrouwen veel bedrijven op ISO31000 of andere frameworks die zijn gebaseerd op traditionele kwetsbaarhedenanalyse. Waar zitten de zwakke plekken van een systeem en hoe voorkomt u dat kwaadwillenden daar gebruik van maken? En hoewel het natuurlijk goed is om dat soort standaardrisico’s vast te leggen, zijn ze alleen niet voldoende. Cybercriminelen kennen immers de theorie ook, weten dus waar bedrijven alert op zijn en gaan juist op zoek naar andere manieren om de beveiliging te omzeilen. Organisaties moeten daarom beter leren waar het in de praktijk misgaat. Hoe makkelijk het kan zijn om het slachtoffer te worden van datadiefstal, werd onlangs duidelijk door het datalek bij Bureau Jeugdzorg Utrecht. De organisatie had een aantal jaren geleden haar naam veranderd en een nieuwe domeinnaam in gebruik genomen. Maar in plaats van de oude aan te houden en op inactief te zetten, zegde de organisatie de domeinnaam volledig op. 26 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

Het afvangen van verdwaalde e-mails die door medewerkers en partners nog naar een oud e-mailadres werden gestuurd, was dus zo eenvoudig als het kapen van de vrijgekomen domeinnaam.

Het draait niet alleen om techniek Gelukkig ging het in bovenstaande voorbeeld om twee klokkenluiders die alleen het probleem aan de kaak wilden stellen. Dat neemt niet weg dat dit

vanuit het perspectief van risico­ management. En bij het bepalen van de maatregelen niet alleen kijken naar de techniek, maar ook naar andere factoren zoals de eigen mensen en de interne processen. Zijn medewerkers bijvoorbeeld wel digitaal vaardig genoeg om phishing mails te herkennen? En is er ook een crisiscommunicatieplan aanwezig voor het geval een datalek optreedt? Natuurlijk is het wel oppassen dat ook deze aanpak niet teveel gebaseerd is op puur theoretische risico’s. Het is daarom belangrijk om naar praktijkgevallen als die van Jeugdzorg te kijken met de eigen organisatie in het achterhoofd: had ons dit ook kunnen gebeuren? Een goede methode om daarbij te hanteren is de BREACH-methode, wat staat voor Breach Reverse Engineering And Cyber Healing.

Breach De eerste stap van het BREACH-model draait om de aanval zelf en de gevolgen daarvan. Wat voor incident is er voorgevallen? Om wat voor soort aanval ging het en wat was de schade? En wat zouden de gevolgen van een dergelijke aanval zijn voor onze organisatie? Welke gegevens kan iemand die toegang heeft tot onze oude domeinnamen bijvoorbeeld buitmaken? iedere organisatie had kunnen gebeuren die alléén op het ISO31000-framework vertrouwt. Traditionele kwetsbaarheden­ analyses zijn namelijk vaak gebaseerd op brainstormmethodes of lijsten met mogelijke en bekende dreigingen. Dat komt erop neer dat ze uitgaan van de kennis en ervaring van de opstellers en dat de lijsten vaak gedateerd zijn. Bij Jeugdzorg hadden die maatregelen niets uitgehaald, aangezien in geen enkele lijst opgenomen is dat het opzeggen van een domeinnaam zou kunnen leiden tot misbruik.

Had ons dit kunnen gebeuren? Organisaties moeten mogelijke dreigingen daarom meer benaderen

Reverse engineering Na het definiëren van het incident zelf en het in kaart brengen van de gevolgen, is het zaak om na te gaan hoe de aanval precies heeft plaatsgevonden. Reverse engineering is een methode om in kaart te brengen wat er precies is misgegaan en hoe de aanvallers in hun opzet geslaagd zijn. Een goed model om daarbij te hanteren is de Cyber Kill Chain, die de verschillende fases van een aanval beschrijft: • het identificeren van het doel en het voorbereiden van de operatie • de opstart van de aanval en het daadwerkelijk toegang krijgen tot de systemen van het slachtoffer

• het vinden en onttrekken van de juiste informatie • het terugtrekken zodat de aanvaller niet meer opgemerkt kan worden Door bij een aanval de stappen van de aanvallers na te lopen, is het mogelijk om na te gaan bij welke stap een bedrijf had kunnen ingrijpen om het incident te voorkomen. En welke stappen er dus nodig zijn om zo’n incident te voorkomen. Als Jeugdzorg haar oude domeinnaam niet had opgezegd, had de organisatie bijvoorbeeld kunnen voorkomen dat ze werd geïdentificeerd door een aanvaller. De organisatie had bovendien kunnen opmerken dat haar oude domeinnaam door derden werd geregistreerd, en onmiddellijk medewerkers en partners kunnen waarschuwen om de schade te beperken.

Cyber Healing Bij de laatste fase van het BREACHmodel gaat het om het vergelijken van de praktijklessen met de eigen situatie en het daadwerkelijk dichten van de gaten. Bedrijven die het model op de Jeugdzorg-case loslaten, kunnen bijvoorbeeld een beleid instellen om oude domeinnamen niet meer op te zeggen maar gewoon aan te houden. Of om op z’n minst medewerkers en partners te waarschuwen de oude adressen niet meer te gebruiken. Overigens is het belangrijk om bij het toepassen van de BREACH-methode te blijven realiseren dat risicomanagement niet alleen de verantwoordelijkheid is van IT-security. Andere afdelingen zoals HR en communicatie spelen een net zo belangrijke rol. Bijvoorbeeld met betrekking tot het opleiden van werknemers. Of het informeren van betrokkenen op het moment dat een incident zich voordoet. Risicomanagement is kortom een proces waar het hele bedrijf verantwoordelijk voor is. JOHAN VAN MIDDELKOOP is senior security consultant bij Traxion

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 27

ONDERZOEK

Mac-malware en webapplicatie-exploits winnen aan populariteit

WatchGuard ziet

enorme toename aantal malware-aanvallen De dreiging van malware groeit, zo blijkt uit de nieuwste editie van het Internet Security Report van WatchGuard Technologies. De securityspecialist detecteerde in het eerste kwartaal van 2019 maar liefst 62 procent meer malware dan in het kwartaal daarvoor. Cybercriminelen maken gebruik van een breed scala aan aanvalstechnieken, waaronder schadelijke Office-documenten, Mac-malware en webapplicatie-exploits. 28 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

implementeren, zodat kwaadwillenden geen toegang krijgen tot legitieme gebruikersaccounts. “Deze conclusies illustreren het belang van gelaagde securityvoorzieningen in het huidige dreigingslandschap”, zegt Corey Nachreiner, chief technology officer bij WatchGuard Technologies.

Het Internet Security Report geeft organisaties inzicht in het huidige dreigingslandschap. WatchGuard reikt hiermee threat intelligence, onderzoeks­ uitkomsten en best practices aan die bescherming bieden tegen cybercrimi­ naliteit. Dit zijn de belangrijkste conclusies in het rapport over Q1 2019:

voorkwam 5.192.883 pogingen om gevaarlijke websites te bezoeken. Het ging ruim een half miljoen keer om domeinen waarop malware gehost wordt, 187.101 keer om gehackte domeinen en 61.096 keer om bekende phishingsites. Gehackte websites zijn soms moeilijk te identificeren en

Malware voor Mac OS in opkomst Mac-malware dook in het derde kwartaal van 2018 voor het eerst op in de malware-top 10 van WatchGuard. Nu staan er zelfs twee malwarevarianten voor Mac OS in de lijst. De groei in Mac-gebaseerde malware ontkracht de misvatting dat Macs immuun zijn voor malware - en onderstreept het belang van geavanceerde beveiliging op alle apparaten en systemen.

‘Hoewel het aantal netwerkaanvallen is gedaald, zag WatchGuard een forse toename in webapplicatie-exploits’

Webapplicatie-exploits maken opmars Hoewel het aantal netwerkaanvallen is gedaald, zag WatchGuard een forse toename in web-applicatie-exploits. De intrusion prevention system (IPS)-dienst van het bedrijf hield vele aanvallen tegen waarbij gebruik werd gemaakt van cross-site scripting (XSS)- en SQLinjection (SQLi)-kwetsbaarheden. Dit zijn beide populaire methoden voor diefstal van inloggegevens. Twee SQLi-aanvallen haalden de top 10 met netwerk­aanvallen. Ook was een webXSS-aanval goed voor meer dan tien procent van de netwerkaanvallen in deze top 10. Schadelijke Office-documenten blijven populair Meer dan 17 procent van de Fireboxes detecteerde in Q1 van 2019 gevaarlijke Office-documenten. Twee dreigingen in deze categorie staan in de lijst met meest voorkomende malware, en één in de top 10 malware-aanvallen met het grootste volume. Ruim de helft van deze schadelijke documenten werd geblokkeerd in de EMEA-regio, voornamelijk in Oost-Europese landen. Gebruikers kunnen beter niets doen met ongevraagde Office-documenten en moeten elke bijlage die macro’s probeert te activeren als een bedreiging zien. DNS-filtering blokkeert meer dan vijf miljoen schadelijke websites De DNSWatch-dienst van WatchGuard

blokkeren. DNS-filtering is dus cruciaal om te voorkomen dat gebruikers ongemerkt slachtoffer worden van malwarebesmettingen, diefstal van inloggegevens of botnet-command-andcontrolsystemen. Fileless malware eist zijn plaats op Fileless dreigingen veroverden een plek in zowel de malware-top 10 als de top 10 met netwerkaanvallen van WatchGuard. Een PowerShellgebaseerde code-injectieaanval staat in Q1 voor het eerst in de malware-top 10, terwijl de populaire fileless backdoortool Meterpreter zijn debuut maakte in de top 10 met netwerkaanvallen. Duidelijk is dat cybercriminelen zich steeds meer focussen op deze ‘ontwijkende’ dreigingscategorie. Mimikatz-malware groeit met 73 procent en blijft nummer 1 dreiging 6,4 procent van alle gedetecteerde malware in Q1 maakt gebruik van Mimikatz. Deze populaire opensource­ tool wordt vaak ingezet voor het stelen van wachtwoorden en speelt bij veel netwerkinfiltraties een sleutelrol. Mimikatz is een vaste waarde in de malware top-10 van WatchGuard. Dat toont wel aan hoe belangrijk het gebruik van unieke, lange en complexe wachtwoorden is. Elke organisatie zou moeten overwegen om oplossingen voor multifactorauthenticatie te

“Cybercriminelen passen allerlei geavanceerde aanvalsmethoden toe. De beste manier voor organisaties om zich hiertegen te wapenen, is een overkoepelend securityplatform met een compleet pakket aan securitydiensten: van DNS-filtering en intrusion prevention systems tot multifactorauthenticatie.”

51% attack Het volledige rapport beschrijft de securitytrends met de grootste impact in het eerste kwartaal van 2019. Ook bevat het een gedetailleerde analyse van de beroemde ‘51% attack’ op de crypto­ currency Ethereum Classic (ETC) en securityadviezen waarmee lezers zichzelf en hun organisatie beter kunnen beschermen.

Gebaseerd op Firebox-data De uitkomsten zijn gebaseerd op geanonimiseerde Firebox Feed-data van actieve WatchGuard UTM-appliances. De eigenaren van deze apparaten hebben ervoor gekozen data voor onderzoeksdoeleinden te delen met het Threat Lab. Ruim 42.000 appliances wereldwijd dragen op deze manier bij aan het Internet Security Report. Deze blokkeerden bij elkaar meer dan 23 miljoen malwarevarianten. Ook hielden de Firebox-appliances bijna 1 miljoen netwerkaanvallen tegen. VAN DE REDACTIE

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 29

NIEUWS

Barracuda breidt SD-WAN-aanbod uit met analyticsplatform Barracuda lanceert Firewall Insights, een analytics-platform dat automatisch beveiligings-, applicatie- en connecti­ viteitsdata uit Barracuda’s CloudGen Firewalls haalt om gebruikers concrete inzichten te geven over hun netwerk.

De software analyseert alle firewalls - zowel hardware, virtuele of firewalls in de cloud - in het Wide Area Network. Gebruikers krijgen vervolgens onder meer informatie over de dynamische beschikbaarheid van SD-WANverbindingen, transportdata, security en details over web- en netwerkverkeer.

Veiligheid Om de veiligheid en connectiviteit van een organisatie te garanderen, moeten IT-professionals continu de effectiviteit van hun security-maatregelen en de prestaties van het WAN meten. Data-analyse speelt hierbij een grote rol. Echter door de enorme hoeveelheid data die in meerdere formaten bestaat en uit verschillende bronnen komt, is dit een tijdrovend handmatig proces.

Inzicht bieden Barracuda Firewall Insights biedt soelaas dankzij doorgedreven automatisatie, het genereren van inzichten en rapportering: • Automatisering - met Barracuda Firewall Insights kunnen klanten de data die worden gegenereerd door alle Barracuda CloudGen firewalls automatisch op basis van een schema verzamelen, consolideren en analyseren • Concrete, bruikbare inzichten in het hele netwerk - waaronder informatie over de dynamische beschikbaarheid van SD-WANverbindingen, transportdata, security en details over web- en netwerkverkeer • Rapporten op maat - alle rapporten zijn naar wens aan te passen en kunnen de data van alle of slechts een deel van de firewalls bevatten VAN DE REDACTIE 30 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

ONDERZOEK

Jonge familieleden onder druk door techhulpvraag van 55-plussers 39% van de 55-plussers kunnen dagelijkse technologische uitdagingen niet meer de baas zonder hulp van hun kinderen. Iets minder dan de helft (47%) van de millennials voelt zich verplicht om technische hulp te bieden aan hun oudere familieleden. Tegelijkertijd gaat 15% van de jongere generatie de hulpvraag bewust uit de weg omdat dit hun drukke leven van carrière maken en kinderen opvoeden flink in de weg zit. Dat blijkt uit een internationaal onderzoek van Kaspersky onder 11.000 burgers. ‘Kun je even zorgen dat internet het weer doet?’ Of: ‘Kun je laten zien hoe ik iets in de cloud kan zetten? Of: ‘Hoe kan ik mijn internetbankieren-app beveiligen?’ Het zijn allemaal vragen die veelal wanhopige en slecht ingelichte vaders en moeders, opa’s en oma’s voortdurend stellen aan hun kinderen of andere jongere familieleden. 60% van de 55-plussers geeft toe dat ze geen technische kennis hebben. Uit het Kaspersky-onderzoek blijkt ook dat 43% van de oudere generatie met hun kinderen of andere jongere familieleden belt voor hulp. Als kinderen niet in de buurt zijn, mist maar liefst 8% hun technische ondersteuning méér dan hun gezelschap.

Afhankelijkheid De onderzoeksresultaten tonen verder aan dat overmatige afhankelijkheid van millennials bij technische hulp invloed heeft op familierelaties. Zo koopt 29% van de millennials heel bewust geen digitale producten voor hun ouders. Daarmee willen ze voorkomen dat ze zelf worden opgezadeld met de installatie en andere beslommeringen van hun eigen geschenk. “Niet iedereen is opgegroeid met technologie. Daarom is het niet vreemd dat de oudere generatie er anders in zit dan de millennials. Onze missie is dat iedereen moet kunnen profiteren van de heden­ daagse en toekomstige mogelijkheden van technologie in het dagelijks leven. Wij doen er dan ook alles aan om bij te dragen aan benodigde kennis onder ouderen. Dat geeft hen ook meer vertrouwen in ons digitale tijdperk”, verklaart Martijn van Lom, General Manager Noord-Europa bij Kaspersky.

Latere leeftijd “De huidige oudere generatie wordt op latere leeftijd in een rap tempo overweldigd door alle technologische veranderingen. Of dat nu in de auto is, op hun werkplek of in de sociale omgeving. Wij moeten waken voor een digitale kloof en hen beter op weg

helpen zodat zij ook zonder hulp van millennials hun weg in het digitale tijdperk weten te vinden”, voegt psychotherapeut Kathleen Saxton toe. Kaspersky stelt een bijdrage te willen leveren aan het doorbreken van de toenemende hulpvraag aan ouderen. Daarvoor heeft het cybersecuritybedrijf ‘Can-you-just’ geheten handleidingen gemaakt voor de oudere generatie. VAN DE REDACTIE INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 31

ONDERZOEK

72% van Nederlanders gelooft:

Overheid loopt qua

innovatie achter op criminelen

Het merendeel van de Nederlandse burgers (72%) vindt criminelen innovatiever dan de overheid. Dit blijkt uit een enquête van Capgemini en Ipsos onder 1.000 Nederlanders. De resultaten van dit onderzoek zijn gepubliceerd in het rapport Trends in Veiligheid 2019, samen met diepgaande visie-artikelen over veiligheid in het publieke domein.

Erik Staffeleu, Head of People & Organization bij Capgemini Invent: “Deze cijfers impliceren dat de overheid een inhaalslag moet maken. Deels in de beeldvorming, maar toch ook in de praktijk. Het is duidelijk dat voor veel veiligheidspartners enkel koers houden de snelste weg is naar het verliezen van de strijd tegen onveiligheid. Het veiligheids­ domein kan een groot verschil maken als er nu op de juiste manier ingezet wordt op innovatie.”

Andere resultaten Het rapport benoemt de belangrijkste trends in het publieke veiligheidsdomein. Met een combinatie van onderzoek onder de Nederlandse bevolking en visie-­ artikelen, wil Capgemini bijdragen aan de discussie omtrent (digitale) veiligheid. Enkele andere resultaten uit het onderzoek: • 88% van de burgers beschouwt nepnieuws als een bedreiging voor zichzelf danwel de samenleving. Daarnaast zegt 40% minder goed onderscheid te kunnen maken tussen feiten en nepnieuws dan 5 jaar geleden. 32 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

• Kunstmatige intelligentie biedt meerdere mogelijkheden voor digitale opsporing; echter, de samenleving is verdeeld over het gebruik van deze technologie. Zo geeft het gebruik van AI voor opsporing 21% van de burgers een veilig gevoel en 36% een onveilig gevoel. Erik Staffeleu geeft een verklaring voor de hoge snelheid waarin criminelen innoveren: “Zeker in het cybersecurity­domein zien we dat kwaadwillenden - of dat nu statelijke actoren zijn of sensatiezoekende scriptkiddies - vindingrijk en creatief zijn. Daarbij komt dat de middelen die benodigd zijn om aanzien­ lijke schade te berokkenen steeds toegankelijker en goedkoper worden. Tot slot: deze kwaadwillenden hebben vaak alle tijd, hetgeen een randvoorwaarde is die de verdedigende partij vaak niet heeft. Kortom: vele ingrediënten voor succesvolle innovatie zijn rijkelijk aanwezig aan de kant van kwaadwillenden.” VAN DE REDACTIE

SAVE THE DA TE

®

Gratis inschri jven va na 2 septe mber 2 f 019

30 & 31 OKT 2019 JAARBEURS UTRECHT

WWW.INFOSECURITY.NL WWW.DNCEXPO.NL THEMA: ARTIFICIAL INTELLIGENCE

In samenwerking met:

Hoofdmediapartner:

RISK ANALYTICS

Risk Analytics helpt

fraude met nieuwe accounts tegengaan OneSpan, een aanbieder van software voor het beveiligen van identiteiten, elektronische handtekeningen en transacties, heeft Risk Analytics gelanceerd. Het gaat hier om een API die financiële instellingen kan helpen in de strijd tegen fraude, zoals account takeover en fraude met nieuwe accounts.

Account takeover en fraude met nieuwe accounts (new account fraud) zijn de twee belangrijkste types van bedrog voor financiële instellingen. In 2017 was er alleen al in de Verenigde Staten voor 16,8 miljard dollar verlies door identiteitsfraude. Risk Analytics beschermt tegen deze en andere frauduleuze praktijken in het online en mobiele kanaal. Dat gebeurt met de hulp van machine learning. Deze technologie herkent fraude in realtime, voorspelt het risiconiveau en neemt onmiddellijk actie als er oplichting gedetecteerd wordt. Machine learning maakt risk scoring mogelijk om zo processen te stroomlijnen, kosten van het manuele controleproces te reduceren, en uiteindelijk de klantvriendelijkheid te verhogen door minder foutpositieven.

Hand over hand “Criminele aanvallen op digitale kanalen nemen hand over hand toe, dus financiële instellingen staan onder steeds grotere competitieve druk om fraude te voorkomen en te beantwoorden aan een strikte regelgeving, terwijl hun business moet blijven groeien”, zegt Julie Conroy, Research Director voor Retail Banking and Payments van onderzoeksbureau Aite Group. “Dankzij fraudedetectie in realtime met geavanceerde risicoanalyse op basis van machine learning, kunnen financiële instellingen hun veiligheid versterken, fraude tegengaan en voldoen aan de 34 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

wettelijke bepalingen.” Tijdens een financiële transactie verzamelt Risk Analytics data. Deze data wordt vervolgens geanalyseerd op basis van een aantal bronnen, zoals devices, het gedrag van de gebruiker, transacties, digitale kanalen en bedrijfs­ applicaties. De oplossing kent dan een score toe aan de gebruiker, het toestel en de transactiegegevens, en bepaalt het risico gelinkt aan die transactie. Risk Analytics kan meteen actie ondernemen en de transactie toelaten. Maar kan deze ook nader bekijken of blokkeren. Dat gebeurt op basis van een intelligente workflow waarin de richtlijnen, regels en bepalingen van de bank verwerkt zijn.

Bedreigingen veranderen voortdurend “Waarheen het geld en de data ook stromen, de fraude volgt altijd”, zegt Scott Clements, CEO van OneSpan. “Fraude stoppen wordt steeds moeilijker, omdat de bedreigingen voortdurend veranderen. Voor financiële instellingen is het van cruciaal belang dat ze proactief maatregelen nemen. Een gelaagde beveiligingsaanpak die de frauduleuze transacties monitort, detecteert en blokkeert voor ze plaatsvinden, verzekert de best mogelijke ervaring voor de gebruiker.” VAN DE REDACTIE

NIEUWS

CodeMeter Certificate Vault vereenvoudigt uitgifte van beveiligingscertificaten Wibu-Systems gaat het gebruik van beveiligingscertificaten veranderen met de introductie van CodeMeter Certificate Vault. Dit beheersysteem voor certificaten voorziet in PKCS#11 compatibele tokens, die interacteren met Cryptographic API Next Generation (CNG) van Microsoft en OpenSSL. Voor de gebruikers daarvan wordt het makkelijker om de beveiligingsidentiteiten te registeren, digitale handtekeningen vast te leggen, of e-mail dan wel VPN-dataverkeer te voorzien van sterke authenticatiemechanismen.

Harde regel Voor het verkrijgen van certificaten geldt een harde regel: de gebruiker maakt eerst een paar sleutels aan met een publieke en een private sleutel. De private sleutel, waarmee de aanvraag voor het certificaat is ingediend, wordt direct veilig opgeslagen. De aanvraag ondergaat een controle­ procedure bij een certificerende autoriteit, die de nieuwe certificaten produceert en ondertekent voor de gebruikers. Die laden deze vervolgens terug in hun certificaten opslagvoorziening.

Aanmaakproces Bij het nieuwe CodeMeter Certificate Vault veran­ dert het uitgifteproces fundamenteel. Het gehele aanmaakproces van certificaten blijft bij de certificerende autoriteit, die zowel intern bij een organisatie kan zijn ondergebracht of bestaat uit een externe, onafhankelijke instelling. Het aanmaken van certificaten per paar is versimpeld. Het uiteindelijke getekende certificaat wordt - samen met de private

aanvraagsleutel - gebundeld verpakt in een speciaal beveiligd bestand. De gebruiker van het certificaat ontvangt dit bestand en laadt deze op een dongle. Zij hoeven zelf niet langer cryptografische sleutels aan te maken en te bewaren voor elk certificaat dat ze uitgeven. Het uitgeefproces wordt net zo eenduidig als het verstrekken van wachtwoorden of licenties.

Binnenhalen CodeMeter Certificate Vault maakt voor het binnen­ halen van sleutels en bijbehorende certificaten gebruik van WibuCmRaU. Deze technologie, onderdeel van het licentiebeheersysteem CodeMeter LicenCentral, plaatst de certificaten in een update bestand, met een unieke ’key’, versleuteld met een unieke encryptie-sleutel voor de softwarecontainer van de betreffende gebruiker. Versie 1.0 van het nieuwe systeem werkt met de meest veilige softwarelicentiecontainer die er bestaat: een CmDongle met een geïntegreerde smart card chip. In deze volkomen veilige omgeving wordt het bestand ontsleuteld en is het verstrekte certificaat gereed voor gebruik. De gebruiker kan de gehele operatie met een gerust hart overlaten aan diens certificerende autoriteit, die het creatieproces zelf kan automatiseren in een bestaande uitgifte­ procedure via het SOAP-protocol.

Ruggengraat Volgens Marco Blume, Product en R&D Manager Embedded bij Wibu-Systems, vormen certificaten de ruggengraat van de beveiliging binnen de digitale wereld, maar verhinderde tot nu toe het gebrek aan een eenvoudige aanmaakprocedure het universele gebruik ervan. ”CodeMeter Certificate Vault zorgt ervoor, dat het aanmaken en verstrekken van certificaten net zo eenvoudig is als het verstrekken van licenties via het CodeMeter licentiebeheer­ systeem.” VAN DE REDACTIE INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 35

STRATEGIE

Omgaan met cyberaanvallen:

Best practices voor CISO’s Nederlandse organisaties zijn uiterst kwetsbaar voor digitale aanvallen, waarschuwde de Nationaal Coördinator Terrorismebestrijding en Veiligheid recent in het Cybersecurity Beeld Nederland. Hoe gaan Chief Information Security Officers met de nieuwe cyberrisico’s om en wat kunnen anderen daarvan leren? Paul Oor, Chief Security Officer van Conclusion, en Jan Willem Schoemaker, CISO bij het Erasmus MC, vertellen over de ontwikkelingen, uitdagingen en best practices.

“De Chief Information Security Officer (CISO) is verantwoordelijk voor het gehele proces van informatiebeveiliging en beheert daarvoor het Information Security Management System. Daarmee speelt de CISO een sleutelrol in het omgaan met cyberrisico’s en de manifestatie van digitale dreigingen”, zegt Jan Willem Schoemaker, CISO en Business Continuity Manager bij het Erasmus MC,

36 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

over de betrokkenheid van CISO’s bij de omgang met cyberrisico’s. Het Cybersecurity Beeld Nederland (CSBN), waarvan de Nationaal Coördinator Terrorisme­bestrijding en Veiligheid (NCTV) recent de nieuwe editie presenteerde, maakt een onderscheid tussen risico’s, die verwijzen naar de kans dat een incident plaatsvindt, en de daadwerkelijke manifestatie daarvan.

“De rol van de CISO is om het hele proces van digitale weerbaarheid in kaart te brengen en de maatregelen te organiseren om de organisatie voor te bereiden op risico’s en incidenten”, vindt Schoemaker. “De CISO is nadrukkelijk niet degene die maatregelen in de praktijk invoert, maar houdt het overzicht over het hele proces van risicomanagement. Het gaat dan om het samenstellen van een gebalanceerde mix van maatregelen om risico’s te beperken, maar bijvoorbeeld ook om de voorbereiding op cyberaanvallen en de borging van de bedrijfscontinuïteit tijdens incidenten.” Bij grote incidenten kan de CISO ook een rol spelen in het crisismanagement en het advies daarover aan de directie.

Prioriteren “CISO’s zijn zich terdege bewust van de risico’s van cyberaanvallen. De uitdaging is om de organisatie ervan te overtuigen om prioriteit te geven aan de risico’s”, zegt Paul Oor, Chief Security Officer bij Conclusion, dat de expertise van 25 Nederlandse ondernemingen bundelt die actief zijn op verschillende terreinen van IT-dienstverlening. “De verhalen in de media over spionage door China en Rusland zorgen voor meer bewust­ wording van de problematiek”, denkt Oor. “Maar we beseffen niet altijd hoe groot onze afhankelijkheid van ICT is geworden. Denk alleen al aan wat er zou gebeuren als kwaadwillenden de stoplichten in een stad uitzetten of de stroomvoorziening van een ziekenhuis uitschakelen.” Volgens het CSBN 2019 ligt zelfs ontwrichting van de Nederlandse samenleving op de loer. “Een incident in een netwerk kan leiden tot een keten van incidenten en uiteindelijk uitval van bijvoorbeeld gas, water of elektra. Door het bijna volledig verdwijnen van analoge alternatieven en de afwezigheid van terugvalopties is de afhankelijkheid zo groot geworden, dat aantasting kan leiden tot maatschappij ontwrichtende schade”, aldus het rapport.

Awareness op managementniveau De NCTV is niet de enige die waarschuwt voor cyberrisico’s. Volgens recent onderzoek van KnowBe4 is bijna een derde van de organisaties vatbaar voor phishing. Ruim de helft van de directeuren die deelnamen aan

‘De CISO is nadrukkelijk niet degene die maatregelen in de praktijk invoert’

onderzoek van het internationale advocatenkantoor Allen & Overy en het consultancybureau Willis Towers Watson, zeiden in 2018 een cyber­ incident te hebben meegemaakt. In 2017 was dit minder dan een derde. De verwachting van de onderzoekers is dat deze dreiging alleen nog maar toeneemt. Een beroep op fear, uncertainty & doubt is niet altijd de beste manier om de awareness van securityrisico’s aan te vliegen, zegt Oor, die eerder onder andere werkte als Chief Security Officer bij Atos. “Maar CISO’s hebben wel de verantwoordelijkheid om te vertellen welke reële risico’s er zijn. Bovendien kunnen CISO’s hun collega’s erop wijzen dat het van essentieel belang is dat de organisatie zorgvuldig met data, persoonsgegevens en andere assets omgaat - en dat preventie zeker niet kansloos is. Ze hebben ook een voorbeeldrol om respect te creëren voor de mensen die zich dagelijks inzetten om de organisatie en informatie veilig te houden.” In de driedaagse praktijkcursus CISO als strategische business partner van IIR komen al deze issues aan bod. “Het is belangrijk dat CISO’s op managementniveau aangeven welke risico’s er spelen, wat eraan gedaan wordt en wat de organisatie verder nog kan ondernemen”, vult Schoemaker aan. Publicaties zoals het CSBN helpen volgens Schoemaker, die naast CISO ook gastdocent is van de praktijkcursus Security voor privacy professionals en in november spreekt tijdens het Dataprotectie & Privacy Congres in Utrecht, om het management te informeren over de trends, risico’s en lessen van andere organisaties.

Oplossingen voor digitale weerbaarheid Een grote uitdaging voor CISO’s is om

naast het versterken van awareness ook oplossingen aan te dragen die de digitale weerbaarheid van de organisatie vergroten. Oor: “Dat betekent vooral dat security goed in de organisatie wordt ingebed. Securitymanagement moet voortdurend op de agenda staan, óók als dat voor de organisatie soms lastig is en de aanpak niet erg sexy klinkt.” Een gestructureerde risico-aanpak is essentieel, zegt ook Schoemaker. “Identificeren, beschermen, detecteren, reageren en herstellen zijn hiervan de basisonderdelen. Normenkaders voor cybersecurity, zoals van het NIST, helpen ook om gestructureerd aan de slag te gaan.” Tijdens de zesdaagse opleiding Informatiebeveiliging van IIR vertellen experts onder leiding van hoofddocent Brenno de Winter over alle relevante technische, organisatorische en juridische fundamentals. Voor een groot deel berust de voorbereiding op cyberaanvallen op routinematige activiteiten, zoals continue updates, scans op kwetsbaarheden en PEN-tests, aldus Oor. “Dat lijkt misschien saai, maar moet wel gebeuren. Automatisering kan trouwens wel helpen om veelvoorkomende controles uit te voeren.” Schoemaker vult aan: “Je moet goed weten wat de kwetsbaarheden van de organisatie zijn. Naarmate we als organisaties afhankelijker zijn van digitale systemen, wordt het steeds moeilijker om een IT-middel na een cyberaanval compleet stil te leggen om te onderzoeken wat er is gebeurd.” “Know your enemy”, vat Schoemaker zijn advies samen. “Het worst case scenario is dat een organisatie zich niet bewust is dat er iets is misgegaan. De gemiddelde tijd die het organisaties kost om een hack of datalek te ontdekken,

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 37

Strategie Oefenen met preventie Oor adviseert CISO’s om te focussen op doelgroepspecifieke oplossingen. “Aan de hand van aansprekende voorbeelden kan voor specifieke doelgroepen worden aangegeven wat er kan misgaan, wat er moet worden gedaan om risico’s beheersbaar te maken en wat de beste manier is om op een incident te reageren.” Bij het Erasmus MC is hiervoor een Computer Emergency Response Team (CERT) ingesteld, die opleidingen, trainingen en oefeningen organiseert.

Jan Willem Schoemaker - CISO bij het Erasmus MC.

‘Als Chief Security Officer ondersteun ik de kennisuitwisseling tussen onze security officers’ ligt eerder in dagen of weken dan in minuten of uren. Actuele kennis over trends, technieken en modus operandi kan bijdragen aan een betere weer­ baarheid.” Zo hebben banken met succes actie ondernomen tegen

phishing, maar hebben daders de modus operandi hierop aangepast. Het CSBN 2019 signaleert dat phishing e-mails voor leken steeds moeilijker zijn te herkennen, waardoor detectie via software belangrijker wordt.

E-learning is nog altijd een veelgebruikte methode om basiskennis over security te creëren. Maar voor effectieve kennis­ ontwikkeling zijn doelgroepgerichte, eigentijdse leermethoden zoals gamification onmisbaar, zegt Oor. “In een simulatie kunnen mensen echt ervaren hoe preventie werkt. Daardoor blijven adviezen beter hangen en ontstaan vaak nieuwe ideeën en inzichten.”

Slimme samenwerking De CISO doet er goed aan om actief de samenwerking met collega’s op te zoeken, zegt Oor. Bijvoorbeeld met (andere) security officers en IT-ontwikkelaars. “Als Chief Security Officer ondersteun ik de kennis­ uitwisseling tussen onze security officers en let ik op de synergie en consistentie tussen de security policies en werk­ wijzen van de diverse ondernemingen.” Via oefeningen met blue teams en red teams kunnen verschillende profes­ sionals bovendien elk vanuit hun eigen perspectief en rol de kwetsbaarheden van systemen testen.

Toetsen Daarnaast liggen er mogelijkheden om met andere bedrijven, overheden en universiteiten samen te werken. Initiatieven zoals de Cybersecurity Raad (CSR), het Nationaal Cyber Security Centrum (NCSC) en het Digital Trust Center (DTC) maken zich sterk voor dergelijke samenwerking. Schoemaker: “De samenwerking met alle stakeholders helpt om nieuwe kennis op te doen én te toetsen hoe de digitale weerbaarheid van de organisatie ervoor staat.” VAN DE REDACTIE

Paul Oor - Chief Security Officer bij Conclusion.

38 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

ONDERZOEK

Tien miljoen voor onderzoek naar veilig IoT Apparaten die zijn verbonden met internet, zoals zelfrijdende auto’s en intelligente thermostaten, vormen een steeds grotere bedreiging voor onze privacy en veiligheid. Het beschermen hiertegen vereist een fundamentele aanpak die dringend nodig is. Een nationaal onderzoeksproject met ruim 45 partijen - universiteiten, bedrijven, maatschappelijke organisaties en overheid - geleid door TU Eindhoven gaat de komende jaren onderzoek doen naar deze aanpak, door technisch onderzoek te combineren met juridische en criminologische benaderingen. Het project wordt voor bijna tien miljoen euro gesubsidieerd door NWO in het kader van de Nationale Wetenschapsagenda. Van een internet dat puur bestaat uit met elkaar verbonden computers ontstaat in sneltreinvaart een internet waaraan apparaten verbonden zijn, zoals auto’s, boeken of koelkasten, maar ook sensoren, slimme huissystemen en complete energiecentrales. Dit Internet of Things bevat naar verwachting in 2030 wereldwijd 75 miljard gekoppelde apparaten. Gegeven het feit dat er weinig controle is op de ontwikkeling ervan, brengt de omvang van de technologie een groot veiligheidsrisico met zich mee.

Keerpunt Volgens Sandro Etalle, hoogleraar cybersecurity aan de TU Eindhoven, zijn we op een keerpunt in de geschiedenis aanbeland. “Als we nu niets doen lopen we het risico overrompeld te worden door een technologie die we niet overzien of controleren en onze privacy en cyberveiligheid geheel ondermijnt.” Als oplossing voldoen huidige ad hoc veiligheids­ methodes als virusscanners of firewalls niet meer, aldus Etalle. “Een systematische aanpak is nodig, met bijvoorbeeld regels voor het ontwerp en beheer van IoT-systemen, om grip te krijgen op dit probleem.” Etalle leidt het onderzoeksproject ‘An Internet of Secure Things - INTERSECT’ met ruim 45 aangesloten instellingen en bedrijven dat de eerste aanzet moet geven tot ‘een blauwdruk’ voor het ontwerp, beveiliging en beheer van IoT-systemen. Doordat in het project zowel universiteiten, overheid, bedrijfsleven en maatschappelijke organisaties bij elkaar komen kan de aanpak zowel technisch, als juridisch en criminologisch benaderd worden. Ook kan hierdoor een breed toepassingsgebied onderzocht worden, met bijvoorbeeld gezondheid, energie, mobiliteit en slimme steden.

Deelnemers Het project INTERSECT ontvangt bijna tien miljoen euro binnen het programma van de Nationale Wetenschapsagenda: Onderzoek op Routes door

Consortia (NWA-ORC). Behalve de TU/e zijn de volgende instellingen en bedrijven betrokken: • Universiteiten, onderzoeksinstellingen en hogescholen: Vrije Universiteit Amsterdam, Radboud Universiteit Nijmegen, Technische Universiteit Delft, Universiteit Twente, Tilburg University, Nederlands Studiecentrum Criminaliteit en Rechtshandhaving, Fontys Hogeschool, Hogeschool Leiden, Hogeschool van Amsterdam, TNO. • Overheid: Ministerie van Binnenlandse Zaken. • Organisaties: Consumentenbond, Stichting Internet Domeinregistratie Nederland (SDIN) • Bedrijven: BDO Advisory, Brainport Development, Bosch Security Systems, Centric, Compumatica secure networks, Fourtress, ICT Automatisering, Océ-Technologies, Omron Europe, Oracle, Philips, Qbit Cyber Security, Secura, Siemens, Signify, Simac Techniek, SURFnet, Synopsys, Technolution, Verum Software Tools.

Wetenschapsagenda De Nationale Wetenschapsagenda (NWA) is bedoeld om urgente maatschappelijke problemen op te lossen door wetenschappers, bedrijven en maatschappelijke organisaties bij elkaar te brengen. De onderwerpen zijn aangedragen door de Nederlandse bevolking. Gezamenlijk ontvangen de 17 NWA-projecten dit jaar 61 miljoen euro. VAN DE REDACTIE INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 39

STRATEGIE

‘Risk-based cybersecurity bespaart

tijd en geld’

‘Risk-based security’ is een term die steeds vaker wordt gebruikt. Maar even zo vaak wordt er niet duidelijk uitgelegd wat een risk-based aanpak van cybersecurity nu precies inhoudt. Zonder deze kennis is het slechts een buzzword en komen de voordelen van deze aanpak niet goed tot uiting.

40 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

Een risk-based cybersecurity-aanpak betekent dat bedrijven bij het maken van security-beslissingen risico als belangrijkste factor beschouwen. Een risk-based aanpak wordt vaak neergezet als het tegenovergestelde van een compliance-gedreven aanpak. Riskbased security-teams richten zich vooral op het verminderen van de daadwerke­ lijke blootstelling aan cyberaanvallen en datalekken. En zijn niet zozeer bezig met afvinklijsten en het behalen van audits - hoewel dit belangrijk blijft. Een aanpak die gebaseerd is op risico’s is proactief. In plaats van zich te richten op incident response, investeert een CIO nu vooral veel in testen, threat intelligence en preventie. Tevens is deze aanpak realistischer. Het doel is namelijk om risico’s te reduceren, niet om 100% security te realiseren. Dit houdt in dat CIO’s, CISO’s en directieleden pragmatisch kunnen beslissen over budget en resources. Bij 100% security worden er geen kosten bespaard, ook niet wanneer investeringen minder opleveren. Een security-programma dat uitgaat van een risk-based aanpak kent een aantal onderscheidende elementen.

Continue monitoring Deze aanpak draait om gedegen kennis van risico’s. Risico inschatting moet worden gebaseerd op feiten in plaats van meningen, trends en krantenkoppen. En daarbij komt: in de wereld van IT-security moet data ook actueel zijn. Continue monitoring is hierbij essentieel. Blinde vlekken zijn funest binnen deze aanpak, dus moeten kwetsbaarheids­ beoordelingen en penetratietesten, die normaal twee keer per jaar plaatsvinden, worden aangevuld met andere soorten beoordelingen. Security-ratings zijn een populaire optie voor het continu monitoren van beveiligingsrisico’s. Ratings bieden inzicht in gecompromitteerde systemen, configuratie-processen, gebruikers­ gedrag en andere factoren die bijdragen aan risico’s. Deze inzichten worden gebundeld in beoordelingen voor individuele risico-vectoren en uiteindelijk samengevat in één cijfer dat dagelijks wordt geüpdatet.

‘Een risk-based cybersecurity-aanpak betekent dat bedrijven bij het maken van securitybeslissingen risico als belangrijkste factor beschouwen’

Prioriteren Risk-based cybersecurity bevat een systeem dat security-behoeften prioriteert op basis van hun blootstelling aan risico’s. Effectieve prioritering bestaat uit twee zaken: kennis van de dreiging en kennis van het target. Dat betekent dat de IT-professional altijd op de hoogte moet zijn van de nieuwste en belangrijkste cyberdreigingen voor zijn organisatie, sector en regio. Daarnaast moet hij weten welke systemen en data kwetsbaar zijn voor deze dreigingen.

prestaties van hun concurrenten, van bovengemiddeld presterende organisaties in hun sector en de algemene stand van zaken in de sector. Deze manier van cybersecurity bench­ marking geeft security-professionals de benodigde context om te bepalen hoe zij ervoor staan. Daarnaast is het mogelijk om te kijken naar een specifieke organisatie, om zo een beeld te krijgen welke security-onderdelen de meeste aandacht krijgen.

Tijd en geld besparen Op basis van deze kennis kan een security-professional op elk moment bepalen welke projecten de meeste resources vereisen. Zo kan hij bijvoorbeeld met zekerheid zeggen dat het pauzeren van de implementatie van software voor geautomatiseerd incidentenbeheer ten behoeve van het updaten van gebruikersgegevens het risico op blootstelling van de organisatie verkleint. Prioriteren moet ook dynamisch zijn, en gebaseerd op korte cycli, in plaats van maandelijks of driemaandelijks. Daarom zijn tools voor continue monitoring, zoals security ratings, van groot belang voor het bepalen van prioriteiten.

Benchmarks Om cyberrisico’s echt te begrijpen, moet er niet alleen naar de eigen organisatie worden gekeken. Risico is relatief en kan alleen worden begrepen in de context van historische prestaties en de prestaties van collega’s, concurrenten en sectoren. Security ratings worden gebaseerd op openbare informatie. Dat houdt in dat elk bedrijf kan worden beoordeeld en dus niet alleen de eigen organisatie. Veel organisaties gebruiken security ratings om inzicht te krijgen in de security-

Vergeleken met compliance-gedreven organisaties bespaart een organisatie met een risk-based aanpak veel tijd en geld. Deze aanpak helpt een organisatie met het bepalen van de ROI op haar cybersecurity-projecten en zorgt ervoor dat er geen geld meer wordt uitgegeven aan tools en systemen die niets opleveren. Veel organisaties hebben miljoenen uitgegeven aan de beste software, om vervolgens te worden blootgesteld aan een dreiging door een gebruikersfout of een fout bij een third party. Een risk-based aanpak helpt een bedrijf om deze scenario’s te vermijden. Daarnaast vermindert deze risk-based aanpak de noodzaak voor dure securityconsultants en grootschalige assessments. Door tools te gebruiken die helpen bij prestatiebeheer, kan een organisatie vaardigheden ontwikkelen voor het prioriteren en beoordelen van haar eigen security-programma. Het belangrijkste is echter dat deze aanpak de kans op een datalek vermindert. Een datalek kostte in 2018 gemiddeld 3,86 miljoen dollar. Dit kan het verschil maken tussen overleven en een faillissement. LENNART PIKAART is Sales Director Benelux bij BitSight

INFOSECURITY MAGAZINE | NR. 3 | JULI 2019 | 41

EVENEMENT

Nieuw evenement voor industriële cybersecurity De branchevereniging voor industriële automatisering lanceert een nieuw evenement dat specifiek gericht is op cybersecurity-issues. De eerste editie van het Industrial Cyber Security event vindt plaats op 9 oktober 2019 in de evenementenlocatie van Veenendaal: de Basiliek. Tijdens het event informeren de deelnemers geïnteresseerde bezoekers over de uitdagingen en mogelijkheden op het gebied van cybersecurity in de industrie. eenvoudig zijn: maak het praktisch. Bezoekers willen gewoon zien hoe het werkt. Daarom begint iedere lezing van het Industrial Cyber Security event met een concrete vraag - of een probleemstelling - die beantwoord wordt in de lezing. Zo komen er praktische oplossingen voor echte problemen naar voren die waardevol zijn voor de bezoekers. Het lezingenprogramma is geënt op kennisuitwisseling en in de basis niet op commercie.

De vereniging ontvangt steeds vaker signalen uit de markt dat er behoefte is aan een praktische leidraad om cybersecurity op de kaart te zetten binnen de proces- en maakindustrie. Uit gesprekken met eindgebruikers kwam nog duidelijker naar voren dat er voor de industrie behoefte is aan een platform voor praktische kennisuitwisseling. Bovendien komen security-issues ook steeds vaker terug bij andere evenementen, zoals het Machinebouw event, Productie Proces Automatisering event en Industrial Ethernet event, waardoor een eigen titel gerecht­ vaardigd lijkt. De urgentie voor cybersecurity binnen de industrie blijkt ook wel uit de activiteiten die vanuit het overheidsplatform Digital Trust Center uitgezet worden. Diverse subsidieregelingen zouden een bredere impact moeten realiseren om onder­ nemers digitaal weerbaar te maken. Genoeg reden voor FHI om hier concreet werk van te maken. Na een geslaagde kick-off bijeenkomst is de datum en locatie vastgesteld. Na een eerste deelnemers­bijeenkomst ontstond er een sterk exposantenveld van twintig bedrijven - industriële toeleveranciers, dienstverleners en systeem integratoren - en een inhoudelijk kader voor het conferentieprogramma. In de deelnemersbijeenkomst kwam naar voren dat een kant-en-klare, bestaande matrix niet voldoende was om dit evenement thematisch in te richten. Het uitgangspunt van het programma moest heel 42 | JULI 2019 | NR. 3 | INFOSECURITY MAGAZINE

Enkele vragen die op het evenement aan bod komen: - Hoe beveilig ik verouderde systemen? - Welke mogelijkheden heb ik om de hardware te beveiligen? - Er wordt verbinding gemaakt met onbekende servers in verre landen. Hoezo? - Hoe bescherm ik mijn procesbesturing? - Hoe zorgen we dat IT de OT begrijpt en vice versa? - Welke maatregelen moet ik nemen om mijn infrastructuur maximaal te beveiligen? - Hoe kan een Security Operations Center (SOC) mij helpen bij OT-security? Mocht u deze en andere vragen allemaal beantwoord krijgen op de dag zelf en daarna het geheel juist geïmplementeerd hebben binnen uw omgeving, dan nog blijft de beveiliging van uw systemen een doorlopend proces. Het is te vergelijken met bijvoorbeeld een huis dat fysiek beveiligd is met sloten, alarmen en doorvermeldingen naar een meldkamer. Maar mocht iemand per se naar binnen willen, dan is dat alsnog vaak mogelijk. De laatste vraag die we dan ook graag beantwoord zouden willen zien is: wat gebeurt er als je gehackt bent? Hiervoor zijn we nog op zoek naar een eindgebruiker die deze case kan behandelen. Hopelijk mogen wij u hiermee verrassen tijdens het event. Houd de website van het event - www.fhi.nl/ industrialcybersecurity - in de gaten als u geïnteresseerd bent in een bezoek. In juli gaat de inschrijving open en kunnen bezoekers van industriële eindgebruikers zich kosteloos registreren.

WIRESHARK UNIVERSITY WIRESHARK TOOLS AND TRAINING Wireshark University Certified Training Partner SCOS Software Amsterdam/Hoofddorp offers these official Wireshark University courses as the European Wireshark University Certified Training Partner of Gerald Combs, the creator of Wireshark. With more than 1 million downloads of Wireshark per month from Wireshark.org it has become the de facto open source analysis tool.

TCP/IP Analysis and Troubleshooting with Wireshark 7 - 11 October 2019

This

course

is

designed

for

Networking,

Government and Security personnel that need to develop a set of packet investigation and network optimization techniques through study of the Networking Protocols using Wireshark and other Open-Source Analysis tools.

Advanced Network/Security 14 – 18 October 2019

Advanced

Network/Security

Analysis

with

Open Source Tools. This course is designed for Networking, and Security Engineers that need

WiFi Network

21 – 25 October 2019 WiFi / 802.11 Network Analysis and Security.

to further enhance their Network Analysis skills through study of Advanced Network Analysis using Wireshark and other Open-Source Network / Security Analysis tools.

This course is designed for Wireless Network Engineers and Ethernet Network engineers, desiring to add wireless capabilities to an existing network that possess a basic to intermediate general networking knowledge.

Course location: Amsterdam/Hoofddorp

MORE INFO: WWW.SCOS.TRAINING

TRUST IN GERMAN SICHERHEIT