Proactief beveiligen
Geschreven door:
Stephan Kapma
Lesboek
Colofon
Copyright
Niets uit deze uitgave mag worden verveelvoudigd en/of openbaar worden gemaakt door middel van druk, fotokopie, microfilm of op welke andere wijze dan ook zonder voorafgaande schriftelijke toestemming van de uitgever.
Samenstellers en uitgever zijn zich volledig bewust van hun taak een zo betrouwbaar mogelijke uitgave te verzorgen. Niettemin kunnen zij geen aansprakelijkheid aanvaarden op onjuistheden die eventueel in deze uitgave voorkomen.
De uitgever meent alle rechten van afbeeldingen te bezitten of daar afspraken over te hebben gemaakt. Indien rechthebbenden toch een opmerking hebben, kunnen zij zich tot de uitgever wenden.
ISBN 978-94-933-2631-6
© Smart Educational Tools
Adresgegevens
Smart Educational Tools, onderdeel van Stichting eX:plain
Disketteweg 6
Postbus 1230 3800 BE Amersfoort www.smarteducationaltools.nl
September, 2024
1
4.1 De stappen van Red Teaming 84
4.2 Interne en externe Red Teaming 87
De organisatie van de verdediging
H2 De organisatie van de verdediging
Inleiding
We hebben in het vorige hoofdstuk gekeken door de bril van de kwaadwillende, ook wel de aanvaller, de crimineel of de terrorist genoemd. Als een bedrijf niets regelt, loopt het grote risico’s. De dreiging van een aanval is eigenlijk altijd aanwezig. Een organisatie weet meestal niet van tevoren wie het op hen gemunt heeft en op welke specifiek onderdeel.
Leerdoelen:
Na het bestuderen van dit hoofdstuk kunt u:
ĥ Het begrip proactief beveiligen omschrijven
ĥ Het verschil uitleggen tussen een dreiging en een risico
ĥ Uitleggen hoe een dreigingsanalyse is opgebouwd
ĥ Het begrip amo omschrijven en benoemen welke type amo’s er zijn
ĥ De rol van een (deels) naïef persoon tijdens een criminele/ terroristische actie omschrijven
ĥ Het begrip kiss omschrijven
ĥ Factoren benoemen die duiden op een normale situatie (norm)
ĥ Verdachte indicatoren (vi’s) benoemen en weten hoe deze vi’s ontstaan
ĥ Uitleggen wat etnisch profileren inhoudt
ĥ Benoemen wat in een sop staat omschreven
2.1 De ‘te beschermen belangen’
Het bedrijf moet in beeld krijgen wat de te beschermen belangen (afgekort tbb) zijn. Met tbb wordt bedoeld datgeen dat het bedrijf belangrijk vindt te beschermen.
Voorbeeld:
Bij defensie spreekt men 4 soorten te beschermen zaken:
1. Informatie
2. Materieel
3. Goederen
4. Objecten
Het is dus belangrijk dat het bedrijf de operationele omgeving goed in kaart brengt, ofwel weet welke processen plaatsvinden. Een dergelijke te beschermen zaak kan van vitaal belang zijn voor een organisatie om voort te kunnen bestaan. Dus er moet ook door het bedrijf in kaart worden gebracht hoe belangrijk een te beschermen belang (tbb) is.
Denk maar aan de volgende zaken:
Bedrijfsmiddelen, zoals machines, pompen, betalingssysteem, besturingssysteem, internettoegang, informatiesystemen, datacentra, kantoorruimten, serverruimten, voorraad, opslag gevaarlijke stoffen, utilities (zoals gas, water, elektriciteit, telefoon), koeling, bluswater, wagenpark.
Bedrijfsprocessen, zoals het productieproces, inkoop, voorraadbeheer, verkoop, marketing, research en development, transport en distributie, personeelszorg, informatiebeheer, facturering.
Informatie, zoals procesautomatiseringsgegevens, configuratiegegevens, persoonsgegevens, ict-applicaties, klantrelatiesystemen, financiële informatie en relaties
Mensen, zoals (storings)monteurs, planners, directeuren, controllers, contractors, aandeelhouders, klanten, toeleveranciers, afnemers, bezoekers, buurtbewoners en bedrijfsvoerders/operators.
En de mogelijke aanvallen? Een paar voorbeelden:
ĥ Diefstal in allerlei variaties, zoals insluiping, inbraak, (roof)overval en ramkraak
ĥ Fraude, zoals bedrijfsfraude, witwassen, afpersing, chantage, omkoping en corruptie
ĥ Spionage
ĥ Cyberaanvallen
ĥ Geweld, zoals bedreiging en intimidatie, ernstige fysieke bedreiging, gijzeling, ontvoering, kaping, moord(aanslag)
ĥ Protestactie, zoals staking, bezetting en blokkades
ĥ Sabotage, zoals brandstichting, sabotage aan telecom, vernieling aan gebouwen, objecten en bedrijfsmiddelen.
ĥ Opblazen en beschieten, inclusief bombrieven, bomauto
Bron: navi
De gevolgen voor een bedrijf kunnen enorm zijn. Het bedrijf kan komen stil te liggen, failliet gaan, de goede naam van het bedrijf kan beschadigd worden (imagoschade), mensen kunnen werkloos worden, er grote financiële en materiële schade ontstaan, maar er kunnen ook doden en gewonden vallen.
Als een bedrijf wil overleven, moeten ze actie ondernemen. En de beveiliger moet verantwoordelijkheid nemen om de acties die het bedrijf bedacht heeft uit te voeren.
2.2 De definitie van proactief beveiligen
Een bekende gezegde is: ‘voorkomen is beter dan genezen’. Dat betekent dat er niet gewacht wordt tot een ernstig incident plaatsvindt, maar dat er initiatief wordt genomen; dat men in actie komt. Niet afwachten tot de constant aanwezige dreiging een probleem wordt, maar initiatief nemen door te zorgen dat het vroegtijdig wordt onderkend en herkend. Vaak wordt in Nederland nog gezegd: ‘Dat gebeurt hier niet’ en het gevolg is dat er dan te laat actie wordt ondernomen als er wel iets gebeurt.
nProactief beveiligen is een vorm van beveiligen die zich richt op het actief detecteren (waarnemen/ontdekken) van de voorbereidende stappen die voorafgaan aan voornamelijk terroristische en criminele acties.
De kennis van de eerder behandelde planningscyclus (8 stappen) is hierbij erg belangrijk:
1. Het selecteren van doel(en)
2. Het verzamelen van informatie
3. Het surveilleren
4. Het plannen van de aanval
5. Het verzamelen van de middelen
6. Oefenen/dry run
7. Uitvoeren
8. Vluchten
Het gaat er dus vooral om de voorbereidende stappen waar te nemen, te ontdekken. Als de aanvaller immers al aan het uitvoeren is, kan de niet voorbereide beveiliger meestal ook weinig meer doen tegen de goed voorbereide aanvaller.
2.3 Dreiging of risico?
Om die voorbereidende stappen te kunnen nemen moet een organisatie eerst helder hebben of er sprake is van een dreiging of een risico.
nEen risico is een kansberekening of en wanneer een ongewenste gebeurtenis kan plaatsvinden en wat dan het gevolg is voor het bedrijf. Het is te berekenen, het is meetbaar.
Bijvoorbeeld het risico op schade door brand. Er zijn allerlei cijfers van brandweer en verzekeraars die uitdrukken hoe groot het risico van brand bij een bedrijf is en wat de gemiddelde schade is. Dat risico wordt groter of kleiner afhankelijk van de mate waarin het bedrijf maatregelen heeft genomen.
U loopt ook het risico slachtoffer te worden van zakkenrollers. De kans is het grootst in Nederland, zo blijkt uit het artikel hierna. En het effect is dat geld van de rekening verdwijnt. Het is maar de vraag of dat geheel of gedeeltelijk wordt vergoed.
Naast risico gebruiken we de term dreiging.
nDreiging wordt gebruikt om aan te geven of er op dit moment signalen zijn dat een voorval zou kunnen gebeuren. Het zijn signalen die worden afgegeven door de tegenstander.
Om een dreiging te kunnen inschatten moet u weten hoe de tegenstander, de aanvaller, werkt. Een dreiging hoeft nog niet eerder te zijn voorgevallen.
Dat betekent dat elk bedrijf een eigen dreigingsanalyse moet maken. In deze dreigingsanalyse wordt een antwoord gegeven op drie vragen: 1. Wat moet er beschermd worden (de te beschermen omgeving/ de te beschermen belangen)? Denk nog even terug aan de bedrijfsmiddelen en -processen, mensen en informatie, genoemd in het begin van dit hoofdstuk.