Bedrijfs- en persoonsgegevens. Hoe goed ben jij beveiligd?

Beveiliging is een kwestie van de risico’s juist inschatten. Bedrijfs- en persoonsgegevens die via malware gestolen wordt. Ransomware die zich razendsnel over de wereld verspreidt. Hoe tref je als bedrijf tegenwoordig de juiste beveiligingsmaatregelen om hierop voorbereid te zijn? Want alleen als je goed geïnformeerd bent kun je de juiste stappen zetten en de risico’s elimineren. Voorkomen is tenslotte altijd beter dan genezen.

Om je te wapenen tegen het toenemende aantal ernstige bedreigingen, moet je natuurlijk allereerst het beheer goed op orde hebben. WannaCry kon afgelopen mei bijvoorbeeld alleen toeslaan via een kwetsbaarheid waar al maandenlang een patch voor beschikbaar was. Wie up-to-date was liep geen enkel risico. Wie dat niet was kreeg problemen. Waardoor maar eens te meer bleek dat als je goed geïnformeerd was je problemen had kunnen voorkomen.

Voorbereid op het ergste

Allereerst is het essentieel dat je je realiseert dat er geen honderd procent zekerheid bestaat dat er nooit iets mis zal gaan. Natuurlijk kun je je medewerkers trainen. Door niet zomaar elke bijlage te openen of op een link in een e-mail te klikken voorkomt al heel veel ellende. Maar je moet je medewerkers ook leren wat ze moeten doen als het per ongeluk toch een keertje fout gaat. Bedenk daarom vooraf welke herstelmaatregelen nodig zijn. Hoe schoon je aangetaste systemen op en krijg je ze weer veilig en werkend. Bepaal bijvoorbeeld wat de maximale downtime van je systemen is en hoeveel dataverlies je je kunt permitteren. Stem daar vervolgens je back-up strategie op af. Voer altijd end-to-end hersteltests uit om aan te tonen dat applicaties na afloop vlekkeloos draaien en dat het realistisch is om de data binnen de gestelde tijd terug te zetten.

Waardevolle gegevens beschermen

Als je op die manier realistisch naar beveiliging kijkt, houd je het zo simpel en goedkoop mogelijk. Door de focus op de belangrijkste zaken te leggen en alleen die data extra goed te beveiligen die je echt niet mag verliezen, vallen de kosten reuze mee. Via een business impact analyse bepaal je welke gegevens je allemaal hebt. Wat de waarde ervan is. Wat er gebeurt als bepaalde gegevens op straat komen te liggen. En welke maatregelen je kunt nemen om ze daartegen te beschermen.

Vanwege de nieuwe GDPR en de torenhoge boetes die kunnen worden opgelegd, is het sowieso noodzakelijk om te inventariseren welke gegevens er allemaal zijn. Omdat je alleen nog maar persoonlijke gegevens mag verzamelen die je echt nodig hebt en je daarnaast afdoende maatregelen moet treffen om ze te beveiligen, kun je dit meteen doortrekken naar al je gevoelige bedrijfsdata. Beperk het dus niet tot alleen persoonsgegevens. Kortom, zorg dat je precies weet waar alle gegevens zich bevinden Waarvoor ze dienen. Door wie en op welke manieren ze toegankelijk zijn en tref vervolgens passende maatregelen.

Aanval vroegtijdig signaleren

Als er dan eenmaal een aanval plaatsvindt is het vooral belangrijk dat je daarvan ook op de hoogte bent, zodat je direct actie kunt ondernemen. Een Intrusion Detection System slaat meteen alarm zodra kwaadwillenden een aanval uitvoeren. Verder bestaan er reputatielijsten waarmee je op voorhand kunt bepalen hoe betrouwbaar de netwerken zijn waarmee jouw systemen via internet verbinding maken en dankzij lijsten met de nieuwste malware die al in andere bedrijven is gesignaleerd kun je sneller passende beveiligingsmaatregelen in je eigen bedrijf treffen.

Naast malware en ransomware zijn DDoS-aanvallen een serieuze bedreiging. Hier kun je je eigenlijk alleen tegen beschermen door internet af te nemen via een partij die hier ervaring mee heeft en grote hoeveelheden verkeer aankan. Zij kunnen DDoS-aanvallen op hun netwerk afslaan en werken vaak samen met partners om aanvallen met een zeer hoog volume af te slaan. Je moet wel accepteren dat je een extreem zware en doelgerichte aanval mogelijk niet volledig kunt afslaan. Sommige aanvallen zijn zo groot, daar kan vrijwel niemand zich tegen beschermen.

De aandacht die het verdient

Het is heel belangrijk om beveiliging doorlopend aandacht te geven. Kijk er dus niet alleen maar naar als je niet anders kunt, bijvoorbeeld omdat de jaarlijkse audit voor de deur staat of omdat er een incident is opgetreden. Besteed continu aandacht aan beveiliging, ondanks dat je het als bedrijf druk hebt. Dat is echt nodig gezien de aard van de bedreigingen. Veel bedrijven overwegen daarom ook een 24×7 Security Operating Center in te zetten om continu de staat van de beveiliging in de gaten te houden en direct te kunnen acteren op incidenten. Belangrijk is dat een organisatie hier dan ook 24×7 opvolging aan kan geven en niet vasthoudt aan zoiets als een 8×5 incidentafhandeling. Daarnaast heb je slimme mensen nodig die informatie kunnen correleren en de impact kunnen bepalen.

Bedreigingen van binnenuit

Tot slot moet je de bedreigingen die op je afkomen goed kunnen inschatten, zodat je weet hoeveel aandacht je eraan moet besteden. Zo krijgt ransomware vaak veel aandacht in de media, maar is het daarmee ook de grootste bedreiging voor bedrijven? Over WannaCry hoefde je je bijvoorbeeld helemaal geen zorgen te maken als je systemen up-to-date waren. In de praktijk blijkt dat er vooral interne bedreigingen op de loer liggen. Aan de voorkant kun je data beveiligen met een firewall en allerlei tools, maar aan de achterkant mag niemand zomaar een schijf of de back-up tapes kunnen meenemen. Als je dat eenmaal weet kun je daar ook weer maatregelen voor nemen. Een goeddoordachte functiescheiding, het spreiden van rollen en het beperken van fysieke toegang tot bijvoorbeeld een datacenter of de locatie waar back-ups worden opgeslagen lost dit probleem op. Verder moet je natuurlijk weten als medewerkers uit dienst gaan, dan kun je ze uit de systemen verwijderen en de fysieke toegang intrekken.

Wij denken graag mee en geven invulling aan je beveiligingsstrategie. Voor meer informatie neem dan contact met ons op.