Categorie: Cyber Security

Home / Cyber Security
apr52024

De integratie van Assurance en Cybersecurity voor leiders

De integratie van Assurance en Cybersecurity voor leiders

In onze huidige maatschappij, blijkt de strategische integratie van Assurance en Cybersecurity een cruciale basis te zijn voor de veerkracht van organisaties. Deze integratie vertegenwoordigt niet alleen een trend, maar een fundamentele verschuiving in de manier waarop bedrijven Risk Mangement benaderen.

Waarom is deze integratie zo belangrijk?

In de kern komt deze verandering naar meer intergratie tussen verschillende departementen voort uit de veranderende aard van digitale bedreigingen. Deze bedreigingen worden steeds geraffineerder en zijn niet alleen gericht op de technologische infrastructuur, maar maken ook misbruik van procedurele en operationele kwetsbaarheden. Deze verschuiving vereist een holistische benadering van Risk Management, waarbij Assurance en Cybersecurity geen geïsoleerde functies zijn, maar onderdeel van een verenigde strategie.

De synergie van Assurance en Cybersecurity

De synergie tussen Assurance en Cybersecurity biedt verschillende belangrijke voordelen:

  • Geïntegreerd Risk Management: Door deze twee disciplines samen te brengen, kunnen organisaties een completer begrip en beheer van risico’s bereiken en ervoor zorgen dat zowel compliance- als beveiligingsoverwegingen op samenhangende wijze worden aangepakt.
  • Efficiëntie en kostenbesparing: Een gecoördineerde aanpak maakt het mogelijk om audits en beoordelingen te stroomlijnen, waardoor dubbel werk wordt verminderd en middelen efficiënter kunnen worden toegewezen.
  • Meer vertrouwen bij stakeholders: Het aantonen van een commitment aan geïntegreerd Risk Management kan het vertrouwen van klanten, investeerders en instanties in het vermogen van de organisatie om zich te beschermen tegen en te reageren op cyberbedreigingen aanzienlijk vergroten.
Twee vrouwen samen aan het werken achter een laptop. Ze zijn aan het overleggen

Uitdagingen bij deze integrale aanpak

Het bereiken van deze integrale aanpak is echter niet zonder uitdagingen. Organisatorische silo’s, verschillende prioriteiten tussen assurance- en cybersecurity teams en de complexiteit van het coördineren van verschillende regelgevingsstandaarden kunnen aanzienlijke uitdagingen zijn. Het overwinnen van deze uitdagingen vereist sterk leiderschap, een duidelijke visie op integratie en een cultuur waarin samenwerking en voortdurende verbetering continu wordt gestimuleerd.

Strategieën voor effectieve integratie

Leiders die Assurance en Cybersecurity willen integreren, kunnen verschillende strategieën toepassen:

  1. Stel een uniform Governance Framework op: Dit kader moet duidelijk rollen, verantwoordelijkheden en processen voor Risk Mangement in de hele organisatie definiëren, zodat Assurance- en Cybersecurity-doelstellingen op elkaar zijn afgestemd.
  2. Maak gebruik van technologie en automatisering: Het gebruik van geavanceerde technologieën kan de integratie van gegevens en processen vergemakkelijken, waardoor risico’s effectiever beoordeeld en bewaakt kunnen worden.
  3. Bevorder een cultuur van samenwerking: Het aanmoedigen van open communicatie en samenwerking tussen assurance- en cyberbeveiligingsteams is van cruciaal belang. Regelmatige cross-functionele bijeenkomsten, gezamenlijke trainingssessies en gedeelde doelstellingen kunnen helpen om kloven te overbruggen en inspanningen op elkaar af te stemmen.

Conclusie

Voor CEO’s en managers die navigeren door de complexiteit van het digitale tijdperk, is de integratie van Assurance en Cybersecurity niet alleen een strategisch voordeel, maar ook een noodzaak geworden. Door deze integrale aanpak te omarmen, kunnen leiders ervoor zorgen dat hun organisaties beter zijn toegerust om de dynamische risico’s van het hedendaagse digitale landschap te beheren en niet alleen hun gegevens en systemen, maar ook hun reputatie en toekomst veilig te stellen.

apr12024

Cyberdreiging: Supply Chain aanval tijdens pasen

Cyberdreigingen afgewend: de paasaanval op de supply chain

De IT Security community beleefde een interessant paasweekend. Een bijzonder slimme hacker probeerde bijna 20 miljoen internetservers te hacken, maar werd op het nippertje gestopt door een man uit San Francisco genaamd Andres Freund. Als dit een filmplot zou zijn, zou je het onwaarschijnlijk noemen.

Het incident ontvouwt zich

Het begon allemaal op Goede Vrijdag met een zorgwekkende post op Mastodon door Andres Freund, een Microsoft-ingenieur die gespecialiseerd is in de open-source PostgreSQL-database. Freund merkte vreemd gedrag op bij een van zijn testservers: de SSH-service, die wordt gebruikt voor externe login naar Linux, verbruikte veel meer middelen dan normaal.

https://mastodon.social/@AndresFreundTec/112180083704606941

Als expert in systeemprestaties wilde hij weten waarom en hij wist precies hoe hij dit soort problemen moest opsporen. Hij ontdekte dat de boosdoener een veelgebruikte softwarebibliotheek genaamd XZ was. Deze bibliotheek wordt door veel programma’s gebruikt voor datacompressie.

De reden voor de vertraging was dat er een achterdeur was toegevoegd aan XZ, specifiek gericht op SSH om een aanvaller toegang te geven tot systemen met hun eigen privé-inlogsleutel, zonder dat de eigenaar van het systeem hiervan op de hoogte was.

De potentiële impact

Scans van het internet tonen 20 miljoen IP-adressen met de SSH-service die op verbindingen wacht. Webservers, e-mailservers, infrastructuurservers, databaseservers, allerlei soorten servers. Als deze software zich naar al deze servers zou hebben verspreid, zouden de aanvallers in staat zijn geweest om deze servers op afstand te manipuleren. Ze hadden gegevens kunnen verwijderen, stilletjes informatie kunnen stelen, gegevens kunnen wijzigen, noem maar op. Het zou niet overdreven zijn om te zeggen dat ze een groot deel van het internet hadden kunnen controleren en veel vertrouwelijke communicatie hadden kunnen afluisteren.

Gelukkig draait Andres systemen met veel recentere software dan 99% van ons. Dit was dus net gebeurd en was nog niet opgenomen in de gangbare Linux-versies. Een grote opluchting voor iedereen. Een zeer gelukkige ontsnapping.

Hoe kon dit gebeuren?

De achterdeur was zeer slim verborgen. Het was niet te vinden door naar de broncode van XZ te kijken. Iemand had het toegevoegd aan een release-script, een klein programma dat de software bouwt, verpakt en verstuurt naar “downstream” om te worden opgenomen in Linux-besturingssysteemversies. Pas nadat XZ is gebouwd vanuit de broncode, wordt de achterdeurcode geïnjecteerd in de bestanden die worden verzonden om op andere systemen te worden uitgevoerd.

Bovendien is de achterdeur zo gebouwd dat deze niet detecteerbaar is vanuit het netwerk. Als XZ is opgenomen in SSH, wordt het alleen actief wanneer een loginverzoek wordt ontvangen van iemand met een specifieke, geheime sleutel. Alleen dan zal de achterdeur een commando uitvoeren voor de eigenaar. Als je die geheime sleutel niet hebt, is er geen manier om te weten dat een server kwetsbaar is. Alleen de servereigenaar zou het kunnen vinden, mits hij of zij op de hoogte is van het probleem en weet waar te zoeken.

Als Andres de lichte timingafwijking niet had opgemerkt, had het heel lang kunnen duren voordat dit werd ontdekt.

Wie is de dader?

De versie van XZ met de achterdeur werd uitgebracht door iemand die zichzelf Jia Tan noemde. Nu wordt aangenomen dat dit geen echte persoon is.

Lasse Collin is de eigenaar en uitvinder van XZ. Hij heeft de software jarenlang gratis onderhouden. Na onder druk te zijn gezet om harder aan zijn project [1] te werken en door ziekte geveld, gaf hij een zeer vriendelijke nieuwe vrijwilliger genaamd Jia Tan toegang om de software te bewerken en releases te maken.Vervolgens nam hij een welverdiende vakantie. We denken nu dat de drukcampagne, die in 2022 begon, was opgezet zodat “Jia Tan” de beheerder van XZ kon worden en zo schadelijke software kon uitbrengen in het bredere internetecosysteem.

Controle krijgen over een veelgebruikt project, een ingewikkelde achterdeur ontwikkelen en verbergen, moet een serieuze investering hebben gekost. ommigen zeggen dat enkele grote criminele hackgroepen in staat zijn om zoiets te bouwen, maar de belangrijkste verdachte zou een nationale inlichtingendienst zijn. We kunnen natuurlijk niet zeker zijn, maar wie anders zou jaren besteden aan het bouwen hiervan en het laten opnemen in een belangrijk stuk internetinfrastructuur door een veelgebruikt project te vinden dat door slechts één overwerkte persoon wordt onderhouden?

[1] Look at this e-mail exchange from 2022, for example: https://www.mail-archive.com/[email protected]/msg00566.html – “Jigar Kumar” and “Dennis Ens” demanding that Lasse give control of his project to others; conveniently, “Jia Tan” then volunteers

Wat moet ik doen?

We hebben veel geluk gehad dat dit op tijd werd opgemerkt. “Jia Tan” was vorige week nog bezig Linux-beheerders te pushen om snel de nieuwste versie van XZ in hun hoofdversies op te nemen, maar dit was nog niet gebeurd. Dus, tenzij je “bleeding edge”, onstabiele testversies van Linux draait, zit je waarschijnlijk goed. Maar update toch, om extra zeker te zijn: er zijn nu updates uitgebracht die de laatste, geïnfecteerde versies van XZ (5.6.0 en 5.6.1) terugdraaien.

Ook geven wij bij Securance altijd de aanbeveling aan onze klanten om diensten zoals SSH, die alleen bedoeld zijn voor gebruik door een paar IT-medewerkers, niet bloot te stellen aan het open internet. Beperk de toegang in de firewall tot interne IP-adressen en misschien een paar thuisadressen van vertrouwde medewerkers. Op die manier, als een nieuwe kwetsbaarheid in de dienst wordt ontdekt, kunnen aanvallers gewoonweg geen verbinding maken met je servers om deze te misbruiken.

Lessen voor de toekomst

Aanvallen op de toeleveringsketen zullen blijven bestaan, omdat ingewikkelde toeleveringsketens zullen blijven bestaan. Een bekende cartoon verwoordt het als volgt:

Wij (internetgebruikers) moeten deze “willekeurige personen” wat meer ondersteunen en ons bewust zijn van hun belang voor onze veiligheid. Lasse Collins bouwde en onderhoudt deze kritieke software in zijn vrije tijd, voor niets. En er zijn nog veel meer Lasses daarbuiten.

Wij bij Securance ondersteunen enkele open-sourceprojecten waarvan we uitstekende software gratis gebruiken. We zullen bekijken of we meer van hen kunnen ondersteunen met een maandelijkse donatie. Hoe klein ook – deze kunnen echt een verschil maken.

feb292024

NIST cybersecurity framework 2.0

NIST cybersecurity framework 2.0

In een belangrijke stap voorwaarts om de cyberbeveiliging bij alle organisaties te versterken, heeft het National Institute of Standards and Technology (NIST) onlangs zijn Cybersecurity Framework bijgewerkt naar versie 2.0. Deze update markeert de eerste grote herziening sinds het framework in 2014 werd geïntroduceerd. Het weerspiegelt een bredere scope en meer middelen voor organisaties die hun digitale veerkracht willen versterken.

Het NIST-framework is een Amerikaanse standaard die is geharmoniseerd met richtlijnen van de Europese Unie door middel van samenwerking om op elkaar afgestemde standaard beoordelingsregels te creëren. Deze afstemming maakt het cyberbeveiligingsraamwerk van NIST bijzonder relevant en toepasbaar binnen Europa.

Het steeds veranderende cyberbeveiligingslandschap

Het digitale tijdperk biedt ongekende mogelijkheden voor groei en innovatie. Deze vooruitgang gaat echter ook gepaard met een reeks bedreigingen voor de cyberveiligheid die zich in een alarmerend tempo ontwikkelen. Van geavanceerde phishingaanvallen tot complexe ransomware-bedreigingen. Bedrijven hebben tegenwoordig te maken met een constante strijd om hun digitale activa te beschermen en het vertrouwen van klanten te behouden.

Als gevolg hiervan is het implementeren van een uitgebreid raamwerk voor cyberbeveiliging essentieel geworden. Het NIST CSF 2.0 dient als een strategische gids voor organisaties om cyberbeveiligingsincidenten te identificeren, te beschermen, op te sporen, erop te reageren en ervan te herstellen. Door dit raamwerk te gebruiken, kunnen organisaties niet alleen het risico op cyberaanvallen beperken, maar ook een veerkrachtige infrastructuur opbouwen. Dit fundament ondersteunt groei en stabiliteit op de lange termijn en zorgt voor een zekere en welvarende toekomst. groei en stabiliteit.

Belangrijke updates van het NIST-raamwerk voor cyberbeveiliging

Universele toepasbaarheid: In tegenstelling tot zijn voorganger heeft het CSF 2.0 niet alleen betrekking op kritieke infrastructuursectoren. Vanaf nu biedt het richtlijnen voor organisaties van alle groottes en industrieën. Deze inclusieve aanpak erkent de universele dreiging van cyberaanvallen en de behoefte aan een uniform verdedigingsmechanisme.

Meer aandacht voor governance: Met governance als kernpunt benadrukt het herziene kader het belang van strategische besluitvorming op het gebied van cyberbeveiliging. Het benadrukt de rol van senior leiders bij het integreren van cyberbeveiligingsoverwegingen met andere kritieke aspecten van de bedrijfsvoering, zoals financiën en reputatiemanagement.

Rijkere hulpmiddelen voor implementatie: NIST heeft een reeks hulpmiddelen geïntroduceerd, waaronder snelstartgidsen, succesverhalen en een doorzoekbare catalogus met informatieve referenties. Deze tools zijn ontworpen om de invoering van het raamwerk te vergemakkelijken, zodat organisaties op maat gemaakte trajecten krijgen om hun cyberbeveiligingspraktijken te verbeteren.

Ontwikkeling in samenwerking: De update is het resultaat van uitgebreid overleg en feedback van een groot aantal belanghebbenden. Het zorgt ervoor dat het raamwerk de huidige uitdagingen aanpakt en best practices in cyberbeveiligingsbeheer overneemt.

Het belang van een robuust (NIST) cyberbeveiligingsraamwerk

Het implementeren van een uitgebreid cyberbeveiligingsraamwerk is niet langer optioneel, het is een noodzaak geworden. Het NIST CSF 2.0 dient als een strategische gids voor organisaties om cyberbeveiligingsincidenten te identificeren, te beschermen, op te sporen, erop te reageren en ervan te herstellen. Door dit raamwerk te gebruiken, kunnen organisaties niet alleen het risico op cyberaanvallen verkleinen, maar ook een veerkrachtige infrastructuur opbouwen. Dit ondersteunt groei en stabiliteit op lange termijn.

NIST CSF 2.0 implementeren in uw organisatie

De invoering van het NIST Cybersecurity Framework vereist een aanpak op maat, die aansluit bij de specifieke behoeften en uitdagingen van uw organisatie. Het begint met een analyse van je huidige status quo, gevolgd door het identificeren van verbeteringen en het ontwikkelen van een plan om deze te implementeren. Het betrekken van alle lagen van de organisatie bij dit proces is cruciaal voor het bevorderen van een cultuur van bewustzijn en veerkracht op het gebied van cyberbeveiliging.

Conclusie

Het NIST Cybersecurity Framework 2.0 is een bewijs van het veranderende landschap van cyberbeveiligingsbedreigingen en de noodzaak van adaptieve, inclusieve strategieën om deze te bestrijden. Door dit bijgewerkte raamwerk te omarmen, kunnen organisaties zichzelf beschermen tegen huidige en opkomende bedreigingen. Bovendien kunnen ze een cultuur van cyberbeveiliging bevorderen die doordringt tot alle bedrijfsniveaus.

Voor CEO’s en managers die hun organisaties willen beschermen tegen digitale bedreigingen, biedt CSF 2.0 een strategische routekaart naar een robuuste cyberbeveiligingshouding. De reis naar een veilige digitale toekomst begint met het begrijpen en implementeren van de principes die in dit baanbrekende raamwerk worden beschreven.

Ontdek hoe het CSF 2.0 van NIST de aanpak van cyberbeveiliging binnen uw organisatie kan veranderen.

Ontdek hoe het cyberbeveiligingsraamwerk 2.0 van NIST de aanpak van cyberbeveiliging in uw organisatie kan veranderen.

Neem gerust contact met ons op om te onderzoeken hoe NIST-cyberbeveiliging uw organisatie ten goede kan komen. Onze advies- en cyberbeveiligingsdeskundigen helpen je graag verder.

Neem contact met ons op
aug152021

Wat past beter bij mijn organisatie? SOC 2 of ISO 27001?

Wat past beter bij mijn organisatie? SOC 2 of ISO 27001?

Indien uw organisatie business-to-business IT of financiele diensten levert, dan is de kans groot dat uw opdrachtgevers vragen om een SOC 2 of ISO 27001 certificering of verklaring. Het proces kan een hoop resources en tijd van uw organisatie vragen. In dit artikel wordt uitgelegd wat de overeenkomsten en verschillen zijn tussen beide certificeringen. Een SOC 2 verklaring en een ISO 27001 certificaat kunnen worden vergeleken met nauwe verwanten. En er zijn mogelijkheden voor efficiëntie doordat als het ene certificaat behaald is, het enorm veel tijd zal schelen om het andere certificaat te behalen.

1. Reikwijdte

Er is een grote overeenkomst want zowel SOC 2 als ISO 27001 zijn vergelijkbaar ontworpen zodat zij hun klanten het gevoel kunnen geven dat de gegevens beschermd zijn. De opdrachtgevers hebben overeenkomsten, ze hebben allemaal betrekking op belangrijke aspecten van het beveiligen van informatie, zoals vertrouwelijkheid, integriteit en beschikbaarheid. Beide frameworks zijn algemeen erkende certificeringen die klanten bewijzen dat uw bedrijf de beveiliging serieus neemt.

Een groot verschil tussen deze certificaten is dat het SOC 2 certificaat voornamelijk gefocust is op het aantonen dat beveiligingsmaatregelen die klantgegevens beschermen, effectief zijn geïmplementeerd. ISO 27001 vraagt uitsluitend dat een organisatie een Information Security Management System (ISMS) heeft; een voorgeschreven set van beveiligingsmaatregelen.

2. Bruikbaarheid in de markt

Een grote overeenkomst is dat beide certificeringen erg bekende informatie beveiligingsnormen zijn die algemeen worden geaccepteerd om aan te tonen dat een organisatie over de juiste beveiliging beschikt. Vooral in de Verenigde Staten worden deze certificeringen door zowel kleine organisaties als grote corporates geaccepteerd. Beide worden in de meeste branches volledig geaccepteerd en zorgen ervoor dat een organisatie wordt ervaren als een solide leverancier die zijn informatiebeveiliging op orde heeft.

3. De externe partij

Beide certificeringen worden getoetst door derden partijen, door ISO 27001 auditor of (register) accountants. Het belangrijkste verschil is dat een door de Nederlande Beroepsorganisatie van Accountants (NBA)-erkende bedrijf een SOC 2 verklaring afgeeft; terwijl een erkende ISO 27001-geaccrediteerde auditor ISO 27001 certificeert. Securance heeft zowel erkende accountants als erkende ISO27001 auditoren in dienst die kunnen adviseren over de uitvoering van een audit.

4. De kosten

Beide certificeringen hebben vergelijkbare operationele kosten. Deze kosten zijn de interne kosten voor het team dat de beheersmaatregelen implementeert en ook bewijs verzamelt dat vereist is om conformiteit met SOC 2 of ISO 27001 te bewijzen.

De prijzen van de twee soorten certificeringen kunnen erg verschillen. Doorgaans zijn de kosten van een SOC 2 certificering wat hoger dan de kosten van een ISO 27001 certificering. Dit wordt voornamelijk veroorzaakt doordat SOC2 redelijk veel documentatie vereisten kent voor de auditors die een SOC 2 audit uitvoeren.

5. Doorlooptijd

De projectaanpak voor beide certificering is gelijk en bestaat uit globaal over overeenkomstig fasen. Omdat de SOC 2 en de ISO 27001 redelijk dezelfde beheersmaatregelen kennen, is ook de doorlooptijd van de implementatie fasen redelijk overeenkomstig. Een SOC2 audit kan echter door de eerder genoemde documentatievereisten meer interne en externe (auditors) tijd kosten.

Na afloop van de auditperiode moeten de SOC 2 en de ISO 27001 certificeringen periodiek worden vernieuwd om daadwerkelijk ook bruikbaar te zijn voor gebruikersorganisaties. ISO 27001 omvat bij de meeste opdrachten een cyclus van drie jaar waarbij u in het eerste jaar een audit op een bepaald moment hebt en daarna ieder jaar wordt verlengd.

Over ons

Onze missie drijft ons ertoe om meer te doen dan alleen de groei en het succes van onze klanten te bevorderen. We zijn toegewijd aan het exploreren van mogelijkheden, het mogelijk maken van excellence, het stimuleren van groei, het aantrekken van nieuwe klanten en het verbeteren van interne processen. Om deze missie te verwezenlijken moeten we innovaties op het gebied van Risk Management ontwikkelen, de efficiëntie optimaliseren door middel van automatisering, een divers wereldwijd team cultiveren en een positieve bijdrage leveren aan de gemeenschappen waarin we actief zijn. Daarnaast zijn we vastberaden om te fungeren als toegangspoort voor bedrijven om duurzamer en transparanter te worden en zo een duidelijke en waardevolle bijdrage te leveren aan de maatschappij. Ons standvastig streven naar de hoogste kwaliteit zorgt ervoor dat we geslaagd zijn wanneer aan alle doelstellingen van de klant is voldaan en onze klanten 100% tevreden zijn.

Neem contact met ons op