SECURITY IN 2014: 21 EXPERTVISIES VAN BEVEILIGINGSSPECIALISTEN MAGAZINE

Maat: px
Weergave met pagina beginnen:

Download "SECURITY IN 2014: 21 EXPERTVISIES VAN BEVEILIGINGSSPECIALISTEN MAGAZINE"

Transcriptie

1 JAARGANG 12 - DECEMBER infosecurity MAGAZINE SECURITY IN 2014: 21 EXPERTVISIES VAN BEVEILIGINGSSPECIALISTEN EN VERDER: MARKTONDERZOEKER EN ANALIST PETER VERMEULEN VAN PB7 RESEARCH: BEDRIJVEN, CYBERCRIMINELEN EN OVERHEDEN ZIJN VERWIKKELD IN DIGITALE WERELDOORLOG

2 TSTC de Security Opleider van Nederland - Diginotar, Facebook, KPN gehackt! Bent u de volgende? - En wat is dan uw reputatie- en/of financiële schade? - Vormt uw Blackberry of iphone een security risico? Herkent u bovenstaande vragen? Deze tijd vraagt om oplossingen en kennis van zaken. Zorg dat u goed getraind bent, kijk gauw op Een greep uit onze security certificeringen: Certified Ethical Hacker (CEH) Computer Hacking Forensic Investigator (CHFI) Certified Security Analyst (ECSA) Licensed Penetration Tester (LPT) Certified Information Systems Security Professional (CISSP) Certified Information Security Manager (CISM) Certified Information Systems Auditor (CISA) Cloud Security Audit and Compliance (CSAC) Certified Risk Manager ISO 27005/31000 TSTC - 6e jaar op rij de beste EC-Council Security Opleider Europa! ATC of the Year Want security start bij mensen!! g Colofon - Editorial Infosecurity magazine is het enige onafhankelijke vakblad in de Benelux dat zich expliciet bezighoudt met informatiebeveiliging. Het blad beweegt zich op het snijvlak van technologie en beleid. Vanaf het hekwerk tot in de boardroom. Toezending van Infosecurity magazine vindt plaats op basis van abonnementen en controlled circulation. Vraag uw abonnement aan via Uitgever Jos Raaphorst Hoofdredacteur Robbert Hoeffnagel Advertentie-exploitatie Will Manusiwa Eindredactie/traffic Ab Muilwijk Vormgeving Media Service Uitgeest Druk Grafia Media Groep Infosecurity magazine is een uitgave van FenceWorks BV Beatrixstraat CK Zoetermeer Niets uit deze uitgave mag op enigerlei wijze worden overgenomen zonder uitdrukkelijke toestemming van de uitgever. Meer informatie: Bomen en het bos Iedereen die zich met security en IT bezighoudt weet hoe erg het out there is. Lees bijvoorbeeld de blog Krebs On Security maar eens. Of We Live Security. Dag in dag uit komt daar een schijnvaar eindeloze reeks van voorbeelden langs hoe cybercriminelen er in slagen om bedrijven en privépersonen geld afhandig te maken. Wat met name opvalt is het technische raffinement dat cybercriminelen aan de dag leggen. Wat bijvoorbeeld te denken van fraudcheck[dot]cc. Veel bedrijven maken gebruik van online diensten op het gebied van fraudepreventie, dus deze service klinkt ook prima. Toch? Nou nee. Dit is namelijk een underground service die bedoeld is voor cybercriminelen die zeker willen weten dat degene die hun lijsten met gestolen namen en wachtwoorden willen kopen of gebruik willen maken van gestolen identiteitsgegevens, botnets en dergelijke wel te maken hebben met een - hoe ironisch - legitimite cybercrimineel. Anders gezegd: ook criminelen willen zeker weten dat zij met een heuse klant te maken hebben en niet met een of andere good guy die werkt voor een politie-eenheid of een security-firma. Net als een webshop een aantal checks kan uitvoeren die bedoeld zijn om te bepalen dat de persoon die iets wil kopen wel degene is wiens naam op de credit card staat, zo kunnen cybercriminelen zelf ook checken of de persoon die voor een paar uur een botnet wil huren wel legit is. Dat is de wereld anno We hebben een hectisch jaar vol security-incidenten achter de rug. En 2014 belooft wat dat betreft niet veel beter te worden. Voor de Chief Security Officer wordt de uitdaging om de bad guys buiten de deur te houden zo langzamerhand wel erg groot. Hoe blijven we bij met de razendsnelle technische ontwikkelingen? Wie kunnen we inhuren om een security-beleid op te stellen? En welke aanbieder levert nu precies wat? Niet alleen welke technische oplossing leveren al die bedrijven, Een groot aantal securityspecialisten geven in deze editie aan welke stukken van de securitypuzzel zij voor u kunnen invullen maar ook: hoe passen al die producten en diensten nu in de security-aanpak die we hebben gekozen? Deze speciale editie van Infosecurity magazine helpt u door de bomen het bos weer te zien. Een groot aantal security-specialisten geven in deze editie aan welke stukken van de security-puzzel zij voor u kunnen invullen - en welke ook niet. Daarmee is deze laatste editie van Infosecurity magazine van 2013 een erg handig hulpmiddel voor iedere Chief Security Officer die zijn organisatie veilig wil houden - ook in het nieuwe jaar. Robbert Hoeffnagel Hoofdredacteur Infosecurity magazine 2 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

3 INHOUD BETER EN VEILIGER CLOUD COMPUTING: Security is een belangrijk punt als het gaat om cloud computing, en terecht. Club Cloud Computing helpt cloud providers, it-dienstverleners en professionele cloud gebruikers om hun cloud computing initiatieven beter en veiliger te maken. CCSK Certificate of Cloud Security Knowledge training Op 20 en 21 januari 2014 geeft Club Cloud Computing een tweedaagse cloud security training in Utrecht. Deze handson training geeft u een fundamenteel en praktisch inzicht in cloud computing security, en bereidt u voor op het wereldwijd erkende CCSK examen van de Cloud Security Alliance. Cloud GRC training Cloud Governance Risk management and Compliance is een intensieve 2-daagse training die u direct toepasbare vaardigheden aanleert over governance, risk management en compliance. Na afloop bent u in staat om uw eigen GRC programma te ontwikkelen. De eerstvolgende Cloud GRC training is op 30 en 31 januari 2014 in Utrecht. Cloud Business Innovation Op 16 januari 2014 kunt u in een eendaagse inleidende workshop cloud computing beter in uw organisatie leren zetten. Het is geen technische workshop. Na deze workshop kunnen deelnemers de voordelen en risico s van cloud computing beter inschatten waardoor ze meer kansen creëren voor hun organisatie en tegelijk minder risico gaan lopen. Deze workshop wordt in Utrecht gehouden. Over de trainer Dr. Peter H.J. van Eijk is coach, spreker en schrijver op het gebied van cloud computing. Hij is één van s werelds meest ervaren onafhankelijke cloud-trainers. Voor meer informatie kijk op 10 CA TECHNOLOGIES Identity en access management maken cloud zeer veilig en productief 14 CISCO Bescherming tegen cyberaanvallen-opmaat 16 DATA CORE Storage-virtualisatie: nieuw wapen in strijd tegen cybercriminelen 21 E-QUIPMENT Cloud versus secure storage 22 HP Cybercrime vraagt om security nieuwe stijl 24 INSIGHT Gebruik mobile devices maakt beveiliging complex 26 KAHUNA Security Visualizer geeft direct inzicht 28 KASPERSKY LAB 2014: de belangrijkste security-trends 30 LANCOM Veilige IT-netwerken zijn essentieel voor de detailhandel 32 MCAFEE Beveiliging wordt eindelijk een businessthema 34 NORMAN Veilige cloud-opslag voor bedrijven 36 PALO ALTO NETWORKS Bouwstenen voor een proactieve cybersecurity-strategie 38 SOGETI Veilig voelen of veilig zijn 40 SOLCON Samenwerking Solcon en Bit biedt datacenterklanten veiligheid 42 TREND MICRO Vooruitkijken is essentieel om de digitale wereld veiliger te maken 44 T-SYSTEMS Merkel-telefoon is innovatief en zeer veilig 46 WATCHGUARD Big Data geeft uitstekend inzicht in status security 48 WIBU-Systems Ghanezen stemmen via biometrische identificatie 50 ZYXEL Nieuwe ethernet technologie cruciaal voor veilig draadloos netwerk PETER VERMEULEN VAN PB7 RESEARCH OVER: SECURITY IN 2014 In 2013 leek het 6 alleen maar te gaan om de onthullingen van Edward Snowden. Ineens was de grootste cybercrimineel ter wereld gevonden: de NSA. Iedereen valt van verontwaardiging over elkaar heen. VN-moties zijn in de maak en privacy-activisten halen eindelijk hun gelijk. Intussen wijzen de Amerikanen en Australiërs Huawei de deur, wijzen de Canadezen Lenovo de deur inzake Blackberry, zetten de BRIC-landen een alternatief Internet op om aan de Amerikaanse invloed te ontkomen en zou Rusland gevaarlijke USB-sticks op de G-20 top hebben uitgedeeld. Met alles wat we inmiddels weten over virussen als Stuxnet, kunnen we vaststellen dat er een koude digitale wereldoorlog volop aan de gang is waarbij grootmachten over een indrukwekkend en groeiend arsenaal van digitale wapens beschikken. Tegelijkertijd ontbreekt het aan een democratische controle op deze middelen, waardoor men de bevoegdheden nogal ruim lijkt te interpreteren, met onder meer het gevaar van bedrijfsspionage als gevolg. CENTRIC INFORMATIEBEVEILIGING: GEEN SLUITPOST, MAAR SLEUTELROL 12 Organisaties zijn in toenemende mate afhankelijk van de informatievoorziening. Zonder informatie liggen processen stil en is bedrijfsvoering niet mogelijk. Als de informatie waarmee wordt gewerkt onjuist is, niet beschikbaar is of op straat komt te liggen, kan dit grote gevolgen hebben voor de organisatie. Gerard Stroeve, manager Security & Continuity Services binnen Centric, geeft samen met zijn collega s dagelijks advies aan organisaties over de bescherming van bedrijfsinformatie. Informatiebeveiliging is niet langer een sluitpost, maar vervult een sleutelrol binnen de bedrijfsvoering. DIMENSION DATA SECURITY: ALLEEN EEN INTEGRALE AANPAK HELPT U DE CONTROLE TE BEHOUDEN 18 Een ICT-project zonder gedegen security is als een huis zonder fundament waarin deuren en ramen ontbreken, zegt Mohamed Al Ayachi, Line of Business Manager Network Integration & Security bij Dimension Data. Hij pleit ervoor security een integraal onderdeel te maken van ICT-projecten. Volledig inzicht in bestaande situatie, wensen, eisen en omgevingsfactoren van opdrachtgever zijn hiervoor essentieel. 4 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

4 DOOR PETER VERMEULEN Foto: Rena Schild - Denk niet dat u wèl veilig bent... In 2013 leek het alleen maar te gaan om de onthullingen van Edward Snowden. Ineens was de grootste cybercrimineel ter wereld gevonden: de NSA. Iedereen valt van verontwaardiging over elkaar heen. VN-moties zijn in de maak en privacy-activisten halen eindelijk hun gelijk. Intussen wijzen de Amerikanen en Australiërs Huawei de deur, wijzen de Canadezen Lenovo de deur inzake Blackberry, zetten de BRIC-landen een alternatief Internet op om aan de Amerikaanse invloed te ontkomen en zou Rusland gevaarlijke USB-sticks op de G-20 top hebben uitgedeeld. Met alles wat we inmiddels weten over virussen als Stuxnet, kunnen we vaststellen dat er een koude digitale wereldoorlog volop aan de gang is waarbij grootmachten over een indrukwekkend en groeiend arsenaal van digitale wapens beschikken. Tegelijkertijd ontbreekt het aan een democratische controle op deze middelen, waardoor men de bevoegdheden nogal ruim lijkt te interpreteren, met onder meer het gevaar van bedrijfsspionage als gevolg. In de security-wereld vindt men het altijd prettig als het bewustzijn rond informatiebeveiliging binnen de organisatie, of klantorganisatie, wordt versterkt door opvallende incidenten. Maar de mate waarin deze kwestie het bewustzijn is gaan domineren, leidt de aandacht af van dreigingen die veel meer schade berokkenen aan organisaties. Kijken we bijvoorbeeld naar de hoeveelheid incidenten waarbij het Nationaal Cyber Security Centrum (NCSC) is betrokken binnen de overheid, dan zien we dat het aantal incidenten per kwartaal wat fluctueert, Figuur 1: Ontwikkeling incidenten bij de overheid (NCSC), percentage van totaal Bron: Nationaal Cyber Security Centrum, 2013 Cybersecuritybeeld Nederland, CSBN-3 maar ook duidelijk toeneemt. Binnen het type incidenten zijn bovendien sterke verschuivingen waar te nemen. Was tijdens de vorige meting (van het tweede kwartaal van 2011 tot en met het eerste kwartaal van 2012) de malware-infectie al het meest voorkomende incident, een jaar later is een zeer sterke toename van deze incidenten zichtbaar. En terwijl bijvoorbeeld phishing voor het eerst wat afnam - als gevolg van het nieuwe pinnen - en ook het uitlekken van informatie verminderde dankzij de nodige maatregelen, nam het aantal hack-pogingen juist weer sterk toe. Terwijl privacy de publieke discussie domineert en aan het security-veld trekt, is het dus zeker niet de enige uitdaging die sterk aan het groeien is. Aan de ene kant komen cybercriminelen, die steeds beter georganiseerd zijn, almaar met nieuwe, steeds complexere dreigingen die steeds meer schade kunnen berokkenen. Aan de andere kant staat de klantorganisatie, die altijd, overal en op ieder apparaat toegang wil tot gevoelige bedrijfs- en klantinformatie en vindt dat IT dat zonder gezeur zou moeten accepteren. Het is dan ook niet vreemd dat security in 2013 en ook weer in 2014 bovenaan het lijstje staat van geplande IT-investeringen bij Nederlandse bedrijven. Laten we de belangrijkste uitdagingen van de Chief Security Officer voor 2014 op een rijtje zetten. UITDAGING 1: PRIVACY We kunnen er niet omheen: privacy opent de rij. De afgelopen jaren bleek uit diverse incidenten dat organisaties onzorgvuldig omgaan met privégegevens van klanten, werknemers en burgers. Bij veel organisaties ontbreekt het simpelweg aan het bewustzijn: wat mag er eigenlijk wel en vooral ook niet met persoonlijke gegevens? Hoe lang mag je persoonlijke data bewaren en gebruiken? Welke data heb ik eigenlijk en waar is die opgeslagen? Welke maatregelen word je geacht te nemen om data te beschermen? De roep van klokkenluiders om hier wat aan te doen, moest het voornamelijk hebben (streng gereguleerde sectoren daargelaten) van het waarschuwen voor imagoschade, iets wat pas echt tastbaar wordt voor organisaties als het een keer goed misgaat. De klokkenluider krijgt in 2014 veel meer munitie. In Europa is al enige jaren een ontwikkeling gaande om data beter te beschermen. Sinds 2012 is er een meldplicht van kracht voor datalekken van elektronische communicatienetwerken en -diensten met boetes die op kunnen lopen tot EUR Inmiddels staat een veel bredere meldplicht op stapel die van toepassing is op iedere publieke en private organisatie, waarbij dezelfde boete kan worden opgelegd aan iedere organisatie die zich niet aan de meldplicht houdt. Daar houdt het echter niet op. Naar verwachting treedt in de EU begin 2014 de Algemene Verordening Gegevensbescherming (AVG) in werking die de bestaande meldplichten vervangt. Bij dataverlies kunnen organisaties torenhoge boetes krijgen van maximaal 5% van de wereldwijde jaaromzet tot EUR 100 miljoen (ja, de bedragen zijn op het laatst nog verder omhoog geschroefd), afhankelijk van wat het hoogste is. Organisaties die de gegevens van meer dan 5000 personen verwerken worden bovendien geacht om een privacy officer aan te stellen en er dient een pro-actief privacybeleid te worden gevoerd dat wordt vastgelegd zodat het gecontroleerd kan worden. De meeste Nederlandse bedrijven zijn hierdoor wel wakker geschud (zie figuur 2) en geven een duidelijke tot hoge prioriteit aan het onderwerp. Ze hebben duidelijk op de radar dat ze er nog niet klaar voor zijn. Maar één op de vier geeft verder aan dat ze al voldoende hebben 6 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

5 Figuur 2: Prioriteit Algemene Verordening Gegevensbescherming, Nederlandse organisaties met 50 of meer medewerkers. Bron: Pb7 Research, September 2013 geïnvesteerd in toegangs- en identiteitsbeheer ter voorbereiding, terwijl 60% aangeeft concrete plannen te hebben of aan het uitzoeken is welke maatregelen noodzakelijk zijn. UITDAGING 2: PRIORITEIT VAN SECURITY IN DE BUSINESS De meeste organisaties beschouwen security als een IT-probleem: het is aan IT of de IT-leverancier om de informatievoorziening veilig te houden en er wordt te gemakkelijk vanuit gegaan dat de veiligheid ook daadwerkelijk in orde is. Je ziet dit bij de grootste bedrijven denk bijvoorbeeld aan KPN die vorig jaar struikelde over verouderde software in servers en routers, maar misschien nog wel het meest bij kleine bedrijven. In een onderzoek onder bedrijven met maximaal tien PC s, ontdekte Pb7 dat deze bedrijven onrealistisch klein inschatten dat ze in de komende 2 jaar met een beveiligingsincident te maken krijgen. Bij 4 op de 10 kleine bedrijven schat de eigenaar/directeur de kans op schade door cybercrime lager dan 1% in de komende twee jaar. Met andere woorden, deze organisaties denken ze dat minder dan eens in de 200 jaar schade door cybercrime zullen ondervinden. Nog eens 32% denkt dat de kans tussen de 1 en de 5% ligt, dus eens in de 40 tot 200 jaar. UITDAGING 3: DIGITALISERING VAN BEDRIJFSPROCESSEN De realiteit is dat beveiligingsincidenten steeds meer impact hebben. Nederlandse organisaties zijn volop bezig om bedrijfsprocessen verder te digitaliseren, worden daardoor steeds afhankelijker van IT en verzamelen en delen steeds meer bedrijfs- en privacygevoelige data op hun netwerk. De impact van bijvoorbeeld een DDoS-aanval, of een andere vorm van cybersabotage, op de continuïteit van bedrijfsprocessen wordt daarom steeds groter. Bovendien is het steeds Figuur 3: Hoe groot acht u de kans dat u in de komende twee jaar door cybercrime wordt getroffen, waarbij uw organisatie daadwerkelijk schade oploopt? Bron: Pb7 Research i.o.v. G Data, Juli 2013 meer de moeite waard om systemen illegaal binnen te dringen en data te ontfutselen. Aangezien ook steeds meer industriële data en besturingssystemen worden ontsloten op netwerken, liggen nieuwe gevaren op de loer. Het afgelopen jaar zagen we een spectaculaire hack van de terminalcomputer in de Antwerpse haven, waardoor criminelen de kranen van de containerhaven konden gebruiken om een drugscontainer te laten verdwijnen. Het is een aankondiging van een nieuwe golf van geavanceerde cybercrime, voor zover we het nog cybercrime kunnen noemen. We zien in feite dat cybercrime een geïntegreerd onderdeel aan het worden is van de georganiseerde misdaad, terwijl maar weinig van deze industriële systemen echt secure by design zijn. Figuur 4: Worden aan deze apparaten beveiligingseisen gesteld? Bron: Pb7 Research i.o.v. G Data, Juli 2013 UITDAGING 4: DE MOBIELE EXPLOSIE De tijd dat de PC dominant was om toegang te krijgen tot de informatievoorziening is definitief voorbij. Hoewel PC s nog altijd een belangrijke rol spelen en zullen blijven spelen in het zakelijke landschap, is de PC niet meer alleen en steeds vaker ook niet meer het apparaat van de voorkeur. Hoewel de meeste IT-afdelingen en verantwoordelijken inmiddels overstag zijn gegaan en van alles en nog wat aan slimme apparaten achter de firewall toelaten, hebben ze de nodige moeite om alles goed onder controle te krijgen en te houden. Terwijl in een rap tempo slimme apparaten als smartphones en tablets een vaste rol opeisen in bedrijfsprocessen, zijn er qua beheer en beveiliging nog wel de nodige uitdagingen. Terwijl in rap tempo nieuwe en verbeterde Mobile Device Management (MD- M)-oplossingen over elkaar heen duikelen, hebben veel organisaties de grootste moeite om goede afspraken met gebruikers over veilig gedrag af te spreken. Dat wordt bemoeilijkt door de druk vanuit gebruikers om eigen apparatuur toegang tot het netwerk te geven (Bring Your Own Device). Terwijl veel managers dat uiteindelijk toelaten, ontstaat er wel onduidelijkheid over wie er verantwoordelijk is voor de beveiliging. Veel organisaties (in de figuur worden de antwoorden van organisaties met 1 tot 10 PC s weergegeven) zeggen dat ze zelf voor de beveiliging zorgen. Maar een grote groep organisaties schuift deze verantwoordelijkheid terug naar de gebruiker, terwijl de aansprakelijkheid toch bij de organisatie ligt. Bovendien lijkt het er sterk op dat bij veel organisaties de beveiligingsmaatregelen erg gebruikersonvriendelijk, want te rigide, of juist nogal beperkt zijn en een schijnzekerheid creëren. De komende jaren zullen organisaties op zoek moeten naar de juiste balans tussen toegang en gebruikersvriendelijkheid versus veiligheid. UITDAGING 5: SCHADUW-IT Veel IT managers en beveiligers hebben het gevoel dat het hek van de dam is. Het begon met een zeurende manager en zijn Blackberry. Het werd gevolgd door een losgeslagen horde modieuze smartphones en tablets. Deze gebruikers namen vervolgens allerlei apps en clouddiensten mee de organisatie binnen, waardoor nu uiteindelijk hele business units IT-oplossingen uit de cloud afnemen buiten de IT-afdeling om. Waar bedrijven er niet in slagen om hier een lijn in te brengen, dreigen veel van deze schaduw-oplossingen niet te voldoen aan de minimale eisen die uw organisatie aan beveiliging stelt of moet stellen op basis van wet- en regelgeving. Met de komst van de AVG, worden organisaties feitelijk gedwongen om paal en perk te stellen aan deze wildgroei, omdat de gevolgen van falende schaduw-it wel eens heel direct in de portemonnee te voelen zouden zijn. Simpelweg verbieden is geen lange termijnoplossing. Daarom zien we gelukkig dat steeds meer organisaties beleid beginnen te ontwikkelen rond schaduw-it en Bring Your Own Software (BYOS) en op zoek gaan naar aggregatie-oplossingen, waarbij de nadruk in eerste instantie vooral op identiteits- en toegangsmanagement wordt gelegd. VOORUITBLIK Met het jaar wordt het aantrekkelijker om als cybercrimineel je brood te verdienen en leuker om de cyber-vandaal of -activist uit te hangen: de hoeveelheid data die de moeite van het stelen waard is, neemt exponentieel toe en de verstoring die je kan realiseren met een aanval heeft een steeds grotere impact op organisaties, gebruikers van diensten en zelfs de maatschappij. Tegelijkertijd liggen er grote gaten in de beveiliging, doordat organisaties er veel moeite mee hebben om schaduw-it en BYOD onder controle te krijgen. Ook in 2014 is de gebruiker een van de grootste beveiligingsrisico s en het is een utopie dat gedragsregels daar een sluitende oplossing voor kunnen bieden. De belangrijkste vriend en vijand tegelijk van de CSO is de AVG. De AVG is de stok achter de deur om de controle terug te krijgen over de IT-omgeving. Tegelijkertijd moeten organisaties uitkijken dat ze zich niet teveel laten leiden door de vereisten van wet- en regelgeving. Wet- en regelgeving is noodzakelijk, maar loopt logischerwijs vrijwel altijd achter de feiten aan. Belangrijker is dat het security denken stevig ingebed wordt (of blijft) binnen de organisatie: dat duidelijk beleid wordt opgesteld, gebruikers erin worden getraind en dat innovatie zoveel mogelijk op basis van secure by design plaatsvindt. Terug naar de waan van de dag: het komend jaar zullen we veel diensten zien die met veel bombarie worden aangekondigd om je organisatie NSA-proof te maken. Deutsche Telekom heeft de aftrap gedaan en is een clean pipe dienst aan het voorbereiden die ook bereikbaar is voor het MKB om buitenlandse pottenkijkers buiten de deur te houden. Maar ook de Amerikaanse giganten als Yahoo!, Google, AWS en Microsoft laten van zich horen: ze zetten zich openlijk af tegen de spionagepraktijken van de Amerikaanse overheid en rollen plannen uit om spionage te bemoeilijken. Ook vergroten ze hun investeringen in datacenters binnen EU-landen om Europese klanten tegemoet te komen bij het voldoen aan wet- Veel IT-managers en beveiligers hebben het gevoel dat het hek van de dam is en regelgeving. Willen ze hun marktaandelen buiten de V.S. beschermen, dan zullen ze wel moeten. De slag om het Europese dataverkeer is begonnen. Peter Vermeulen is directeur van onderzoeksbureau Pb7 Research 8 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

6 EXPERTVISIE CA TECHNOLOGIES IDENTITY EN ACCESS MANAGEMENT MAKEN CLOUD ZEER VEILIG EN PRODUCTIEF Als we IT-managers vragen naar hun visie op cloud en security, dan zien we vaak iets opmerkelijks gebeuren: men maakt zich enerzijds grote zorgen over de security-aspecten bij gebruik van cloud services, terwijl men tegelijkertijd in cloud misschien wel dé oplossing voor veel security-problemen ziet. Met name dankzij oplossingen voor identity en access management als CA Cloud- Minder is het gebruik van cloud nu zeer veilig. Eerder dit jaar heeft CA Technologies uitgebreid onderzoek laten doen naar de adoptie van cloud services door middelgrote en grote organisaties. Dit heeft geleid tot de publicatie van een belangrijke whitepaper getiteld Cloud Succeeds. Now What?. Hierin krijgt de lezer een uitstekend inzicht in niet alleen de voordelen van cloud computing, maar vooral ook in de randvoorwaarden die hiervoor geschapen moeten worden. Een succesvol gebruik van cloud vereist namelijk wel een goede voorbereiding, zowel technisch als organisatorisch. HOE MEER HOE BETER Tegelijkertijd komen we in deze whitepaper tot een aantal interessante conclusies. Zo blijkt dat organisaties die reeds enige tijd met cloud services werken tot de conclusie komen dat het gebruik van cloud steeds succesvoller wordt naarmate de organisatie meer ervaring met cloud-diensten opdoet en bovendien meer applicaties naar de cloud brengt of vanuit de cloud gaat afnemen. Van de ondervraagde organisaties gaf 59 procent aan dat de cloud-diensten die zij in gebruik hebben voldoen aan hun verwachtingen op het gebied van security of deze zelfs overtreffen. Een andere toch wel opmerkelijke conclusie is dat veel mensen in zowel bedrijfsleven als overheid zich nog altijd zorgen maken over de veiligheid van cloud. Opmerkelijk genoeg zien we echter dat veel IT-managers tegelijkertijd in cloud ook dé oplossing voor veel security-problemen zien. BETER DAN VERWACHT Het onderzoek is uitgevoerd door Luth Research en Vanson Bourne onder 542 bedrijven en overheidsinstellingen in Europa en de Verenigde Staten. Van de ondervraagde organisaties gaf 59 procent aan dat de cloud-diensten die zij in gebruik hebben voldoen aan hun verwachtingen op het gebied van security of deze zelfs overtreffen. Hierbij maakt het niet uit of men SaaS, IaaS of PaaS in gebruik heeft. Bovendien gaf nog eens een derde van de respondenten aan dat security veel minder een issue was gebleken dan men vooraf had ingeschat. Sterker nog, de beter dan verwachte prestaties op het gebied van security was juist een belangrijke reden waarom de respondenten zo enthousiast bleken over cloud (zie figuur). De houding van veel IT-managers ten aanzien van cloud en security is nog steeds enigszins dubbel. Ja, men maakt zich zorgen over veiligheid, maar tegelijkertijd stelt 38 procent van zowel de IaaSals de PaaS-gebruikers dat zij met deze cloud services aan de slag zijn gegaan juist vanwege de behoefte die men voelt om IT-security naar een hoger niveau te brengen. Een mening die gedeeld wordt door 41 procent van de SaaS-gebruikers. IDENTITY EN ACCESS MANAGEMENT Het lijkt er op dat we in de hele discussie over cloud en security een belangrijk kantelpunt hebben bereikt. Niet langer overheerst het idee dat cloud gevaarlijk is. De houding is nu veel meer dat cloud services tot een belangrijke verbetering van de security van de organisatie leiden - niet alleen ten aanzien van de beveiliging van de cloud services zelf, maar juist ook als men kijkt naar het beveiligingsniveau over zowel traditionele als cloud-it heen. Een belangrijke reden voor deze verschuiving in de houding ten aanzien van cloud en security is de opkomst van uitstekende oplossingen voor identity en access management IAM) als CA Cloud- Minder. INTERNE SECURITY In steeds meer organisaties is men er inmiddels wel van overtuigd dat het simpelweg nog meer sloten op de deur monteren geen oplossing is voor het security-vraagstuk. Cybercriminelen of kwaadwillende eigen medewerkers zullen altijd een weg weten te vinden door al dit soort maatregelen. Veel belangrijker is het dat we de toegang tot applicaties en bedrijfsgegevens goed reguleren. Voldoende sloten op de deur zijn belangrijk maar we zullen ook binnen de firewall aan de slag moeten om gegevens en applicaties te beschermen tegen gebruik door onbevoegden. Per applicatie of dataset moet exact vastliggen welke personen of welke functiegroepen (rollen) toegang tot deze programma s en informatie mogen hebben. Daarnaast moeten we per persoon heel goed vastleggen welke programmatuur en welke gegevens men nodig heeft om goed te functioneren. Er is geen reden om hen toegang te geven tot andere IT-voorzieningen dan dit vaak verrassend korte lijstje. Wie de principes van identity en access management goed toepast, komt tot de ontdekking dat security helemaal geen probleem hoeft te zijn. Noch in traditionele IT-omgevingen, noch bij gebruik van cloud-diensten. Natuurlijk moeten we wel heel gestructureerd te werk gaan. Rechten tot applicaties en gegevens toekennen moet weloverwogen gebeuren - net als het weer intrekken van die rechten. Cloud en security worden vaak in één adem genoemd. Tot voor kort ging de discussie dan meestal over zorgen rond beveiliging. Het wordt tijd dat we hier verandering in brengen: cloud en security passen uitstekend bij elkaar, omdat dankzij het gebruik van uitstekend beveiligde cloud services het totale security-niveau van de organisatie drastisch kan worden verbeterd. ORTELIUSLAAN BE UTRECHT T E I 10 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

7 EXPERTVISIE CENTRIC Centric-expert Gerard Stroeve over het belang van passende informatiebeveiliging INFORMATIEBEVEILIGING: GEEN SLUITPOST, MAAR SLEUTELROL Organisaties zijn in toenemende mate afhankelijk van de informatievoorziening. Zonder informatie liggen processen stil en is bedrijfsvoering niet mogelijk. Als de informatie waarmee wordt gewerkt onjuist is, niet beschikbaar is of op straat komt te liggen, kan dit grote gevolgen hebben voor de organisatie. Gerard Stroeve, manager Security & Continuity Services binnen Centric, geeft samen met zijn collega s dagelijks advies aan organisaties over de bescherming van bedrijfsinformatie. Informatiebeveiliging is niet langer een sluitpost, maar vervult een sleutelrol binnen de bedrijfsvoering. Ik zie dat de risico s ten aanzien van informatievoorziening toenemen als gevolg van de ontwikkelingen van deze tijd. Denk daarbij aan trends als social media, mobiel werken, BYOD, cloud computing en big data. Niet zelden wordt de uitdaging om informatie goed te beschermen op ad-hoc-basis aangepakt en is de aandacht nagenoeg uitsluitend gericht op de digitale informatievoorziening. Er worden als het ware pleisters geplakt die op enig moment weer loslaten. In de praktijk resulteert deze aanpak in een beperkte aanpak van de issues en bovendien in een willekeurig uitgavenpatroon. Gerard Stroeve is als manager Security & Continuity Services bij Centric verantwoordelijk voor de diensten die Centric levert op het gebied van informatiebeveiliging en continuïteitsmanagement. Als expert voor Centric blogt hij regelmatig over security-vraagstukken. Voor meer informatie over Gerard, zijn blogs en de whitepaper van Centric over informatiebeveiliging gaat u naar IN CONTROL ZIJN Met het toenemen van de afhankelijkheid van informatie neemt het belang van een betrouwbare informatievoorziening toe. Om daadwerkelijk in control te zijn, is het raadzaam continu en op een gestructureerde wijze integrale aandacht te geven aan de bescherming van informatie. Informatie moet op een weloverwogen, passende wijze beschermd worden, afgestemd op de aanwezige risico s. Daarbij wordt idealiter procesmatig een antwoord gevonden op de volgende vragen: Welke informatie moet er beschermd worden? Welke dreigingen zijn er en wat is de impact van een eventuele verstoring? Welke mate van bescherming is passend? Welke beheersmaatregelen moeten worden genomen? Door structureel antwoord te zoeken op deze vragen, wordt het beschermen van informatie onderdeel van de bedrijfsvoering en organisatiecultuur. Informatiebeveiliging is niet langer een sluitpost, maar vervult een sleutelrol binnen de diverse processen. VISIE OP INFORMATIE- BEVEILIGING Vanuit onze jarenlange ervaring met informatiebeveiliging bij uiteenlopende organisaties, hebben wij een heldere visie op de beveiliging van informatie ontwikkeld. Deze visie kenmerkt zich door een aantal uitgangspunten. Voor Centric is informatiebeveiliging breder dan IT en is het een proces en geen project. Daarnaast is informatiebeveiligingsbewustzijn binnen uw organisatie en bij uw medewerkers essentieel. Hierna licht ik deze drie uitgangspunten nader toe. INFORMATIEBEVEILIGING IS BREDER DAN IT Een van de belangrijkste pijlers van informatiebeveiliging is naar mijn overtuiging beleid. Het hoogste management moet het beleid formuleren, dragen en uitdragen naar de rest van de organisatie. Niet omdat derden dat eisen, maar vanuit een oprechte, intrinsieke motivatie. Een valkuil is het concentreren van de aandacht op enkel de IT-aspecten van informatiebeveiliging en/of op het vertrouwelijkheidaspect van digitale informatie. Het gaat echter om informatiebeveiliging in de breedste zin van het woord. INFORMATIEBEVEILIGING IS EEN PROCES, GEEN PROJECT De kern van goede informatiebeveiliging is om continu te beoordelen welke maatregelen passend zijn en deze, waar nodig, bij te stellen. De basis voor passende informatiebeveiliging wordt daarom gelegd door het inrichten van een proces, het Information Security Management System (ISMS). Het ISMS vormt binnen de informatiebeveiligingsorganisatie het kwaliteitsproces rond (de inrichting van) informatiebeveiliging. Het proces omvat typisch de stappen Plan, Do, Check en Act (PDCAcyclus). Vanuit deze fasen kun je de diverse activiteiten om te komen tot passende informatiebeveiliging periodiek en in onderlinge samenhang uitvoeren. Vanuit de diverse fasen kunnen er uiteraard projecten worden geïnitieerd om tot uitvoering van de activiteiten te komen. Om informatiebeveiliging als proces te laten werken, dient uw organisatie dat proces te ondersteunen. Dit betekent dat functies, rollen, taken en verantwoordelijkheden gekoppeld moeten worden aan personen. Een belangrijke coördinerende functie is die van (informatie)beveiligingsfunctionaris. Het heeft de voorkeur deze rol niet binnen de afdeling IT te beleggen, maar op een algemeen, breder niveau. Een managementforum kan de diverse onderdelen van de organisatie vertegenwoordigen en tijdens periodieke bijeenkomsten het proces evalueren, incidenten bespreken en leerpunten formuleren. INFORMATIEBEVEILIGINGS- BEWUSTZIJN IS ESSENTIEEL Informatiebeveiligingsbewustzijn bij het hoogste management én de medewerkers is essentieel. Het fundament voor informatiebeveiliging wordt gevormd door het draagvlak vanuit het (hoogste) management. Om dit draagvlak te creëren is inzicht nodig in de risico s rond de informatievoorziening en de gevolgen die een bedreiging voor de organisatie kan hebben. Daarnaast is binnen het stelsel van beheersmaatregelen de factor mens een kwetsbare pijler. Het bewustzijn rondom informatiebeveiliging draagt voor een groot deel bij aan het verstevigen van deze pijler. In de optimale situatie is de aandacht voor het passend omgaan met de informatie als een tweede natuur aanwezig bij elk van uw medewerkers. ANTWERPSEWEG PB GOUDA T E I 12 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

8 EXPERTVISIE CISCO Cisco Cyber Threat Defense Solution: BESCHERMING TEGEN CYBERAANVALLEN-OP-MAAT Cybercriminelen maken graag gebruik van standaard off-the-shelf methoden en scripts om hun aanvallen uit te voeren. Nog veel gevaarlijker zijn echter de geheel op maat van specifieke doelwitten ontwikkelde aanvalstools die nog niet bekend zijn bij security-firma s. De kans is groot dat zo n aanval niet kan worden tegengehouden of zelfs niet eens bij de eigen IT-afdeling opvalt. Cisco Cyber Threat Defense Solution biedt hier echter een oplossing voor. Veel security-bedreigingen waarmee bedrijven en overheidsorganisaties worden geconfronteerd, bestaan uit aanvalsmethoden die goed bekend zijn bij beveiligingsdeskundigen. Deze kunnen in de regel worden tegengehouden met bekende tools als firewalls, antivirus-producten, anti-malware tools, intrusion detection-systemen en dergelijke. Een veel grotere uitdaging vormen de aanvallen waarbij de cybercriminelen speciaal voor een bepaald bedrijf of doelwit een geheel nieuwe aanvalsmethodiek ontwikkelen. Hierbij worden vaak zeer geavanceerde methoden en software-tools gebruikt die bovendien gebruik maken van bugs en problemen in veelgebruikte programmatuur die nog niet gepubliceerd zijn, maar in de underworld al wel ontdekt en verspreid zijn. In andere gevallen komen zij binnen via social engineering en passeren zij dus zonder problemen de klassieke security-maatregelen. BINNEN DE SLOTWAL Het is dus logisch dat veel security-firma s nog geen kennis hebben van dit soort aanvalsmethoden en deze aanvallen dus ook niet kunnen tegenhouden. De aanvallen zijn vaak gemodelleerd op basis van de specifieke kenmerken van het doelwit. Aangezien standaard security-tools de aanval niet herkennen, hebben de cybercriminelen vaak weken- of maandenlang toegang tot bepaalde netwerken of informatie - zonder dat de eigen IT- of business-organisatie dit opmerkt. De schade kan hierdoor zeer groot uitvallen. De uitdaging waarmee we hier te maken hebben, is dat klassieke security-tools een verdedigingswal rondom de te beschermen organisatie optrekken, maar nauwelijks zicht hebben op wat er binnen de slotwal gebeurt. Vaak start zo n aanval bovendien met social engineering of bijvoorbeeld het gebruik van onbekende externe media als USB-sticks. Hierdoor kan ingebroken worden, ondanks een prima firewall, uitstekende antivirus-aanpak of consequent patchen van softwareprogramma s. In dit soort situaties is de enige oplossing een aanpak waarbij gezocht wordt naar patronen in het netwerkverkeer. Dit soort patronen worden ook wel fingerprints genoemd en maken verdacht dataverkeer zichtbaar. Het is dus zaak dat deze tools het dataverkeer binnen de organisatie kunnen volgen en analyseren. Afwijkingen in dat verkeer behoeven echter niet per definitie te betekenen dat er sprake is van een aanval, maar dit dient wel met zekerheid te worden vastgesteld. Met andere woorden: van iedere afwijking moet worden bepaald of het om een aanval gaat of slechts een nieuw patroon binnen het normale netwerkverkeer. CISCO CYBER THREAT DEFENSE SOLUTION Hoe doen dit soort zeer geavanceerde security-oplossingen dat? Cisco s Cyber Threat Defense Solution is een goed voorbeeld van zo n modern en op nog onbekende bedreigingen afgestemde oplossing. Het bestaat uit een aantal elementen: Een mechanisme dat het netwerkverkeer volgt. Deze zogeheten network telemetry is gebaseerd op de NetFlow-technologie in Cisco s Catalyst switches, Cisco routers, NetFlow Next Generation Appliances en NetFlow Security Event Logging van de Cisco ASA 5500 security appliances. Daarnaast is sprake van een engine die zorgt voor het analyseren van het netwerkverkeer. Deze is gebaseerd op het Lancope StealthWatch System. Tenslotte is informatie nodig over de in gebruik zijnde identities binnen het netwerk, evenals de binnen het netwerk toegepaste security-maatregelen en applicaties. SECURITY-ANALYSE Op basis van deze combinatie van tools en informatie heeft een security-analist vanuit een centraal dashboard een uitstekend beeld van het dataverkeer in het netwerk, maar ook van eventuele verdachte afwijkingen die zich daarin voordoen. Het dashboard maakt deze afwijking zichtbaar en biedt alle mogelijkheden om te down-drillen en zo te ontdekken welke gebruiker, welk netwerksegment, welke applicatie en dergelijke dit afwijkende verkeer veroorzaakt. Hierna kan de analist vaststellen wat er precies aan de hand is. Gaat het bijvoorbeeld om: Een poging van cybercriminelen om het netwerk in kaart te brengen? Of om een poging om malware binnen het netwerk te verspreiden? Gaat het bij het verdachte dataverkeer om zogeheten command and control traffic tussen geïnfecteerde computers binnen de firewall en de cybercriminelen buiten de organisatie? Of is sprake van gevoelige bedrijfsgegevens die worden weggesluisd? DE PRAKTIJK Achter het dashboard van de Cisco Cyber Threat Defense Solution gaat veel technologische innovatie schuil. Maar wat kunnen we in de praktijk daar nu precies mee? De voordelen van Cisco s Cyber Threat Defense Solution zijn groot. Deze oplossing richt zich namelijk op de meeste complexe en gevaarlijke security-bedreigingen. Dat zijn de aanvallen die soms al maanden of jaren in netwerken plaatsvinden, zonder dat de organisatie dit in de gaten heeft. Soms gaat het om het stelen van informatie, maar in andere gevallen wil men geld stelen of de operatie van de organisatie negatief beïnvloeden. De oplossing van Cisco maakt het mogelijk dit soort bedreigingen zichtbaar te maken en bovendien deze aanvallen te stoppen. Als we de voordelen op een rij zetten: Cisco Cyber Threat Defense Solution biedt een uitstekende verdediging van het netwerk binnen de firewall. Het detecteert bedreigingen direct op de plaats waar deze plaatsvindt, waardoor de schade kan worden geminimaliseerd en verdere verspreiding direct kan worden voorkomen. Het zorgt voor een schaalbaar, breed inzetbaar en kosteneffectief meet- en analysesysteem binnen het gehele netwerk. Cisco Cyber Threat Defense Solution voorziet in een drastische vereenvoudiging van voorheen veelal handmatig uitgevoerde onderzoeken. Deze onderzoeken kostten voorheen niet alleen veel mankracht, maar kenden ook een grote kans op fouten en waren hierdoor onnodig duur. Het maakt gebruik van de reeds in het netwerk opgenomen Cisconetwerkapparatuur. Michel Schaalje, Technisch Directeur, Cisco Nederland 14 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

9 EXPERTVISIE DATACORE SOFTWARE Leg de focus vooral op business continuity NIEUW WAPEN IN STRIJD TEGEN CYBERCRIMINELEN Wanneer een DDoS-aanval op de organisatie plaatsvindt of cybercriminelen op een andere manier proberen de business-operatie van een bedrijf of overheidsorganisatie negatief te beïnvloeden, reageren veel IT-afdelingen door tal van security-tools in te zetten. Wie IT-beveiliging echter vooral vanuit oogpunt van business continuity bekijkt, komt al snel tot de conclusie dat zij daarmee een belangrijk wapen in de strijd tegen de cybercriminelen over het hoofd zien: storage-virtualisatie. Deze relatief nieuwe technologie is immers als geen ander in staat om de beschikbaarheid van applicaties en data te garanderen, welke disruptie er ook mag plaatsvinden. STORAGE- VIRTUALISATIE: DataCore Software is een aanbieder van oplossingen voor storage-virtualisatie. Wij helpen bedrijven en overheidsorganisaties met het ontwikkelen van een IT-infrastructuur die er voor zorgt dat gebruikers altijd kunnen beschikken over hun applicaties en hun gegevens. In die rol zijn wij vaak nauw betrokken bij het opstellen en testen van plannen voor disaster recovery. Dit soort plannen zijn in de regel zeer goed opgezet, maar tegelijkertijd ook vaak gericht op een te beperkte groep van - zeg maar - rampenscenario s. Men bereid zich voor op de klassieke problemen: overstromingen, brand, neerstortende vliegtuigen. Dat heeft natuurlijk alles te maken met de historische achtergrond van dit type IT-oplossingen: het draaide altijd om disasters van natuurlijke aard. DISASTERS DOOR CRIMINELEN Tegenwoordig zien we echter ook - zeg maar - disasters van menselijke aard optreden. Anders gezegd: cybercriminelen die door middel van een denial of service attack of via malware en andere technieken proberen de operatie van de organisatie zodanig te beïnvloeden dat zij er zelf beter van worden. Soms zetten zij DDoS in om de reputatie van een bedrijf of overheidsorganisatie negatief te beïnvloeden. In andere gevallen gebruikt men dit soort aanvallen om financiële IT-systemen tijdelijk voor de rechtmatige gebruikers onbereikbaar te maken zodat zij in die tijd illegale financiële transacties kunnen doen. Wat het doel van de cybercriminelen ook mag zijn, het is onze ervaring dat veel IT-afdelingen op dit soort incidenten reageren door het inzetten van klassieke security-tools. Men investeert nog meer geld in next-generation firewalls, gaat met Application Delivery Controllers aan de slag en legt daar desnoods nog een extra laag Intrusion Detection overheen. Dat zijn goede stappen, maar ze zijn tegelijkertijd te zeer gericht op een traditionele manier van werken. Men is te zeer gericht op technische maatregelen om de cybercriminelen buiten de deur te houden. Natuurlijk is dat zeer belangrijk, maar redenerend vanuit de organisatie en zijn doelstellingen kan dat nooit het ultieme doel zijn. Ook het management van de organisatie wil uiteraard de bad guys buiten de deur houden, maar zij is natuurlijk nog veel meer geïnteresseerd in een continuïteit van de operatie. Klanten moeten bediend worden, hebben service- en onderhoudsverzoeken, de verkoop dient door te gaan - ook als er sprake is van een incident. Of het daarbij gaat om een disaster van natuurlijke of van menselijke aard is daarbij niet zo relevant. BUSINESS CONTINUITY Vanuit onze achtergrond als aanbieder van innovatieve oplossingen op het gebied van storage-virtualisatie leggen wij een sterke focus op business continuity. Wij helpen onze klanten om op basis van onze software-oplossingen een IT-infrastructuur te ontwikkelen die altijd maximaal presteert en bestand is tegen ieder denkbaar incident. De aard van die disasters kan wat ons betreft heel breed gekozen worden. Denk aan: Stroomstoringen Wateroverlast Fysieke ongelukken binnen of buiten de faciliteit Brand Inbraak, zowel fysiek als virtueel Technische storingen Terroristische aanvallen Storingen in de telecom-verbindingen Wij maken hierbij dus geen onderscheid tussen problemen die te maken hebben met - zeg maar - klassieke disaster recovery en incidenten of storingen die zich voordoen aan de kant van IT-security. Bij klanten zien wij echter dat dit onderscheid vaak (nog) wel wordt gemaakt. Dat is jammer, want daarmee behalen veel IT-afdelingen slechts een suboptimaal resultaat als het gaat om de beschikbaarheid van applicaties en bedrijfsdata. Bovendien investeren zij hierdoor vaak onnodig veel geld in voorzieningen voor disaster recovery en uitwijk. Daarnaast neemt men tal van technische maatregelen om cybercrimelen buiten de deur te houden, zonder dat men dit in voldoende mate doet vanuit het oogpunt van business continuity. Het ontbreekt aan een koppeling tussen beide maatregelen. Met storage-virtualisatie legt men die koppeling wèl. GEGARANDEERD Waarom is storage-virtualisatie hierbij nu zo n goede oplossing? Bij storage-virtualisatie knippen we als het ware de directe link tussen applicatie en storage-systeem door. Door een abstractielaag tussen storage-hardware en applicatie-software te leggen, kunnen zowel de bedrijfsgegevens als de applicatie naar believen worden verplaatst, zonder dat dit voor de gebruiker consequenties heeft. In dat concept zit natuurlijk ook een geweldig interessant security-idee. Als door wat voor disaster dan ook - brand, waterschade of DDoS-attack - een bepaalde applicatie of set van bedrijfsgegevens onbereikbaar dreigt te worden, is de software die deze abstractielaag regelt uitstekend in staat om applicatie, bedrijfsgegevens of desnoods beide te verplaatsen naar een andere locatie in het datacenter. Terwijl de cyber attack doorgaat en de traditionele security-tools worden ingezet om deze aanval af te slaan, zorgt storage-virtualisatie er voor dat de bedreigde data en applicaties normaal bereikbaar zijn en het gewenste prestatieniveau kennen. Met andere woorden, de business continuity is gegarandeerd, ook al doen cybercriminelen nog zo hun best de operatie te verstoren. AVNET TECHNOLOGY SOLUTIONS T E HAMMER NETHERLANDS T INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

10 EXPERTVISIE DIMENSION DATA SECURITY: ALLEEN EEN INTEGRALE AANPAK HELPT U DE CONTROLE TE BEHOUDEN Een ICT-project zonder gedegen security is als een huis zonder fundament waarin deuren en ramen ontbreken, zegt Mohamed Al Ayachi, Line of Business Manager Network Integration & Security bij Dimension Data. Hij pleit ervoor security een integraal onderdeel te maken van ICT-projecten. Volledig inzicht in bestaande situatie, wensen, eisen en omgevingsfactoren van opdrachtgever zijn hiervoor essentieel. De ICT-revolutie, zit in een stroomversnelling, zegt security-expert Mohamed Al Ayachi van Dimension Data. Bedrijven zijn zo druk bezig om achter de nieuwe ICT-feiten aan te lopen, dat ze vergeten om van security een integraal onderdeel te maken van het beleid en de ICT-besluitvormingstrajecten. Dat gebrek aan focus kan bedrijven duur komen te staan. Pas als een bedrijf te maken krijgt met dataverlies en -diefstal, compliancy-boetes, fraude, downtime en imagoschade, is het een issue in de bestuurskamer. TRENDS Al Ayachi onderscheidt op dit moment drie grote trends in de ICT: de cloud, mobility en big data. Alle drie brengen ze voor bedrijven grote uitdagingen met zich mee. De cloud is een klikobegrip voor het consolideren van data, diensten en applicaties in private of publieke clouds. Bedrijven zien de meerwaarde in de schaalbaarheid van cloud, omdat het de recovery van bedrijfskritische data en applicaties eenvoudiger maakt. Die zijn namelijk tijd- en plaatsonafhankelijk te benaderen. Maar hoe zit het met beveiliging van data in de cloud? De tweede trend, mobility, betreft het ontsluiten van diensten voor fysieke, niet-draadgebonden devices. Het aantal apparaten zal tussen nu en 2015 verdrievoudigen; het aantal gebruikers van mobiele apparaten zal tot 2015 verdubbelen. Hoe zorgen we ervoor dat we controle behouden over een diversiteit van devices, identiteiten, netwerken, systemen en applicaties? De derde trend is het gevolg van mobility: big data. Alle devices en apps genereren data. Dit leidt tot een lawine van gegevens. De hoeveelheid data zal de komende twee jaar verzesvoudigen. Hoe kunnen we de bulk data veilig opslaan, beheren en gebruiken? POSITIEF Al Ayachi ziet de nabije toekomst positief tegemoet. Bedrijven hebben als gevolg van deze trends te maken met forse uitdagingen, zeker op het gebied van security. Maar in plaats daarvan kijk ik liever naar de kansen die ze bieden: nieuwe businessmodellen, efficiency, productiviteit, concurrentievoordeel en klanttevredenheid. NETWERK ALS HET PLATFORM De basis voor alles in de ICT en dus ook voor deze drie trends is het netwerk. Dit moet stabiel, flexibel en betrouwbaar zijn. En wil je de controle behouden over je volledige infrastructuur, dan zijn inzicht over de volle breedte, bewustwording en een integrale aanpak essentieel. Al Ayachi: Security staat nooit op zichzelf, het is een integraal onderdeel van het complete ICT-systeem. De vraag naar beschikbaarheid raakt direct security. Het is niet meer verantwoord om een technische oplossing te implementeren bij bedrijven zonder het expliciete doel of de context helder te hebben. Een ICT-oplossing is niet compleet zonder aan security te denken. Je bouwt immers ook geen huis zonder fundering en vergeet vervolgens deuren en ramen mee te nemen. Het is zaak om op de risico s te wijzen en net zo lang door te vragen tot het nut van de ramen en deuren aan bod komt. Die zouden moeten voldoen aan de normen om een politiekeurmerk te krijgen. Alleen het beste is goed genoeg. Het moet niet moeilijk zijn om bedrijven hiervan te overtuigen. Het gaat immers om hun bedrijfskapitaal: bedrijfskritische data en uiteindelijk het imago. OVERZICHT EN INZICHT Een belangrijke pijler binnen security is volgens Al Ayachi visibility. Het is cruciaal om een veilig en identiteitsbewust netwerk te implementeren bij bedrijven. Je wilt overzicht en inzicht. Op hardware- en softwarevlak betekent dit dat je in kaart brengt via assessments wat de huidige situatie is bij een bedrijf en zijn informatie en event managementsystemen. Vaak is een systeem door de jaren heen tot stand gekomen en daarmee een lappendeken van servers, switches, routers, firewalls en intrusion detection-systemen. Voor al deze individuele systemen dienen het informatiemanagement en de bijbehorende rapportages onder controle te worden gebracht. Hiermee wordt het nodige inzicht verschaft. Daarnaast wil je weten welke medewerkers toegang hebben tot het netwerk, en wanneer, en waarom ze erop zitten? Je moet als security-expert inzicht hebben over wat er gebeurt tussen gebruiker en server. Waar liggen de risico s, welke data of systemen zijn bedrijfskritisch en welke niet? Het heeft geen zin om veel geld uit te geven aan een firewall-, antivirus- en anti-spamoplossing als je niet weet wat je moet beschermen. Je wilt alle risico s minimaliseren met security, maar je kunt niet beveiligen wat je niet ziet en weet. INVENTARISATIE TEN BEHOEVE VAN INTEGRALE AANPAK Met het verschafte inzicht kan het volgens Al Ayachi heel goed zijn dat de opdrachtgever iets anders nodig heeft dan waarom hij heeft gevraagd. Als adviseur moet je dat durven benoemen. Veel ICT-bedrijven gaan uit van de techniek. Vertrouw geen leverancier die zonder gedegen inventarisatie met technische maatregelen komt. Een optimale en integrale security-oplossing kun je alleen implementeren als je weet wat je kwetsbaarheden zijn, de risico s en de impact op je business-doelstellingen kent. Dit heeft alles te maken met de tijd nemen voor je klant en samen met hem op zoek gaan naar de kernbehoefte. Met zo n gedegen onderbouwing kun je ook aantonen wat de effecten zijn op de bedrijfsvoering, de omzet en de beveiliging. Je kunt hiermee concluderen dat het inventarisatietraject bestaande uit het in kaart brengen van de wensen, eisen en omgevingsfactoren van de opdrachtgever het belangrijkste deel is geworden van een ICT-project. VEEMWEG 23/ MT BARNEVELD T E I 18 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

11 MIGRATIE MIGRATIE CLOUDCOMPUTING PUBLIC DATACE IT MANAGEMENT SAAS GREEN IT PAAS PRIVATE SECURITY STORAGE HYBRIDE LAAS SOLUTIONS VIRTUALISATIE SECURITY SECURITYPRIVATE LAAS CONVERSION SLA CLOUDCOMPUTING VIRTUALISATIE GREEN IT HYBRIDE CLOUDSHOPPING SOLUTIONS PUBLIC STORAGE LAAS PAAS MIGRATIE APPS PRIVATE CONVERSION IT MANAGEMENT GREEN IT Feiten en fictie in kaart gebracht APPS TRENDS IN SECURITY 2014 CLOUD VERSUS SECURE STORAGE In onze turbulente wereld zien we gebruikers die meegaan met de cloud-hype, zonder dat ze de risico s kennen. Deze personen krijgen goed bedoelde adviezen van IT bedrijven om hun bedrijf in de cloud te zetten. Maar niemand weet waar z n data daadwerkelijk geparkeerd is. En als achteraf blijkt dat er bepaalde Amerikaanse bedrijven hebben zitten grasduinen in de data van zogenaamd verdachte bedrijven is dat een vervelende ontwikkeling. Het gevoel dat de door jou verzamelde data door iemand anders bekeken zou kunnen worden, is niet prettig. Het is daarom zaak om ervoor te zorgen dat de informatie goed beschermd is. Het inzetten van een solide firewall is een goede eerste stap. Alleen is deze stap allang niet meer afdoende, aangezien kwaadaardige software op vele manieren binnen uw organisatie terecht kan komen, en informatie kan weglekken uit uw organisatie. Gelukkig zijn er hackers; een groeiende populatie, waarvan de meeste gelukkig op een positieve manier bijdragen leveren aan de veiligheid van netwerken. Dit zijn zogenaamde pentesters of ethische hackers. Een ander deel vind het belangrijk zijn reputatie en tevens zijn ego op peil te houden door ergens electronisch in te breken! DATACENTER Data in de cloud staat ergens in een datacenter opgeslagen. Een datacenter is een faciliteit waar de beschikbaarheid van stroom en internetverbinding meestal dubbel is uitgevoerd. Ook is er een beveiligingsdienst die bijhoudt wie er wanneer bij de opslagsystemen mag komen. Binnen staan honderden servers opgesteld in server racks. De reputatie van een datacenter is erg belangrijk, omdat deze valt en staat met het vertrouwen om er daadwerkelijk bedrijfsdata aan toe te vertrouwen. Security is misschien wel het belangrijkste onderdeel van die reputatie. Er zijn bedrijven die ervoor zorgen dat via de cloud uw bedrijfsgegevens worden gebackupped, zodat u een reserve kopie heeft in geval van een incident op uw eigen server. Sinds een paar weken laait de discussie weer op over de Amerikaanse NSA, die van Nederlanders informatie heeft getapt en 1,8 miljoen telefoongesprekken heeft afgeluisterd. Google en Facebook zijn ook gewillige bronnen voor de NSA om data te verzamelen, zo lees ik online! GEEN REDEN Er zijn veel bedrijven die hun data liever EXPERTVISIE E-QUIPMENT binnenshuis houden, onder andere vanwege concurrentie die op de loer ligt. Deze professionele bedrijven kiezen ervoor hun netwerk te voorzien van encryptie en mobiele data op te slaan op secure storage oplossingen. Deze oplossingen werken met encryptie (versleutelen van gegevens) en zijn beschermd door wachtwoorden of andere vormen van authenticatie. De eerste winst is te behalen door het elimineren van het gebruik van onbeveiligde USB sticks, hoe handig ze ook zijn in het dagelijks gebruik. Zij vormen het grootste risico op lekkage van data omdat ze worden gebruikt door mensen en menselijk falen is helaas het grootste risico op fouten. Eigenlijk is er voor bedrijven geen reden meer om geen enkele actie te ondernemen, al was het maar omdat security-producten om data te versleutelen zeer betaalbaar en eenvoudig in gebruik zijn geworden. Jan Peters, Managing Director, E-quipment BONAIREPIER KG ALMERE T E I 20 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

12 EXPERTVISIE HP CYBERCRIME VRAAGT OM SECURITY NIEUWE STIJL Oude concepten kunnen probleem niet meer oplossen Cloud computing en mobility-concepten maken consumenten vrijer, werknemers productiever, bedrijven concurrerender en overheden effectiever. Er ontstaat een nieuwe wereld, een nieuwe economie en een new style of IT. In die wereld is het ondenkbaar dat de factor veiligheid niet de aandacht krijgt die het verdient. Waar de strijd tegen cybercriminelen langzamerhand niet te winnen lijkt, hebben overheden en bedrijven een plicht richting hun medewerkers, burgers en consumenten om er in elk geval alles aan te doen om onwetendheid, IT-versnippering en een reactieve houding ten opzichte van security los te laten. Bestrijden van cybercrime draait niet alleen om technologie, maar ook om risk management, governance, mensen en cultuur. Tijd voor een eye-opener en gerichte antwoorden op de vraag: wat kan ik er als bedrijf dan aan doen? Begin met simpele logica. Zo lang de omzet en winstgevendheid van cybercrime jaar over jaar alleen maar stijgt, zullen de investeringen in cybercrime blijven toenemen. Daardoor zit cybercrime in de lift. Cybercriminelen zijn steeds beter georganiseerd, specialiseren zich in het doorontwikkelen van de aanvalsmethodieken en - een recente ontwikkeling - delen steeds vaker kennis en kunde onderling via marktplaats -achtige omgevingen. Hacktivisten, criminelen en zelfs landen werken zodoende vaak nauw samen, of ze nou dezelfde ideologie ondersteunen of niet. Tegelijkertijd krijgen beveiligers relatief weinig mankracht en budget, waardoor KNOW YOUR ENEMY HP helpt organisaties ook meer inzicht te krijgen in hoe cybercriminelen werken en welke criminele welke technieken gebruiken. Meer inzicht, beter voorbereid. zij (te) reactief en gefragmenteerd moeten werken. Veel organisaties werken zonder overkoepelend security-beleid dat ook risk management en governance omvat. Zonder plan waarin niet alleen de technologie, maar ook de organisatie en de medewerkers worden voorbereid op dreigingen. Nog steeds is de menselijke maat bij security het grootste risico. GRIP OP VEILIGHEID We trekken een realistische maar tegelijkertijd keiharde conclusie: online technologie zal nooit 100 procent waterdicht zijn. Maar dat hoeft niet te betekenen dat we de cybercrime-tornado niet kunnen overleven of ontregelen. Ten eerste zullen we in alle stappen van het IT-proces het security-bewustzijn moeten verhogen, bijvoorbeeld met de proactieve security services die HP biedt. Dat gaat van architect tot programmeur, van gebruiker tot beheerder. Een lastig proces, mede omdat de professionals hiervoor vaak niet zijn opgeleid en vertrouwen op het werk van hun collega s en leveranciers. Gebruikers verwachten dat alles wat er op hun PC, laptop, tablet of smartphone bruikbaar is ook te vertrouwen is. Een begrijpelijke, maar volledig misplaatste verwachting. Bedenk ten tweede dat slechts 10 procent van alle op dit moment gebruikte firewalls zogenaamde next generation -security-technieken gebruikt. Bij een deel van de firewalls is dit euvel verholpen door een Intrusion Prevention Systeem (IPS) te combineren met de bestaande firewall, maar bij veel organisaties komt next generation pas in beeld bij het vervangen van de huidige firewall-hardware. Combineer de huidige kostenbeheersing met de bekende IT-mentaliteit we vervangen iets pas als het kapot is en je bent te laat met je beveiliging. Terwijl criminelen, zoals genoemd, investeren in de doorontwikkeling van hun aanvalsmethodieken, moet je als organisatie en IT-manager zorgen dat je op zijn minst beschikt over nieuwe technologie die is ge-update volgens de laatste specificaties. Ten derde speelt 80 procent van de geslaagde cyber-attacks zich inmiddels af op de applicatie-laag. Iedereen die software schrijft krijgt daarmee een extra verantwoordelijkheid om security-testing onderdeel te maken van het Application Lifecycle Management-proces. Een investering in kwaliteit van software die inmiddels onmisbaar is, maar vaak nog geldt als sluitpost van een software-ontwikkelingstraject. Achteraf oplossen is echter niet alleen duurder en vervelender, maar qua security is het tegenwoordig ook funest. Als laatste blijkt dat een security-probleem gemiddeld pas na 200 (!) dagen wordt ontdekt. Dus zelfs wanneer het gebruik van log-bestanden vanwege wet- of regelgeving verplicht is, beschermen ze ons geenszins als je er niet geautomatiseerde rapportages uit genereert. En voor overheden en bedrijven die nog een stap verder willen gaan: pas als je de verzamelde gegevens van verschillende bronnen op een intelligente manier kunt correleren kom je tot een real-time alarmeringssysteem. INTEGRALE SECURITY-ROADMAP Vanuit HP zetten we ons hele portfolio aan security-oplossingen in met maar één doel: met een integrale benadering het criminelen zo onaantrekkelijk en moeilijk mogelijk maken onze klanten te raken. Dat betekent enerzijds dat we security workshops en vulnerability assessment services aanbieden om IT-specialisten te helpen om een volledige security-roadmap te ontwikkelen. Natuurlijk gericht op de technologie, maar ook om hen te helpen hun (business) management te overtuigen van het belang van een bredere culturele en organisatorische aanpak. Tegelijkertijd hebben we een breed aantal security-producten waarmee we het security-niveau verhogen ten aanzien van zowel het netwerk (TippingPoint), de applicaties (Fortify) als de informatie (Arcsight). De opbrengst van cybercrime zal altijd een veelvoud zijn van wat bedrijven en overheden kunnen uitgeven aan het bestrijden ervan en dat betekent dat je per definitie een ongelijke strijd voert. Een bedrijf of overheid die security dan ook nog eens ziet als sluitpost op de IT-begroting neemt een onverantwoord risico. Dat is de mening van HP en met die gedachte werken we samen met overheden en bedrijven. Een IT-project kan niet zonder security-roadmap. Een bedrijf kan niet zonder security roadmap. De overheid kan niet zonder security roadmap. De wereld verandert, de IT verandert. En de IT-nieuwe-stijl heeft behoefte aan security-nieuwe-stijl. Henk Janssen, Security Specialist HP Software STARTBAAN XR AMSTELVEEN E I 22 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

13 EXPERTVISIE INSIGHT GEBRUIK MOBILE DEVICES MAAKT BEVEILIGING COMPLEX Het gebruik van mobile devices heeft verregaande consequenties voor het security-beleid van IT-afdelingen. Niet alleen worden toestellen zowel binnen als buiten het netwerk van de onderneming gebruikt, ook maakt de inzet ervan het IT-beheer complex. Dit vergroot de kans op kwetsbaarheden. MAAIKE JAMOEL & INSIGHT Maaike Jamoel is vanaf 1 december 2013 verantwoordelijk voor het ontwikkelen van de mobility strategy bij Insight. Insight Enterprises Inc. is leverancier van hardware, software en serviceoplossingen. Het bedrijf richt zich op zakelijke klanten en overheden in Noord-Amerika, Europa, het Midden-Oosten, Afrika en Azië. Insight helpt organisaties bij het nastreven van hun technologische doelen op het gebied van cloud computing, virtualisatie, datacenter, Unified Communications & Collaboration, netwerken en beveiliging, dataprotectie, mobiliteit & point of sale (POS) en kantoorproductiviteit. De problemen voor het IT-management van organisaties stapelen zich op als smartphones en tablets worden ingezet, zegt Maaike Jamoel, Business Development Manager Mobility bij IT-aanbieder Insight. En niet voor niets: De impact is veel groter dan uitsluitend de inzet van de devices. Met een tablet of smartphone kan een gebruiker continu switchen tussen zakelijke en privétoepassingen. En daarmee dus op elke gewenste plek zowel vertrouwelijke Excel-bestanden openen, als social media gebruiken of games spelen. Om dit zo veilig mogelijk te maken, moet een IT-afdeling het gebruik van de devices goed regelen en beheren. Eenvoudig is het beheer namelijk niet door het grote aantal platforms dat met het mobiel werken gemoeid is, legt Jamoel uit. De wereld van de IT-manager was tot voor kort in één opzicht overzichtelijk: de pc s en notebooks van de meeste gebruikers draaiden op Windows. Nu het aantal mobiele apparaten sterk stijgt, komt een bonte waaier van besturingssystemen, in verschillende versies, op hem of haar af. Het beheer wordt, kortom, een uitdaging. MOBILE DEVICE MANAGEMENT ONONTBEERLIJK Jamoel onderstreept het belang van specifiek op mobiele apparaten toegesneden toestelbeheer. Voor dit beheer is een goed ingericht Mobile Device Management (MDM) onontbeerlijk. Je moet als ICT-verantwoordelijke allereerst een strategie bepalen. Staan we gaming toe op onze toestellen? Welke social media zetten we in, welke apps beschouwen we als veilig en welke weren we omwille van onze security- of privacyrichtlijnen, licht Jamoel verder toe. Vanuit die strategie monitor je dan continu welke apps er op een mobiel apparaat worden gebruikt en beheers je het gebruik van de toestellen. Bij sommige merken kun je op afstand een app verwijderen, in andere gevallen zul je de gebruiker eraan moeten herinneren. Met specifieke managementsoftware is het eenvoudig apps te verwijderen van toestellen als de gebruiker ervan niet meer bij het bedrijf werkt. Voor een veilige dataoverdracht is access management onontbeerlijk. Ga ik ermee akkoord dat medewerkers in het buitenland van roaming gebruikmaken, of mag het toestel dan automatisch slechts via WiFi communiceren? Of nog specifieker: wil ik dat gegevens uitsluitend met VPN worden verstuurd - en zo ja, hoe zet ik dat dan op? Jamoel geeft de talrijke opties weer om duidelijk te maken dat een beheerder keuzes moet en kán maken. Maar ze schetst tevens dat alle beveiliging zinloos is als mensen geen betrouwbaar password instellen. Dit geldt ook voor het gebruik van collaboration tools. Bijvoorbeeld Dropbox en Google Docs zijn niet erg goed beveiligde omgevingen. Er zijn beslist veiliger alternatieven. Zorg dus dat medewerkers over de veiligste apps beschikken. Die moeten in elk geval encryptie toestaan. Ook moet de beheerder de monitoring zo opzetten, dat men automatisch een waarschuwing krijgt als gebruikers in het buitenland zijn of vakantie hebben. Maak dan bijvoorbeeld voor bepaalde medewerkers het verzenden van data onmogelijk. Essentieel is ook dat het IT-beheer jailbreaks detecteert, omdat daarmee een toestel onveiliger wordt. Zodra je dit registreert, is het raadzaam direct essentiële data te wissen en het mailaccount automatisch af te sluiten. Al deze problemen op het gebied van beheer en security moeten zo vaak mogelijk opgelost worden zonder dat de gebruiker minder flexibel wordt en niet het maximale uit zijn of haar toestel kan halen. GEBRUIKER HEEFT VERANTWOORDELIJKHEID Uit de uitspraken van Jamoel blijkt, dat security beslist een verantwoordelijkheid is van de IT-afdeling, maar dat gebruikers zeker niet vrijuit gaan. Wereldwijd zijn er meer dan een miljard gebruikers en de gemiddelde zakelijke gebruiker verstuurt en ontvangt tientallen mailberichten per dag. Ze wil ermee aangeven dat het versturen van een bericht een soort tweede natuur is geworden, waardoor gebruikers zich niet continu zullen realiseren dat er security-gevaren met dit dagelijkse gebruik verbonden zijn. Medewerkers moeten steeds weer geïnformeerd worden over nieuwe virussen of andere bedreigingen. Dat is van belang voor het veilig beheren van hun accounts. Ook aan het gebruik van de eigen mobiele apparaten kleeft een risico. Jamoel ziet steeds weer dat werknemers vaak niet weten of, en in hoeverre de toestellen die ze gebruiken, beveiligd zijn. Ze zien op hun scherm weliswaar updates van toepassingen verschijnen, maar zijn zich er niet van bewust dat deze updates de beveiliging van hun apparaat en data verbeteren. Het regelmatig installeren van updates zorgt ervoor dat ondernemingen zich beter kunnen weren tegen bedreigingen. JOHN M. KEYNESPLEIN EP AMSTERDAM T E I 24 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

14 EXPERTVISIE KAHUNA Dashboards geven goed beeld van veiligheid eigen netwerk zonder grote investeringen SECURITY VISUALIZER GEEFT DIRECT INZICHT Niet alle organisaties hebben een volledig geïntegreerd platform dat de veiligheid van netwerk en data monitort. Toch willen ze graag weten of hun netwerk veilig is en of ze wellicht het doelwit zijn van cybercriminelen. Ze willen best investeren in een veilige omgeving, maar weten niet goed waarin. Door de implementatie van enkele dashboards kan binnen twee weken inzicht worden gekregen in de status van de security zonder grote investeringen, zegt Rhett Oudkerk Pool van Kahuna. Het grootste probleem voor veel organisaties is het articuleren van de vraag, zoals Oudkerk Pool het noemt. Het visueel maken van de status van de security geeft ze inzicht in de knelpunten en welke maatregelen er genomen zouden moeten worden om het netwerk veiliger te maken. Het helpt ze bij het goed articuleren van hun vragen en leidt tot zinvolle en onderbouwde aanpak van informatiebeveiliging. Kahuna heeft daarvoor een aantal dashboards gecreëerd, die ieder een eigen facet van informatiebeveiliging bestrijken. TOP 10 VAN AANVALLERS In feite is de security visualizer een grote stap in de richting van security monitoring. De dashboards zijn gebouwd op basis van ervaringen bij andere klanten. Bovendien zijn ze relatief simpel te implementeren, zegt hij. Ze hoeven ook niet direct allemaal te worden gebouwd; we kiezen voor de dashboards die we gemakkelijk en snel binnen 10 dagen kunnen implementeren. Blijkt er één te ingewikkeld te zijn om binnen die tijd te bouwen, dan slaan we die in eerste instantie over. Er blijven genoeg dashboards over om de organisatie een goed en helder beeld te geven van de eigen security. De security visualizer werkt volgens het bekende 80/20-principe: het laaghangende fruit wordt snel zichtbaar gemaakt, net als de grootste bedreigingen. Een van de onderdelen van deze aanpak is het opstellen van een 5 dagen tabel van aanvallers op het netwerk van de klant. Op een dashboard maken we zichtbaar of er uitgaande verbindingen zijn naar een of meer van de betreffende IP-adressen. Als er plotseling wordt gecommuniceerd met de aanvallers, is er duidelijk iets misgegaan. Hoe die verbinding precies is ontstaan is niet belangrijk, maar ergens heeft een firewall of antivirus-product niet goed gewerkt. Met die wetenschap kun je de bron lokaliseren en die vervolgens onderzoeken op virussen of malware. Als ander voorbeeld noemt hij het in en uit dienst dashboard, dat nauwgezet toont welke user accounts er zijn aangemaakt en welke zijn verwijderd of dat er ex-medewerkers zijn die nog steeds over een geldig account beschikken. Een andere mogelijkheid is Asset Modeling. Daaronder verstaan we het registreren van alle servers en die vervolgens allemaal voorzien van een duidelijk profiel. Dat is een van de meest belangrijke onderdelen bij de implementatie van een security-infrastructuur, zodat je snel kunt vaststellen of een alert gaat om een testof productiesysteem. Je wilt iemand niet s nachts uit bed bellen voor een probleempje met een testomgeving. OPSCHONINGSFASE De security visualizer levert niet altijd antwoorden op, maar wel gerichte vragen. De organisatie krijgt immers eindelijk zicht op security en wat er allemaal gebeurt in de infrastructuur. Het geeft bijvoorbeeld ook inzicht in wat er nooit is opgeruimd. Dat maakt de rapportages in het begin wel wat troebel, maar die fase moet je door om uiteindelijk tot een situatie te komen van stabiele rapportages. Ter verduidelijking geeft Oudkerk Pool het volgende voorbeeld: Stel, IT heeft twee jaar geleden bepaalde servers uitgezet. Maar de back-up server logt nog steeds iedere nacht in omdat hij van dat systeem een back-up wil maken. Dat geeft een failed log-in in het back-up proces en in de security monitoring. Dat is op zich niet erg, maar vervuilt wel de rapportages. Je kunt het probleem direct oplossen, door de configuratie van het back-up systeem te wijzigen. Maar dat is niet altijd even gemakkelijk te realiseren. We bouwen daar dan ook in eerste instantie filters op. Bij de implementatie van de security visualizer hoort dus een soort basis-opschoningsfase. Een essentieel onderdeel van het traject. De security visualizer helpt de klant een grote stap voorwaarts te zetten. Het laat de medewerkers wennen aan dit soort tools, het helpt kennisoverdracht te organiseren, het laaghangende fruit te rapporteren, en het geeft waanzinnig veel inzicht - die ervaring hebben we bij onze klanten. TOT SLOT Bij veel organisaties ziet Oudkerk Pool nog steeds dat er voorkeur is voor de meest hippe oplossing die op dat moment verkrijgbaar is. Dat is niet altijd de beste keuze. Optimaliseren van de bestaande maatregelen middels de security visualizer bewijst daarbij goede diensten en het levert inzicht waar de volgende investering noodzakelijk is. Voor sommige bedrijven geeft de security visualizer voldoende inzicht, andere zullen er wellicht voor kiezen de security visualizer verder uit te bouwen naar een integrale infrastructuur voor security monitoring. Dat kan, maar hoeft niet. HENRY DUNANTSTRAAT 36A 3822 XE AMERSFOORT T E W 26 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

15 EXPERTVISIE KASPERSKY LAB 2014: DE BELANGRIJKSTE SECURITY-TRENDS Wat zijn de belangrijkste ontwikkelingen op het gebied van ITsecurity? Een korte terugblik op 2013 en een vooruitblik op wat ons te wachten staat. Van hacktivism tot cyber mercenaries en van mobiele beveiliging tot de terugkeer van encryptie. Als we naar 2013 kijken, zien we drie belangrijke trends. Ten eerste is de dreiging van mobiele malware groter geworden. Ten tweede is hacktivisme, dus het hacken om puur politieke redenen, toegenomen. En ten slotte is het aantal gevallen van cyberspionage gestegen, zegt Martijn van Lom, General Manager, Kaspersky Lab Benelux and Nordic. GROOTSCHALIGE CYBERSPIONAGE Vooral rond e-spionage was er in het afgelopen jaar veel media-aandacht. Enkele zaken deden veel stof opwaaien. De grootschalige digitale spionagepraktijken van de Amerikaanse inlichtingendienst NSA, die klokkenluider Snowden aan het licht bracht, zijn het belangrijkste voorbeeld. Ook Red October was voorpaginanieuws. Bij deze cyberspionagecampagne van ongekende schaal bleken wereldwijd honderden organisaties, van overheidsinstanties en diplomatieke organisaties tot kerncentrales en handelsbedrijven, geïnfecteerd met zeer geavanceerde malware. De campagne werd pas begin 2013 ontdekt, maar is waarschijnlijk al sinds 2008 aan de gang. MEER DIGITALE BEDRIJFSSPIONAGE In 2014 zullen deze bedreigingen zich opnieuw manifesteren. Van Lom: Alle trends zullen zich voortzetten. Zo verwachten we dat naast de digitale spionage tussen landen, ook die tussen bedrijven zal toenemen. Bijvoorbeeld om de hand te leggen op financiële gegevens van beursgenoteerde bedrijven, de reputatie van organisaties te beschadigen of om waardevolle ontwikkelinformatie te stelen. In het laatste geval lopen niet alleen hoogtechnologische bedrijven die bijvoorbeeld software of vliegtuigen maken, het risico op dit soort aanvallen. Het geldt ook voor heel gewone bedrijven die veel investeren in innovatie en productontwikkeling. Dat zien we bij Kaspersky Lab in de praktijk. Met de gestolen ontwikkelinformatie wordt er volgens in lagelonenlanden goedkoop geproduceerd. CYBERHUURLINGEN EN DETECTIVES Bij de cyberspionage zal steeds vaker gebruik worden gemaakt van cyber mercenaries, voorspelt Van Lom. Dit zijn kleine groepen specialistische huurlingen die gerichte acties uitvoeren in opdracht van organisaties of landen. In het verlengde van deze huurlingen zullen ook cyber detectives meer naar voren treden. Dit zijn IT-specialisten die bedrijven helpen om zwakke punten in hun beveiliging bloot te leggen en aanvallen af te weren. Van Lom heeft daar zijn bedenkingen bij. Ik raad bedrijven aan om heel voorzichtig te zijn met het inhuren van dit soort specialisten en hun achtergrond goed te checken. Er zijn immers nog geen erkenningen of certificeringen waar je op kunt vertrouwen. Voor je het weet, haal je iemand uit het hackermilieu binnen. BYOD VERGT BETERE BESCHERMING De toename van ontwikkelingen als Bring Your Own Device (BYOD) zullen de veiligheidsrisico s in 2014 verder vergroten. Van Lom: BYOD was natuurlijk wel een toverwoord in de afgelopen jaren, maar neemt steeds concretere vormen aan en zal zich verder doorzetten. Eindgebruikers en hun toestellen zijn de zwakste schakel in de IT-keten. Als ze met hun tablet of hun smartphone thuis op de bank of in de trein zitten, denken ze er niet aan dat ze niet veilig zijn. Van Lom pleit er dan ook voor om álle mobiele toestellen die aan het bedrijfsnetwerk zijn gekoppeld, te beveiligen. Ook bijvoorbeeld van medewerkers die via hun privésmartphone zakelijke kunnen ontvangen. Van Lom: Maar dan ben je er nog niet, je moet er ook rekening mee houden dat zo iemand zijn telefoon kwijt kan raken. Dan moet je een oplossing hebben om die op afstand leeg te halen. En wat doe je met de privédata? Daarmee kom je op het gebied van privacybescherming. Het zijn allemaal dingen waar je over na moet denken. VEILIGER IN DE CLOUD Ook het sterk groeiende gebruik van cloudservices zal de IT-security in 2014 beïnvloeden. Van Lom: Ik denk dan bijvoorbeeld aan iets simpels als Dropbox. Hoe ga je daar als bedrijf mee om? Voor een vertegenwoordiger die bij een klant een presentatie op zijn tablet wil geven, is dat natuurlijk een ideale oplossing. Maar voor de beveiliging ligt dit helemaal anders. Je wilt als bedrijf niet dat je gegevens via zo n service op straat komen te liggen. Daar moet je maatregelen voor nemen. Door alle publiciteit rond cybercriminaliteit zijn bedrijven zich daar gelukkig beter bewust van, zegt Van Lom. HERONTDEKKING VERSLEUTELING Vanuit het licht van deze ontwikkeling voorziet Van Lom dat encryptie in 2014 zal worden herontdekt. Op dit moment versleutelen nog maar weinig organisaties hun gegevens voordat ze die verzenden, maar in 2014 zal het echt een hot topic zijn. Encryptie is niet alleen goed voor de bescherming van hun data en intellectueel eigendom, maar ook voor hun imago. Ze laten hun klanten en stakeholders duidelijk zien dat ze werk maken van hun IT-security en dat ze geen onnodige risico s lopen. Dat schept vertrouwen. Ook consumenten zullen in 2014 meer gebruik gaan maken van encryptie of kiezen voor een veilige VPN-verbinding. Van Lom: Door de recente ontwikkelingen, zoals de afluisterpraktijken van de NSA, zijn ze zich eveneens meer bewust van de risico s en willen ze hun privacy, bankrekening en online identiteit beschermen. LIEVER GEEN BITCOINS Een laatste belangrijke trend voor 2014 is die van de bitcoin. De koers van dit virtuele geld gaat momenteel door het plafond. Van Lom: Steeds meer mensen zullen bitcoins gaan gebruiken, ook buiten de virtuele wereld. Vanuit veiligheidsoogpunt is hij echter niet enthousiast over de ontwikkeling. Je bewaart je bitcoins in een portemonnee die zich ergens in een gigantisch netwerk bevindt. De veiligheid is niet gegarandeerd. Bij Kaspersky Lab hebben we al veel aanwijzingen dat mensen grote risico s lopen met zo n bitcoin wallet. Daarom raden wij aan om er voorzichtig mee te zijn, aldus Van Lom. Kitty Döppenbecker PAPENDORPSEWEG BJ, UTRECHT T I 28 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

16 EXPERTVISIE LANCOM VEILIGE IT-NETWERKEN ZIJN ESSENTIEEL VOOR DE DETAILHANDEL Digitale toepassingen worden steeds belangrijker voor de retailketens. Daarmee neemt de impact van cybercriminaliteit toe en worden ondernemingen vatbaarder voor digitale spionage of sabotage. Winkelketens zijn daarom op werkoplossingen aangewezen die maximale veiligheid voor data en processen bieden. De detailhandel staat aan de vooravond van een nieuwe digitaliseringsgolf - en niet alleen door de snelle opmars van het online-winkelen. In fysieke winkelfilialen werken detaillisten steeds vaker met digitale technologieën, zoals touchscreens, Digital Signage, elektronische bewakingssystemen of oplossingen voor Unified Communications. Door deze ontwikkelingen nemen de eisen die door de ondernemers aan de netwerk-infrastructuur worden gesteld toe. De IT-afdelingen van winkelondernemingen moeten tegenwoordig vooral twee uitdagingen het hoofd bieden: aan de ene kant moet de performance en de continuïteit van de digitale toepassingen optimaal zijn, aan de andere kant moet het netwerk tegen bedreigingen van buitenaf beschermd worden. De bedreigingen door cybercriminaliteit namen in de afgelopen jaren sterk toe ROUTERS ZONDER BACKDOOR De Duitse netwerkleverancier LANCOM Systems stelt de hoogst mogelijke beveiliging van de apparatuur die ze levert centraal. Zo draait op de producten van de Duitse fabrikant een eigen, gesloten besturingssysteem en ontbreken backdoors. Het Duitse Federale Kantoor voor Informatiebeveiliging (BSI) certificeerde de fabrikant om die reden onlangs. en houden ook veel detailhandelsondernemingen bezig. Tot de grootste risico s horen portscanning en sniffing: door het afluisteren of aftappen van gevoelige spraak-, data- en videoverbindingen binnen onvoldoende beveiligde netwerken is bedrijfsspionage mogelijk zonder dat de eigenaar van het netwerk dit merkt. Criminelen verschaffen zich daarnaast steeds vaker toegang tot vertrouwelijke bedrijfsinformatie door zogenaamde man-in-the-middle aanvallen. Cybercriminelen zijn dan onder een valse identiteit op het bedrijfsnetwerk actief en hebben toegang tot interne data. Verder is het zo dat ondernemingen hun IT-infrastructuur ook tegen gerichte sabotage moeten beschermen. Denial-of-Service-aanvallen (DoS) kunnen netwerken tijdelijk verlammen en daarmee voor grote storingen in het bedrijfsproces zorgen. VEILIG NETWERK TUSSEN FILIALEN Een optimale en in alle opzichten goed op elkaar afgestemde netwerkbeveiliging voor retailketens start met het veilig opzetten van de verbindingen tussen de verschillende filialen. Gateways in het rekencentrum van de onderneming vormen het knooppunt van het netwerk en worden via afgeschermde VPN-tunnels met de routers van de afzonderlijke filialen verbonden. Als verbinding tussen de lokale netwerken aan de ene kant en het internet aan de andere kant, zijn het juist de routers die een grote rol spelen bij het afweren van cyberaanvallen. Het zijn vooral de routers in de verschillende filialen, die vaak de zwakke schakel vormen in een netwerk dat de verschillende filialen met elkaar verbindt. Te vaak worden goedkope consumentenproducten ingezet, die echter niet over de beveiligingsfuncties beschikken die het gebruik binnen een ondernemingsnetwerk vereist. In een retailomgeving zijn bijvoorbeeld simultane VPN-kanalen van belang voor het contact met externe beveiligingsdiensten, maar ook voor aanbieders van Digital Signage die marketinguitingen op displays in een filiaal verzorgen. Een router die wordt ingezet in een professionele omgeving moet ook beschikken over een geïntegreerde firewall met intrusion detection en DoS Protection, naast de mogelijkheid tot het beheren van digitale security-certificaten. EENVOUDIG TOEGANG VIA BACKDOORS Ook professionele routers kunnen echter een fundamenteel security-gat hebben. Dat geldt voor de modellen met een zogenaamde backdoor, die fabrikanten als interface gebruiken voor updates en services. Deze backdoor kan ook politie- en justitie of inlichtingendiensten toegang bieden tot de communicatie over het netwerk. De zogenaamde Patriot Act schrijft Amerikaanse fabrikanten van netwerk apparatuur zelfs voor in dergelijke backdoors te voorzien. Ook apparaten die naar Europa geëxporteerd worden kunnen een dergelijke interface hebben. Het grote gevaar van de backdoors is, dat ze ook hackers een eenvoudig te openen toegang bieden tot de IT-netwerken van ondernemingen en de data die op het netwerk zijn opgeslagen. Alleen al om die reden verdient het aanbeveling zorgvuldig na te gaan waar een netwerkapparaat werd geproduceerd. Zo zullen Duitse fabrikanten moeten voldoen aan de in Duitsland geldende privacyrichtlijnen, die bijzonder streng zijn. Apparatuur die aan deze regelgeving voldoet beschermt tegen Cyber-aanvallen en houdt afluisteren sabotagepraktijken buiten de deur. De detailhandel heeft echter niet alleen te maken met verbindingen tussen een centrale en verschillende filialen, ook binnen een winkel worden steeds hogere eisen gesteld aan de digitale beveiliging. Veel winkels beschikken tegenwoordig over multi-service-netwerken, waarbij verschillende toepassingen of gebruikers streng van elkaar gescheiden zijn. Denk bijvoorbeeld aan shop-in-shop concepten. Een dergelijk netwerk is op te bouwen door op basis van een fysiek netwerk verschillende, onafhankelijk van elkaar bestaande subnetwerken (in de vorm van VLAN s) in te richten. Tot die subnetten hebben dan steeds uitsluitend daartoe bevoegde gebruikers toegang. Door verschillende virtuele netwerken op te bouwen op een enkel vast netwerk wordt een forse kostenbesparing gerealiseerd en wordt de security vergroot. Ook voor de meer gebruikelijke WLAN-omgevingen kan netwerkvirtualisatie een rol spelen. Ook hier moet het security-aspect niet onderschat worden. In veel filialen van winkelketens zijn tegenwoordig barcode-scanners, camera s of mobile betaalsystemen in een draadloos netwerk opgenomen. Daarnaast bieden detaillisten hun klanten vaak Wifi aan, dat dan meteen voor instore-marketing-acties gebruikt kan worden. Bij het opzetten van een WLAN-infrastructuur die al deze activiteiten aan kan, moet op een veilige aansturing van al deze verschillende activiteiten gelet worden. Zo is het bijvoorbeeld aan te raden het publieke WLAN (Wifi) veilig op te bouwen en te scheiden van de communicatie door de mobiele kassasystemen. Voor die communicatie kan gebruik worden gemaakt van een PCI-compatible infrastructuur. Maximale veiligheid, tegen lage beheerskosten, wordt bereikt als de verschillende filialen niet op zichzelf opereren, maar er voorzien wordt in een IT-infrastructuur die over de hele winkelketen heen werkt. De IT-organisatie moet in staat zijn netwerkcomponenten op afstand te besturen, te bewaken en te beheren. Dit bevordert niet alleen de security, maar zorgt er ook voor dat beheer en monitoring met weinig personeel kan worden verzorgd. Digitalisering biedt de retailbranche een groot potentieel. Bij het opzetten van netwerk infrastructuren moeten IT-afdelingen echter het thema security op alle niveaus adresseren. Alleen op die manier zijn de filialen in staat nieuwe innovaties te omarmen, zoals location based service, indoor-navigatie en mobiel betalen. Ralf Koenzen, Founder en Managing Director van Lancom POSTBUS AD KROMMENIE T +49 (0) E I 30 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

17 EXPERTVISIE MCAFEE 2014: BEVEILIGING WORDT EINDELIJK EEN BUSINESSTHEMA Wat kunnen we de komende twaalf maanden verwachten op het gebied van beveiliging en cybercriminaliteit? Waar moeten organisaties echt meer aandacht aan besteden en wat voor nieuwe ontwikkelingen zijn er gaande? Een ding is zeker: het zal zeker geen business as usual zijn. HET JAAR VAN HET INTERNET OF THINGS 2014 wordt het jaar dat het Internet of Things (IoT) echt invulling gaat krijgen. Nadat het een aantal jaren vooral ging over de prachtige nieuwe mogelijkheden en zakelijke kansen die het IoT ons gaat brengen, denk ik dat we volgend jaar de eerste concrete toepassingen en diensten gaan zien. Dit betekent echter ook dat de systemen en sensoren die het IoT vormen, aantrekkelijke doelwitten worden voor cybercriminelen en hackers. Een voorbeeld: stel dat de essentiële infrastructuur van een gebied wordt aangestuurd via intelligente systemen, die beslissingen nemen op basis van informatie afkomstig van talloze sensoren in dat gebied - denk bijvoorbeeld aan het automatisch optimaliseren van de verkeerslichten op basis van het actuele verkeersaanbod. Dan zou het voor cybercriminelen of hackers heel aantrekkelijk kunnen zijn om dat systeem te verstoren door valse sensorinformatie te genereren. Plotseling staan op een kruispunt alle stoplichten tegelijkertijd op rood (of groen!), of ze gaan zich totaal onverwacht gedragen. De gevolgen laten zich raden. We moeten dus heel goed nadenken over hoe we dat IoT optimaal kunnen beveiligen. En we bevinden ons nu in de positie om dat van meet af aan goed aan te pakken, in plaats van eerst complete systemen te bouwen en daar vervolgens de beveiliging als extra aan toe te voegen. Nee, dit vraagt om geïntegreerde, intelligente en real-time beveiligingsoplossingen die al standaard embedded zijn ingebouwd in de hardware- en softwaresystemen die het Internet of Things vormen. Alleen dan kan het IoT ons ook daadwerkelijk die voordelen bieden die in theorie mogelijk zijn, zonder dat de risico s te groot worden. GEAVANCEERDE DREIGINGEN Maar ook op het meer traditionele beveiligingsvlak zal er in 2014 het nodige gebeuren. Het afgelopen jaar werd al duidelijk dat geavanceerde dreigingen - Advanced Persistent Threats (APT s) - steeds gevaarlijker worden en in aantal toenemen. We hebben het dan over dreigingen die zeer moeilijk te detecteren en te verwijderen zijn, zoals rootkits en malware dat het BIOS van systemen besmet. Deze kunnen alleen effectief bestreden worden door de beveiliging op een andere manier in te richten. Bijvoorbeeld door ervoor te zorgen dat de beveiliging al op een eerder moment actief wordt dan pas tijdens het starten van het besturingssysteem. Ook whitelisting, waarbij alleen toepassingen gestart kunnen worden die zijn goedgekeurd, zal het komende jaar een steeds grotere rol gaan spelen. De dreigingen en risico s waar organisaties mee te maken krijgen, zijn inmiddels dermate complex en breed dat effectieve bescherming en beheer niet meer mogelijk zijn wanneer de beveiliging bestaat uit allerlei individuele componenten. De tijd dat voor de servers een oplossing van leverancier A kan worden ingezet, voor de databases een product van leverancier B en voor de endpoints een oplossing van leverancier C, is voorbij. In plaats daarvan zou de beveiliging een volledig geïntegreerd geheel moeten vormen. Daarbij wordt dan informatie uit de verschillende onderdelen van de infrastructuur - het netwerk, de servers, de pc s, mobiele devices, de bedrijfsapplicaties, hardware-apparaten, etc. - gecorreleerd en op een eenduidige en overzichtelijke wijze gepresenteerd. Dit is ondertussen ook de enige manier waarmee grootschalige aanvallen of besmettingen tijdig en effectief kunnen worden bestreden. BOARDROOMTHEMA Het thema beveiliging moet volgend jaar echt een strategisch boardroomthema worden. Security is inmiddels te belangrijk voor de bedrijfsvoering en de potentiele risico s zijn groot. Maar de maatregelen die genomen moeten worden om de beveiliging op het vereiste niveau te brengen, kunnen zelf ook gevolgen hebben voor de bedrijfsvoering. Security moet daarom onderdeel zijn van de overall business-strategie, niet alleen van de ICT-strategie. Bedrijven moeten de risico s in kaart brengen en aan de hand daarvan beslissingen nemen over wat wel en wat niet beveiligd moet worden. Want die keuzes zullen gemaakt moeten worden. Daarbij is het kostenaspect natuurlijk een centrale factor. Het is zonder meer mogelijk om de kosten voor security omlaag te brengen met een geïntegreerde aanpak, want die resulteert in aanzienlijk lagere operationele kosten, terwijl het niveau van de beveiliging omhoog gaat. MKB Kleinere bedrijven beginnen zich bewust te worden van het feit dat ook zij een potentieel doelwit zijn voor cybercriminelen, hetzij via een doelgerichte aanval, hetzij door algemene malware, die iedere organisatie kan treffen. De infecties door ransomware zoals Cyberlocker zijn daar een goed voorbeeld van: bedrijven die hierdoor besmet raken, kunnen enorme schade lijden. Een van de manieren waarop kleinere organisaties - die vaak zelf niet beschikken over de benodigde kennis en tijd - hun beveiliging op orde kunnen brengen, is door in ieder geval een deel van de beveiliging te outsourcen naar een betrouwbare en deskundige partner. Denk bijvoorbeeld aan het monitoren en auditeren van de beveiliging, maar ook aan het in kaart brengen van de beveiligingsbehoeften en de beste oplossingen daarvoor. Effectieve beveiliging vraagt om meer dan alleen het installeren van een antivirusprogramma op de pc s. En juist het MKB heeft vaak waardevolle gegevens in de vorm van klantendatabases, unieke productontwerpen, etc., die beter beschermd zouden moeten worden. BEWUSTWORDING EN VOORLICHTING En tot slot zullen organisaties meer moeten doen aan de bewustwording en voorlichting over risico s en beveiliging. Bedrijven krijgen nog vaak te maken met cybercriminaliteit en dataverlies omdat medewerkers zich niet bewust zijn van bepaalde risico s. Er wordt bijvoorbeeld nog steeds blindelings op links geklikt in s of social media-berichten. Ook van de risico s van onbeveiligde mobiele privéapparaten die voor het werk gebruikt worden, zijn mensen zich lang niet altijd bewust. Hetzelfde geldt voor het zakelijk gebruik van allerlei handige clouddiensten en tools, zoals Dropbox of webmaildiensten. Bedrijven moeten zorgen voor heldere beleidsregels op dit gebied en oplossingen inzetten die ervoor te zorgen dat deze beleidsregels ook kunnen worden afgedwongen. Radboud Beumer, Regional director Northern en Eastern Europe Channel en acting Regional Director Benelux, McAfee. 32 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

18 EXPERTVISIE NORMAN Norman Safeground lanceert Norman SecureBox VEILIGE CLOUD-OPSLAG VOOR BEDRIJVEN Norman Safeground lanceert Norman SecureBox, een oplossing waarmee werknemers veilig bestanden kunnen delen en synchroniseren tussen PC s en mobiele devices en waarbij de werkgever altijd de controle heeft. VOORDELEN VAN NORMAN SECUREBOX Business class-oplossing, gebouwd voor zakelijke behoeften Vanaf de grond ontwikkeld voor de veiligheid en behoeften van het bedrijfsleven Revisiebeheer en 14 dagen online prullenbak Security first end-to-end encryptie, ook op lokale devices (256-bit AES) Controle op de locatiegegevens - altijd binnen EU, dual-datacenters met fail-over Bedrijf heeft de controle van zijn gegevens Admin tool beheert data voor werknemers i.p.v. de werknemer zelf TheftGuard - op afstand kunnen gegevens worden gewist op bijvoorbeeld verloren laptops Mappen en bestanden delen met een sterke toegangscontrole en tracking Multiplatform-ondersteuning: clients voor Windows en Mac. Apps voor iphone, ipad, Android, Windows Phone, Blackberry Beschikbare talen: DU, NL, NO, SW, IT, SP, FR, PT, PL, EN Gratis lokale (Nederlandstalige) telefoon- en ondersteuning Geleverd door een Europese leverancier. De vertrouwde beveiliging die niet alleen uw gegevens beveiligt, maar bijna al uw security behoeften (PC s, netwerk, , enz.) met een enkel contact en ondersteuningspunt Prijs: vanaf 13,- per maand, afhankelijk van aantal gebruikers, opslag en dergelijke Veel bedrijven merken dat werknemers bedrijfsdocumenten naar onveilige cloud-diensten uploaden. Recente cijfers tonen aan dat 71 procent van de werknemers zich niets aantrekt van de bedrijfsrichtlijnen of -policy op dit gebied. Daarom is veilige, eenvoudig te delen en controleerbare opslag vereist. Als bedrijven deze oplossingen niet implementeren, zullen werknemers immers zelf onveilige oplossingen gaan gebruiken en het bedrijf zal de controle verliezen. IN DE CLOUD PLAATSEN Norman SecureBox laat bedrijven veilig delen en synchroniseren en maakt een back-up van de bestanden en mappen. Veilige dataopslag is hard nodig in een wereld waarin informatie steeds breder gedeeld en toegankelijk gemaakt wordt en waar het aantal apparaten steeds maar groeit, zegt Arne Uppheim, Product Director bij Norman Safeground AS. Veel particulieren en bedrijven zijn tegenwoordig bezig met het vraagstuk hoe ze gegevens fysiek in de cloud moeten plaatsen met behoud van een goede toegankelijkheid. Norman SecureBox slaat alle gegevens op op twee volledig redundante, fysiek discrete en veilige datacenters binnen Europa. Gebruikers merken hier niets van, zelfs als één van de datacenters zou worden uitgeschakeld door een brand of ander dergelijk voorval. VERSLEUTELD IN DE KLUIS Norman SecureBox creëert een aparte ruimte op de harde schijf van de gebruiker, genaamd the vault ( de kluis ). Alle bestanden die zijn opgeslagen in de vault worden door een 256-bit encryptie (AES) beschermd. Wanneer de Norman SecureBox-toepassing wordt gesloten, dan is de vault niet zichtbaar en kan er geen ongeautoriseerde toegang plaatsvinden. Bestanden worden gewoon verplaatst naar de kluis door middel van de drag & drop-methode binnen de vertrouwde verkenner/finder. Daarmee zijn ze meteen versleuteld, is er een back-up naar de cloud van gemaakt en - indien nodig - beschikbaar voor het delen met anderen. Als bestanden per ongeluk gewist of bewerkt worden, kunnen ze opnieuw worden geladen vanuit de cloud, waar Norman SecureBox zijn back-ups opslaat. TOEZICHT EN CONTROLE BEHOUDEN Het bedrijf is en blijft eigenaar van de gegevens die zijn opgeslagen in Norman SecureBox. Beheerders kunnen toegang krijgen tot bestanden van alle werknemers en externe gebruikers, zodat ze zowel opgehaald als verwijderd kunnen worden. Het bedrijf kan gebruikmaken van gedeelde mappen. Norman SecureBox gebruikt ook Theft- Guard technologie, die de inhoud op mobiele devices beschermt. Norman SecureBox is verkrijgbaar met mobiele ondersteuning voor iphone, ipad, Android, Windows Phone en Blackberry. Als apparaten verloren of gestolen zijn, kunnen gebruikers en beheerders op afstand bestanden verwijderen, terwijl er veilig kopieën behouden blijven van de gegevens in de Norman SecureBox cloud. Verloren of gestolen devices kunnen worden gevolgd via de Google Maps-service. Norman SecureBox heeft een meldingssysteem die beheerders waarschuwt zodra er bestanden in de gedeelde vault van het bedrijf toegevoegd, verwijderd of bewerkt worden. Bestanden kunnen eveneens veilig en eenvoudig worden verzonden met Norman SecureBox. Een koppeling (link) wordt verzonden naar de ontvanger in plaats van complete grote bestanden en de ontvanger downloadt vervolgens de bestanden via deze link. Gebruikers kunnen ook veilig koppelingen (links) naar hele mappen versturen met hierin de bestanden. Deze links kunnen op verschillende manieren worden beschermd, met wachtwoorden, een limiet op het aantal toegestane downloads, een vervaldatum en melding van downloadacties. Het is een duidelijk voordeel voor klanten en partners om veilige cloud-opslag en veilige file sharing-oplossingen te hebben van Norman, in aanvulling op het bestaande productportfolio van dezelfde Noorse leverancier, concludeert Uppheim. Norman SecureBox bevat ook de volgende aanvullende functies: Online prullenbak: Wanneer een bestand wordt verwijderd uit een gedeelde vault, wordt het bestand verwijderd van alle vault -gebruikers. Een online prullenbak behandelt de bestanden, die kunnen worden hersteld indien nodig. Delta Sync: Het synchronisatieproces is razendsnel doordat alleen de inhoud van nieuwe of gewijzigde bestanden wordt bijgewerkt en niet alle bestanden. Ignore files/negeer bestanden: Zeer gevoelige bestanden worden, om veiligheidsredenen, in the vault geplaatst en er kan een speciale Ignore functie toegewezen worden, zodat zij niet kan worden gedeeld met andere gebruikers van de vault. Dezelfde functie kan ook worden gebruikt om te voorkomen dat grote bestanden worden overgezet als er geen beschikbare breedband internetverbinding is. Online file controle: Gebruikers kunnen een beveiligde verbinding gebruiken om de kluis vanaf elke computer te beheren. Bestanden kunnen ook worden geüpload, gedownload en kunnen bijgewerkt worden via de online file controle. 2Folder: Elke vault heeft zijn eigen unieke adres, zodat gebruikers rechtstreeks kunnen en met bijlagen naar the vault met behulp van hun normale -client. Maarten Prins, Marketing Communicatie Manager, Norman Data Defense Systems B.V. DIAMANTLAAN WV HOOFDDORP T E I 34 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

19 BOUWSTENEN VOOR EEN PROACTIEVE CYBERSECURITY-STRATEGIE De krantenkoppen over cyberaanvallen in het afgelopen jaar lezen als een bestseller - ze staan bol van de spionage, internationale hackers en geavanceerde wapensystemen. Cyberaanvallen op financiële organisaties, overheden en de vitale infrastructuur zijn in 2013 daadwerkelijk geëscaleerd. Deze cyberaanvallen hebben niet alleen ernstige gevolgen voor overheden, maar ook voor bedrijven die elektriciteits- en OVER PALO ALTO NETWORKS Palo Alto Networks loopt voorop in een nieuw tijdperk van cybersecurity door bescherming te bieden aan duizenden bedrijven, overheden en serviceproviders tegen cyberaanvallen. In tegenstelling tot bestaande deelproducten zorgt het next-generation security-platform van Palo Alto Networks voor het op een veilige manier uitvoeren van bedrijfsprocessen, terwijl het tegelijkertijd bescherming biedt voor essentiële factoren van hedendaagse dynamische computeromgevingen: applicaties, eindgebruikers en content. mobiele netwerken beheren. Dit betekent dat cybersecurity zich nu uitstrekt naar overheidsinstellingen en bedrijven. Erger nog: de trend voor veel van deze aanvallen lijkt zich te bewegen in de richting van vernietiging versus economische spionage. Op dit moment wordt gewerkt aan nieuwe regelgeving, bedoeld om cyberaanvallen aan te pakken. De voorzitter van de Joint Chiefs of Staff (het militaire adviesorgaan van de Amerikaanse federale overheid) brengt bijvoorbeeld gedeeltelijk veranderingen aan in de bestaande geweldsinstructies van het Amerikaanse leger, die bepalen wanneer, hoe en met welke tools Amerika reageert op een aanval. Met de nieuwe cyber-regels kunnen militaire leiders direct in de aanval gaan tegen cyberaanvallen zonder goedkeuring van het Witte Huis of de National Security Council (NSC). ROBUUSTE STRATEGIE Met het oog op de toegenomen cyber-spionage is het nodig om een robuuste cyber-security te implementeren, die alle essentiële systemen beschermt, compliant is met regelgeving en de nationale veiligheid garandeert. Maar wat zijn de fundamentele overwegingen voor het ontwikkelen van zo n strategie? De Zero Trust-principes van Forrester Research zijn om te beginnen nog steeds de basis: vertrouw niemand, onderzoek en log alle verkeer, en zorg voor veilige toegang tot alle belangrijke assets in het datacenter. De uitbreiding is dat vandaag het campus -netwerk als vlag de lading niet meer dekt. Dezelfde focus en principes dienen toegepast te worden op al het netwerkverkeer, ook het verkeer dat mobiel is via mobiele gebruikers/toestellen en in de mobiele gevirtualiseerde datacenters (wat ook wel oost-westverkeer wordt genoemd). ALTERNATIEVE ROUTES Verzuiling of netwerksegmentatie is een essentieel onderdeel van Zero Trust en is belangrijk om het bereik van een aanval te beperken. Een van de unieke overwegingen voor cyberaanvallen is het vaststellen van de wegen die aanvallers bewandelen. Interne medewerkers leken altijd de zwakste schakel te zijn in doelgerichte aanvallen, maar cyber-aanvallers kijken nu ook naar de ecosystemen van partners en leveranciers voor alternatieve routes. Er is meer inspanning nodig om toegang tot applicaties voor externe gebruikers te beveiligen en te beheren. APT S Ook moeten we het onderzoeken en loggen van alle verkeer uitbreiden naar doelgerichte, moderne en vaak onbekende malware. De term geavanceerde aanhoudende dreiging (Advanced Persistent Threat - APT) is een te eenvoudige uitleg van een meer uitgebreide, multistage, multivector aanvalstrategie die aanvallers nu gebruiken. Een nuance is dat APT eigenlijk eerder doelt op georganiseerd en op de hoofrolspelers in de actie dan moderne malware. Persistency doelt ook op het feit dat de aanvallen vaak in heel onopvallende golfjes gebeuren met als bedoeling zo lang mogelijk aanwezig te blijven in het netwerk van het doelwit. VERSNIPPERING Nogmaals, de markt beweegt zich meer richting versnipperde technologieën die proberen deze aanvalscomponent via virtuele sandbox-analyse aan te pakken. Hierdoor wordt er vaak alleen naar een heel klein gedeelte van de multistage aanval gekeken, namelijk de initiële infectie. Feit is echter dat we eigenlijk moeten aanvaarden dat een infectie altijd zal gebeuren, zelfs met sandbox-analyse in actie. ALTIJD AAN De realiteit is dus dat een robuuste cybersecurity-strategie een uitgebreide aanpak voor malware nodig heeft, die vergelijkbaar is met de life cycle-aanpak voor het infecteren van een netwerk, die de aanvaller gebruikt. Dit houdt in: alle verkeer en hoe malware zich verbergt (versleuteling, tunnels, ontwijkende tactieken) vaststellen, risicovolle applicaties en gebruikers controleren, en het onbekende beheren bovenop de virtuele sandbox-analyse, onafhankelijk van hoe het netwerk er fysiek uitziet of hoe de gebruikers connecteren; met andere woorden: een consistente altijd AAN -cybersecurity-policy die het gehele bedrijfsnetwerk afdekt. Het laatste belangrijke punt is natuurlijk een robuust systeem voor monitoring en rapportages, dat inzicht biedt in het netwerk en proactieve acties mogelijk maakt als iets verdachts is gevonden. Al met al verschillen de bouwstenen voor een robuuste cybersecurity-strategie niet wezenlijk van de security-eisen voor een traditionele onderneming. Sterker nog, inzicht in de vereiste bedrijfsapplicaties en het veilig activeren van deze toepassingen, inclusief de subfuncties, gerelateerd aan de juiste gebruikers, maken het mogelijk een focus te leggen op het beveiligen van wat toegelaten is. Deze aanpak maakt het ook mogelijk terug te grijpen op de white list die niet meer van toepassing was sinds de firewalls (ook veel next-generation firewalls) als basis de poorten moeten openzetten. Dit is een aanpak die we ook voor 2014 moeten blijven hanteren. EXPERTVISIE PALO ALTO NETWORKS Stijn Rommens, Manager Systems Engineering Northern Europe, Palo Alto Networks MEDIARENA CZ DUIVENDRECHT T E I 36 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

20 EXPERTVISIE SOGETI Zekerheid doet beter zakendoen VEILIG VOELEN OF VEILIG ZIJN Denk je aan Volvo, dan denk je aan veiligheid. En ongetwijfeld spreek je dan van goede marketing. Tegelijkertijd is er meer aan de hand. Volvo is ervan overtuigd, dat je geen concessies doet op veiligheid van mensen wanneer je van a naar b rijdt. Ze innoveren voortdurend in beveiliging waarmee rijden zonder zorgen wordt gewaarborgd. Dat zou ook voor de informatievoorziening van overheid en bedrijfsleven moeten gelden. Security in de genen van een organisatie waarmee je meer en beter zakendoet. Helaas is dat niet altijd het geval. Nog steeds nemen veel organisaties beveiligingsmaatregelen omdat het moet. Wet- en regelgeving verplicht bedrijven en instellingen daartoe. Of het is iets dat nog wel een keer aan de orde komt. Of die andere afdeling gaat daar wel voor zorgen. Maak het tastbaar en concreet, is mijn advies. Veilige informatievoorziening is de mate waarin de belevingswereld overeenkomt met de realiteit. Alleen op basis van zekerheid, wil je en kun je beter beslissingen nemen, ofwel zakendoen. Informatiebeveiliging is het middel waarmee je acteert op basis van feiten in plaats van gevoel. Dat is een doorlopend proces in een omgeving waar verandering de enige constante is. Ieder organisatie-asset doorloopt zijn eigen levenscyclus; bedenken, beschrijven, bouwen, beoordelen, benutten, bewerken dan wel beëindigen. In elke fase van deze levenscyclus kunnen gevoel en realiteit uiteen lopen. Ons advies is daarom het volgen van een Secure Development Lifecycle. Daarmee worden problemen direct opgelost waar ze ontstaan. Op deze manier wordt informatiebeveiliging een integraal onderdeel van de levenscyclus van bedrijfsactiviteiten. Hogere kwaliteit is het gevolg. En producten of diensten gaan sneller de markt op. In één keer goed wordt werkelijkheid met een Secure Development Lifecycle. Helaas is de inzet van zo n Secure Development Lifecycle niet altijd direct toepasbaar. In situaties waar alles volledig up & running is, is teruggaan naar eerdere ontwikkelfases geen optie. Voor bestaande informatiesystemen worden bedreigingen en zwakheden in kaart gebracht. Anders gezegd, applicaties worden getest op hun mate van veiligheid. Uiteraard niet zonder eerst de waarde van deze systemen te kennen. Op een waardeloze oude fiets zet je natuurlijk ook geen slot van 200 euro. Voor minder kritische applicaties kun je volstaan met een volledig geautomatiseerde test. Vergelijkbaar met de crashtest van NCAP (New Car Assessment Program). Specifieke tools signaleren veel voorkomende situaties die als zwakheid worden aangemerkt. Een geautomatiseerde test is snel en herhaaldelijk uit te voeren. Door patroonherkenning krijg je gelijk inzicht in de zwakte van het systeem. Het risico van patroonherkenning is de zogenaamde false positive. Er wordt iets herkend zonder dat dit werkelijk een bevinding is. Dan is het raadzaam een handmatige check te doen op de uitkomsten. Dan weet je zeker of het al dan niet werkelijke bevindingen zijn. En voorkom je verspilling van tijd en geld om het probleem op te lossen. Hoe specifiek deze test tooling ook is, het blijven generalistische tools voor het automatisch testen van informatiesystemen. Ze snappen hoe een applicatie werkt en communiceert, maar in beide gevallen niet het hoe en waarom. Zo maakt de tool bijvoorbeeld geen onderscheid tussen een website en een bedrijfsapplicatie. Een handmatige gedegen test verdient de voorkeur bij bedrijfskritische applicaties. De automatische test kan daarmee ook worden uitgebreid. Zo komen afwijkende gevallen wel naar boven als er geen sprake is van bekende patronen. Het gaat uiteindelijk om het risiconiveau. Is er sprake van verantwoord of onverantwoord risico? De gevonden zwakheid kan dezelfde zijn. Echter, de impact van dit risico kan per scenario enorm verschillen. Zo is er een groot verschil in risico van een vergelijkbare zwakheid in bijvoorbeeld een database van een grote bank of eentje van uit te faseren boeken in een bibliotheek. Voor deze situaties is een pentest het devies. Daarmee komen zwakheden in scenario s boven tafel. En op die manier worden echte risico s in kaart gebracht. Uiteraard gebeurt dit vooral bij bedrijfskritische applicaties. Een gedegen risico-analyse is nodig om de juiste maatregelen te nemen. Als eenmaal bestaande informatiesystemen volledig getest zijn op hun veiligheid, is het een goed moment om Secure Development Lifecycle toe te passen. Dan kun je tenslotte proactief te werk gaan. Niet anders dan Volvo. Als veiligheid in de genen van organisaties zit, geeft dat overal en altijd de zekerheid dat veiligheid gewaarborgd is. Als deze security genen van toepassing zijn, verbindt dat bovendien mensen en afdelingen. Waar zaken veelal over de spreekwoordelijke schutting van een andere afdeling worden gegooid, ontstaat nu samenwerking. Gebaseerd op gemeenschappelijke genen. Samen innoveren, horizon verbreden en nieuwe ervaringen opdoen. Dat is evengoed van toepassing voor de weg naar de cloud, Big Data of de inzet van Bring Your Own Device. Voor al deze thema s geldt dat security integraal onderdeel is, en zo een bindende factor is voor deze technologische ontwikkelingen. Gelukkig staat security als enabler ofwel veiligheid die meer mogelijk maakt, steeds hoger op de bedrijfsagenda. De wil komt er wel omdat organisaties, net als Volvo, ervan overtuigd zijn, dat beveiligingsacties werkelijk leiden tot meer en beter zakendoen. Marinus Kuivenhoven, Senior Security consultant van Sogeti LANGE DREEF NJ VIANEN T E I 38 INFOSECURITY MAGAZINE - NR. 5 - DECEMBER

IBM; dataopslag; storage; infrastructuur; analytics; architectuur; big data

IBM; dataopslag; storage; infrastructuur; analytics; architectuur; big data Asset 1 van 10 Big Data Analytics voor Dummies Gepubliceerd op 30 june 2014 Gelimiteerde editie van de populaire Dummies-reeks, speciaal voor managers. Het boek legt uit waarom Big Data Analytics van cruciaal

Nadere informatie

Datadiefstal: Gone in 60 Seconds!

Datadiefstal: Gone in 60 Seconds! Datadiefstal: Gone in 60 Seconds! Didacticum Solutions Datadiefstal en ontwikkelingen Het komt regelmatig voor: klantgegevens of intellectuele eigendommen van bedrijven worden door hackers gestolen. Denk

Nadere informatie

Asset 1 van 17. Mobile Application Management en security. Gepubliceerd op 18 april 2015

Asset 1 van 17. Mobile Application Management en security. Gepubliceerd op 18 april 2015 Asset 1 van 17 Mobile Application Management en security Gepubliceerd op 18 april 2015 Veel organisaties hebben de afgelopen jaren hun eigen mobiele enterprise apps ontwikkeld. De data hierin is potentieel

Nadere informatie

Nationale IT Security Monitor 2015. Peter Vermeulen Pb7 Research

Nationale IT Security Monitor 2015. Peter Vermeulen Pb7 Research Nationale IT Security Monitor 2015 Peter Vermeulen Over het Onderzoek Jaarlijks terugkerende vragen Organisatie en beleid Investeringen en groei 2015 Thema s Databeveiliging (incl. Algemene Data Protectie

Nadere informatie

Factsheet DATALEKKEN COMPLIANT Managed Services

Factsheet DATALEKKEN COMPLIANT Managed Services Factsheet DATALEKKEN COMPLIANT Managed Services DATALEKKEN COMPLIANT Managed Services We ontwerpen en implementeren security maatregelen om datalekken te detecteren en het risico daarop te minimaliseren.

Nadere informatie

Het Sebyde aanbod. Secure By Design

Het Sebyde aanbod. Secure By Design Het Sebyde aanbod Secure By Design Ons aanbod Security Scan Secure Development Security Awareness Security Assessment 1. Security Scan > Scan van uw web applicatie(s) op kwetsbaarheden. Hiervoor gebruiken

Nadere informatie

Uw bedrijf beschermd tegen cybercriminaliteit

Uw bedrijf beschermd tegen cybercriminaliteit Uw bedrijf beschermd tegen cybercriminaliteit MKB is gemakkelijke prooi voor cybercriminelen Welke ondernemer realiseert zich niet af en toe hoe vervelend het zou zijn als er bij zijn bedrijf wordt ingebroken?

Nadere informatie

HOE OMGAAN MET DE MELDPLICHT DATALEKKEN?

HOE OMGAAN MET DE MELDPLICHT DATALEKKEN? HOE OMGAAN MET DE MELDPLICHT DATALEKKEN? EEN HANDIGE CHECKLIST In deze whitepaper bieden we u handvatten die u kunnen helpen bij de implementatie van de meldplicht datalekken binnen uw organisatie. We

Nadere informatie

INFORMATIEBEVEILIGING: WAAR STAAT U NU?

INFORMATIEBEVEILIGING: WAAR STAAT U NU? INFORMATIEBEVEILIGING: WAAR STAAT U NU? HANDIGE CHECKLISTS VOOR DE OVERHEIDSSECTOR In deze whitepaper bieden we u handvatten en checklists voor hoe u om kunt gaan met de nieuwe meldplicht datalekken. Steeds

Nadere informatie

Veilig mobiel werken. Workshop VIAG 7 oktober 2013

Veilig mobiel werken. Workshop VIAG 7 oktober 2013 1 Veilig mobiel werken Workshop VIAG 7 oktober 2013 Stelling 1: 2 Heeft u inzicht in de opbrengsten van mobiel werken Ja, dit biedt veel toegevoegde waarde voor de organisatie Ja, dit biedt geen toegevoegde

Nadere informatie

Bescherming tegen de gevolgen van cyber risico s. Bedrijfsverzekeringen. CyberEdge van AIG

Bescherming tegen de gevolgen van cyber risico s. Bedrijfsverzekeringen. CyberEdge van AIG Bescherming tegen de gevolgen van cyber risico s Bedrijfsverzekeringen CyberEdge van AIG Wat zijn cyber risico s? Cyber risico s zijn een vaststaand gegeven in een wereld van informatie, informatiesystemen

Nadere informatie

Unified Enterprise Security wordt geleverd door onze strategische partner Masergy, de wereldspeler in global communications en security.

Unified Enterprise Security wordt geleverd door onze strategische partner Masergy, de wereldspeler in global communications en security. Het verlengstuk van uw IT security operations: altijd (24x7) de beste expertise en meest actuele kennis, geïntegreerd zicht op wat er gebeurt in uw datacenter en eerder en Security as a Service Het verlengstuk

Nadere informatie

Cloud Computing, een inleiding. ICT Accountancy & Financials congres 2013: Cloud computing en efactureren. Jan Pasmooij RA RE RO: jan@pasmooijce.

Cloud Computing, een inleiding. ICT Accountancy & Financials congres 2013: Cloud computing en efactureren. Jan Pasmooij RA RE RO: jan@pasmooijce. Cloud Computing, een inleiding ICT Accountancy & Financials congres 2013: Cloud computing en efactureren 10 december 2013 Jan Pasmooij RA RE RO: jan@pasmooijce.com 10 december 2013 1 Kenmerken van Cloud

Nadere informatie

Berry Kok. Navara Risk Advisory

Berry Kok. Navara Risk Advisory Berry Kok Navara Risk Advisory Topics Informatiebeveiliging in het nieuws Annual Benchmark on Patient Privacy & Data Security Informatiebeveiliging in de zorg Extra uitdaging: mobiel Informatiebeveiliging

Nadere informatie

De Uitdagingen van Mobiele Apparaten Managen

De Uitdagingen van Mobiele Apparaten Managen Kaseya Onderzoek De Uitdagingen van Mobiele Apparaten Managen 2011 www.kaseya.nl Over dit rapport In dit rapport worden de resultaten gepresenteerd van een onderzoek dat door Kaseya is geïnitieerd en uitgevoerd

Nadere informatie

Geef uw onderneming vleugels. Met de soepele werkprocessen

Geef uw onderneming vleugels. Met de soepele werkprocessen Geef uw onderneming vleugels Met de soepele werkprocessen van Dutchict Cloud Online functionaliteiten Managed Cloud Online functio U wilt uw documenten overal kunnen beheren en delen. Maar applicaties

Nadere informatie

Factsheet SECURITY CONSULTANCY Managed Services

Factsheet SECURITY CONSULTANCY Managed Services Factsheet SECURITY CONSULTANCY Managed Services SECURITY CONSULTANCY Managed Services We adviseren u over passende security-maatregelen voor uw digitale platform. Zo helpen we u incidenten als datadiefstal

Nadere informatie

IT-security bij kleine ondernemingen 10-2013

IT-security bij kleine ondernemingen 10-2013 IT-security bij kleine ondernemingen 10-2013 Analyse Peter Vermeulen, Directeur Pb7 Research: Het onderzoek laat zien dat kleinzakelijke ondernemingen zich vooral baseren op resultaten die in het verleden

Nadere informatie

Factsheet SECURITY SCANNING Managed Services

Factsheet SECURITY SCANNING Managed Services Factsheet SECURITY SCANNING Managed Services SECURITY SCANNING Managed Services We maken inzichtelijk op welke punten u de beveiliging van uw applicaties en infrastructuur kunt verbeteren. Met onze Security

Nadere informatie

Asset 1 van 5. Consumerisation of IT vraagt andere aanpak beheer. Gepubliceerd op 1 march 2014

Asset 1 van 5. Consumerisation of IT vraagt andere aanpak beheer. Gepubliceerd op 1 march 2014 Asset 1 van 5 Consumerisation of IT vraagt andere aanpak beheer Gepubliceerd op 1 march 2014 De grenzen tussen werk en privé vervagen en steeds vaker wordt technologie van thuis op het werk gebruikt. Bring

Nadere informatie

Certified Ethical Hacker v9 (CEH v9)

Certified Ethical Hacker v9 (CEH v9) Certified Ethical Hacker v9 (CEH v9) Opleiding van 8 sessies Start: 18-02-2016, Tramstraat 63, 9052 Zwijnaarde Lesdata van deze opleiding: 18/02/2016 ( 09:00-12:00 ) 18/02/2016 ( 13:00-16:00 ) 19/02/2016

Nadere informatie

BEVEILIGINGSARCHITECTUUR

BEVEILIGINGSARCHITECTUUR BEVEILIGINGSARCHITECTUUR Risico s onder controle Versie 1.0 Door: drs. Ir. Maikel J. Mardjan MBM - Architect 2011 cc Organisatieontwerp.nl AGENDA Is een beveiligingsarchitectuur wel nodig? Oorzaken beveiligingsincidenten

Nadere informatie

Whitepaper. Veilig de cloud in. Whitepaper over het gebruik van Cloud-diensten deel 1. www.traxion.com

Whitepaper. Veilig de cloud in. Whitepaper over het gebruik van Cloud-diensten deel 1. www.traxion.com Veilig de cloud in Whitepaper over het gebruik van Cloud-diensten deel 1 www.traxion.com Introductie Deze whitepaper beschrijft de integratie aspecten van clouddiensten. Wat wij merken is dat veel organisaties

Nadere informatie

Informatiebeveiliging voor gemeenten: een helder stappenplan

Informatiebeveiliging voor gemeenten: een helder stappenplan Informatiebeveiliging voor gemeenten: een helder stappenplan Bewustwording (Klik hier) Structureren en borgen (Klik hier) Aanscherping en maatwerk (Klik hier) Continu verbeteren (Klik hier) Solviteers

Nadere informatie

De impact van Edward Snowden s onthullingen over de NSA

De impact van Edward Snowden s onthullingen over de NSA cloud innovation by Macaw De impact van Edward Snowden s onthullingen over de NSA Rumoer in de cloud, of toch niet... De onthullingen van Edward Snowden hebben een zeer gevoelige snaar geraakt bij Nederlandse

Nadere informatie

Bring it Secure. Whitepaper

Bring it Secure. Whitepaper Whitepaper Imtech ICT Communication Solutions, Rivium Boulevard 41 2909 LK Capelle a/d IJssel T +31 88 988 96 00, info.cs@imtech.nl, www.imtech.nl/cs Imtech Vandaag de dag moet security een standaard

Nadere informatie

Het Sebyde aanbod. Secure By Design. AUG 2012 Sebyde BV

Het Sebyde aanbod. Secure By Design. AUG 2012 Sebyde BV Het Sebyde aanbod Secure By Design AUG 2012 Sebyde BV Wat bieden wij aan? 1. Web Applicatie Security Audit 2. Secure Development 3. Security Awareness Training 4. Security Quick Scan 1. Web Applicatie

Nadere informatie

DATAPRIVACY. Wet- en regelgeving, Cloud, beveiligingpersoonsgegevens. Whitepaper ````

DATAPRIVACY. Wet- en regelgeving, Cloud, beveiligingpersoonsgegevens. Whitepaper ```` Naar aanleiding van de recente onthullingen rondom de NSA, de Patriot act en PRISM is er veel onduidelijkheid voor organisaties of hun gegevens wel veilig en voldoende beschermd zijn. Op 1 januari 2016

Nadere informatie

SSA 2015 Onderzoek Integrale Beveiliging: hoe werken IT beveiliging en beveiligers beter samen. Peter Vermeulen Pb7 Research

SSA 2015 Onderzoek Integrale Beveiliging: hoe werken IT beveiliging en beveiligers beter samen. Peter Vermeulen Pb7 Research SSA 2015 Onderzoek Integrale Beveiliging: hoe werken IT beveiliging en beveiligers beter samen Peter Vermeulen Pb7 Research Samenwerken? Digitalisering op de agenda Stellingen (% eens) Bron: Enterprise

Nadere informatie

Robert de Heer. IT Service Group. Cybercrime. Grote markt

Robert de Heer. IT Service Group. Cybercrime. Grote markt uw thema vandaag DE WET OP DATALEKKEN Robert de Heer IT Service Group Wakker worden! Security noodzaak voor u en uw bedrijf het geluid van ondernemers uw gastheer Pieter van Egmond Weet U Internet is de

Nadere informatie

Sim as a Service. Veilig en betrouwbaar beheer op afstand van systemen via M2M datacommunicatie

Sim as a Service. Veilig en betrouwbaar beheer op afstand van systemen via M2M datacommunicatie Sim as a Service Veilig en betrouwbaar beheer op afstand van systemen via M2M datacommunicatie RAM Mobile Data Sim as a Service Veilig en betrouwbaar beheer op afstand van systemen via M2M datacommunicatie

Nadere informatie

We maken inzichtelijk op welke punten u de beveiliging van uw applicaties en infrastructuur kunt verbeteren.

We maken inzichtelijk op welke punten u de beveiliging van uw applicaties en infrastructuur kunt verbeteren. Managed Services Managed Services We maken inzichtelijk op welke punten u de beveiliging van uw applicaties en infrastructuur kunt verbeteren. Met onze Security Management diensten bewaken we de continuïteit

Nadere informatie

HOE EENVOUDIG IS HET OM GEBRUIK TE MAKEN VAN CLOUD COMPUTING?

HOE EENVOUDIG IS HET OM GEBRUIK TE MAKEN VAN CLOUD COMPUTING? Innervate: Januari 2011 WHITEPAPER CLOUD COMPUTING HOE EENVOUDIG IS HET OM GEBRUIK TE MAKEN VAN CLOUD COMPUTING? Lees hier in het kort hoe u zich het best kunt bewegen in de wereld van cloud computing

Nadere informatie

Partneren met een Cloud broker

Partneren met een Cloud broker Partneren met een Cloud broker Vijf redenen om als reseller te partneren met een Cloud broker Introductie Cloud broker, een term die je tegenwoordig vaak voorbij hoort komen. Maar wat is dat nu precies?

Nadere informatie

BEST PRACTICES MOBILE DEVICE MANAGEMENT EN MOBILE SECURITY.

BEST PRACTICES MOBILE DEVICE MANAGEMENT EN MOBILE SECURITY. BEST PRACTICES MOBILE DEVICE MANAGEMENT EN MOBILE SECURITY. With Kaspersky, now you can. kaspersky.nl/business Be Ready for What s Next INHOUD Pagina 1. 24/7 MOBIELE TOEGANG...2 2. MOBILE DEVICE MANAGEMENT

Nadere informatie

We helpen u security-incidenten te voorkomen

We helpen u security-incidenten te voorkomen Managed Services Managed Services We adviseren u over passende security-maatregelen voor uw digitale platform. Zo helpen we u incidenten als datadiefstal te voorkomen en behoeden we u voor imagoschade.

Nadere informatie

Meest mobiele organisatie van Nederland

Meest mobiele organisatie van Nederland Resultaten onderzoek Meest mobiele organisatie van Nederland Juni 2013 Uitkomsten onderzoek onder top organisaties in Nederland Uitgevoerd door Keala Research & Consultancy in de periode mei tot en met

Nadere informatie

Factsheet SECURITY SCANNING Managed Services

Factsheet SECURITY SCANNING Managed Services Factsheet SECURITY SCANNING Managed Services SECURITY SCANNING Managed Services We maken inzichtelijk op welke punten u de beveiliging van uw applicaties en infrastructuur kunt verbeteren. Met onze Security

Nadere informatie

INFORMATIEBEVEILIGING VOOR WEBWINKELS

INFORMATIEBEVEILIGING VOOR WEBWINKELS INFORMATIEBEVEILIGING VOOR WEBWINKELS HANDIGE CHECKLISTS In deze whitepaper bieden we u tips en checklists die kunnen bijdragen aan een optimale beveiliging van zowel uw eigen data als die van uw klanten.

Nadere informatie

Beveiligingsbeleid Stichting Kennisnet

Beveiligingsbeleid Stichting Kennisnet Beveiligingsbeleid Stichting Kennisnet AAN VAN Jerry van de Leur (Security Officer) DATUM ONDERWERP Disclaimer: Kennisnet geeft geen enkele garantie, met betrekking tot de geschiktheid voor een specifiek

Nadere informatie

Staat u wel eens stil bij de datarisico s die u loopt? verzekering bedrijfsrisico hypotheek pensioen

Staat u wel eens stil bij de datarisico s die u loopt? verzekering bedrijfsrisico hypotheek pensioen Staat u wel eens stil bij de datarisico s die u loopt? verzekering bedrijfsrisico hypotheek pensioen Kinderen van een jaar weten tegenwoordig al de weg op een tablet. De computer en het internet zijn niet

Nadere informatie

Cloud Computing. -- bespiegelingen op de cloud -- MKB Rotterdam, 10 november 2015. Opvallend betrokken, ongewoon goed

Cloud Computing. -- bespiegelingen op de cloud -- MKB Rotterdam, 10 november 2015. Opvallend betrokken, ongewoon goed Cloud Computing -- bespiegelingen op de cloud -- MKB Rotterdam, 10 november 2015 Opvallend betrokken, ongewoon goed Agenda Inleiding Mijn achtergrond Over Innvolve Cloud Computing Overwegingen Afsluiting

Nadere informatie

Security Management Trendonderzoek. Chloë Hezemans

Security Management Trendonderzoek. Chloë Hezemans Security Management Trendonderzoek Chloë Hezemans Security Management Survey (5 e editie) Agenda Voorstellen Methode Trends Opvallende resultaten deze editie Security Management 2020? Voorstellen Chloë

Nadere informatie

Je bent zichtbaarder dan je denkt Een programma over cyber security awareness. Informatie voor managers

Je bent zichtbaarder dan je denkt Een programma over cyber security awareness. Informatie voor managers Je bent zichtbaarder dan je denkt Een programma over cyber security awareness Informatie voor managers Je bent zichtbaarder dan je denkt Informatie voor managers 2 Voorwoord Het cybersecuritybeeld van

Nadere informatie

De Meldplicht Datalekken. mr. N. Falot 8 oktober 2015

De Meldplicht Datalekken. mr. N. Falot 8 oktober 2015 De Meldplicht Datalekken mr. N. Falot 8 oktober 2015 Over Considerati Wij zijn het leidend juridisch adviesbureau gespecialiseerd in Privacy, ICT recht en Beleidsvraagstukken Uitgebreide ervaring met privacy

Nadere informatie

Profiteer van veranderende technologieën

Profiteer van veranderende technologieën Profiteer van veranderende technologieën Lees hoe Managed Services Providers u kunnen helpen profiteren van de nieuwste ontwikkelingen Uitdagingen en kansen in veranderende technologieën Ontwikkelingen

Nadere informatie

De Exact MKB Cloud Barometer: Kansen in de Cloud voor het MKB. Peter Vermeulen Pb7 Research i.o.v. Exact

De Exact MKB Cloud Barometer: Kansen in de Cloud voor het MKB. Peter Vermeulen Pb7 Research i.o.v. Exact De Exact MKB Cloud Barometer: Kansen in de Cloud voor het MKB Peter Vermeulen Pb7 Research i.o.v. Exact Veldwerk Doel van de Exact MKB Cloud Barometer Hoeveel waarde haalt het MKB uit de cloud? Hoe kunnen

Nadere informatie

Introduceert KASPERSKY ENDPOINT SECURITY FOR BUSINESS

Introduceert KASPERSKY ENDPOINT SECURITY FOR BUSINESS Introduceert KASPERSKY ENDPOINT SECURITY FOR BUSINESS 1 Business strategieën en de impact voor de IT FLEXIBILITEIT Snel handelen met wendbaarheid en flexibiliteit Voor 66% van de organisaties staat flexibiliteit

Nadere informatie

Garandeer de continuïteit van uw dienstverlening

Garandeer de continuïteit van uw dienstverlening Whitepaper Garandeer de continuïteit van uw dienstverlening Hoe voorkomt u downtime? Hoe vermindert u de impact als het toch optreedt? Hoe bent u zo snel mogelijk weer online? INHOUD» Technische mogelijkheden»

Nadere informatie

PQR Lifecycle Services. Het begint pas als het project klaar is

PQR Lifecycle Services. Het begint pas als het project klaar is PQR Lifecycle Services Het begint pas als het project klaar is IT wordt een steeds crucialer onderdeel van de dagelijkse bedrijfsvoering. Waar u ook bent, het moet altijd beschikbaar en binnen bereik zijn.

Nadere informatie

Sr. Security Specialist bij SecureLabs

Sr. Security Specialist bij SecureLabs Wie ben ik? Ronald Kingma, CISSP ronald@securelabs.nl Sr. Security Specialist bij SecureLabs Introductie SecureLabs Voorheen ISSX Code of Conduct Real Penetration Testing Vulnerability Management Veiligheidsincidenten

Nadere informatie

Zwaarbewolkt met kans op neerslag

Zwaarbewolkt met kans op neerslag 8 ControllersMagazine januari - februari 2015 automatisering Zwaarbewolkt met kans op neerslag Cloud was het woord van 2014. Het gaat hierbij om hard- en software die niet meer hoeft te worden aangeschaft

Nadere informatie

het digitale landschap van de zorg in 2016

het digitale landschap van de zorg in 2016 het digitale landschap van de zorg in 2016 zorg & ict 6 april 2016 Presentatoren Erik van Laar CEO Multrix Peter Vermeulen Pb7 Research het digitale landschap van de zorg in 2016 / Onderzoek uitgevoerd

Nadere informatie

INFORMATIEVEILIGHEID. een uitdaging van ons allemaal. ICT Noord, Harro Spanninga

INFORMATIEVEILIGHEID. een uitdaging van ons allemaal. ICT Noord, Harro Spanninga INFORMATIEVEILIGHEID een uitdaging van ons allemaal ICT Noord, Harro Spanninga Agenda Toelichting op de Taskforce BID Introductie thema Informatieveiligheid Technisch perspectief Perspectief van de overheid

Nadere informatie

Cloud computing Helena Verhagen & Gert-Jan Kroese

Cloud computing Helena Verhagen & Gert-Jan Kroese Cloud computing Helena Verhagen & Gert-Jan Kroese Privacy Better business through better privacy Juridisch kader cloud computing Meldplicht datalekken Tips & Tricks Vragen? 2 Privacy https://www.youtube.com/watch?v=xyzthipktqg

Nadere informatie

Onze gedifferentieerde benadering tot de Intelligent Workload Management markt

Onze gedifferentieerde benadering tot de Intelligent Workload Management markt Onze gedifferentieerde benadering tot de Intelligent Workload Management markt de markt 1 het IT-landschap is aan het veranderen De risico's en uitdagingen van computerservices in meerdere omgevingen moeten

Nadere informatie

5 CLOUD MYTHES ONTKRACHT

5 CLOUD MYTHES ONTKRACHT 5 CLOUD MYTHES ONTKRACHT Na enkele jaren ervaring met de cloud, realiseren zowel gebruikers als leveranciers zich dat enkele van de vaakst gehoorde mythes over cloud computing eenvoudigweg... niet waar

Nadere informatie

VOOR EN NADELEN VAN DE CLOUD

VOOR EN NADELEN VAN DE CLOUD VOOR EN NADELEN VAN DE CLOUD VOOR EN NADELEN VAN DE CLOUD Cloud storage. Back-up in de cloud. Er zijn verschillende benamingen voor diensten die computergebruikers in staat stellen om hun documenten en

Nadere informatie

2012 2011 Onderzoek naar voorbereiding op noodgevallen BEVINDINGEN IN EMEA

2012 2011 Onderzoek naar voorbereiding op noodgevallen BEVINDINGEN IN EMEA 2012 2011 Onderzoek naar voorbereiding op noodgevallen BEVINDINGEN IN EMEA INHOUD Inleiding........................................................................ 3 Methodologie....................................................................

Nadere informatie

Dataprotectie op school

Dataprotectie op school Dataprotectie op school ook een taak van het management Jacques Verleijen Wat is informatieveiligheid? Mogelijke actoren Netwerkschijven Cloud Backup- en restoremogelijkheden Encryptie Servers Firewalls

Nadere informatie

MASTERCLASS MOBILE DEVICE SECURITY CLOUD COMPUTING, SMARTPHONES, EN SECURITY

MASTERCLASS MOBILE DEVICE SECURITY CLOUD COMPUTING, SMARTPHONES, EN SECURITY MASTERCLASS MOBILE DEVICE SECURITY CLOUD COMPUTING, SMARTPHONES, EN SECURITY Hans Breukhoven BlinkLane Consulting 18 September 2012 2 Wie ben ik? Partner bij BlinkLane Consulting Interim IT-manager & adviseur

Nadere informatie

Top 5 verrassende IT- security Issues (en wat kan eraan gedaan worden)

Top 5 verrassende IT- security Issues (en wat kan eraan gedaan worden) Michel Harberts, Solution Architect Security ing. Nyree Lemmens Ph.D., IT Business Manager Top 5 verrassende IT- security Issues (en wat kan eraan gedaan worden) In dit whitepaper belichten we 5 IT- security

Nadere informatie

Executive Briefing Managing Data Center Performance 2013 en verder

Executive Briefing Managing Data Center Performance 2013 en verder Managing Data Center Performance 2013 en verder Voor bedrijven in het economische gebied EMEA is de grootste uitdaging bij de exploitatie van hun rekencentra het zorgen voor de beschikbaarheid van services

Nadere informatie

Fors besparen op uw hostingkosten

Fors besparen op uw hostingkosten Whitepaper Fors besparen op uw hostingkosten Hoe kunt u een kostenvoordeel behalen zonder dat dat ten koste gaat van de kwaliteit van uw dienstverlening? INHOUD» De hostingmarkt» Cloud technologie» Uitbesteden

Nadere informatie

De Enterprise Security Architectuur

De Enterprise Security Architectuur De Enterprise Security Architectuur Martijn Doedens Security Consultant Peter Mesker CTO IT SECURITY IS TOPSPORT! Wat is de definitie?! Een enterprise security architectuur omvat alle noodzakelijke elementen

Nadere informatie

ComPromise Cross Info Event 7 november 2013

ComPromise Cross Info Event 7 november 2013 ComPromise Cross Info Event 7 november 2013 Kees Woortmeijer en Maurice de Wit Grip op ICT ICT de klok rond Passie voor ICT ICT met een glimlach Kennis van ICT Inhoud ComPromise Strategie en ontwikkelingen

Nadere informatie

Onderzoek IS Interned Services wijst uit: Back-up en archivering van bedrijfsinformatie met name pijnpunt binnen MKB

Onderzoek IS Interned Services wijst uit: Back-up en archivering van bedrijfsinformatie met name pijnpunt binnen MKB Onderzoek IS Interned Services wijst uit: Back-up en archivering van bedrijfsinformatie met name pijnpunt binnen MKB Onderzoek IS Interned Services wijst uit: Back-up en archivering van bedrijfsinformatie

Nadere informatie

Beveiligingsmaatregelen voor een doeltreffende Cyber verdediging

Beveiligingsmaatregelen voor een doeltreffende Cyber verdediging Beveiligingsmaatregelen voor een doeltreffende Cyber verdediging ivo.depoorter@v-ict-or.be V-ICT-OR Vlaamse ICT organisatie Ons overkomt dit niet.of toch? Inschatting Risico Kans X Schade Zijn wij een

Nadere informatie

Werkplekvisie. Hans van Zonneveld Senior Consultant Winvision

Werkplekvisie. Hans van Zonneveld Senior Consultant Winvision Werkplekvisie Hans van Zonneveld Senior Consultant Winvision De essentie De gebruiker centraal Verschillende doelgroepen Verschillende toepassingen Verschillende locaties Het beschikbaar

Nadere informatie

Zarafa Email en Agenda

Zarafa Email en Agenda Pagina 1 van 6 Zarafa Email en Agenda Altijd en overal kunnen beschikken over je email, een up-to-date agenda en al je contactpersonen? Direct een mailtje terug kunnen sturen? Een nieuwe afspraak kunnen

Nadere informatie

Digiveiligheid en kwalificaties. Fred van Noord (PvIB, VKA) Marcel Spruit (HHS, PBLQ/HEC)

Digiveiligheid en kwalificaties. Fred van Noord (PvIB, VKA) Marcel Spruit (HHS, PBLQ/HEC) Digiveiligheid en kwalificaties Fred van Noord (PvIB, VKA) Marcel Spruit (HHS, PBLQ/HEC) Digiveiligheid en functioneel beheer Functioneel beheer Informatiebeveiliging ICT-beveiliging Specificeren BIV Ongewenste

Nadere informatie

Een veilige draadloze internet-en netwerkverbinding in uw gemeente, voor u en uw burgers. Hoe pakt u dit aan? impakt.be

Een veilige draadloze internet-en netwerkverbinding in uw gemeente, voor u en uw burgers. Hoe pakt u dit aan? impakt.be Een veilige draadloze internet-en netwerkverbinding in uw gemeente, voor u en uw burgers. Hoe pakt u dit aan? IMPAKT Secure ICT IMPAKT is meer dan 25 jaar actief in België en Luxemburg als ICT beveiliging

Nadere informatie

GOEDE ZORG VOOR ONDERZOEKSDATA.

GOEDE ZORG VOOR ONDERZOEKSDATA. GOEDE ZORG VOOR ONDERZOEKSDATA. Ziekenhuislaboratorium LabWest vertrouwt IT-infrastructuur toe aan Sentia Sinds 2011 werken verschillende ziekenhuizen in en rondom Den Haag met een gezamenlijke laboratoriumorganisatie.

Nadere informatie

Hoe kunt u profiteren van de cloud? Whitepaper

Hoe kunt u profiteren van de cloud? Whitepaper Hoe kunt u profiteren van de cloud? Whitepaper Auteur: Roy Scholten Datum: woensdag 16 september, 2015 Versie: 1.1 Hoe u kunt profiteren van de Cloud Met de komst van moderne technieken en de opmars van

Nadere informatie

Programma kennisdag PRESENTATIE ONDERZOEK HET DIGITALE LANDSCHAP VAN DE ZORG IN 2016 STICHTING ZORGCENTRA RIVIERENLAND OVER WERKEN VANUIT DE CLOUD.

Programma kennisdag PRESENTATIE ONDERZOEK HET DIGITALE LANDSCHAP VAN DE ZORG IN 2016 STICHTING ZORGCENTRA RIVIERENLAND OVER WERKEN VANUIT DE CLOUD. Programma kennisdag PRESENTATIE ONDERZOEK HET DIGITALE LANDSCHAP VAN DE ZORG IN 2016 STICHTING ZORGCENTRA RIVIERENLAND OVER WERKEN VANUIT DE CLOUD. KOFFIEPAUZE PRAKTIJKCASE PERSONENALARMERING THUIS EN

Nadere informatie

IAM en Cloud Computing

IAM en Cloud Computing IAM en Cloud Computing Cloud café 14 Februari 2013 W: http://www.identitynext.eu T: @identitynext www.everett.nl www.everett.nl Agenda 1. Introductie 2. IAM 3. Cloud 4. IAM en Cloud 5. Uitdagingen 6. Tips

Nadere informatie

Sebyde Security in een organisatie A3 Management Workshop. 7 Januari 2014

Sebyde Security in een organisatie A3 Management Workshop. 7 Januari 2014 Sebyde Security in een organisatie A3 Management Workshop 7 Januari 2014 Even voorstellen Sebyde BV is Certified IBM Business Partner voor security systems, gespecialiseerd in applicatie security en security

Nadere informatie

The Next Generation ICT Infrastructuur Security Wireless Data

The Next Generation ICT Infrastructuur Security Wireless Data The Next Generation ICT Infrastructuur Security Wireless Data De impact van nieuwe technologieën en sociale media op het nieuwe werken en vereisten Wim Bisschops Erwin Roels Objectief van deze presentatie

Nadere informatie

IP Services. De grenzeloze mogelijkheden van een All IP -netwerk

IP Services. De grenzeloze mogelijkheden van een All IP -netwerk IP Services De grenzeloze mogelijkheden van een All IP -netwerk Voor wie opgroeit in deze tijd is het de grootste vanzelfsprekendheid. Je zet de computer aan en je kunt mailen, chatten, elkaar spreken

Nadere informatie

Verras uw business-collega s met een IT-sixpack

Verras uw business-collega s met een IT-sixpack Hybride-cloudaanpak Verras uw business-collega s met een IT-sixpack De CIO staat steeds meer onder druk: enerzijds vragen uw businesscollega s een s nellere en meer flexibele dienstverlening, anderzijds

Nadere informatie

Kijken, kiezen, maar wat te kopen?

Kijken, kiezen, maar wat te kopen? Kijken, kiezen, maar wat te kopen? 15 aandachtspunten bij overgang naar de cloud Cloud biedt voor veel organisaties de mogelijkheid om te innoveren zonder hoge investeringen. Zowel Telecom providers als

Nadere informatie

Datacenter Netwerk Trends in Nederland. Peter Vermeulen Pb7 Research

Datacenter Netwerk Trends in Nederland. Peter Vermeulen Pb7 Research Datacenter Netwerk Trends in Nederland Peter Vermeulen Pb7 Research Agenda Over het onderzoek Impact van IT trends op het datacenter Investeren in het datacentrum van morgen Visie en draagvlak Conclusies

Nadere informatie

VOORWOORD. 1 Code voor informatiebeveiliging, Nederlands Normalisatie Instituut, Delft, 2007 : NEN-ISO.IEC 27002.

VOORWOORD. 1 Code voor informatiebeveiliging, Nederlands Normalisatie Instituut, Delft, 2007 : NEN-ISO.IEC 27002. Gesloten openheid Beleid informatiebeveiliging gemeente Leeuwarden 2014-2015 VOORWOORD In januari 2003 is het eerste informatiebeveiligingsbeleid vastgesteld voor de gemeente Leeuwarden in de nota Gesloten

Nadere informatie

Quinfox s visie op Bring Your Own Device

Quinfox s visie op Bring Your Own Device Quinfox s visie op Bring Your Own Device Steeds meer bedrijven staan het toe dat werknemers hun eigen smartphone, tablet of notebook gebruiken op het werk. Deze trend wordt aangeduid met de afkorting BYOD

Nadere informatie

Meldplicht datalekken

Meldplicht datalekken Meldplicht datalekken Peter Westerveld Directeur en principal security consultant Sincerus consultancy Sincerus Cybermonitor Opgericht in 2004 20 medewerkers Informatiebeveiliging Zwolle en Enschede 15-02-16

Nadere informatie

Vervang uw verouderde hardware

Vervang uw verouderde hardware Whitepaper Vervang uw verouderde hardware Dedicated of Cloud? Alles over virtualisatie. Wat is het, hoe werkt het en wat zijn de voordelen? INHOUD» Wat is virtualisatie?» Wat is een Virtual Server?» Besparen

Nadere informatie

Cybersecuritybeeld Nederland

Cybersecuritybeeld Nederland Cybersecuritybeeld Nederland CSBN 2015 Pieter Rogaar 12 november 2015 CSBN 2015 in het kort Doel: inzicht bieden in ontwikkelingen, belangen, dreigingen en weerbaarheid op het gebied van cybersecurity

Nadere informatie

Werkplekbeveiliging in de praktijk

Werkplekbeveiliging in de praktijk Werkplekbeveiliging in de praktijk M.E.M. Spruit Geautomatiseerde werkplekken vormen een belangrijke schakel in de informatievoorziening van organisaties. Toch wordt aan de beveiliging van werkplekken

Nadere informatie

Application Services. Alles onder één dak: functioneel applicatiebeheer, applicatieontwikkeling en testdiensten

Application Services. Alles onder één dak: functioneel applicatiebeheer, applicatieontwikkeling en testdiensten Application Services Alles onder één dak: functioneel applicatiebeheer, applicatieontwikkeling en testdiensten Application Services van KPN Afdelingen smelten samen, markten verschuiven, klanten willen

Nadere informatie

CASE STUDY. FRISS pakt verzekeringsfraude aan met. Solvinity. Steeds minder fraudeurs weten verzekeringsmaatschappijen een pootje te lichten.

CASE STUDY. FRISS pakt verzekeringsfraude aan met. Solvinity. Steeds minder fraudeurs weten verzekeringsmaatschappijen een pootje te lichten. CASE STUDY FRISS pakt verzekeringsfraude aan met Solvinity Steeds minder fraudeurs weten verzekeringsmaatschappijen een pootje te lichten. FRISS pakt verzekeringsfraude aan met Solvinity Steeds minder

Nadere informatie

Trends in de Campusinfrastuctuur. In samenwerking met Stratix

Trends in de Campusinfrastuctuur. In samenwerking met Stratix Trends in de Campusinfrastuctuur In samenwerking met Stratix Agenda Workshop Trends in Campusinfrastructuur 30-4-2015 Agenda Introductie: SURFnet Automated Networks IaaS en SaaS Wireless Privacy en Security

Nadere informatie

Innervate is DE adviespartner voor ICT strategie en ICT technologie vraagstukken.

Innervate is DE adviespartner voor ICT strategie en ICT technologie vraagstukken. Cloud computing Kennismaking Innervate is DE adviespartner voor ICT strategie en ICT technologie vraagstukken. Onze kennis, ervaring, methodieken en ons netwerk levert aantoonbare toegevoegde waarde en

Nadere informatie

Impact Cloud computing

Impact Cloud computing Impact Cloud computing op de Nederlandse zakelijke markt De impact van Cloud Computing op de Nederlandse zakelijke markt De economische omstandigheden zijn uitdagend. Nederland is en bedrijven informatietechnologie

Nadere informatie

De CIO is de BPMprofessional van de toekomst

De CIO is de BPMprofessional van de toekomst De CIO is de BPMprofessional van de toekomst De CIO is de BPM-professional van de toekomst CIO s hebben een enorme klus te klaren. Vrijwel iedere organisatie schreeuwt om een flexibeler IT-landschap dat

Nadere informatie

Hoe fysiek is informatiebeveiliging?

Hoe fysiek is informatiebeveiliging? Hoe fysiek is informatiebeveiliging? Johan de Wit Siemens Nederland NV Hoe fysiek is informatiebeveiliging? Informatie is voor organisaties van onschatbare waarde, het beschermen ervan heeft binnen organisaties

Nadere informatie

De Cloud: een zegen voor security en privacy of juist een donderwolk? Willem Voogt, Principal Consultant Security Advisory Quint

De Cloud: een zegen voor security en privacy of juist een donderwolk? Willem Voogt, Principal Consultant Security Advisory Quint De Cloud: een zegen voor security en privacy of juist een donderwolk? Willem Voogt, Principal Consultant Security Advisory Quint Impact Cloud Computing staat volop in de belangstelling Low High Augmented

Nadere informatie

Informatiebeveiliging, noodzakelijk kwaad of nuttig? www.dnvba.nl/informatiebeveiliging. DNV Business Assurance. All rights reserved.

Informatiebeveiliging, noodzakelijk kwaad of nuttig? www.dnvba.nl/informatiebeveiliging. DNV Business Assurance. All rights reserved. 1 Informatiebeveiliging, noodzakelijk kwaad of nuttig? Mike W. Wetters, Lead Auditor DNV Albertho Bolenius, Security Officer GGzE Informatiebeveiliging. Noodzakelijk kwaad of nuttig? 3 Wat is informatiebeveiliging?

Nadere informatie

zorgeloos werken in de cloud

zorgeloos werken in de cloud metacom cloud functionele mogelijkheden zorgeloos werken in de cloud vanmeijel.nl bouwen kan simpeler Metacom is één van de meest bedrijfskritische applicaties binnen uw organisatie. De beschikbaarheid,

Nadere informatie

Be here, be there, be everywhere Maak meer mogelijk met videosamenwerking

Be here, be there, be everywhere Maak meer mogelijk met videosamenwerking Be here, be there, be everywhere Maak meer mogelijk met videosamenwerking VideoSamenwerking Met het oog op zakelijk succes Videosamenwerking (collaboration) is een snelle en effectieve oplossing voor face

Nadere informatie