Security Awareness. (C) TUNIX Internet Security & Opleidingen

Transcriptie

1 . Security Awareness (C) TUNIX Internet Security & Opleidingen All rights reserved. No part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form or by any means, electronic, mechanical, photocopying, recording or otherwise, without express prior written permission of the publisher. Version: AWARENESS_2_1 Printed:

2

3 Security Awareness TUNIX Internet Security & Training

4 Security Awareness Inhoud Waarom is beveiliging mensenwer k? Een beetje theorie. Browsen, chatten, tekstverwer ken, en,... waar gaat het mis? Verdedigen is (ook) mensenwer k TUNIX Internet Security & Training

5 Het doel van deze training Het beveiligings-bewustzijn van wer knemers vergroten Waarom? Sinds de ontwikkeling van Internet en de moderne PC (Windows, WIFI, PDA, etc.) is ICT geen zaak meer van alles-controlerende beheerders: Medewerkers beheren vaak hun eigen PC. Workgroup software verbindt gegevens die voorheen niet beschikbaar waren. Programma s zijn metaforen geworden, er is amper een beheerder die weet welke techniek onder de motor kap gebr uikt wordt. (Waar is mijn printjob gebleven?) Het gevolg: Er kan heel veel infor matie worden gebruikt uit allerlei bronnen Maar wie is verantwoordelijk voor het beschermen van al die gegevens? TUNIX Internet Security & Training

6 Informatietoegang Uitgangspunt: Het gevolg van vrije infor matietoegang is het nemen van verantwoordelijkheid om die infor matie te beschermen Maar wie ziet dat zo? We zijn slordig: papier en bestanden slingeren rond. Kopietjes zijn snel gemaakt. Wormen en virussen kopiëren ook! Wachtwoorden lenen we uit. Om opgelegde beperkingen wordt heengewerkt. Maar wat helpt dan wel? Duidelijk maken dat infor matie waarde representeert. Duidelijk maken dat elke wer knemer zelf een stukje medeverantwoordelijk is. Duidelijk maken dat een paar rotte appels de hele mand aansteken, infor matiebescher ming is een groepsproces! TUNIX Internet Security & Training

7 Les 1: Informatie heeft waarde Voorbeelden: Klantgegevens. Beursgevoelige jaarcijfers, dewinstprognose. (Re)organisatieplannen. Personeelsbestand. Offer tes en contracten. Boekhouding. Ook triviale infor matie als Telefoonlijsten. Smoelenboek TUNIX Internet Security & Training

8 Les 2: Onbeschermde informatie Onbescher mde infor matie kan beschadigd raken: Beschikbaarheid. Integriteit. Vertrouwelijkheid. Digitale gegevens kopieëren is bovendien: Makkelijk. Je merkt het niet TUNIX Internet Security & Training

9 Les 3: Wat zijn de gevolg en? Diefstal en oneigenlijk gebruik hebben gevolgen voor je werk: Negatieve naambekendheid. Concurrentiepositie. Niet nagekomen afspraken (SLA, etc). Sluiting. Maar ook voor jezelf: Pr ivacy kwijt. Identiteit kwijt. Baan kwijt TUNIX Internet Security & Training

10 Les 4: Horror Oktober 2004: Officier van justitie Joost T. zet zijn computer eind juni bij het grofvuil, omdat er een virus op zou zitten. Een taxichauffeur vond het apparaat en bracht het naar Peter R. de Vries, die de vondst in de openbaarheid brengt. Volgens de journalist stonden op de pc onder meer honderden pagina s met vertrouwelijke infor matie over grote strafzaken. September 2003: Britse overheidslaptops slecht beveiligd - Britse overheidsmedewerkers gaan slordig om met gevoelige infor matie die op hun laptop staat. Hierdoor komt de nationale veiligheid in gevaar. Maar t 2003: Een memory-stick met daarop de medische gegevens van 13 kanker patiënten wordt ter uggestuurd naar de leverancier en opnieuw verkocht TUNIX Internet Security & Training

11 Horror (2) Mei 2003: Volgens het College Bescherming Persoonsgegevens (CBP) zijn privé-gegevens in Nederland eenvoudig ver kr ijgbaar. Personeel van het CBP wist bijvoorbeeld de fiscus infor matie te ontfutselen door zich voor te doen als interne medewerker. September 2003: Kopieer machine onthoudt desgewenst niets - Maar weinig mensen staan erbij stil: digitale kopieerapparaten hebben een harde schijf en daarop blijft infor matie staan ook nadat ver trouwelijke stukken zijn gekopieerd. September 2003: Identiteitsdiefstal maakt miljoenen slachtoffers en kost miljarden - Ongeveer 3.3 miljoen Amer ikaanse consumenten ontdekten in het afgelopen jaar dat hun persoonlijke infor matie gebr uikt is voor frauduleuze bank- of credit card transacties of andere misdaden aldus het eerste nationale onderzoek naar identiteitsfraude door de Federal Trade Commission TUNIX Internet Security & Training

12 10 misvatting en 1. Beveiliging valt niet onder mijn verantwoordelijkheid. 2. Ik werk niet met computers, dus loop ik geen gevaar. 3. Ik werk niet met ver trouwelijke infor matie. 4. Mijn bedr ijf is geen doelwit. 5. Ik ben geen doelwit. 6. De risico s zijn verwaar loosbaar klein. 7. We hebben een pasjes-systeem. 8. Wij hebben goede veiligheidsprocedures ingesteld. 9. Onze organisatie is goed beveiligd want we hebben een firewall. 10. Onze organisatie is goed beveiligd want we zijn op cursus geweest TUNIX Internet Security & Training

13 Toegangscontrole Bescher ming is gekoppeld aan toegangscontrole: 1. Identificatie: ben je wel die je zegt dat je bent. 2. Autor isatie: niet iedereen mag overal bij. Infor matieverstrekking op need-to-know basis TUNIX Internet Security & Training

14 Hoe bescherm je informatie? Technische maatregelen: Sleutels en pasjes. Firewalls, vir usscanners, Intr usion Detection, Intrusion Prevention. Role Based Access Control (RBAC). Maar vooral menselijk gedrag: Bewust met infor matie omgaan. Gezonde achterdocht (tr ust but ver ify) TUNIX Internet Security & Training

15 De menselijke factor Mensen vor men het grootste security probleem: Onbegrijpelijke techniek. Onverschilligheid (not my problem). Risico inschatting is lastig. Onduidelijkheid (er is geen beleid). Maar : Mensen zijn ook de oplossing: Mensen kunnen hun reactie aanpassen aan de omstandigheden. En bovenal: mensen hebben een zesde zintuig. Tejo van de KvK weet t: Ach, het is een mix van ervaring, onderbuik, spitzenfingergefühl, apres-ski, yin-yang, win/win TUNIX Internet Security & Training

16 Aanvalstechnieken Ongeoor loofde fysieke toegang. Ongeoor loofde digitale toegang. Afluisteren. Social engineering TUNIX Internet Security & Training

17 Fysieke toegang Langs de portier. Openstaande (kast)deuren. Rommelige gangen. Rommelige bureaus. Infor matie-afval (dumpster diving). Vaak blijft iemand onopgemerkt... Grote bedrijven (anonimiteit). Door onverschilligheid (niet mijn probleem). Hij mocht toch langs de portier? Hij heeft toch een pasje? TUNIX Internet Security & Training

18 Digitale toegang Openstaande documenten. Niet uitgelogd. Geen wachtwoord beveiligde screensaver. Inlogicons met automatische authenticatie. Automatisch bewaarde wachtwoorden. Lakse systeembeheerder (geen patches/oude vir usscanners). Slecht gekozen wachtwoorden. Trojaanse paarden TUNIX Internet Security & Training

19 Afluisterpraktijken Shoulder surfing... Telefoongesprek. Speciale keyboard sniffers ( KeyKatch of vir us BugBear.B ). Kopie van paspoort of rijbewijs (bevat sofinummer!). Netwer k sniffing. Draadloze computers en handhelds (WiFi, Bluetooth) TUNIX Internet Security & Training

20 Social engineering People hacking. Andere mensen dingen laten doen die ze nor maal gesproken niet voor een vreemde zouden doen. Misbr uik maken van de hulpvaardigheid van mensen: Behulpzaamheid zit in je opvoeding. Je helpt uit schuldgevoel iemand die net jou een dienst heeft bewezen. Meest succesvolle/gemakkelijke manier om aan infor matie te komen. In combinatie met techniek een onovertroffen wapen TUNIX Internet Security & Training

21 TUNIX Internet Security & Training

22 Technologie TUNIX Internet Security & Training

23 Overzicht Pasjes Firewall Telefoon Wachtwoorden Systemen en Netwer ken Web News Chat en Instant Messenging Remote Control Software TUNIX Internet Security & Training

24 Pasjes Bedoeld om alleen bevoegden toegang te verschaffen. (Eigenlijk: bedoeld om anderen buiten te houden.) Leen dus nooit een pasje uit. Laat niemand meelopen als je met je pasje naar binnen gaat. Als je je pasje kwijt bent: Melden! Als iemand anders je pas gebruikt, word je verantwoordelijk (gehouden) voor diens daden! TUNIX Internet Security & Training

25 Firewall Een firewall probeert ongewenst netwer kver keer te voor komen. Ga dus geen omweg verzinnen voor ver keer dat wordt tegengehouden door de firewall (wees geen onderdeel van het probleem maar van de oplossing). Als iets door de firewall wordt gelaten wil dat nog niet zeggen dat het veilig is! Gebr uik ook een personal firewall om intern ver keer te bewaken en om applicaties in de gaten te houden die het netwer k willen gebruiken. Zorg dat personal firewall software, vir usscanners e.d. up-to-date zijn (gebruik automatic updates) TUNIX Internet Security & Training

26 Telefoon De telefoon is ook een netwerk. Geliefd bij social engineers... Probeer de persoon aan de andere kant van de lijn te identificeren (stem, telefoonnummerher kenning, ter ugbellen). Ga er nooit automatisch van uit dat de persoon de waarheid spreekt! (Met name mobiele) telefoons zijn af te luisteren (niet alleen met techniek: terras, trein,... Wees voorzichtig met het opslaan van gegevens in mobiele telefoons en PDA s TUNIX Internet Security & Training

27 Wachtwoorden Een wachtwoord is bedoeld om personen te authenticeren Een wachtwoord is bedoeld om anderen buiten te houden. Dit wachtwoord moet dus str ikt geheim blijven! Als iemand anders je wachtwoord gebruikt, word je verantwoordelijk (gehouden) voor diens daden! Leen wachtwoorden nooit uit! Wachtwoord per ongeluk prijsgegeven: Melden! Hoe houdt je wachtwoorden geheim? TUNIX Internet Security & Training

28 Wachtwoorden do s Gebr uik gezond verstand. Gebr uik geen default wachtwoorden. Kies degelijke wachtwoorden, die niet makkelijk te raden zijn. Zorg dat een wachtwoord lang genoeg is, om password crackers geen kans te geven. Verander je wachtwoorden regelmatig: Passwords are like underwear : change yours often. Scheid privé-wachtwoorden van bedrijfswachtwoorden TUNIX Internet Security & Training

29 Wachtwoorden dont s Vertel niemand je wachtwoord (zelfs niet systeembeheer of manager). Vraagt iemand om je wachtwoord? Melden! Schr ijf je wachtwoord nooit op (op een plek - of met infor matie -die het bijbehorende account verraadt). Laat niemand meekijken bij het invoeren van een wachtwoord. Een PIN code voer je met twee handen in. Gebr uik hetzelfde wachtwoord nooit voor verschillende systemen. Wijzig een wachtwoord niet op voorspelbare wijze (bijv. osolemio1 in osolemio2). Gebr uik geen autologin faciliteiten. Laat applicaties geen wachtwoorden onthouden TUNIX Internet Security & Training

30 Systemen en Netwerken Installeer nooit software waar van je de oorsprong niet kent. Vraag je systeembeheerder een betrouwbare versie ter beschikking te stellen. Pas op voor spyware en trojans. De mogelijkheid software te installeren betekent een extra verantwoordelijkheid! Heb je die toestemming eigenlijk wel? Elke netwer k-koppeling betekent een extra risico. Elk systeem betekent een extra risico: van PDA tot laptop tot server. Elk medium betekent een extra risico: diskette s, USB sticks, digitale camera s, etc. Netwer k Technologie: Netwer k verkeer kan worden afgeluisterd (sniffing). Technieken als Wifi, GPRS, UMTS en BlueTooth vormen extra risico s! Netwer kver keer kan worden gekaapt (hijacking). Een modem kan een backdoor vor men! Via een VPN kan een indringer meeliften! TUNIX Internet Security & Training

31 Wees kritisch met Is deze mail authentiek? From: George W Bush <president@whitehouse.gov> Subject: See Kerry naked Hi Joost, the tomatoes are ripe this afternoon! Check out this picture of Kerry! GWB En deze: From: Systeembeheer <systeembeheer@acme.nl> Subject: wachtwoord database kapot Hoi, De wachtwoord database is kapot. We moeten hem herstellen. Wil je even je wachtwoord wijzigen in Qwaadr$@q? Morgen kun je je oude wachtwoord weer terugzetten. Beheerteam TUNIX Internet Security & Training

32 (2) From: "Microsoft Corporation Security Center" To: "Microsoft Customer" < > Subject: Internet Security Update Date: Wed, 27 Mar :19: Microsoft Customer, this is the latest version of security update, the "23 Mar 2002 Cumulative Patch" update which eliminates all known security vulnerabilities affecting Internet Explorer and MS Outlook/Express as well as six new vulnerabilities, and is discussed in Microsoft Security Bulletin MS Install now to protect your computer from these vulnerabilities, the most serious of which could allow an attacker to run code on your computer.... How to install Run attached file q exe... Thank you for using Microsoft products. With friendly greetings, MS Internet Security Center. Doe de phishing test: http//sur vey.mailfrontier.com/sur vey/quiztest.html TUNIX Internet Security & Training

33 (3) Wantrouw afzender adressen. Wantrouw attractieve attachments. Open nooit attachments waar van de herkomst onduidelijk is. Laat attachments nooit automatisch openen: zet preview uit! Update je virusscanner vóórdat je mail gaat lezen (dus ook als je van vakantie terugkomt!). Tr iple Check de To:, Cc: en Bcc: -adressen voordat je ver trouwelijke infor matie verstuur t. Stuur geen ver trouwelijke infor matie buiten het bedrijf, tenzij speciale versleutelingssoftware wordt gebruikt (PGP of S/MIME) TUNIX Internet Security & Training

34 authenticatie TUNIX Internet Security & Training

35 certificaten Een certificaat kan aantonen wie de digitale handtekening heeft gezet en (aannemelijk) de auteur is van de TUNIX Internet Security & Training

36 Spoofed TUNIX Internet Security & Training

37 Phishing wordt vaak gebruikt voor phishing. Wat valt je op aan deze ? TUNIX Internet Security & Training

38 xs4all service centre Wat valt je op aan deze website? TUNIX Internet Security & Training

39 Authenticatie Middels een server cer tificaat kan geverifieerd worden of de getoonde webpagina authentiek is. De naam op het certificaat moet overeenkomen met de naam in de adres-balk! TUNIX Internet Security & Training

40 Encr yptie De communicatie met een webser ver kan middels SSL worden versleuteld: Mer k op: Check voor het versturen van infor matie of de communicatie is versleuteld. De communicatie met de server is beveiligd, maar dat wil nog niet zeggen dat de inhoud van het web-ver keer veilig is! TUNIX Internet Security & Training

41 Web Wees kritisch met web-surfen: Pas op met lonkende links (haal geen Trojaans paard binnen) Klik hier (1) om Anna naakt te zien * TUNIX Internet Security & Training

42 Web (2) Pas op met dynamic content (JavaScr ipt, Java, ActiveX, Flash, etc). Gebr uik eventueel een cookie manager om usertracking te voor komen. Check cer tificaten bij adressen die beginnen met 1. Check of de naam van de website (de URL) overeenkomt. 2. Check dehoudbaarheid. 3. Check of de digitale handtekening van de instantie die het certificaat heeft afgegeven klopt. Te ingewikkeld? Vraag een beheerder om een demonstratie! Lekke browsers Inter net Explorer heeft een beroerde reputatie m.b.t. secur ity maar Mozilla enz. kennen ook de nodige problemen. Bezoek alleen sites die je zakelijk nodig hebt en ver mijd lokkende links. Tip: herstar t voor een secure transactie altijd je browser en herstar t de browser meteen als je klaar bent TUNIX Internet Security & Training

43 News Iedereen kan alle News-ber ichten lezen. Vr ijwel alle News-ber ichten worden lange tijd gearchiveerd. Post dus nooit persoonlijke of ver trouwelijke infor matie in een nieuwsgroep. From: Jan Doedel Newsgroups: comp.dcom.sys.cisco Subject: Problem with cisco router logging Hi, I m having trouble with collecting logging from my Cisco Routers running IOS 12.2(23). I want to collect logging on a central machine running FreeBSD 4.6 from routers in our network. I use the following on my ciscos: gateway-5#(config)logging but no logging appears on my syslog server. Can anyone help? PS: please reply by to jan.doedel@hotmail.com as I m out of the office, attending the SANE conference next week. -- Jan TUNIX Internet Security & Training

44 Chat en Instant Messenging (I) Chat en Messenging software hebben een beroerde reputatie als het gaat om security. Instant Messenging staat in de top-10 van The Twenty Most Critical Internet Security Vulnerabilities van het SANS instituut TUNIX Internet Security & Training

45 Chat en Instant Messenging (II) Vraag jezelf altijd af: Met wie ben je aan het communiceren? Wie luisteren er mee? Wat is de route van gegevens over het netwer k? Gebr uik programma s als MSN Messenger, AOL Instant Messenger, Yahoo! Messenger, Trillian, ichat, Jabber en ICQ niet voor filesharing TUNIX Internet Security & Training

46 Remote Control Software Wees voorzichtig met remote control software, zoals Windows Remote Desktop, VNC en SSH. Vermijd tools als GoToMyPC en Back Orifice! MP3, Kazaa, Groove, WOW! Pas op met programma s die jou de mogelijkheid geven om de gegevens van anderen te bekijken: dat wer kt vaak ook andersom! Trouwens: illegale MP3 tjes op de PC op je wer k kunnen je wer kgever duur te staan komen... en dus jou ook. De PC op je wer k is er voor je wer k, houd hem schoon. Doe je het niet voor je baas, doe het dan voor je baan TUNIX Internet Security & Training

47 Afspraken, afspraken, afspraken,... Techniek is kwetsbaar en zal het altijd blijven. Goede beveiliging begint met goed beleid. Beleid ligt vast in afspraken. Maak afspraken over wat wel en niet mag. Maak afspraken over wat er moet gebeuren bij een incident. Maak afspraken over het regelmatig bespreken van afspraken. Kom de afspraken na... Snuffel eens rond bij XS4ALL: ( Snuffel eens rond bij het CBP ( Raamregeling voor het gebruik van en Inter net. Goed wer ken in netwer ken TUNIX Internet Security & Training

48 Verdedig en is mensenwerk TUNIX Internet Security & Training

49 Uitgangspunten Behandel alle gegevens als vertrouwelijk. Stel vragen: Mag de persoon die de gegevens vraagt deze ook hebben? Wat gaat die persoon met de infor matie doen? Techniek is niet feilloos. Ver trouw dus nooit blind op techniek! Wervende citaten: Gezonde Achterdocht loont! Beveiliging is een joint effor t -ga er nooit van uit dat anderen de beveiliging compleet hebben afgehandeld TUNIX Internet Security & Training

50 Les 1: Vreemde verzoeken Durf nee te zeggen en volg altijd de policy (indien aanwezig). Als nee zeggen moeilijk is: vraag of je over een kwar tier ter ug kunt bellen (koop bedenktijd en bouw verificatie in). Zeg ook nee tegen stropdassen (je eigen manager ook!) en sympathieke mensen. Geef iemand nooit het voordeel van de twijfel. Doe aan sociale controle: attendeer je collega s en leg de regels aan collega s uit. Wees bedacht op los lopende onbekenden en vraag naar hun pas. Iets vreemds gemerkt? Melden! TUNIX Internet Security & Training

51 Les 2: Signalen Mogelijke signalen als je een social engineer aan de lijn hebt: Geen nummer-her kenning. Een raar verzoek. Iemand die autoriteit claimt. Stress en haast-verzoeken. Chantage door dreigen met consequenties. Toont ongemakkelijkheid na verdere vragen. Overdadig namen en personen noemen. Complimenten, vleierij en flirten. Beloftes doen. Iets vreemds gemerkt? Melden! TUNIX Internet Security & Training

52 Les 3: Clean room/desk/desktop Laat geen documenten slingeren in kantoren, op bureaus, op copiers, printers of faxen. Liggen er onbewaakte documenten of computers? Melden! Lock het computerscherm of log uit. Gebr uik een screensaver die snel activeer t en beveiligd is met een wachtwoord. Laat de computer geen wachtwoorden onthouden. Gebr uik geen snelkoppelingen waar mee automatisch ingelogd kan worden. Gebr uik altijd een virus-scanner en update die regelmatig. Sluit applicaties na gebruik (zeker je browser) TUNIX Internet Security & Training

53 Les 4: Informatieafvalprobleem Maatregelen: Gebr uik papier versnipperaars (geen repen!). It ain t dead until you shred! Laat media met gevoelige infor matie vernietigen bij het secur ity meldpunt. Via Dumpster Diving kunnen onbevoegden gemakkelijk (en zelfs legaal!) aan ver trouwelijke infor matie komen. Bedr ijven doen aan bedrijfspionage via onder andere Dumpster Diving (e.g. Larr ygate). Best buy: de Shrinter (printer + shredder in één) TUNIX Internet Security & Training

54 Les 5: Wees voorzichtig met techniek Dus nog maar een keer : Wachtwoorden Pasjes Browsen Chatten News Wireless netwer ken Tr aditionele en nieuwe communicatie-kanalen Er kan meer mee dan je zou willen. Stel vragen bij het security meldpunt, zeker bij nieuwe programma s, juist bij de gebruiksvr iendelijke! TUNIX Internet Security & Training

55 Wat te doen bij een incident? Meer moet niet nodig zijn TUNIX Internet Security & Training

56 Quiz TUNIX Internet Security & Training

57 Vraag 1 U opent de webpagina en er verschijnt een vraag met het verzoek om een plugin te downloaden van Microsoft. U doet het volgende: 1. de plugin komt van MS, dus is het goed, ik klik gewoon op ja. 2. ik controleer wie het certificaat gesigned heeft en klik dus op View Cer tificate, als dat een bekende partij is ga ik akkoord. 3. ik klik op Cancel. 4. ik zet mijn PC uit en ga naar huis TUNIX Internet Security & Training

58 Vraag 2 Wat isback Orifice? 1. spyware. 2. een remote control. 3. een onderdeel van MS Office. 4. een trojaans paard TUNIX Internet Security & Training

59 Vraag 3 U moet vanuit een hotelkamer een ver trouwelijk rappor t opsturen naar uw manager. Gelukkig heeft het hotel een draadloos netwer k waar van u gebruik kunt maken. Wat doet u? 1. U stuur t het rappor t op per U kopieer t het rappor t via het VPN netwer k naar de computer van uw manager binnen uw bedrijf. 3. U plaatst het rappor t op een website en stuurt uw manager een met het (geheime) web-adres van het rappor t. 4. U beveiligt het rappor t met een wachtwoord en stuurt het per aan uw manager. Het wachtwoord stuur t u met een tweede TUNIX Internet Security & Training

60 Vraag 4 Ukrijgt een mailtje van een collega van uw buur man, met een attachment (bijlage) dat humor.jpg heet. U doet het volgende: 1. het is een plaatje, dus per definitie veilig, en ik open het gewoon. 2. ik heb een virusscanner, die controleert alle mail, dus is het veilig en ik open het gewoon. 3. ik heb geen gevoel voor humor en ga door naar het volgende plaatje. 4. ik sla het plaatje op als humor.jpg.exe en doe een vir usscan TUNIX Internet Security & Training

61 Vraag 5 Uwordt gebeld door een inkoper van een grote klant met de vraag wat zijn klantcode is, hij kan hem niet vinden, en zijn collega is net op vakantie. Hij heeft een grote bestelling klaarliggen, maar kan hem nu niet invoeren. Wat doet u? 1. U zoekt de klantcode op en geeft hem door, klantvr iendelijkheid is belangrijk. 2. U denkt dat dit een boef is en geeft geen antwoord. 3. U probeer t te onderzoeken of dit echt een klant is (hoe dan?), en als dat echt zo is, geeft u hem de klantcode. 4. U verbindt hem door met een collega TUNIX Internet Security & Training

62 Vraag 6 Welke van onderstaande wachtwoorden is het minst onveilige: 1. xxxxxxx 2. a1zihw (alle eendjes zwemmen in het water) 3. kuba50 4. nietnodig TUNIX Internet Security & Training

63 Vraag 7 Uw gebruikt een laptop met daarop een kopie van de klantendatabase. Vanuit uw thuiswerkplek logt u in op het bedr ijfsnetwer k om uw op te halen. Is de klantendatabase goed beveiligd? 1. Ja, want u gebruikt een personal firewall op uw laptop. 2. Ja, want u gebruikt anti-virussoftware op uw laptop. 3. Ja, want u gebruikt een VPN-verbinding met uw bedr ijf. 4. Ja, want u gebruikt een versleuteld filesysteem TUNIX Internet Security & Training

64 Vraag 8 Ukomt op uw afdeling een onbekende man tegen. Hij vraagt u waar hij een fax kan versturen. Wat doet u? 1. U verwijst hem naar de kopieer kamer, waar ook de fax zich bevindt. 2. U belt de bewaking en laat de man verwijderen. 3. U vraagt de man zich te identificeren. 4. U brengt de man naar de kopieerr uimte en wacht tot hij zijn fax verstuurd heeft TUNIX Internet Security & Training

65 Vraag 9 Uwordt gebeld op uw wer k door een onbekende vrouw. Aan de nummerweergave van uw telefoon ziet u dat het een intern nummer betreft. De vrouw zegt Wiersma te heten en ver telt udat het netwer k op haar kamer gestoord is. Omdat ze dringend een belangrijke klant moet bellen vraagt ze of u het mobiele nummer van de contactpersoon van die klant kunt opzoeken in de database. Wat doet u? 1. U vertrouwt het niet en liegt dat uw netwer k ook gestoord is om tijd te winnen. 2. U geeft het gevonden nummer want het gaat immers om een collega en alle collega s hebben toegang tot de database. 3. U vraagt haar gebruikersnaam en wachtwoord om daar mee in te loggen in de database. Als ze die niet wil geven gaat het vast om een hacker. 4. U zoekt zowel het gevraagde mobiele nummer van de klant als het interne nummer van mevrouw Wiersma op en belt haar even later terug om het nummer door te geven TUNIX Internet Security & Training

66 Vraag 10 U ontvangt een van een vriend waar in gewaarschuwd wordt voor een nieuw, gevaar lijk vir us, dat verspreid wordt via . Het virus is te herkennen aan het subject, met als tekst: Moet je dit zien!. Te lezen valt verder dat de infor matie afkomstig is van McAfee, een gerenommeerd anti-virus bedrijf. Wat doet u? 1. U sluit uw mailprogramma onmiddelijk voordat u het vir us heeft ontvangen en wacht een paar dagen tot de stor m weer is gaan liggen. 2. U stuur t de door aan alle mensen in uw adresboek, om ze te waarschuwen. 3. U denkt dat de melding onzin is, gooit de weg en doet verder niets. 4. U denkt dat de melding onzin is, en stuur t iedereen in uw adresboek een waarschuwing zodat ze er niet intrappen TUNIX Internet Security & Training