WHITE PAPER Informatiebeveiliging
Door een goede, geïntegreerde inrichting van de informatiebeveiliging wordt een onderneming geholpen op een flexibele, kostenbewuste manier klanten beter te bedienen. Introductie Het managen van de veiligheid van de informatie in uw organisatie omvat een scala onderwerpen. Deze whitepaper heeft tot doel een kort overzicht te geven van de belangrijkste concepten, om zo meer inzicht te geven in wat van belang is om de informatie in uw organisatie op een bewuste manier, zo goed mogelijk te beschermen. Centraal bij elk vraagstuk over informatiebeveiliging staan de vragen: wat probeert de organisatie precies te beveiligen? en waartegen moet het beveiligd worden? Een antwoord op de eerste vraag is noodzakelijk omdat dit inzicht nodig is om zodoende te bepalen welke maatregelen van toepassing KUNNEN zijn.. De tweede vraag is het startpunt van het onderzoek hoe gaan we deze informatie beveiligen? waarmee de organisatie de beveiliging gaat inrichten met één of meerdere maatregelen. De afweging die elke keer gemaakt moet worden is of de kosten van de maatregel opwegen tegen de veronderstelde baten. Dat is niet altijd even eenvoudig aangezien sommige kosten, zoals bijvoorbeeld imagoschade bij openbaarmaking, lastig te kwantificeren zijn. Eén ding is zeker: 100% veiligheid bestaat niet. Dit gegeven ontslaat een onderneming er echter niet van de vertrouwelijkheid, integriteit en beschikbaarheid van informatie op een effectieve en voor de onderneming gezonde, acceptabele manier in te richten. voorkomen. Dat is de kracht van een goed informatiebeveiligingsbeleid. Governance Governance van informatiebeveiliging bestaat uit het leiderschap, de organisatiestructuur en alle processen die de veiligheid van informatie waarborgen. Essentieel zijn hierbij de strategische afstemming met de doelstellingen van de onderneming, het beheersen van risico s tot een niveau wat past bij de risicobereidheid van de onderneming en het rapporteren over de effectiviteit van de genomen maatregelen. Door informatiebeveiliging middels een programma in de bestaande governance structuur te verankeren zorgt de onderneming er voor dat maatregelen niet gezien worden als een verplichting die van buitenaf is opgelegd. Ook wordt hiermee voorkomen dat het slechts als een eenmalige actie gezien wordt waarna kan worden overgegaan tot de orde van de dag. Het is essentieel voor het slagen van het informatiebeveiligingsbeleid dat verantwoording over informatieveiligheid wordt afgelegd op alle niveaus van een organisatie. Dit kan alleen door informatiebeveiliging onderdeel te maken van de doelstellingen van alle individuele bedrijfsonderdelen. Door een goede, geïntegreerde inrichting van de informatiebeveiliging wordt een onderneming geholpen op een flexibele, kostenbewuste manier klanten beter te bedienen. Doordat de juiste informatie op de juiste plek, op het juiste moment beschikbaar is kan een onderneming beter inspelen op de markt en onnodige risico s www.prodaptconsulting.com 2
Risicomanagement en compliance Om risico s te managen en zeker te zijn dat de juiste maatregelen op correcte wijze geïmplementeerd worden is een degelijk raamwerk van processen en verantwoordelijkheden noodzakelijk. Hiervoor zijn diverse standaarden beschikbaar zoals ISO 27000 series (voorheen ISO/IEC 17799), NIST 800 series en SOx. De overeenkomst tussen deze raamwerken is de Plan, Do, Check, Act (PDCA) cyclus. Deze cyclus zit ook in het proces voor het managen van risicos, zie figuur 1. laag tot catastrofaal als het risico materialiseert. Tevens wordt er in deze analyse een frequentie van zelden tot heel vaak aan het risico gehangen. Hieruit is een matrix te maken (figuur 2) waaruit duidelijk wordt welke informatiemiddelen van belang zijn voor de organisatie en met welke urgentie behandeld moeten worden. Figuur 2 Classificatiematrix voor informatie Informatiebeveiliging is een iteratief proces Figuur 1 Risico management proces (ISO 31000) Informatiebeveiliging is een iteratief proces waarbij er altijd gekeken wordt of genomen maatregelen nog wel actueel zijn en er geen nieuwe risico s geïntroduceerd zijn als de onderneming van richting is veranderd of wanneer de omgeving verandert. Dit proces bestaat uit een aantal stappen die tezamen het risico management en compliance proces vormen. Informatie classificatie Classificatie van informatiemiddelen is het proces waarbij er een inventarisatie gemaakt wordt van alle relevante informatiehouders en deze voorzien worden van een klasse van gevoeligheid. Hierbij wordt gekeken naar de impact op de organisatie in categorieën van Requirements vaststellen Uiteraard zijn de requirements van een organisatie leidend voor het definiëren van het veiligheidsniveau. Het is tenslotte de lijnorganisatie, de eigenaar van de data, die de risicobereidheid definieert waaraan het veiligheidsbeleid onderworpen is. Tevens kan het zijn dat bij organisaties vanuit juridisch oogpunt bepaalde informatie altijd versleuteld opgeslagen en getransporteerd moet worden om ongewilde openbaarmaking uit te sluiten. Dit komt vaak voor bij gegevens over klanten. Meer specifiek: wanneer klanten consumenten zijn zal er vanuit de Wbp (wet bescherming persoonsgegevens) eisen aan opslag en verwerken gesteld worden. Het is aan de lijnorganisatie om te bepalen hoe aan deze eisen voldaan moet worden. www.prodaptconsulting.com 3
Maatregelen vaststellen Als eenmaal helder is vastgelegd om welke informatie het gaat en hoe gevoelig deze informatie is, kan worden vastgesteld welke maatregelen genomen kunnen worden om de geconstateerde risico s te verkleinen tot een voor de onderneming acceptabel niveau. Dat kan op vier manieren. Er kan gekozen worden om de activiteit te beëindigen. Hiermee stopt de blootstelling aan het risico. Natuurlijk stopt hiermee ook de voordelen van de activiteit. Dat kan echter wel noodzakelijk zijn als uit de inventarisatie blijkt dat de impact op de organisatie van dit risico gewoonweg te groot is. Het risico kan ook overgedragen worden. Hierbij sluit de organisatie bijvoorbeeld een verzekering af tegen dat specifieke risico. Bij overdracht wordt het eigenlijke risico niet overgedragen. Slechts de impact van dat risico wordt afgedekt. Lastig te kwantificeren risico s, zoals imagoschade, laten zich dus moeilijk overdragen. Het meest zal er echter gekozen worden om mitigerende maatregelen te nemen. Dit zijn maatregelen (scheiding van functies, toegangscontrole, toepassen van encryptie etc.) die het risico terugbrengen naar een acceptabel niveau. Tot slot kan een organisatie het gevonden risico ook accepteren. Dit gebeurt als de kosten van mitigerende maatregelen gewoonweg te hoog zijn en het proces waarbij het risico ontstaat kritiek is voor het functioneren van de organisatie. Het is belangrijk om bij het ontwerpen van maatregelen het gehele proces end-to-end te beschouwen en om de maatregelen in de integrale samenhang te beoordelen. Alleen op deze wijze wordt voorkomen dat teveel maatregelen dezelfde risico s afdekken. Monitoring en rapportage Tot slot gaat een organisatie het iteratieve proces van monitoring in richten. Hierbij moet worden gekeken of de genomen maatregelen (nog steeds) effectief zijn en of er wellicht nieuwe risico s ontstaan zijn. Het is wezenlijk voor het hele proces om uitzonderingen (non-compliance), die tijdens het monitoren gevonden zijn, te rapporteren aan senior management. Hiermee wordt geborgd dat gevonden afwijkingen adequaat gemanaged worden en kan er handelend opgetreden worden voordat een risico realiteit wordt. Programma ontwikkeling en management Nadat de maatregelen zijn vastgesteld en de monitoring is gedefinieerd kan het informatiebeveiligings-programma worden gedefinieerd. Het is belangrijk om de uitvoerende organisatie te betrekken bij dit programma. De informatiebeveiliging moet namelijk ondersteunend zijn aan de bedrijfsprocessen. Dat kan alleen maar als de proceseigenaren de wensen en eisen vormgeven die betrekking hebben op de informatieveiligheid van hun eigen proces. Tevens heeft het programma resources nodig van de lijnorganisatie om tot uitvoering te komen. Daarvoor moet duidelijk zijn wat de voordelen zijn voor de proceseigenaar zodat deze de gewenste resources ter beschikking wil stellen. Een onderdeel van het programma is natuurlijk het verhogen van de bewustwording met betrekking tot informatiebeveiliging bij de medewerkers. Hiervoor moeten awareness trainingen opgezet worden. Hierbij is het goed om deze toe te spitsen op de betreffende www.prodaptconsulting.com 4
ALS een risico realiteit wordt, dan moet de organisatie op een adequate manier reageren op de ontstane situatie. medewerker(s). Het gebruik van materiaal dat relevant is voor de afdeling is daarbij handig. Vaak wordt een generieke training opgezet waarin plichtmatig bepaalde onderwerpen behandeld worden (clean desk, complexe wachtwoorden, uitlenen toegangspassen etc.). Hierdoor haakt de gemiddelde medewerker af en wordt de organisatie per saldo onveiliger in plaats van veiliger. In dit programma behoort ook gekeken te worden naar de wijze waarop informatieveiligheid opgenomen kan worden in de dagelijkse gang van zaken. Gedacht moet worden aan het toevoegen van expliciete veiligheidseisen in het ontwikkelproces, het changemanagement proces maar ook het uitvoerende proces (hoe worden klanten geïdentificeerd die gegevens willen aanpassen etc.). Incident Management Incident management is het sluitstuk van het informatiebeveiligingsvraagstuk. Het is bij incident management namelijk de intentie om de organisatie zo in te richten dat, zelfs ALS een risico realiteit wordt, de organisatie op een adequate manier reageert op de ontstane situatie. Incident management bereid zich voor, identificeert en reageert op incidenten om de schade ervan te beheersen en te minimaliseren. Tevens zorgt incident management voor de capaciteit tot forensisch onderzoek en heeft het tot taak om het bedrijfsproces zo snel en effectief mogelijk te herstellen. Het is de verantwoordelijkheid van het incident management team om het incident response plan op te stellen en te onderhouden. In dit plan staat het gehele incident proces (Figuur 3) gedetailleerd beschreven. Figuur 3 Incident management proces De voorbereiding op een incident bestaat uit het vastleggen van een actieplan per incidenttype, een communicatieplan voor communicatie met alle belanghebbenden inclusief een escalatiematrix, het ontwerpen van rapportage criteria voor rapportage naar senior management, een proces om het incident response team (of computer emergency response team vaak CERT) te activeren, het vastleggen van een veilige locatie waar vanuit de reactie gecoördineerd kan worden en tot slot zorgen voor de benodigde apparatuur ter ondersteuning van het incident response team. Het beschermen tegen incidenten bestaat uit het analyseren van systemen en netwerken op kwetsbaarheden en deze snel en gecontroleerd verhelpen. Ook is het regelmatig scannen op kwetsbaarheden in systemen van belang om zo een goed en gestructureerd patchbeleid toe te passen. Het detecteren van incidenten bestaat uit het actief, al dan niet geautomatiseerd, monitoren van systemen en netwerken om zodoende aanvallen zo snel mogelijk op te sporen. Hier kan men denken aan de inzet van Intrusion Detection of Intrusion Prevention systemen (IDS/IPS) of DDoS detectie en mitigatie systemen. Ook het analyseren van relevante logging uit netwerken met behulp van log management systemen is waardevol om te bepalen hoe groot de impact is van een incident. www.prodaptconsulting.com 5
Een SIEM (Security Information and Event Management) systeem helpt bij het correleren van diverse events en een betere inschatting te maken van de prioriteit bij één of meerdere incidenten. Triage bestaat uit het evalueren van actieve incidenten om zodoende te bepalen welke maatregelen in welke volgorde dienen te worden uitgevoerd om de schade zoveel mogelijk te beperken. Reageren betreft het uitvoeren van de maatregelen die een incident beëindigen en zodoende de normale staat van de operatie te herstellen. Elk van deze elementen is kritiek voor een effectieve reactie op een incident. Het is dus ook de verantwoordelijkheid van de informatiebeveiligings-functionaris om elke van deze onderdelen een bewuste plaats te geven in de organisatie. En te zorgen dat dit plan levend gehouden wordt door middel van oefenen met alle betrokken partijen. Bij KPN bijvoorbeeld heeft Prodapt Consulting een bijdrage geleverd aan de inrichting van de processen rond het Security Operations Center (SOC) en het KPN-CERT. Prodapt Consultants in Security: ervaren, deskundig, flexibel Prodapt Consulting heeft meerdere, gekwalificeerde medewerkers in dienst, deze zijn zowel ISACA CISM als ISC 2 CISSP opgeleid. Ze zijn betrokken geweest bij implementaties van security organisaties binnen diverse telecom operators en hebben ervaring in het verbeteren van processen en organisatie in het security werkveld. Aanvullende informatie over onze referenties en kennisgebieden is beschikbaar op onze website www.prodaptconsulting.com. Op verzoek kunnen referenties, white papers en CV s van onze medewerkers worden verstrekt. Tot slot Door het inrichten van een effectief informatiebeveiligingsbeleid zal een organisatie in staat zijn om de juiste risico s af te dekken met de juiste maatregelen. Met de juiste maatregelen worden maatregelen bedoelt die zowel in proportie staan tot het risico dat de organisatie loopt alsook qua kosten in verhouding staan tot de opbrengsten voor de organisatie. Ervaring Prodapt Consulting met Security Prodapt Consulting heeft uiteraard een security team waarin veiligheidszaken van zowel de eigen onderneming alsook onze klanten behandeld worden. Tevens helpt Prodapt Consulting diverse klanten op het gebied van informatiebeveiliging. www.prodaptconsulting.com 6
Contact Details Europa Prodapt Consulting B.V. De Bruyn Kopsstraat 14 2288 ED Rijswijk Z-H The Netherlands Telefoon: +31 70 414 0722 Adriaan van Donk Mobiel : +31 6 5335 4335 E-mail : adriaan.van.donk@prodaptconsulting.com Ben van Leliveld Mobiel : +31 6 5335 4337 E-mail : ben.van.leliveld@prodaptconsulting.com Paul Termijn Mobiel : +31 6 3010 9117 E-mail : paul.termijn@prodaptconsulting.com www.prodaptconsulting.com