Deze week een security blog van Arno van der Veen van onze security partner IT’s Secured. De nieuwe privacy wetgeving maakt het voor de kleinere MKB-er het er niet eenvoudiger op. Naast zijn/haar professie moet hij/zij er ook nog kunnen aantonen dat men naar vermogen heeft geinvesteerd in ICT beveiliging en de juiste procedures heeft gemaakt en volgt inzake privacy gerelateerde gegevens van prive personen (werknemers, particuliere klanten, toeleveranciers waar dit zelfstandigen betreffen).

De nieuwe privacy wetgeving maakt het voor de kleinere MKB-er het er niet eenvoudiger op.

Ik kijk regelmatig in de keuken bij de kleine ondernemers en zie dat het met beveiliging vaak niet beter is gesteld dan een middelmatige antivirus oplossing en een eenvoudige nat router van de provider. En men is zich dan van geen kwaad bewust, sterker nog, men denkt het goed voor mekaar te hebben!

En hun huisautomatiseerder treft in deze vaak ook geen blaam, daar deze vaak beheerder is en geen beveiliger. Men heeft er simpelweg niet de kennis, noch de gereedschappen voor dit specialisme. En voor de MKBer blijft de vraag “Wat moet ik dan?” en “Wat kost het me?”

Nou, niets doen kan simpelweg een faillisement betekenen, wanneer er een calamiteit ontstaat. Wellicht niet met de calamiteit zelf, maar dan wellicht door de nasleep van imagoschade, productieschade en de boete vanuit Autoriteit Persoonsgegevens. Het laatste zal de MKB-er max 12 miljoen kunnen kosten, tenzij 4% van de wereldwijde omzet van de MKB-er meer dan de 12 miljoen is, dan gaat de 4% tellen (Maar ik ken weinig MKB-ers die 12 miljoen op het nachtkastje hebben liggen en degene die dat wel hebben, zijn de positie Midden en Klein wel ontgroeid.)

Niets doen is dus geen optie. Maar wat zijn dan de opties? Periodieke controles (audits) zijn kostbaar en weinig effectief daar een auditor geen problemen oplost, enkel constateert. De huidig beheerder (of een ander extern bedrijf) zal de problemen moeten oplossen, maar deze krijgt er vaak niet de middelen voor van de auditing partij (tenzij men extra wil betalen).

Voor netwerkmonitoring zijn er bedrijven die functioneren als een alarm centrale. Bij een verdachte verkeersstroom wordt er een melding verstuurd. Wilt u meer weten, kan u een (betaalde) helpdesk inschakelen of een extern bedrijf. In mijn optiek is dit half werk, daar een enkele melding vaak nietszeggend is. In combinatie met andere meldingen kan het een completer beeld geven. Naast het feit dat opvolging van de melding effectief en snel moet kunnen gebeuren.. (Hoeveel van u heeft ‘s-nachts zijn telefoon bij zich en kan en wil ‘s-nachts hiervoor lastig gevallen worden? Boeven slapen nooit!)

Vervolgens komt de vraag hoe cloud diensten zoals Microsoft office 365 ed beveiligd moeten worden en de thuiswerker. Hoe komt deze correct op het netwerk en worden de boeven tegen gehouden. Met enkel gebruikersnaam en wachtwoord komt u er niet. Niet zolang mensen wachtwoorden hergebruiken en “moeilijke” wachtwoorden gebruikt als “Zomer2018” of “PietjePuk25”.

En er is niet 1 oplossing van 1 vendor welke het AVG vraagstuk technisch volledig afdicht. Dit is enkel mogelijk door producten van verschillende fabrikanten bijelkaar te zetten en deze op correcte wijze te koppelen.

Kosten voor een MKB-er die het in eigen hand wil hebben?

  • Hard- en sofware +/- € 100.000 + 20% onderhoud.
  • Implementatie +/- € 50.000
  • Personeel met voldoende kennis +/- € 60.000 /jaar
  • Opleidingskosten +/- € 10.000 /jaar /medewerker

Iedereen snapt dat dit voor de meeste een brug te ver is.

IT’s Secured heeft een mogelijke oplossing welke vrij uitgebreid is:

  • Multifactor authenticatie (sms,app,token)
  • Antivirus van hoog niveau
  • Netwerkverkeersmonitoring en alarmeringen.
  • Kwetsbaarheden scans met oplossingrappportages
  • Beheerde Firewall
  • Encryptie van werkstations en laptops
  • Beheer van mobiele apparaten (laptops, telefoons en tablets)

De oplossing komt in een 19″ server, welke in het netwerk wordt geplaatst. Deze maakt een tunnel verbinding naar het SoC van IT’s Secured. Na basis inrichting (aanmaken gebruikers en wachtwoorden ten behoeven van de kwetsbaarheden scans), zal na enkele dagen de 1e kwetsbaarheden rapportage eruit lopen.

 

Netwerkverkeer wordt vanaf het moment dat de box is aangesloten, gekopieerd, gestript van de data (we willen enkel de enveloppen hebben), opgeslagen en geanalyseerd. De “Metadata”(enveloppen met afzender, geadresseerde, gewicht. etc) wordt forensisch waardig opgeslagen, zodat, wanneer nodig, de gegevens beschikbaar en integer zijn. De noodzakelijke alarmeringen worden realtime afgegeven. Een engineer beoordeelt alle afzonderlijke meldingen (Indicators of Compromise), analyseert deze en neemt de noodzakelijke acties, zoals een blokkade voor bepaald verkeer, of verdacht werkstation.

Toegang tot webdiensten zoals Office 365 of toegang tot eigen kantoor voor thuiswerkers worden effectief gelogd en waar nodig om een 2e factor (sms code) gevraagd. Hiermee worden ook alle interne systemen van voorzien, zodat alle loginbewegingen eenduidig in beeld zijn.

Antivirus en anti-gijzel software is van Sophos. Sinds de jaren 80 actief in antivirus land en met een buitengewone reputatie. Binnen het maandelijkse MSP model beschikbaar voor zowel kleine als grote ondernemingen. Schaalbaar en de best mogelijke bescherming en logging.

 

Binnen dit uniforme platform beheren we de antivirus voor servers, werkstations en laptops. Maar ook de fulldisk encryptie en de mobiele apparaten zoals laptops, tablets en telefoons.

De firewall welke geplaatst wordt behoort tot de Next Gen firewalls van Sophos. Deze geavanceerde box heeft email filtering, webfiltering, vpn toegangs server en een state of the art firewall. Relevante logging wordt uiteraard naar het SoC verstuurd om de correlatie te kunnen maken tussen gedetecteerd netwerkverkeer en de daadwerkelijke verwerking ervan door de firewall.

Kortom een bundel welke vrijwel alle technische punten van de AVG raakt.

Is deze bundel goedkoop?
Het antwoord hierop is zowel ja, maar wat noemt u goedkoop? Bij een onderneming van ongeveer 10 medewerkers kost het ongeveer 350 eur/maand. De 1pitter komt het beroerdst weg, hier komt het voor de 1 pitter op ruim 160 eur/maand.

Aan de andere kant: In het beroerdste geval bij niets doen: Faillisement. In het beste geval bent u enkel hersteltijd/kosten en productie verlies kwijt, echter een bedrijf met 10 medewerkers is al gauw zo’n 10000 eur per dag kwijt aan kosten, waarbij het verlies aan productie er nog bij komen. Kan deze oplossing 100% veiligheid garanderen? Nee! Dit kan geen enkele oplossing. En degene die anders beweert, moet de politiek in!

In vergelijk met de autowereld: De monteur kan wel adviseren nieuwe remblokken te laten monteren, echter de eigenaar van de auto kan het advies negeren. Dit kan tot een ongeluk leiden. Hier geldt het zelfde: De detectie van kwetsbaarheden en hoe dit op te lossen worden verzorgt, echter zal ict beheer dit wel moeten oppakken.

Wel zijn de risico’s overzichtelijk, beheersbaar en geminimaliseerd. En de weerbaarheid en zichtbaarheid is gemaximaliseerd. De over gebleven risico’s zijn ook goed te verzekeren.

Zoektermen;  360 total securityAchillesantivirusAVGcybersecurityDatalekIntercept XIT’s SecuredKwetsbaarhedenMTDRansomwareRedsocksSMS PasscodeSophosTenable

Sinds zijn jeugd reeds bezig met computers. Dit begon met Atari 600 XL (vergelijkbaar met C64) en later, in zijn tienerjaren bouwde hij de computers van onderdelen, gevonden bij het grofvuil. Na een aantal werkgevers is hij als zelfstandige begonnen in 1999. Na enige wereldse omzwervingen in 2013 weer in Nederland aangeland en naast freelancer, bij een Security distributeur gaan werken als Security specialist. Echter na een aantal jaar is toch het bloed van zelfstandigheid weer gaan borrelen. Tevens kan u, naar zijn optiek, op deze wijze beter geholpen worden.

Arno van der Veen

Eigenaar, IT's Secured

Geïnspireerd of geïnteresseerd? Neem dan contact met ons op.
D
eze blog is tot stand gekomen in samenwerking met

IT’s Secured