Deze week een security blog van Arno van der Veen van onze security partner IT’s Secured. De nieuwe privacy wetgeving maakt het voor de kleinere MKB-er het er niet eenvoudiger op. Naast zijn/haar professie moet hij/zij er ook nog kunnen aantonen dat men naar vermogen heeft geinvesteerd in ICT beveiliging en de juiste procedures heeft gemaakt en volgt inzake privacy gerelateerde gegevens van prive personen (werknemers, particuliere klanten, toeleveranciers waar dit zelfstandigen betreffen).

De nieuwe privacy wetgeving maakt het voor de kleinere MKB-er het er niet eenvoudiger op.

Ik kijk regelmatig in de keuken bij de kleine ondernemers en zie dat het met beveiliging vaak niet beter is gesteld dan een middelmatige antivirus oplossing en een eenvoudige nat router van de provider. En men is zich dan van geen kwaad bewust, sterker nog, men denkt het goed voor mekaar te hebben!

En hun huisautomatiseerder treft in deze vaak ook geen blaam, daar deze vaak beheerder is en geen beveiliger. Men heeft er simpelweg niet de kennis, noch de gereedschappen voor dit specialisme. En voor de MKBer blijft de vraag “Wat moet ik dan?” en “Wat kost het me?”

Nou, niets doen kan simpelweg een faillisement betekenen, wanneer er een calamiteit ontstaat. Wellicht niet met de calamiteit zelf, maar dan wellicht door de nasleep van imagoschade, productieschade en de boete vanuit Autoriteit Persoonsgegevens. Het laatste zal de MKB-er max 12 miljoen kunnen kosten, tenzij 4% van de wereldwijde omzet van de MKB-er meer dan de 12 miljoen is, dan gaat de 4% tellen (Maar ik ken weinig MKB-ers die 12 miljoen op het nachtkastje hebben liggen en degene die dat wel hebben, zijn de positie Midden en Klein wel ontgroeid.)

Niets doen is dus geen optie. Maar wat zijn dan de opties? Periodieke controles (audits) zijn kostbaar en weinig effectief daar een auditor geen problemen oplost, enkel constateert. De huidig beheerder (of een ander extern bedrijf) zal de problemen moeten oplossen, maar deze krijgt er vaak niet de middelen voor van de auditing partij (tenzij men extra wil betalen).

Voor netwerkmonitoring zijn er bedrijven die functioneren als een alarm centrale. Bij een verdachte verkeersstroom wordt er een melding verstuurd. Wilt u meer weten, kan u een (betaalde) helpdesk inschakelen of een extern bedrijf. In mijn optiek is dit half werk, daar een enkele melding vaak nietszeggend is. In combinatie met andere meldingen kan het een completer beeld geven. Naast het feit dat opvolging van de melding effectief en snel moet kunnen gebeuren.. (Hoeveel van u heeft ‘s-nachts zijn telefoon bij zich en kan en wil ‘s-nachts hiervoor lastig gevallen worden? Boeven slapen nooit!)

Vervolgens komt de vraag hoe cloud diensten zoals Microsoft office 365 ed beveiligd moeten worden en de thuiswerker. Hoe komt deze correct op het netwerk en worden de boeven tegen gehouden. Met enkel gebruikersnaam en wachtwoord komt u er niet. Niet zolang mensen wachtwoorden hergebruiken en “moeilijke” wachtwoorden gebruikt als “Zomer2018” of “PietjePuk25”.

En er is niet 1 oplossing van 1 vendor welke het AVG vraagstuk technisch volledig afdicht. Dit is enkel mogelijk door producten van verschillende fabrikanten bijelkaar te zetten en deze op correcte wijze te koppelen.

Kosten voor een MKB-er die het in eigen hand wil hebben?

• Hard- en sofware +/- € 100.000 + 20% onderhoud.
• Implementatie +/- € 50.000
• Personeel met voldoende kennis +/- € 60.000 /jaar
• Opleidingskosten +/- € 10.000 /jaar /medewerker

Iedereen snapt dat dit voor de meeste een brug te ver is.

IT’s Secured heeft een mogelijke oplossing welke vrij uitgebreid is:

• Multifactor authenticatie (sms,app,token)
• Antivirus van hoog niveau
• Netwerkverkeersmonitoring en alarmeringen.
• Kwetsbaarheden scans met oplossingrappportages
• Beheerde Firewall
• Encryptie van werkstations en laptops
• Beheer van mobiele apparaten (laptops, telefoons en tablets)

De oplossing komt in een 19″ server, welke in het netwerk wordt geplaatst. Deze maakt een tunnel verbinding naar het SoC van IT’s Secured. Na basis inrichting (aanmaken gebruikers en wachtwoorden ten behoeven van de kwetsbaarheden scans), zal na enkele dagen de 1e kwetsbaarheden rapportage eruit lopen.

Netwerkverkeer wordt vanaf het moment dat de box is aangesloten, gekopieerd, gestript van de data (we willen enkel de enveloppen hebben), opgeslagen en geanalyseerd. De “Metadata”(enveloppen met afzender, geadresseerde, gewicht. etc) wordt forensisch waardig opgeslagen, zodat, wanneer nodig, de gegevens beschikbaar en integer zijn. De noodzakelijke alarmeringen worden realtime afgegeven. Een engineer beoordeelt alle afzonderlijke meldingen (Indicators of Compromise), analyseert deze en neemt de noodzakelijke acties, zoals een blokkade voor bepaald verkeer, of verdacht werkstation.

Toegang tot webdiensten zoals Office 365 of toegang tot eigen kantoor voor thuiswerkers worden effectief gelogd en waar nodig om een 2e factor (sms code) gevraagd. Hiermee worden ook alle interne systemen van voorzien, zodat alle loginbewegingen eenduidig in beeld zijn.

Antivirus en anti-gijzel software is van Sophos. Sinds de jaren 80 actief in antivirus land en met een buitengewone reputatie. Binnen het maandelijkse MSP model beschikbaar voor zowel kleine als grote ondernemingen. Schaalbaar en de best mogelijke bescherming en logging.

Binnen dit uniforme platform beheren we de antivirus voor servers, werkstations en laptops. Maar ook de fulldisk encryptie en de mobiele apparaten zoals laptops, tablets en telefoons.

De firewall welke geplaatst wordt behoort tot de Next Gen firewalls van Sophos. Deze geavanceerde box heeft email filtering, webfiltering, vpn toegangs server en een state of the art firewall. Relevante logging wordt uiteraard naar het SoC verstuurd om de correlatie te kunnen maken tussen gedetecteerd netwerkverkeer en de daadwerkelijke verwerking ervan door de firewall.

Kortom een bundel welke vrijwel alle technische punten van de AVG raakt.

Is deze bundel goedkoop?
Het antwoord hierop is zowel ja, maar wat noemt u goedkoop? Bij een onderneming van ongeveer 10 medewerkers kost het ongeveer 350 eur/maand. De 1pitter komt het beroerdst weg, hier komt het voor de 1 pitter op ruim 160 eur/maand.

Aan de andere kant: In het beroerdste geval bij niets doen: Faillisement. In het beste geval bent u enkel hersteltijd/kosten en productie verlies kwijt, echter een bedrijf met 10 medewerkers is al gauw zo’n 10000 eur per dag kwijt aan kosten, waarbij het verlies aan productie er nog bij komen. Kan deze oplossing 100% veiligheid garanderen? Nee! Dit kan geen enkele oplossing. En degene die anders beweert, moet de politiek in!

In vergelijk met de autowereld: De monteur kan wel adviseren nieuwe remblokken te laten monteren, echter de eigenaar van de auto kan het advies negeren. Dit kan tot een ongeluk leiden. Hier geldt het zelfde: De detectie van kwetsbaarheden en hoe dit op te lossen worden verzorgt, echter zal ict beheer dit wel moeten oppakken.

Wel zijn de risico’s overzichtelijk, beheersbaar en geminimaliseerd. En de weerbaarheid en zichtbaarheid is gemaximaliseerd. De over gebleven risico’s zijn ook goed te verzekeren.

Zoektermen;  360 total security, Achilles, antivirus, AVG, cybersecurity, Datalek, Intercept X, IT’s Secured, Kwetsbaarheden, MTD, Ransomware, Redsocks, SMS Passcode, Sophos, Tenable

Geïnspireerd of geïnteresseerd? Neem dan contact met ons op.
Deze blog is tot stand gekomen in samenwerking met
IT’s Secured

Eind mei zal er een hoop gaan veranderen op het gebied van databescherming. Dit heeft alles te maken met het in gaan van de GDPR, de nieuwe wetgeving omtrent databescherming. Er zullen regels veranderen en een aantal regels worden toegevoegd aan de huidige wetgeving. Het is belangrijk om je goed op deze verandering voor te bereiden. De boetes voor het niet opvolgen van deze nieuwe regels zijn namelijk niet misselijk. Om je een handje te helpen geven we je in deze blog een aantal tips.

Eind mei zal er een hoop gaan veranderen op het gebied van databescherming. Dit heeft alles te maken met het in gaan van de GDPR, de nieuwe wetgeving omtrent databescherming. Er zullen regels veranderen en een aantal regels worden toegevoegd aan de huidige wetgeving. Het is belangrijk om je goed op deze verandering voor te bereiden. De boetes voor het niet opvolgen van deze nieuwe regels zijn namelijk niet misselijk. Om je een handje te helpen geven we je in deze blog een aantal tips.

Wat is GDPR?

GDPR, of in het Nederlands Algemene verordening gegevensbescherming (AVG) wordt omschreven als: ‘Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens van Europese staatsburgers en betreffende het vrije verkeer van die gegevens’. De AVG definieert persoonsgegevens als: “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon”. Het draait dus om alle gegevens die herleidbaar zijn naar een persoon. Voorbeelden van nieuwe regels zijn:

• Toestemming: bedrijven moeten expliciete toestemming hebben om een breed scala aan gegevens te gebruiken;
• Privacy by design: Privacy by design’ moet worden toegevoegd aan bepaalde workflows, zoals de classificatie van informatie.
• Data Protection Officer: Bedrijven zullen een Data Protection Officer moeten aannemen wanneer bedrijfsprocessen de opslag
  en wijziging van bepaalde type data vereisen;

De straffen voor het niet naleven van de nieuwe regelgeving zijn te groot om genegeerd te worden. Het kan je namelijk een boete van maximaal 20 miljoen of 4% van de totale omzet bezorgen. Het zijn de inkomsten die ze meten en niet de winst, wat voor kleinere bedrijven bijzonder pijnlijk kan zijn. Dit zijn toch kosten die we liever uit de weg gaan, niet waar?

Hoe pak je het aan?

Het kan allemaal wat overweldigend zijn. We maken het graag wat overzichtelijker voor je. Hieronder vindt je een checklist van de belangrijkste maatregelen omtrent de AVG.

1. Zorg er voor dat relevante personen binnen jouw organisatie bekend zijn met de AVG/GDPR.
2. Check of jouw organisatie verplicht is om een functionaris gegevensbescherming aan te stellen.
3. Breng in kaart hoe persoonsgegevens op dit moment worden verwerkt en beoordeel op basis daar van of het nodig is om een aan te verwerkingenregister leggen.
4. Stel procedures op en neem technische maatregelen om de rechten van betrokkenen uit te kunnen voeren.
5. Implementeer privacy by design en privacy by default.
6. Sluit verwerkersovereenkomsten af.
7. Stel een databeveiligingsbeleid op en blijf dit beleid toetsen en verbeteren.
8. Creëer duidelijkheid over het uitvoeren van een Privacy Impact Assessment (PIA). Een DPIA is een instrument waarmee vooraf de privacyrisico’s van een gegevensverwerking in kaart gebracht kunnen worden. Vervolgens kunnen er maatregelen genomen worden om de risico’s te verkleinen. Dit is dus een handige tool voor wanneer de AVG geldt. Het uitvoeren van een DPIA is overigens niet voor elke gegevensverwerking verplicht. Het is alleen verplicht wanneer een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor de betrokkenen. Voorbeelden hier van zijn wanneer een organisatie:

h

1. Weet waar er binnen jouw organisatie toestemming wordt gevraagd voor de verwerking van persoonsgegevens en controleer of dit voldoet aan de eisen van de AVG/GDPR.
2. Stel een protocol meldplicht datalekken op .

Door je goed voor te bereiden op de ingang van de nieuwe wetgeving eind mei, voorkom je fikse boetes en zorg je dat de gegevens van jou bezoekers en klanten zo goed mogelijk beschermd worden. Wil je meer weten over de GDPR/AVG? Of heb je hulp nodig bij het doen van de juiste aanpassingen? Neem dan contact met ons op.

Zoektermen;  GDPR Compliant GDRP, AVG, Privacy, Data Protection Officer

Geïnspireerd of geïnteresseerd? Neem dan contact met ons op.
Deze blog is tot stand gekomen in samenwerking met
Cooler Media.