IT-beveiliging: zes bouwstenen op orde
IT-beveiliging is de technische bescherming van systemen, netwerken, apparaten en accounts tegen misbruik, uitval en gegevensverlies. De basis bestaat uit zes bouwstenen, van sterke inlog tot logging.
Beleid, rolverdeling en risicoanalyse horen bij informatiebeveiliging. Wie die twee door elkaar haalt, koopt techniek zonder eigenaar of schrijft beleid dat nergens is ingeregeld.
Zes bouwstenen
- Identiteit en toegang: sterke inlog op alles wat vanaf buiten bereikbaar is, gescheiden beheeraccounts, geen gedeelde accounts en rechten die vervallen bij vertrek.
- Apparaten: centraal beheer, schijfversleuteling, geen dagelijkse beheerrechten en detectie op gedrag.
- Netwerk: scheiding tussen kantoor, servers, gasten en productie, met een firewall waarvan de regels periodiek worden opgeschoond.
- Updates: vaste termijnen per ernst, met apparatuur aan de netwerkrand vooraan.
- Back-up: drie kopieën, twee soorten opslag, één kopie losgekoppeld, met een geteste herstelprocedure.
- Logging: vastleggen wie wat deed, zes tot twaalf maanden bewaard en door iemand bekeken.
Die zes dekken samen het merendeel van de scenario’s waarmee organisaties in Nederland te maken krijgen. Ze vragen bovendien weinig investering en veel discipline, wat verklaart waarom ze zo vaak half af blijven.
Waar het accent per organisatie ligt
Mkb
Beheer ligt vaak bij een externe partij. Vraag zwart op wit wie patcht, wie back-ups controleert en wie meldingen beoordeelt.
Productie
Beschikbaarheid weegt het zwaarst. Scheiding tussen kantoor en besturing bepaalt de schade. Zie OT security.
E-commerce
Beheertoegang tot webshop, betaalkoppelingen en hosting hoort op aparte accounts met sterke inlog te staan.
Zorg en onderwijs
Veel gebruikers en apparaten van derden. Zet gasten en privéapparatuur op een gescheiden netwerk zonder toegang tot interne systemen.
Zakelijke dienstverlening
Klantgegevens in mail en documentopslag. Deelrechten en doorstuurregels zijn hier de terugkerende bron van incidenten.
Financiële organisaties
Vier-ogenprincipe bij betalingen en bij wijzigingen in rekeninggegevens, ondersteund door logging die achteraf te controleren valt.
Wat je eerst doet, met het meeste effect
Sterke inlog aanzetten
Multifactorauthenticatie op mail, externe toegang en beheeraccounts. Blokkeer daarbij verouderde aanmeldmethoden die de tweede stap omzeilen.
Back-up testen
Zet een volledige omgeving terug en klok de tijd. Veel organisaties ontdekken pas tijdens een incident dat herstel dagen kost.
Updates met termijnen
Spreek af binnen hoeveel dagen kritieke kwetsbaarheden worden verholpen en begin bij wat vanaf internet bereikbaar is.
Accounts opschonen
Loop accounts van vertrokken medewerkers, oude beheeraccounts en technische accounts zonder eigenaar na. Dit kost een middag en sluit veel routes af.
Herstelwerk kost een veelvoud van onderhoud. De volgorde hierboven vraagt vooral om tijd, weinig om budget.
Wat er in je IT-contract hoort te staan
Beheer en beveiliging zijn twee opdrachten. Een beheercontract dekt vaak beschikbaarheid en storingen, zonder afspraken over updates, logging of meldingen. Loop vijf punten na.
- Wie installeert updates, op welke systemen en binnen welke termijn?
- Wie controleert of back-ups slagen, en wie voert jaarlijks een hersteltest uit?
- Welke logging wordt bewaard, hoe lang, en wie kijkt ernaar?
- Binnen welke tijd meldt de leverancier een incident aan jou?
- Welke rapportage krijg je, en is die bruikbaar richting een auditor?
Ontbreekt een antwoord, dan ligt die taak in de praktijk bij niemand. Zie ook managed security services.
De basis in vier stappen
Inventarisatie
Breng systemen, accounts, apparaten en koppelingen in kaart. Zo wordt duidelijk waar toegang is, welke onderdelen afhankelijk zijn van elkaar en waar beheer ontbreekt.
Risicoanalyse
Beoordeel kwetsbaarheden, configuraties en toegangsrechten en bepaal prioriteiten. Je richt je eerst op risico’s met de grootste kans op misbruik en verstoring.
Inrichting en monitoring
Voer maatregelen door zoals MFA, segmentatie en hardening en leg logging vast. Monitoring maakt afwijkingen zichtbaar en ondersteunt snelle opvolging bij incidenten.
Controle en onderhoud
Voer updates planmatig uit en test periodiek of maatregelen nog werken, inclusief herstel via back-ups. Bij veranderingen in systemen of dreigingen pas je inrichting en afspraken aan.
Wat het ongeveer vraagt
De meeste maatregelen uit de zes bouwstenen zitten al in licenties die je hebt. Sterke inlog, apparaatbeheer en logging in gangbare zakelijke pakketten vragen vooral om inrichting en om iemand die het bijhoudt.
Waar wel geld heen gaat: bewaking buiten kantooruren, back-upopslag die losstaat van je omgeving, en periodiek onafhankelijk onderzoek. Weeg die uitgaven tegen de verwachte schade uit je cyberrisicoanalyse, dan wordt de afweging navolgbaar voor de directie.
Waar de basis blijft liggen
De back-up draait, dus het komt goed. Draaien en terugzetten zijn twee verschillende dingen. Zonder hersteltest weet je niet hoe lang je stilligt.
Onze IT-partij regelt de updates. Vaak geldt dat voor servers en niet voor firewalls, VPN-apparatuur en software van derden. Juist die eerste twee zijn vanaf internet bereikbaar.
Iedereen heeft beheerrechten nodig. Zelden waar, en het is de reden dat een besmetting op één laptop zich over het netwerk verspreidt.
Wij zien het wel als er iets gebeurt. Zonder logging die iemand leest, blijft een overgenomen account maanden onopgemerkt. Zie SOC monitoring.