Cloudsourcing

Actueel

Intermax is Microsoft Cloud Service Provider

Intermax is onlangs getransformeerd tot Intermax Cloudsourcing. Dat houdt in dat wij buiten onze eigen Intermax Cloud - die een ongekende beschikbaarheid en performance heeft - ook geïntegreerde Public Cloud services aanbieden. Daarnaast leveren we al sinds jaar en dag flexibele licenties van onder andere Microsoft. Die zaken vloeien nu samen in een nieuwe samenwerking tussen Intermax en Microsoft: we zijn officieel Microsoft Cloud Service Provider geworden! De samenwerking met Microsoft zorgt ervoor dat we onze diensten en complexe infrastructuren indien gewenst voor onze klanten kunnen integreren in één passende hybride cloudoplossing. Efficiënt. Helder. En allemaal met een vast aanspreekpunt: Intermax. We ontwerpen de juiste architectuur die bij uw IT-toepassingen hoort en past, en die bovendien voldoet aan alle (wettelijke) voorwaarden. De combinaties van bestaande private en public clouds worden door de samenwerking met Microsoft volledig ondersteund. We helpen op deze manier onze klanten bij de transitie naar de cloud. Dat doen we met voldoende middelen, aanvullende back up, ondersteuning, beveiliging en met 1 heldere factuur met bewaking van de kosten. Hopelijk bieden we zelfs inspiratie, en geven we onze klanten het vertrouwen over te stappen naar de cloud, en te kiezen voor cloudsourcing!          

Lees meer
Threat analytics: voorkom weggegooid geld! [blog]

Soms denk ik dat voor securitybudgetten hetzelfde geldt als voor marketing: de helft wordt zinvol besteed, maar je weet nooit welke helft. De securitybudgetten worden besteed aan allerlei dozen, software en diensten die preventieve, curatieve en mitigerende maatregelen bieden. De effectiviteit van die maatregelen blijkt uit de mate van het uitblijven van incidenten en/of de wijze waarop de impact van incidenten wordt beperkt. Deze zaken zijn lastig te meten, er is geen objectiveerbare schadelast zoals bijvoorbeeld na een brand in een huis. Er is bovendien nauwelijks onafhankelijke informatie over incidenten per branche, dus een benchmark met andere organisaties is niet mogelijk. En hoe bepaal je wat de impact zou zijn geweest zonder deze maatregelen? De risk-reward ratio is heel lastig te bepalen. (meer…)

Lees meer
Cyberrisicomanagement: hoe bepaal je eenvoudig welk risico je loopt? [blog]

Om risico’s te managen moet u begrijpen met welke risico’s u te maken heeft. Nu hacks, malware en cryptolockers dagelijks in het nieuws zijn, krijgen bestuurders en managers de indruk dat ze extreem veel risico lopen. Dat is gelukkig niet altijd het geval. Hoeveel risico zij lopen hangt af van de aard van hun organisatie, de aantrekkelijkheid van die organisatie voor kwaadwillenden en van de middelen die partijen kunnen vrijmaken voor hun acties. Het loont daarom goed na te denken over wie uw organisatie schade zou willen berokkenen en welke motivatie deze partij heeft. Een zeer gemotiveerde partij maakt namelijk over het algemeen meer middelen vrij om een hack te plegen. De tabel hieronder kan daarbij helpen. In deze tabel worden diverse partijen beschreven die aanvallen via internet zouden kunnen plegen. Achtereenvolgens wordt beschreven wat het motief van deze partijen is, welk doel(wit) ze vaak hebben en wat de middelen zijn die ze ter beschikking hebben. Vormt uw organisatie een militair doelwit, dan maakt de tabel duidelijk dat landen relatief veel middelen hebben om te spioneren, inlichtingen in te winnen en/of om infrastructuur lam te leggen. Op internet zijn hiervan diverse voorbeelden te vinden, waaronder dit bericht: Israel and US fingered for Stuxnet attack on Iran. Inmiddels blijken ook verschillende landen middelen en expertise aan te wenden om intellectueel eigendom te stelen, zodat zij lokale organisaties concurrentievoordeel kunnen bieden (zie bijvoorbeeld dit bericht: Bronnen bevestigen Chinese ASML-hack). Omdat deze landen relatief veel middelen tot hun beschikking hebben, vergt het van hun doelwitten behoorlijk wat inspanning om zich tegen hun aanvallen te beschermen. Veruit de meeste organisaties hebben te maken met criminele en met malafide organisaties, zoals concurrenten. Afhankelijk van de mate van financieel gewin worden de daders hierbij steeds professioneler, waarbij ook het budget voor een hack navenant toeneemt. Ook mensen die voor grote banken werken of die toegang hebben tot veel intellectueel eigendom/patiëntgegevens/creditcard informatie, vormen interessante doelwitten. Is er sprake van een relatief laag financieel gewin, dan moeten organisaties vooral rekening houden met criminelen (waaronder rancuneuze (ex-)medewerkers) en malafide organisaties. Helaas zijn er geen organisaties die geen risico lopen: zelfs de kleinste organisaties hebben een reële kans om een incident mee te maken. Als manager of bestuurder moet u zich dus afvragen: wie heeft het op mijn organisatie gemunt en welke middelen heeft deze partij beschikbaar? Heeft een potentieel gevaar voor uw organisatie toegang tot veel middelen, dan neemt ook de kans op een incident toe. De mogelijke schade van een eventuele aanval bepaalt vervolgens welke preventieve, curatieve en mitigerende maatregelen uw organisatie moet treffen. Guardian360 heeft veel expertise op dit gebied. Wij zijn gewend om eerst te bepalen wat de kroonjuwelen van een organisatie zijn en welke maatregelen er al getroffen zijn om een incident te voorkomen. Vaak is het beter bewaken van de maatregelen al voldoende om de kans op een incident fors te verlagen. Wilt u daar een keer over doorpraten? Neem dan contact met ons op! ———— Deze blog is geschreven door Jan Martijn Broekhof van Guardian360 en werd ook op www.guardian360.nl gepubliceerd.

Lees meer
Hoe een Kanarie helpt een Trojaans Paard te weerstaan [blog]

Op 21 april van dit jaar publiceerde de AIVD haar jaarverslag. Hierin wordt een heel hoofdstuk gewijd aan ‘Cyberdreiging’. In de inleiding staat het volgende: “De aandacht van de AIVD voor cyberdreiging richt zich vooral op digitale spionage. Deze inbreuk op onze soevereiniteit, die vaak een aantasting vormt van onze politieke en economische belangen, vindt vrijwel altijd vanuit statelijke actoren plaats. Daarmee vormt dit een bedreiging voor de nationale veiligheid en dat maakt het een taak voor de AIVD.” In het rapport is ook het volgende te lezen: “In het afgelopen jaar heeft de AIVD ook diverse digitale aanvallen waargenomen op bedrijven die deel uitmaken van de Nederlandse topsectoren: high tech, chemie, energie, life sciences en health en watervoorziening. Hierbij is vastgesteld dat de aanvallers op zoek waren naar zeer specialistische en soms zelfs experimentele technologie die zijn marktwaarde nog moet bewijzen. Deze technologieën zijn essentieel voor het huidige en toekomstige verdienmodel van de getroffen bedrijven, maar ook en vooral van grote waarde voor een stabiele en groeiende economie die de basis vormt van onze welvaart. De aanvallen op juist deze sectoren tonen aan dat de daders structurele en gedetailleerde aandacht hebben voor innovatie-initiatieven in Nederland en precies weten waar ze moeten zijn. Dit is illustratief voor de structurele digitale spionagedreiging waaraan wij zijn blootgesteld en die de Nederlandse kenniseconomie ondermijnt.” Naïef Het midden- en kleinbedrijf vormt veruit het grootste deel van het Nederlandse bedrijfsleven. Binnen het Nederlandse MKB vindt veel innovatie plaats. Ondernemers en bestuurders zijn zich er weliswaar van bewust dat hun investeringen in innovatie en R&D waardevol zijn, volgens de AIVD zijn zij nog behoorlijk naïef waar het om digitale spionage gaat: “We maken op grote schaal gebruik van de digitale ruimte en worden tegelijkertijd steeds meer daarvan afhankelijk. Dat brengt nieuwe kwetsbaarheden met zich mee. Zowel de overheid en het bedrijfsleven, als de individuen in onze hedendaagse maatschappij zijn zich nog onvoldoende bewust van die digitale kwetsbaarheid, waardoor maatregelen daartegen achterblijven. We zijn digitaal gesproken nog te naïef.” Helaas merk ik deze naïviteit in de gesprekken die ik voer. Ik spreek ondernemers en bestuurders die zich hardop af vragen “Wat valt er bij ons nou te halen?” en “Wie wil mij nou hacken?”. De meldplicht datalekken zorgt ervoor dat bedrijven meer aandacht krijgen voor het onderwerp, maar wat mij betreft om de verkeerde redenen. Het voorkomen van een boete moet niet de reden zijn om met informatiebeveiliging aan de slag te gaan: als bestuurder moet je je zaken op orde hebben, en het beveiligen van je (klant)data moet daar een vast onderdeel van zijn. Tegelijkertijd spreek ik ook ondernemers en bestuurders die zich bewust zijn van de gevaren, maar die tegelijkertijd stellen dat zij niet in staat zijn om buitenlandse spionnen buiten de deur te houden. Landen kunnen teams vrijmaken om continu en gericht spionage te bedrijven, als bedrijf heb je de middelen niet om je daar tegen te verweren. Daarbij komt dat de aanvallen steeds geavanceerder worden: net als Trojaanse Paarden komen ze via vertrouwde websites en bestanden de organisatie binnen. Schade beperken Als je niet helemaal kunt voorkomen dat je gehackt wordt, hoe kun je dan toch de schade beperken? De AIVD constateert dat Nederlandse organisaties hun beveiligingsinspanningen vooral richten op het blokkeren van indringers in hun ICT-netwerken. Dynamische beveiligingsmaatregelen, gericht op het detecteren van activiteiten van indringers die al binnen zijn, krijgen weinig aandacht. Zo kunnen aanvallers na een geslaagde digitale inbraak vaak langere tijd in een netwerk actief zijn zonder opgemerkt te worden. Een aanzienlijk deel van de getroffen Nederlandse organisaties is door dit gebrek aan intern gerichte beveiligingsmaatregelen niet in staat om de duur en impact van digitale aanvallen op hun netwerken vast te stellen. Binnen Guardian360 zetten we een hulpmiddel in om hackers te betrappen: de Canary. Deze virtuele bewegingsmelder signaleert het wanneer een hacker een netwerkscan doet. Er wordt dan direct een melding gedaan naar de contactpersonen bij onze klanten en ons security operations center. Ook wanneer een hacker devices probeert te benaderen, kan de Canary de hacker betrappen. Op deze manier kan een organisatie snel passende maatregelen treffen en het Trojaanse Paard weerstaan. Wilt u meer weten over de Canary en andere pragmatische middelen om de impact van een hack te verlagen? Neem dan contact met ons op.

Lees meer
Wie de cybercrimineel onderschat, gaat op zijn gat [blog]

In de blog ‘De matador in uzelf’ gaan we in op het gevaar van cybercriminaliteit, wat u als particulier persoon en als bedrijf eraan kunt doen, en dat – in elk geval – zulke gevaren niet mogen worden onderschat. We zouden met enige regelmaat kunnen rapporteren wat er in de praktijk allemaal misgaat. Een van de recentste voorbeelden is de aanhouding van een 17-jarige jongen uit Alkmaar, die gedreigd had om de website van de Belastingdienst via een DDoS-aanval plat te leggen. Het cybercrimeteam van de Eenheid Midden-Nederland heeft de jongen aangehouden. De directe aanleiding was het gevaar dat de site van de Belastingdienst plat zou worden gelegd, waardoor veel mensen hun belastingaangifte niet op tijd zouden kunnen indienen. Zulke misdaden, en dan met name de jeugdigheid en de intelligentie van zulke criminelen, maar ook het werkgebied waarin deze organisaties opereren, zorgen voor een herijking van onze bestaande ideeën over wat criminelen zijn, wat criminaliteit is, en wat de schade is van de activiteiten van deze ‘nieuwe’ criminaliteit. Het is ook niet vreemd dat deze moderne vormen van criminaliteit een lange tijd zijn onderschat. Men denkt al snel dat het wel meevalt. Wat voor schade kunnen een paar tieners met te veel vrije tijd omhanden nu uitrichten? Goed, inmiddels zijn die opvattingen bijgesteld. Wie de cybercrimineel onderschat gaat op zijn gat. De 17-jarige jongen die de Belastingdienst wilde aanvallen blijkt, volgens bronnen bij Emerce, de hacker Fl00D te zijn, oprichter van AnonGreySec. Deze organisatie was al verantwoordelijk voor het platleggen van de servers van Ziggo, en onlangs nog dreigde ze met een aanval tegen Nu.nl. Kennelijk was dat een generale repetitie voor de aanval tegen de Belastingdienst. Het credo van de organisatie is toch: ‘fuck de system’. De brutaliteit en lichtzinnigheid die zulke organisaties aan de dag leggen lijken erop te wijzen dat het allemaal een grote grap is, het leven als een klucht, maar daaronder schuilt het ideaal om bestaande structuren plat te leggen, bedrijven lam te leggen, en te streven naar een digitale anarchie die zijn uitwerking heeft in de fysieke maatschappij. Internetsecurity is de sleutel, waarmee je ook de fysieke deur thuis op slot kunt doen en je rustig kunt slapen, omdat je weet dat niemand je bedrijf lam legt of je gegevens en identiteit steelt. Het concept van veiligheid hebben we met z’n allen opnieuw vorm moeten geven met de komst van internet. Zolang deze ontwikkelingen doorgaan zal Intermax steeds met een scherpe en nieuwsgierige blik het digitale veld blijven verkennen op zoek naar de beste oplossingen. Vragen? Vanzelfsprekend zijn wij bereid om u te informeren over de bestaande mogelijkheden omtrent beveiliging en internetsecurity.    

Lees meer
De matador in uzelf [blog]

Hoe veilig bent u? Heeft u daar wel eens over nagedacht? Een rechtgeaarde vraag in de onzekere tijden waarin we leven. Maar de vraag beperkt zich in dit geval tot de digitale wereld, cyberspace, het leefklimaat van internet. Hoe veilig ben je daar, als privaat persoon, als bedrijf? Heeft u enig idee hoe beveiligd uw gegevens zijn, hoe uw data is versleuteld zodat anderen, kwaadwillende figuren of organisaties, er niet bij kunnen? Vaak menen directies dat hun zaak op orde is, dat het met de veiligheid wel goed zit, omdat ze voldoen aan de regels. Tegelijkertijd neemt de cybercriminaliteit toe, data wordt met weinig problemen gepikt, verhandeld, of op straat gegooid, om te ontregelen en te verontrusten. Bedrijven kunnen het zich simpelweg niet permitteren om hun veiligheid níet op orde te hebben. De wereld van internet was een vrolijk feest waarop iedereen zijn eigen dansje kon doen, en de filosofische gemeenschapszin was er een van vrijheid en blijheid. De ‘digitale sixties’ zijn inmiddels overgegaan in de onrustige ‘seventies’ en kennelijk zitten we nu in de angst, achterdocht en argwaan van de ‘eighties’. Iedereen die kan pikken, zal pikken. In tegenstelling tot de wantrouwige jaren tachtig blijft het in deze tijd niet alleen bij argwaan en achterdocht, cybercriminelen bestaan echt, ze vormen een pact, leven in geheime genootschappen, en organiseren zich. Zouden bonafide bedrijven, instellingen en organisaties zich dan niet evenzeer moeten beveiligen? Een platform als Guardian360 kan voor bedrijven en instellingen het verschil betekenen. Zou u niet willen weten wanneer er zwakke plekken in uw beveiliging ontstaan, of uw beveiliging te allen tijde up to date is? Zo’n tien jaar geleden zouden directies van veel bedrijven schouderophalend zeggen dat het zo'n vaart niet zou lopen. Die houding is achterhaald. Een belangrijke overweging voor diezelfde directies is nu: wat kost een spreekwoordelijke kanarie in een kolenmijn, als het vogeltje ervoor zorgt er geen lek ergens ontstaat en de boel niet instort? Lekken komen steeds vaker voor, de boel ligt op straat, en achteraf wordt er naar alles en iedereen gewezen, maar de schade is gedaan, en herstel soms onmogelijk. Met de kennis achteraf valt er altijd een verantwoordelijke partij aan te wijzen. Misschien moeten we vooraf ervoor zorgen dat het niet zover komt. Wie niet meteen wenst over te gaan op managed security kan zelf al wat doen om dieven buiten de deur te houden. Elk bedrijf kan op een bijna schoolse wijze een lijstje afwerken om hackers niet meteen vrij spel te geven. 1. Voorkom zwakke wachtwoorden. 2. Mis geen patches voor uw software. 3. Let op besturingssystemen die niet op juiste wijze zijn geconfigureerd. 4. Gebruik geen laptops die niet encrypted of versleuteld zijn. 5. Zorg ervoor dat uw webapplicaties zorgvuldig getest zijn. 6. Zorg ervoor dat u geen gedateerde malware-beveiliging gebruikt. Nu denkt u wellicht dat deze tips voor zich spreken. Dat is ook zo. En toch blijkt het in de praktijk zelden te worden toegepast. Nu beweren we niet dat wij het alziende oog zijn, maar we weten dat zulke problemen voorkomen. We zijn ons ervan bewust, en we weten waar we naar moeten zoeken. Dat scheelt. Te vaak zie je dat er een discrepantie bestaat tussen de technische dienst of de engineers van een bedrijf en het uitvoerende management. De technische afdeling weet doorgaans wat er speelt en probeert het management op de hoogte te stellen en de gevaren in kaart te brengen. Het management neemt het niet zo nauw, of denkt in getallen, in plaats van in oplossingen, en gaat voorbij de effectiviteit van hun keuzes om het probleem bij de horens aan te pakken. Blijven we even bij die beeldspraak: als u maar lang genoeg met een rode lap wappert en onbewust schreeuwt ‘Pak me dan, als je kan!’, dan kunt u erop wachten dat er op een zeker moment een bende dolle stieren op u afraast. De kans is groot dat u dan te laat bent om de matador in uzelf op te roepen.

Lees meer
Het proefkonijn uit de hoge hoed [blog]

Op de valreep tussen het oude en het nieuwe jaar in werd de BBC getroffen door een DDoS-aanval. Daarmee werd in feite meteen het nieuwe jaar ingeluid. De websites van de Britse televisieomroep werden door een groep die zichzelf New World Hacking noemt enkele uren platgelegd. De gebeurtenis lijkt tegemoet te komen aan de jaarlijkse verschillende voorspellingen voor 2016, waarin een belangrijke rol is weggelegd voor cybercrime. Naast terrorisme staat cybercrime hoog op de lijst van de te verwachten dreigingen voor de westerse wereld. Intermax voorzag al enkele jaren geleden dat internetsecurity een ‘heet’ thema zou worden voor de toekomst. Niet voor niets rekenen we de beveiliging van uw complexe IT-infrastructuur tot een belangrijk deel van ons werk. We maken er daarnaast bijna wekelijks een punt van in onze blogs en nieuwsberichten en we houden u op de hoogte van wat er leeft en speelt. De nieuwste ontwikkelingen, trends, feit en fictie, en de laatste gevaren en risico’s worden belicht. In de eerste plaats draait het ons uiteraard om de veiligheid en betrouwbaarheid van de kritische systemen in uw organisatie, maar ook voor u persoonlijk ( denk aan de beveiliging van uw persoonsgegevens ) is het belangrijk dat u zich realiseert hoe belangrijk security is. Elk groot vooraanstaand bedrijf kan, net als de BBC, zomaar getroffen worden, en niet eens omdat ze tegen zijn waar u voor staat. Dit was ook het geval toen de websites van de BBC down gingen, al spreken bronnen binnen de BBC tegen dat het iets te maken zou hebben met de aanval. Of eigenlijk spreken ze niets tegen, en spreken ze zich ook niet uit. De beste aanpak als je getroffen bent en de schade beperkt wil houden. In elk geval is het de beste aanpak als je de imagoschade beperkt wenst te houden. Het is uiteraard niet het antwoord, noch de oplossing. In de eerste plaats is het belangrijk dat u kennis vergaart van professionals over de moderne gevaren en risico’s voor uw systemen. Intermax heeft over internetsecurity een kennissessie gehouden. We sluiten niet uit dat we ook dit jaar deze actuele onderwerpen weer onder de aandacht zullen brengen bij onze klanten en relaties. De hackers die de BBC platlegden zeggen dat ze voor het goede doel strijden, omdat ze tegen online terroristen zijn, en er niemand aanwezig is in de digitale wereld die deze misdadigers bestrijdt. De BBC werd slechts ‘gebruikt’ als proefkonijn. In het kader van: het doel heiligt de middelen. Juist vanwege deze filosofie is het raadzaam dat u zich met uw IT-infrastructuur niet extra ‘aantrekkelijk’ maakt voor hackers, al dan niet met een moraal, een ideaal of anderszins. Een DDoS-aanval is moeilijk af te wenden, maar dat betekent niet dat je je helemaal niet kunt beschermen. De ontwikkelingen gaan steeds door. Ons platform Guardian 360, dat onder meer zorgt dat er elk uur continue actieve scanning plaatsvindt op meer dan tachtig verschillende netwerkpoorten, is bijvoorbeeld een handreiking naar klanten die waakzaamheid en veiligheid hoog in het vaandel hebben staan. ‘Better safe than sorry’ is het credo voor organisaties die de gevaren van de moderne wereld erkennen en toch vooruit willen blijven gaan. Guardian360 waakt en bewaakt, in de vorm van ‘security as a service’. U kunt zich hierover laten adviseren en informeren. Geen mens houdt ervan om zich onveilig te voelen. Of u zich nu op straat bevindt, in uw auto, of aan uw toetsenbord. Elk mens deelt graag zijn of haar - veilige - blik op de toekomst. Dat moet u ook kunnen doen met uw organisatie. 2016 wordt het jaar van internetsecurity en cybercrime, zoals dat ook eigenlijk al het geval was in 2015 en ook al in 2014. Vanzelfsprekend wordt het jaar er dan ook een van waakzaamheid en veiligheid. Immers, niemand wenst als een proefkonijn uit de hoge hoed van de hackers te worden getoverd. Bron: Nu.nl

Lees meer
Zonder monitoring ben je eigenlijk blind (blog)

Zonder monitoring ben je eigenlijk blind. Deze uitspraak is afkomstig van Michel van Eeten (TU Delft). Hij zei dit tijdens een uitzending van Brandpunt Reporter met als onderwerp ‘Cyber-Chinezen stelen Nederlandse bedrijfsgeheimen’. Tijdens de uitzending werd de ASML hack als leidraad gebruikt om een aantal experts te interviewen. Volgens hen is economische spionage via internet schering en inslag. In deze blog licht ik toe waarom Guardian360 goede monitoring zo belangrijk vindt, en waarom de uitspraak van Van Eeten mij daarom zo aansprak. Economische spionage In de uitzending stelt Marc Kuipers (AIVD) dat het verdienvermogen van Nederland in gevaar dreigt te komen doordat digitale spionnen azen op ons tafelzilver. Spionage is dankzij de inzet van IT goedkoper en eenvoudiger geworden; je kunt vanaf elke plek op aarde je werk doen. Ook is spionage effectiever geworden: een geslaagde inbraak kan nu een heel computersysteem blootleggen. Volgens Kuipers merkt de AIVD dat internetcriminelen zich steeds meer toeleggen op economische spionage, in plaats van dat zij het snelle geld najagen. Zij hebben daarbij een grote mate van professionaliteit ontwikkeld, mede dankzij de opbrengsten van eerdere door hen gepleegde hacks. Kuipers geeft ook aan dat de AIVD onder elke steen waar zij kijkt ook daadwerkelijk wat vindt. Economische cyberspionage zou daarom volgens hem wel eens het grootste aandachtsgebied van de AIVD kunnen worden. Daar komt bij dat inlichtingendiensten ook steeds meer gebruik maken van internetcriminelen. Een geslaagde hackpoging bij een ministerie levert hen immers zeer interessante informatie op. Jeroen Herlaar (Mandiant) ondersteunt het betoog van Kuipers. Hij stelt dat groepen hackers actief naar intellectueel eigendom zoeken. Een van die groepen is de Chinese PLA Unit 61398. Deze groep beroofde al tientallen bedrijven van hun intellectueel eigendom, waarbij het om honderden gigabytes aan data ging. Het is bekend dat deze groep gelieerd is aan de Chinese overheid en defensie. Dit toont aan dat inlichtingendiensten hun focus steeds meer verschuiven naar het verkrijgen van militaire informatie en intellectueel eigendom, in plaats van alleen het inwinnen van militaire informatie. De samenwerking met criminele organisaties wordt daarbij niet geschuwd. Advocaat Lokke Moerel constateert dat er een informatiemarkt is, met gegevens die interessant zijn voor handel, bijvoorbeeld op de beurs. Gegevens kunnen ook interessant en nuttig zijn bij onderhandelingen, of wanneer bedrijven met elkaar concurreren bij een deal of overname. Hackers zoeken daarom in bedrijfsnetwerken naar pdf’s, doc’s en andere documenten. Tegelijkertijd proberen zij zoveel mogelijk data naar buiten te sluizen, zodat ze deze later kunnen onderzoeken. Op deze manier worden er zaken bekend die bedrijven liever geheim hadden gehouden. IT security Kuipers stelt verder dat een aantal (grote) bedrijven IT security vooral zien als kostenpost, in plaats van een belangrijke investeringsfactor die nodig is om de continuïteit te verzekeren. Bij beveiliging moet de basis op orde zijn, dat is het belangrijkste. Veel bedrijven vergeten echter het belang van basale beveiligingsmechanismen, zoals een sterk wachtwoorden policy. Zwakke wachtwoorden zorgden er bijvoorbeeld voor dat Chinese hackers binnen konden komen in het netwerk van ASML. Het is ook goed om te kijken naar dat deel van je portefeuille dat de kroonjuwelen bevat, want die wilt u uiteraard goed beveiligen. Ook is het belangrijk dat die kroonjuwelen niet voor iedereen zomaar toegankelijk zijn. Om die reden hangt de AIVD niet alles aan het internet. Herlaar voegt hier heel terecht aan toe dat kroonjuwelen in iedere organisatie aanwezig zijn. Vrijwel ieder bedrijf heeft immers geïnvesteerd in intellectueel eigendom, processen en procedures. Zij hebben dus absoluut waardevolle informatie in huis. Monitoring Volgens Herlaar wordt tweederde van de aanvallen pas bekend nadat een externe partij het slachtoffer daarvan op de hoogte brengt. Logisch: hackers willen zo lang mogelijk onder de radar blijven, want hoe meer tijd ze hebben, hoe meer data ze kunnen verzamelen. Gemiddeld duurt het 205 dagen voordat een hack wordt opgemerkt. Ronald Prins (Fox-IT) geeft aan dat zijn bedrijf zo’n 80 klanten monitort. Dagelijks zijn enkele meldingen van zodanige aard dat specialisten van Fox-IT ingezet moeten worden om een mogelijke inbraak te verijdelen. Prins geeft daarbij aan dat er veel meer gebeurt dan we nu eigenlijk weten. Hoe kan Guardian360 helpen? Met behulp van ons platform helpen we organisaties met het monitoren van de beveiligingsmaatregelen die ze al getroffen hebben. Daarnaast doen we ons best om een hacker snel te betrappen. Veel bedrijven hebben al in een bepaalde mate geïnvesteerd in informatiebeveiliging, wij kijken over de schouders van hun beheerders mee of systemen nog up-to-date zijn. Daardoor helpen we bedrijven om de basis op orde te brengen, waarna ze een gefundeerde keuze kunnen maken in welke middelen ze vervolgens investeren. Omdat Guardian360 deze middelen niet zelf levert, kunnen wij onafhankelijk adviseren. Wilt u hier meer over weten? Bekijk dan onze werkwijze of neem contact met ons op! ———— Deze blog is geschreven door Jan Martijn Broekhof van Guardian360 en werd ook op www.guardian360.nl gepubliceerd.

Lees meer
IOT maakt van elk huis een datacenter zonder systeembeheerder [blog]

Op 26 november 2015 lanceerde Intermax het grootste Internet Of Things (IOT) netwerk van Nederland. Dit open LoRa netwerk voor het IoT heeft dekking in de hele stad Rotterdam, inclusief het havengebied. LoRa staat voor ‘Long Range Low Power’. Met deze technologie kunnen objecten en systemen met een sensor bij zeer laag stroomverbruik door de lucht informatie uitwisselen. Deze kenmerken maken het een ideaal netwerk voor IoT. Ongekende mogelijkheden IoT biedt ongekende mogelijkheden: door apparaten en sensoren op een slimme manier aan het netwerk te koppelen hoeven engineers minder vaak te reizen, kan er meer gemonitord worden en kan technologie steeds slimmer ingezet worden. Denk aan slimme stadsverlichting, het meten van waterniveaus of aan de mogelijkheden voor crowd control. Op een simpele, snelle en zuinige manier kunnen er op grote afstand allerlei soorten slimme meters worden uitgelezen, zonder dat daar dure mobiele abonnementen of veel mankracht voor nodig zijn. De technologie klopt inmiddels ook aan de voordeur van ‘gewone’ burgers. Denk aan een deurbel met camera, die via internet gekoppeld is aan de smartphone van de bewoner. Handig wanneer je niet thuis bent, zodat je kunt zien welke bezoeker je gemist hebt. In 2010 werden al de eerste koelkasten met WiFi verbinding op de markt gebracht, de belofte was dat het apparaat webtoepassingen in de keuken toegankelijk zou maken. Hoewel die belofte nog niet op grote schaal waargemaakt is, zijn apparaten zoals babyfoons en thermostaten inmiddels wel via WiFi verbonden met het internet. De eerste rookmelders die aan het IoT gekoppeld kunnen worden zijn inmiddels op de markt. Fabrikanten van huishoudelijke apparatuur zijn met grote snelheid bezig om hun producten ‘connected’ te maken. De hiervoor genoemde apparaten zijn over het algemeen gekoppeld aangesloten op het elektriciteitsnet in de woning. WiFi verbruikt relatief veel stroom, dus een netsnoer is meestal nog nodig. Een LoRa netwerk maakt het echter mogelijk een groot aantal apparaten aan het netwerk te koppelen, die elk met een simpele AA-batterij jaren verbonden kunnen blijven. De eerste toepassingen worden inmiddels zichtbaar: huisdieren worden in de gaten gehouden door partijen zoals http://tailio.com/. Ook wordt er al geëxperimenteerd met sensoren die hun eigen energie opwekken, en dus geen batterij of stekker meer nodig hebben. Voor- en nadelen De voordelen zijn duidelijk, maar zijn de nadelen dat ook? Wat mij betreft zijn er twee grote aandachtspunten: security en surveillance. Over surveillance zal ik een separate bijdrage schrijven, in deze bijdrage ga ik in op beveiliging. Informatiebeveiliging is voor consumenten op dit moment nog relatief overzichtelijk. Naast je computer(s) heb je een of meerdere tablet(s), een of meerdere smartphone(s), een modem en een printer. Daar houdt het voor het overgrote deel van de huishoudens wel mee op. Je weet inmiddels dat antivirus een vereiste is. Je weet dat je het standaard wachtwoord op je modem moet aanpassen, net als de standaard wifi instellingen. Maar wat nu als straks je koelkast, broodrooster, brandmelder, deurbel, wasmachine en kattenbak allemaal via IoT aan je telefoon (en daarmee de rest van je netwerk) gekoppeld worden? Je huis verandert dan langzaam in een datacenter. Er liggen opeens heel veel connecties tussen heel veel verschillende apparaten. Een kwaadwillende heeft daardoor ineens een groot aantal mogelijke inbraakpunten tot zijn beschikking. Daarbij komt dat beveiliging voor leveranciers van huishoudelijke apparaten geen discipline is die ze zelf in huis hebben. Het apparaat moet zo snel mogelijk aan het IoT gekoppeld worden, want dan kan het de markt op. Dat is hun grootste zorg. Er is minder aandacht voor beveiliging. Aangezien informatiebeveiliging zo sterk is als de zwakste schakel is het niet ondenkbaar dat je bankrekening via je broodrooster gehackt wordt. Vanuit Guardian360 volgen we deze ontwikkelingen nauwgezet. Op het moment van schrijven van dit artikel werken we aan scanners die kwetsbaarheden in het IoT opsporen, zodat we organisaties en personen kunnen helpen bij het verhelpen ervan. Wilt u hier meer van weten, of doorpraten over dit onderwerp? Neem dan contact met ons op! ———— Deze blog is geschreven door Jan Martijn Broekhof van Guardian360 en werd ook op www.guardian360.nl gepubliceerd.

Lees meer
De verantwoordelijkheden voor informatiebeveiliging [blog]

De afgelopen maanden heb ik een groot aantal gesprekken gevoerd met managers en bestuurders van bedrijven. Zij blijken regelmatig hun externe systeembeheerder of webontwikkelaar verantwoordelijk te houden voor informatiebeveiliging. Als ik dan vervolgens aangeef dat ik informatiebeveiliging een hele andere discipline vind, dan vallen de gesprekken even stil. Kennelijk is de scheiding tussen systeembeheer en informatiebeveiliging niet voor iedereen duidelijk. IT-dienstverleners worstelen wel vaker met dit soort onderwerpen. Wat valt wel en wat valt niet binnen de scope? Het patchen en updaten van systemen kun je namelijk scharen onder normaal beheer, maar ook onder informatiebeveiliging. Wat mag u van uw externe systeembeheerder verwachten? Uw systeembeheerder moet er, naast een heleboel andere zaken, voor zorgen dat de operating systemen op uw servers actueel en gepatcht zijn. Daarnaast is hij vaak verantwoordelijk voor het up-to-date houden van anti-virus, spamfilter en firewall. Op applicatieniveau wordt het al wat lastiger: vaak is de leverancier verantwoordelijk voor updates, is er een applicatiebeheerder en zorgt de systeembeheerder voor het onderliggende platform. De systeembeheerder kan niet verantwoordelijk gehouden worden voor uw informatiebeveiligingsbeleid. Daar gaat u zelf over. Veel managers en bestuurders zijn zich er niet van bewust, maar zij zijn degenen die moeten aangeven welke procedures er gelden, wie bij welke informatie mag en vanaf welke locaties er gewerkt kan worden. Staat u bring your own device toe, dan betekent dit dat u ook moet nadenken over de beveiligingsimplicaties. Ook het actief op zoek gaan naar kwetsbaarheden binnen uw omgeving is niet iets dat u standaard van uw systeembeheerder kunt verwachten. Er zijn overigens wel een aantal IT-dienstverleners die naast beheerdiensten ook beveiligingsdiensten aanbieden, deze vallen dan nagenoeg altijd buiten het standaardtarief.U zult daar dus wel extra budget voor vrij moeten maken. Niet alleen voor het scannen, maar ook voor de opvolging ervan. Daarnaast zult u uw beheerder moeten laten weten welke kwetsbaarheden als eerste opgelost moeten worden, u bepaalt namelijk de prioriteit. Van een aantal gesprekspartners heb ik inmiddels begrepen dat zij met hun IT-dienstverlener in gesprek zijn gegaan over deze onderwerpen. De scope is besproken en in alle gevallen is duidelijk geworden dat informatiebeveiliging onvoldoende afgedekt was. Check daarom bij uw dienstverlener hoe hij het geregeld heeft en neem de regie: u bent eindverantwoordelijk! Mocht u over dit onderwerp door willen praten met een van onze medewerkers? Neem dan contact op met ons! ———— Deze blog is geschreven door Jan Martijn Broekhof van Guardian360 en werd ook op www.guardian360.nl gepubliceerd.

Lees meer
Intermax lanceert grootste Internet of Things netwerk van Nederland

Rotterdam, 26 november 2015 - Vandaag wordt R.I.O.T.: The Things Network 010 gelanceerd in Rotterdam. Intermax heeft samen met de Rotterdam internet eXchange (R-iX) en Teqplay de lead genomen bij de uitrol van dit open LoRa-netwerk voor het Internet of Things in stad en haven. LoRa staat voor ‘Long Range Low Power’. Met deze technologie kunnen objecten en systemen met een sensor bij zeer laag stroomverbruik door de lucht informatie uitwisselen. Deze kenmerken maken het een ideaal netwerk voor het Internet of Things (IoT). Ongekende mogelijkheden Rotterdam krijgt hiermee een volledig dekkend, vrij toegankelijk LoRa-netwerk voor het Internet of Things. Ludo Baauw, directeur Strategie & Innovatie bij Intermax: “Dankzij de plaatsing van minimaal een twintigtal gateways op strategische locaties biedt dit de stad ongekende mogelijkheden voor sensortechnologie. Denk aan slimme stadsverlichting, het meten van waterniveaus of aan de mogelijkheden voor crowd control. Op een simpele, snelle en zuinige manier kunnen er op grote afstand allerlei soorten slimme meters worden uitgelezen, zonder dat daar dure mobiele abonnementen of veel mankracht voor nodig zijn. Als Intermax willen we hier graag belangeloos een bijdrage aan leveren, vanuit de waarden waar wij ook tijdens ons dagelijks werk voor staan: het moet vernieuwend en veilig zijn, en altijd goed werken.” Gevarieerde mix van bedrijven Het netwerk werd in slechts vier weken tijd gerealiseerd door een zeer gevarieerde mix van Rotterdamse bedrijven, overheden en onderwijs. Naast Intermax, Rotterdam internet eXchange en Teqplay maken hier Eneco, de gemeente Rotterdam, het Havenbedrijf Rotterdam, Teach32, Hogeschool Rotterdam, Willem de Kooning Academie, het HavenLab, het Rotterdam Logistics Lab, CIC (Cambridge Innovation Center) en Deloitte onderdeel van uit. De belangstelling is enorm en de officiële lancering vindt vandaag plaats tijdens het ‘Venture Café’ in het Groothandelsgebouw in Rotterdam. Bereik vergroten Het project zit nu volop in de Research & Development fase. “We gaan de komende weken hard aan de slag om het bereik van het netwerk te vergroten. Uiteindelijk willen we bijvoorbeeld bedrijven in staat stellen in privénetwerken eigen sensortoepassingen met deze technologie te faciliteren”, vertelt Baauw. Bijdrage aan de stad Baauw: “Voor ons was het gelijk duidelijk dat we een voortrekkersrol wilden nemen in dit gedeelte van het project. We vinden het belangrijk een bijdrage te leveren aan onze stad, en dat is precies wat we hier doen. Bovendien hebben we bij Intermax allemaal een enorme nieuwsgierigheid naar nieuwe dingen, en een constante behoefte kennis over ons vakgebied te delen met anderen. Dat was zo toen we Intermax begonnen 21 jaar geleden, en dat geldt vandaag nog steeds.”

Lees meer
De vervuiler betaalt? [blog]

Tijdens het evenement Holland Strikes Back op 27 oktober jl. sprak Michel van Eeten (cybersecurity onderzoeker aan de TU Delft) over het principe ‘De vervuiler betaalt’. Hiermee bedoelt hij dat degenen die een vervuiling (van welke soort dan ook) veroorzaken, financieel verantwoordelijk zouden moeten zijn voor de schade die dit met zich meebrengt. Zijn stelling was dat we ervoor moeten zorgen dat dit ook binnen de informatiebeveiliging gaat gelden. Want wat blijkt uit zijn onderzoek naar de effecten van grote hacks? Ondanks dat de gehackte bedrijven negatief in het nieuws kwamen, was er nauwelijks invloed op het functioneren van deze organisaties. Er was geen aantoonbaar effect op klandizie, omzet of beurskoers. Zelfs bedrijven als Target en Hacking Team, die behoorlijke reputatieschade leken te lijden, opereren nog ‘gewoon’ als toen ze nog niet gehackt waren. De gevolgen voor derden zijn daarentegen wel merkbaar: de gestolen data wordt gebruikt voor afpersing, leidt tot reputatieschade, werkt betalingsfraude in de hand en draagt bij aan identiteitsfraude en verlies van privacy. Het probleem hierbij is dat ‘incentives' niet deugen, de partij die moet beveiligen draagt de gevolgen niet wanneer het fout gaat. Dat leidt automatisch tot onderbeveiliging door deze bedrijven. Daardoor vinden er meer hacks dan nodig plaats en is de schade bij derden - de slachtoffers van die onderbeveiliging - groot. Van Eeten gebruikt het principe van ‘De vervuiler betaalt’ om maatregelen voor te stellen die ervoor zorgen dat de schade terecht komt bij de veroorzaker. Hij onderscheidt daarbij een aantal verschillende vormen van aansprakelijkheid en vervolging: civielrechtelijke aansprakelijkheid, intermediaire aansprakelijkheid, bestuursrechtelijke vervolging, strafrechtelijke vervolging en een meldplicht. Ondertussen lijkt het belang van ‘de vervuiler betaalt’ ook elders aan te slaan: zo wordt bijvoorbeeld de EU-richtlijn PSD2 voor de financiële sector in de komende 1,5 jaar opgenomen in Nederlandse wetgeving. Daardoor zijn banken verplicht om slachtoffers van fraude binnen 24 uur schadeloos te stellen, tenzij ze kunnen aantonen dat het slachtoffer zelf verwijten gemaakt kan worden. De verwachting is dat deze civielrechtelijke aansprakelijkheid ervoor gaat zorgen dat banken nog beter hun best gaan doen om fraude te voorkomen. Verder is binnen de Wet Bescherming Persoonsgegevens per 1 januari 2016 een meldplicht datalekken opgenomen. De uitwerking en handhaving daarvan zijn nog niet volledig duidelijk, maar er is wel een trend zichtbaar: de vervuiler betaalt. Partijen die data verzamelen en verwerken krijgen te maken met strengere regels, en als het fout gaat, met torenhoge boetes en imago- en reputatieschade. Dit zorgt er hopelijk voor dat er meer aandacht komt voor informatiebeveiliging, en dat organisaties ook meer aandacht krijgen voor het vergroten van de awareness binnen hun organisatie. Er kunnen immers al vele risico’s verkleind worden door personeel goed te instrueren over de omgang met persoonsgegevens. Daarnaast is het zaak altijd goed inzicht te hebben in bedreigingen voor uw IT-infrastructuur. Guardian360 helpt u bij zowel het implementeren als het naleven van de meldplicht datalekken. Daarnaast helpen we u bij uw proactieve monitoring, en geven we u op een duidelijk en gebruiksvriendelijk portal doorlopend inzicht in de bedreigingen die we voor u gevonden hebben. U kunt daardoor sneller handelen wanneer er een kwetsbaarheid gesignaleerd wordt en kunt makkelijk aan derden - denk aan patiënten, IT-auditors en accountants - aantonen dat u in control bent. ———— Deze blog is geschreven door Jan Martijn Broekhof van Guardian360 en werd ook op www.guardian360.nl gepubliceerd.

Lees meer