Cybersecurity strategie: is het al hoge prioriteit voor je organisatie?

Voorkomen is beter dan genezen. Daarom is het allereerst belangrijk om je medewerkers op te leiden. Daarnaast kun je zelf je security testen door middel van een nagebootste phishingaanval. Je test dan of het bewustzijn van de beveiligingsrisico’s onder je medewerkers op orde is. 

Het testen met een nep-phishingaanval heeft meerdere doelen:

• Je test jouw interne beveiliging, voornamelijk op het gebied van security awareness. Hier komen verbeteringen uit. Die kun je weer meenemen in je informatiebeveiligingsbeleid.
• Deze acties creëren meer bewustzijn onder je medewerkers die in aanraking zijn gekomen met een ‘aanval’. Ze zullen volgende keer meer op hun hoede zijn.

Daarnaast zijn er nog een aantal maatregelen die je kunt ondernemen op technisch gebied:

1. Gebruik e-mail blacklisting wanneer je organisatie slachtoffer is van een gerichte phishingcampagne. 
2. Stel een centraal punt binnen je organisatie aan waar medewerkers verdachte mails heen kunnen sturen en met vragen hierover terecht kunnen. Zo voorkom je dat ze phishingmails naar elkaar doorsturen.
3. Microsoft 365 biedt bijvoorbeeld standaard anti-phishingbescherming. Je kunt deze beveiliging nóg meer verhogen door de instellingen te verfijnen. Je leest hier hoe.

Hoe OGD jouw organisatie helpt bij phishing? OGD voert phishingtests uit.
Zo toetsen we het bewustzijn van je medewerkers op het gebied van phishing. We gebruiken technieken uit de praktijk en maken inzichtelijk hoe kwetsbaar je organisatie is voor deze veelgebruikte aanvalsmethode. 

Volg onderstaande tips om malware of ransomware te voorkomen:

• Installeer endpoint protection (antivirussoftware) op je devices en zorg dat deze up-to-date is. 
• Hanteer het principe van least privilege: beperk de toegang die medewerkers hebben tot alleen die data de ze echt nodig hebben. 
• Zorg dat eindgebruikers geen admin-rechten hebben op hun werkplekken. 
• Maak regelmatig een back-up van de data. Zorg dat alle belangrijke data dáár opgeslagen wordt. 
• Zorg dat alle systemen up-to-date zijn en relevante patches bevatten. 
• Houd in de gaten of eindgebruikers weten hoe ze veilig met data en ict-middelen omgaan. 
• Houd altijd een aantal werkstations op reserve.

Hoe OGD jouw organisatie kan helpen: dek je grootste zorgen op het gebied van security af met Managed Detection and Response-dienstverlening (MDR). Met verschillende monitoring-tools letten we op verdachte en malafide activiteiten binnen je omgeving, waarop een tijdige en adequate response volgt. 

• Reageer niet op dreigementen van de hackers. 
• Wis alle data op de geïnfecteerde machines en zet de laatste back-ups van vóór de infectie terug. 
• Doe aangifte van afpersing en volg instructies van de politie op. 

Wil je uitgebreide uitleg? Lees dan deze blog.

Je kunt een datalek nooit helemaal voorkomen. Maar je kunt de kans op een datalek wel verkleinen. Creëer in ieder geval meer bewustzijn van het databeleid van jouw organisatie. Hier vind je acht tips om de kans op een datalek te verkleinen:

• Registreer verwerking van persoonsgegevens bij de Autoriteit Persoonsgegevens. Dit helpt mensen gebruik te maken van hun rechten op het gebied van privacy. 
• Wijs een functionaris voor de gegevensbescherming (FG) aan. Voor iedere organisatie is het verstandig om een FG aan te wijzen, maar in drie situaties is dit verplicht: voor publieke organisaties, organisaties die op grote schaal mensen volgen (door bijvoorbeeld cameratoezicht en monitoring van iemands gezondheid) en organisaties die veel te maken hebben met het verwerken van bijzondere persoonsgegevens.  
• Breng gegevensstromen in kaart. Zorg ervoor dat je weet waar persoonsgegevens zich bevinden en welke route de gegevens afleggen. Zo kom je er snel achter waar het risico van het datalek zich bevindt.  
• Verzamel geen onnodige gegevens. Hoe minder data je bewaart, hoe kleiner de kans is op het lekken van data.  
• Maak gebruik van multifactor authenticatie (MFA). In deze blog lees je meer over MFA. 
• Kies voor cloudopslag binnen de EU. Zo weet je zeker datof het privacybeleid in lijn is met de AVG.  
• Schenk aandacht aan de medewerker. Medewerkers veroorzaken het vaakst een datalek. Meestal onbewust of door een slordigheid. Leid ze daarom op de juiste manier op.  

Hulp nodig bij het trainen van jouw medewerkers? OGD helpt jouw organisatie bij het betrekken van je medewerkers met communicatieplannen en trainingen. Meer weten? Vraag een vrijblijvend gesprek aan met onze specialisten.

Een datalek is een inbreuk op de beveiliging van persoonsgegevens. Wanneer je slachtoffer bent geworden van een datalek kun je de volgende stappen ondernemen:

• Analyseer de situatie. Wat is er gebeurd en wie hebben er mogelijk toegang gehad tot de data? 
• Maak een inschatting van het mogelijke risico dat het datalek oplevert. 
• Bepaal of je het datalek moet melden bij de Autoriteit Persoonsgegevens (AP). Je moet een datalek melden, tenzij het niet waarschijnlijk is dat deze een risico oplevert voor de rechten van de betrokken personen. Is dit wel het geval? Meld het datalek dan binnen 72 uur. 
• Bepaal of je het datalek meldt aan de betrokken personen. Dit is verplicht wanneer er een hoog risico is voor de rechten en vrijheden van de betrokken personen. 
• Registeer het datalek in je verplichte datalekregister. 

Het antwoord is, ja in principe wel, maar het hangt van twee dingen af:

• De kwaliteit van je eigen ict-afdeling. Richt je processen en techniek zo in dat er geen ‘achterdeur’ openstaat die mogelijk voor datalekken zorgt. Je kunt er voor kiezen om je ict-omgeving uit te besteden of dit zelf in de hand te nemen.  
• De kwaliteit en de mogelijkheden die de cloudprovider biedt. Kies je bijvoorbeeld voor een cloudprovider zoals Microsoft dan ben je ervan verzekerd dat jouw data veilig is. Microsoft 365 hanteert standaard data-encryptie op alle diensten, zowel in opslag als verbindingen. Ook zorgt Microsoft voor continue updates van cloudsystemen.

Conclusie: een cloudprovider alléén is geen garantie voor een goede beveiliging. De cloud kan altijd nog openstaan door menselijke fouten, met datalekken tot gevolg. Je moet een solide cloudwerkplek dus actief beveiligen. Daarom is de kwaliteit van de eigen ict-afdeling het belangrijkste. Hierbij hoort uiteraard ook de ict-kennis en het bewustzijn van de medewerkers. Een uitgebreid antwoord op deze vraag vind je hier. 

Meer hulp nodig bij het creëren van bewustzijn? OGD biedt training en communicatieplannen om jouw medewerkers te betrekken bij het veilig werken op hun apparaten en met hun data. We maken samen een toegepast campagneplan en informatiebeleid. Meer weten? Neem contact op voor een vrijblijvend gesprek.

Ja, je kunt nog steeds invloed uitoefen op jouw data in de cloud. Besteed je je data uit aan een cloudprovider? Dan ben je misschien bang dat je grip verliest op je data. In ieder geval kun je zelf ook genoeg stappen ondernemen om grip op je data te houden. Deze vijf stappen zorgen ervoor dat je nog steeds invloed uitoefent op jouw data in de cloud:

• Zet dataclassificatie in: bepaal hoe belangrijk data is en welke maatregelen daarbij horen. 
• Gebruik de BIV-classificatie voor het bepalen van geschikte maatregelen voor elke soort data. Je kijkt hierbij naar de beschikbaarheid, integriteit en vertrouwelijkheid van de data. 
• Controleer de derde partij die de cloudaanbieder controleert. Je kunt kijken of de cloudaanbieder de juiste TPM (Third Party Mededeling)-verklaringen heeft.  
• Ga voor dataminimalisatie: voer voorbereidend werk uit voordat je je data opstuurt naar de leverancier. Selecteer alleen de data die nodig is voor een bepaalde activiteit en voer data-masking uit. En zorg tenslotte voor compartimentalisering van de data.  
• Houd doorlopend grip op je data door toegang tot je data te beperken en het gebruik ervan te monitoren. Bij Microsoft is er bijvoorbeeld de functie om conditional access te verlenen.

Bij dataminimalisatie zorg je dat je niet meer gegevens gebruikt dan nodig voor het doel waarvoor je deze gegevens inzet. Vraag jezelf dus continu af: ‘Wat heb ik minimaal nodig om een bepaald doel te behalen?’ Een voorbeeld: voor het in contact treden met een bepaalde doelgroep heeft een organisatie misschien alleen de voornaam en het e-mailadres van contactpersonen nodig, maar niet de achternaam, het telefoonnummer en de adresgegevens. 

In een cloud zijn diverse infrastructuren aanwezig. Daarom is het belangrijk om het datamanagement in de cloud beheersbaar te houden. Dit doe je door de volgende zeven stappen: 

1. Analyseer de huidige werkwijze van je organisatie. Kijk hierbij naar de knelpunten en voer een risicoanalyse uit. Je analyseert welke persoonsgegevens waar worden opgeslagen, waarom je die nodig hebt en wie erbij kunnen. Ook moet je weten hoe zwaar het belang weegt van Beschikbaarheid, Integriteit en Vertrouwelijkheid (BIV) voor deze gegevens.  
2. Spreek met de stakeholders. Stakeholders zijn in dit geval de mensen die met de nieuwe cloudsoftware werken. Het is belangrijk dat zij hun wensen en eisen vertellen en dat je deze meeneemt. 
3. Ontwerp de oplossing. Bij deze stap maak je een afweging tussen het aantal instellingen en wat het effect hiervan is voor de medewerkers. 
4. Communiceer de verandering. Dit draagt bij aan security-awareness. Zo weet iedereen het hoe en waarom van databeveiliging. De kans is daardoor kleiner dat mensen de gegevens verkeerd gebruiken. 
5. Implementeer. Dit bestaat uit het inrichten, configureren van de instellingen en het testen van de cloudsoftware. 
6. Adoptie van de verandering. De adoptie vergt veel aandacht. Zorg voor training, instructies en coaching over de veilige manier van werken.  
7. Blijf toezicht houden. De laatste stap is de governance: houd continu toezicht op naleving, monitoring en continuous awareness. 

Nog meer weten over de beveiliging van je clouddata? Bekijk dan deze webinar on-demand.