Meetbaar voldoen aan normeringen?

Er is een breed scala aan normeringen waar je als organisatie aan moet kunnen voldoen, zoals bijvoorbeeld NEN7510, ISO27001, et cetera.

Met de komst van de NIS2-regelgeving wordt dit (mogelijk) nog verder uitgebreid en kunnen ook jouw klanten en/of leveranciers van jou gaan verlangen dat je bepaalde maatregelen aantoonbaar hebt genomen.
Met ons RiskGuardian-platform kun je jouw IT-omgeving(en) over de controls in deze normeringen leggen en aantonen dat je de maatregel hebt genomen, in stand houdt én controleert.

Deze metingen worden op verschillende niveaus uitgelegd, zodat jouw IT-mensen dit begrijpen maar ook een auditor én bevat ook informatie waarop de directie kan sturen.

Meer weten of benieuwd hoe we jouw organisatie kunnen verbeteren?

Hier kunnen we je bij helpen! We kunnen een risico analyse doen om in kaart te brengen waar de grootste risico’s zitten. Ook met de resultaten van een simulatie kunnen we altijd helpen.

Meer weten? Neem contact met ons op!

Meer artikelen

Wachtwoorden hoeven niet meer te verlopen

Het regelmatig laten verlopen van wachtwoorden was lange tijd een standaardmaatregel om IT-systemen veilig te houden. Maar uit recente inzichten blijkt dat dit beleid vaak averechts werkt: gebruikers kiezen hierdoor simpelere of voorspelbare wachtwoorden, wat de beveiliging juist verzwakt. In deze blogpost leggen we uit waarom het tijd is om afscheid te nemen van deze verouderde praktijk en hoe moderne beveiligingsmethoden veel effectiever zijn.

Verlopen wachtwoorden

Iedereen kent het wel; je komt terug van vakantie en je wachtwoord is verlopen, maar ook regelmatig de welbekende grappen over dat het seizoen is veranderd en dat het weer tijd is om je wachtwoord te veranderen van Zomer2024! naar Herst2024!.

Door te vaak te vereisen dat gebruikers hun wachtwoorden moeten veranderen is men sneller geneigd om een cijfer in het wachtwoord op te hogen, er een leesteken bij te plakken of een makkelijk te onthouden wachtwoord te verzinnen.

NIST regelgeving

Het Amerikaanse NIST (National Institute of Standards and Technology) schrijft een wachtwoordbeleid voor waarin het in twee gevallen nodig om te vereisen van gebruikers dat ze hun wachtwoord wijzigen:

• In het geval dat het duidelijk is dat er een wachtwoord gecompromitteerd is door bijvoorbeeld phishing of een datalek – waarbij het volkomen logisch is dat het wachtwoord veranderd moet worden
• Eens per jaar; hierdoor wordt het voor de gebruiker een stuk minder storend en zullen ze een beter wachtwoord verzinnen – en is er vaak veel meer begrip over waarom dit moet gebeuren

MFA

Een essentieel ondereel van de beveiligingsstrategie hierbij moet dan natuurlijk wel zijn dat er MFA (Multi-Factor Authentication) wordt gebruikt én afgedwongen.
Hierbij worden de gebruikersnaam & wachtwoord van de gebruiker niet meer de enige sleutel tot informatie, maar komt eren factor bij door middel van een notificatie via een app, een OTP (One Time Password) of een (hardware-)token zoals een Yubikey. Door deze extra laag wordt het wachtwoord een stuk minder belangrijk.

Passkeys

Een andere oplossing is het gebruik van een passkey; wat feitelijk inhoudt dat er kan worden ingelogd met de combinatie van een private key en een public key die cryptografisch gegenereerd worden. Het grootste voordeel hiervan is dat deze keys gebonden zijn aan een URL of service en dus, mits goed geïmplementeerd, zeer goed bestend zijn tegen phishing.

Meer weten of benieuwd hoe we jouw organisatie kunnen verbeteren?

Hier kunnen we je bij helpen! We kunnen een risico analyse doen om in kaart te brengen waar de grootste risico’s zitten. Ook met de resultaten van een simulatie kunnen we altijd helpen.

Meer weten? Neem contact met ons op!

Meer artikelen

8% van de mensen veroorzaakt 80% van de security incidenten

Uit onderzoek blijkt dat 8% van de medewerkers verantwoordelijk is voor 80% van alle security incidenten. Dit kleine deel van de organisatie vormt een aanzienlijk risico voor de beveiliging, vaak door onbewuste fouten of nalatigheid. Het identificeren en trainen van deze groep kan een grote impact hebben op het verminderen van cyberdreigingen.

Waar mensen werken…

… worden fouten gemaakt, het overkomt zelfs de besten. Vaak zijn organisaties vooral gericht op het verbeteren van hun digitale beveiliging met puur technische aspecten. En dat dat een absolute noodzaak is mag wel duidelijk zijn, maar daarmee is helaas niet alles opgelost. Cybercriminelen zien dit ook en verschuiven steeds meer hun focus van systemen naar mensen, omdat die te beïnvloeden zijn.

Invloed

Een systeem voert vooraf opgegeven instructies uit en is ongevoelig voor tijdsdruk of emotie, waar wij mensen wel gevoelig voor zijn. Cybercriminelen weten dit ook en maken daar graag gebruik van; door in te spelen op emotie of vertrouwen. Vaak bouwen ze dit vertrouwen op over een langere periode, van dagen tot zelfs maanden. Op deze manier gaat het doelwit hen “vertrouwen” en zullen ze makkelijker overstag gaan als de crimineel dit vraagt.

Zij-ingangen

Deze cybercriminelen weten dan ook goed dat e-mail tegenwoordig vaak goed beveiligd is en dat zo’n beetje iedereen inmiddels wel weet dat ze niet op links moeten (of zelfs kunnen) klikken, of bijlagen moeten openen.
Om dit te omzeilen gebruiken ze vaak een methode genaamd channel switching, waarbij ze hun doelwit proberen te verleiden zijn of haar telefoonnummer door te geven om vervolgens via bijvoorbeeld WhatsApp of een ander kanaal, en daarbij vaak volledig buiten het zicht van systemen om, contact te leggen.

Inzicht en training

Voor een organisatie is het dus essentieel dat ze hierin inzicht hebben en hun mensen daarop kunnen (laten) trainen, zodat ze kunnen handelen als het buiten het systeem omgaat. Daarom is het zaak om een Human Risk Management (HRM)-oplossing te integreren.
In zo’n platform worden statistieken van bijvoorbeeld e-mail security geïntegreerd en samengevoegd met cijfers uit andere bronnen. Hierin kunnen dashboards worden opgesteld waarbij de verantwoordelijke personen duidelijk inzicht kunnen hebben in waar de risico’s liggen en hierop bijvoorbeeld meer awareness trainingen op toe te spitsen.

Meer weten of benieuwd hoe we jouw organisatie kunnen verbeteren?

Hier kunnen we je bij helpen! We kunnen een risico analyse doen om in kaart te brengen waar de grootste risico’s zitten. Ook met de resultaten van een simulatie kunnen we altijd helpen.

Meer weten? Neem contact met ons op!

Meer artikelen

Aanvallers misbruiken Microsoft Sway in grootschalige campagne

In een grootschalige phishing-campagne worden QR-codes die een gebruiker moeten verleiden om zijn of haar credentials te overhandigen gehost op een Microsoft Sway-webpagina. Hierdoor lijkt het alsof het een valide Microsoft-loginpagina is.

Microsoft Sway

Microsoft Sway is een tool in de Microsoft-cloud die waarin men onder andere interactieve rapporten, nieuwsbrieven en andere pagina’s kan maken. In juli van dit jaar heeft Netskope Threat Labs echter ontdekt dat er een grote toename is in het misbruik van dit platform om QR-phishing (ook wel ‘quishing’) te hosten.

Geldig certificaat & valide Microsoft URL

Omdat deze pagina’s gehost worden door Microsoft op één van haar vele domeinen (in dit geval *.sway.cloud.microsoft.com) lijkt het voor de gebruiker een valide Microsoft-URL te zijn, met zelfs een geldig certificaat ondertekent door Microsoft zelf. Hierdoor is het risico dat de link vertrouwd wordt door beveiligingssystemen en door de gebruiker zelf een stuk groter.

QR-code phishing

Bij QR-code phishing (quishing) wordt er alleen een QR-code en een kort tekstje getoond om de gebruiker aan te moedigen de code te scannen met een smartphone. Vervolgens wordt er een link geopend waarbij de daadwerkelijke phishing-pagina wordt getoond waarbij de gebruiker een geldig uitziende Microsoft-loginpagina te zien krijgt.

Als de gebruiker hierop inlogt, wordt het authenticatieverzoek naar de echte Microsoft-servers gestuurd en krijgt de gebruiker een MFA-prompt, de terugkoppeling hierop wordt vervolgens naar de servers van de aanvaller teruggestuurd en daar wordt ingelogd. In veel gevallen wordt ook de browser van de gebruiker doorgestuurd naar een Microsoft-pagina, zodat het lijkt dat het inloggen gelukt is en er geen wantrouwen wordt gecreëerd.

Meer weten of benieuwd of jouw systemen kwetsbaar zijn?

Hier kunnen we je bij helpen! We kunnen een risico analyse doen om in kaart te brengen waar de grootste risico’s zitten. Ook met de resultaten van een simulatie kunnen we altijd helpen.

Meer weten? Neem contact met ons op!

Meer artikelen