Nulmeting en terugkerende pentesten: cruciaal voor de beveiliging van jouw organisatie.
30/04/2023
In december 2022 werd de stad Antwerpen slachtoffer van een grote cyberaanval met malware. Het Nieuwsblad kopte Stad Antwerpen zit met de handen in het haar na grote cyberaanval: Als de deuren in het slot vallen, weten we niet of we ze nog open krijgen . IT-voorzieningen zoals het aanvragen van vergunningen en het elektronisch betalen in musea waren niet meer mogelijk, en tot de dag van vandaag geeft de stad Antwerpen een dagelijkse update op haar website over welke IT-voorzieningen nog niet werken.
Hoewel Resillion (voorheen Eurofins Cyber Security) dit specifieke geval als buitenstaander niet inhoudelijk kan beoordelen, heeft het wel overeenkomsten met de situatie die wij in de praktijk bij onze klanten zien. Organisaties hebben geen overzicht van de informatiebeveiligingsrisico's die zij lopen. Ze zijn zich ervan bewust maar weten niet tot een concreet en effectief verbeterplan te komen, of ze denken dat risico's zijn verholpen zonder dit in de praktijk te (laten) checken. En waar dan te beginnen met dit te verbeteren?
Nulmeting
Vanuit het gedachtengoed dat een status van de beveiliging en de mutaties leiden tot een nieuwe status is het natuurlijk niet verkeerd om zowel de status als de mutaties te onderwerpen aan allerlei beheer- en wijzigingsprocessen die zijn vermeld in de good practices. Resillion adviseert organisaties dan ook hun hardware- en softwarewijzigingen regelmatig te laten testen door onafhankelijke interne en/of externe beveiligingsteams. Dit kan in de vorm van een penetratietest waarbij de scope de gehele infrastructuur omvat, maar de test kan zich ook richten op enkel een nieuw systeem dat wordt ge ntroduceerd.
Voor organisaties die nog nooit of slechts sporadisch een penetratietest hebben laten uitvoeren, kan dit in de vorm van een nulmeting. Het doel hiervan is om een globaal overzicht te krijgen van de belangrijkste technische tekortkomingen in het design of de implementatie van een IT-infrastructuur.
Terugkerende penetratietesten kunnen zich richten op de volledige infrastructuur, maar ook op individuele systemen, bijvoorbeeld omdat deze nieuw worden opgeleverd. E n klant van Resillion laat al haar systemen testen voordat deze live gaat of significant wijzigt. Door commitment vanuit de raad van bestuur gaan deze systemen niet live als er ook maar n gemiddeld, hoog of kritieke bevinding uit de test komt. Resillion constateert dat deze aanpak ervoor zorgt dat veel beveiligingsrisico's al vroegtijdig worden weggenomen of gemitigeerd. In feite worden zo stapsgewijs delen van de infrastructuur vervangen door robuuste systemen.
Verbeterplan
De bevindingen uit een pentest zijn vaak niet op zichzelf staande problemen, maar veel vaker zijn zij het resultaat van meer generieke problemen: dat een groot aantal systemen niet up-to-date zijn qua security updates kan niet worden opgelost door enkel deze individuele systemen te gaan updaten, maar vereist ook dat de werking van het patch- en vulnerability managementbeleid wordt gecontroleerd.
Als dus uit een inventarisatie aan het licht komt dat niet alles in orde is, hoe zorg je er dan voor dat je beveiliging wel in orde komt en blijft? Dat is een vraag waar veel organisaties iedere dag mee bezig zijn en waarover veel raamwerken en good practices zijn gepubliceerd. Denk hierbij aan Cobit, ITIL, ISO 27001 en de NIST-standaarden. De gemeenschappelijke noemer is dat er in een organisatie processen aanwezig zijn die de techniek, organisatie en mensen verbinden en regelkringen zoals het plan-do-check-act model van Deming of het identify-protect-detect-response-recover model van NIST. Veel organisaties zijn in de nieuwe NIS2 richtlijn zelfs verplicht adequate maatregelen te nemen ten aanzien van het beheer van cyberrisico's, penetratietesten, incident response' en herstel.
Meten is weten
Vervolgens is het zaak regelmatig de effectiviteit van maatregelen te controleren. Want werken het informatiebeveiligingsbeleid en de processen ook echt? Resillion ziet vaak dat op papier alles perfect lijkt ingeregeld, maar dat dit in de praktijk toch anders is. Een aantal voorbeelden:
Organisatie X beschreef in zijn beleid precies aan welke beveiligingseisen systemen moeten voldoen. Bij een penetratietest door Resillion bleek dit ook grotendeels zo te zijn, maar bleken er ook ongedocumenteerde systemen aanwezig te zijn in het netwerk die door individuele afdelingen werden beheerd (zogenaamde shadow-IT ). Deze systemen waren zeer slecht beveiligd en binnen een paar minuten konden beheerrechten worden verkregen. De gebruikerswachtwoorden op deze systemen bleken overeen te komen met het centrale (identity & access management) Active Directory (AD) domein, en er op het interne netwerk van de organisatie werd geen gebruik gemaakt werd van Multi-Factor Authentication . Zodoende kon Resillion uiteindelijk toch toegang krijgen tot het centrale AD domein, en daarmee de file servers met allerlei bedrijfsgevoelige informatie.
De resultaten van de penetratietest werden nadien niet alleen gebruikt om de individuele bevindingen op te lossen, maar ook om in breder verband shadow-IT binnen de organisatie te gaan opsporen.
Organisatie Y had bij het afnemen van een softwarepakket de leverancier gevraagd naar het beveiligingsniveau van het product. De leverancier gaf aan jaarlijks een pentest te laten uitvoeren, en dat bij de vorige pentest was gebleken dat de software veilig was. Tij
LINK: | https://www.resillion.com/nulmeting-en-terugkerende-pentesten-cruciaal... |
See more stories from eurofins |
Most recent headlines
04/08/2024
Dalet Appoints Santiago Solanas as CEO to Lead Next Era of Growth and Innovation
Dalet, a leading technology and service provider for media-rich organizations, is excited to announce Santiago Solanas as its new Chief Executive Officer (CEO)....
03/06/2024
Dalet and Veritone Reach Agreement to Distribute, Transact and Monetize Media Archives
Dalet, a leading technology and service provider for media-rich organizations, a...
09/05/2024
Scripps Appoints New President and CEO of the Scripps Howard Fund
CINCINNATI Meredith Delaney has been appointed president and CEO of the Scripps Howard Fund, the philanthropic arm of The E.W. Scripps Company....
09/05/2024
Walmart Launches the Onn. 4K Streaming Device
Following leaks earlier this month of Walmart's plans to launch a new 4K streaming box, Walmart has officially unveiled the Onn. 4K Pro, a hybrid streaming ...
09/05/2024
DirecTV Adds More CW Stations
DirecTV continues to add CW affiliates to its streaming line-up, with the addition of four stations owned by Gray Television....
09/05/2024
Takeshi Kitano's film KUBI graded with DaVinci Resolve
Takeshi Kitano's film KUBI graded with DaVinci Resolve Brie Clayton May 8, 2024 0 Comments Blackmagic Design today announced that DaVinci Resolve ...
09/05/2024
zweiB updates to latest version of R&S CLIPSTER
zweiB updates to latest version of R&S CLIPSTER Brie Clayton May 8, 2024 0 Comments Specialist in deliverables for cinema, events and trade shows Ro...
09/05/2024
Simplify Your Filmmaking with Portable Lights
Simplify Your Filmmaking with Portable Lights Sean Alami May 8, 2024 0 Comments Discover the sleek, mobile Zhiyun lights that enhance cinematic scenes...
09/05/2024
The Benefits of using an Audio Interface
The Benefits of using an Audio Interface Colin Smith May 8, 2024 0 Comments This tutorial takes you through the hardware and software benefits of usin...
09/05/2024
Mother's Day Idea from CBC
Capitol Broadcasting has a myriad of ways to celebrate Mom! In honor of Mother's Day, here are a few ideas CBC divisions have to help you honor, or remember...
09/05/2024
Lachlan Murdoch Sees Progress Toward Sports Streaming Product
Fox CEO Lachlan Murdoch said his company, The Walt Disney Co. and Warner Bros. Discovery are in a two-minute drill to get their streaming sports joint venture t...
09/05/2024
Dale Earnhardt Jr. Joins Prime Video's NASCAR Team
NASCAR legend Dale Earnhardt Jr. is joining the Prime Video broadcast booth when the streaming network begins NASCAR Cup Series coverage next year. Earnhardt Jr...
09/05/2024
Nexstar Pitches Sports on The CW, Extra Reach Via Stations (Upfronts)
If upfront advertisers are looking for reach, Nexstar Media Group believes its base of local stations gives it a unique way to achieve that goal....
09/05/2024
Pluto TV Debuts NBCUniversal Local Streaming News Channels
NBCUniversal Local's 15 NBC and Telemundo local and regional streaming news channels begin launching on Pluto TV this month, starting May 8 with five channe...
09/05/2024
Don't Tell Mom the Babysitter's Dead' Debuts on BET Plus May 16
BET Plus said it has set May 16 as the premiere date for its original movie Don't Tell Mom the Babysitter's Dead....
09/05/2024
Disney's Rita Ferro Is Banking on Sports, Streaming, Tech (Upfronts)
Heading into the upfront, the advertising market is noticeably healthier than it was a year ago, Rita Ferro, president of global advertising sales at The Walt D...
09/05/2024
Rohde & Schwarz showcases operational efficiency at MPTS
Rohde & Schwarz showcases operational efficiency at MPTS Uncompromised quality and reliability coupled with simplicity and efficiency Rohde & Schwarz will ...
08/05/2024
Saved! and Rudo y Cursi Among Films With May Anniversaries
Diego Luna's character Beto aims to play professional soccer in Carlos Cuar n's film Rudo y Cursi....
08/05/2024
SGL Carbon: Focus on global growth trends pays off
SGL Carbon had a solid start to the first quarter of 2024. Despite the slight decline in sales of 3.9% to 272.6 million (Q1 2023: 283.7 million), adjusted EBI...
08/05/2024
The results are in from Malm Arena as Semi Final 1 participants move through to the Grand Final of this year's Eurovision Song Contest
The results are in from Malm Arena as Semi Final 1 participants move through to...
08/05/2024
Powerful NITV documentary Kindred to premiere during Reconciliation Week
Powerful NITV documentary Kindred to premiere during Reconciliation Week Media releases A journey of family, friendship and home *Watch the trailer here* ...
08/05/2024
Aerojet Rocketdyne Selected by DoD to Demonstrate Powder-in, Engine-out Hypersonic Propulsion Manufacturing
Aerojet Rocketdyne delivers a broad range of capabilities to support hypersonic ...
08/05/2024
L3Harris is Advancing the Future Fleet by Delivering Integrated Solutions
Selected by Fincantieri Marinette Marine, L3Harris is the shipboard design integrator and a key partner on the Fincantieri team for delivering critical subsyste...
08/05/2024
EditShare Goes Beyond Storage at MPTS
EditShare Goes Beyond Storage at MPTS Workflow, server and delivery solutions from storyboard to screen Stand D40, London Olympia, May 15-16, 2024 - EditShar...
08/05/2024
Tegna, Indiana Fever Expand Broadcast Distribution to 11 Additional Markets
TYSONS, Va. Tegna Inc. and the Indiana Fever have announced they have expanded the broadcast distribution of 17 Fever WNBA games to 11 additional markets....
08/05/2024
Comcast Business Boosts Internet Speeds
PHILADELPHIA Comcast Business has increased Internet speeds for customers, nationwide, at no additional cost and has introduced its fastest Internet plans yet ...
08/05/2024
Clear-Com to Showcase Cutting-Edge Communication Solution...
Clear-Com , a renowned provider of professional real-time communication solutions, is thrilled to announce its participation at InfoComm 2024, the largest profe...
08/05/2024
MRMC Achieves its Second Kings Award for Enterprise
Mark Roberts Motion Control (MRMC), a Nikon company, is one of the 252 organisations recognised with a prestigious King's Award for Enterprise. Announced to...
08/05/2024
EditShare goes beyond storage at MPTS
EditShare, the technology leader that enables storytellers to create and manage collaborative workflows at every stage from storyboard to screen, is exhibiting ...
08/05/2024
Magnifi and Linius Fuse Live and Archive Content to Redef...
Magnifi by VideoVerse an AI-driven video technology company and powerful video-editing SaaS platform is pleased to announce a strategic partnership with Linius ...
08/05/2024
NVIDIA RTX GPU Connects DaVinci Resolve to Power
NVIDIA RTX GPU Connects DaVinci Resolve to Power Brie Clayton May 8, 2024 0 Comments Two of the most important questions that the Creative COW audienc...
08/05/2024
Q&A with Visiting Artist Lei Liang
Q&A with Visiting Artist Lei Liang The acclaimed composer discusses his collaboration with Boston Conservatory, his work as a research artist, and what it mea...
08/05/2024
More Stations in San Antonio Launch NextGen TV Broadcasts
A second group of stations has begun broadcasting NextGen TV signals in San Antonio, Texas....
08/05/2024
NBC Orders More Deal or No Deal Island'
NBC has ordered a second season of unscripted Deal or No Deal Island. Joe Manganiello hosts, and executive produces alongside Howie Mandel. Manganiello will ret...
08/05/2024
Tegna Names Greg Retsinas GM At KGW, Portland, Oregon
Tegna said it named Greg Retsinas as president and general manager of KGW, the NBC affiliate in Portland, Oregon, effective June 3....
08/05/2024
Measurement Company Comscore Posts $5.2 Million Loss in 1st Quarter
Comscore lost money in the first quarter as weak linear ad sales impacted its cross-platform measurement business....
08/05/2024
Funny Business as NBC Orders Happy's Place,' Renews Lopez vs. Lopez'
NBC said it bolstered its comedy slate by renewing Lopez vs. Lopez and ordering Happy's Place, starring Reba McEntire....
08/05/2024
Knuckles' Knocks Fallout' From Top of TVision Power Score Rankings
Paramount Plus's Knuckles knocked Amazon Prime Video's Fallout out of the top spot in TVision's Power Score ranking of the top show on connected TV ...
08/05/2024
Tegna Adds 11 Markets To Lineup for Indiana Fever Games
Tegna, which made a deal to broadcast 17 Indiana Fever games featuring top WNBA draft pick Caitlin Clark, said it made deals that will put the games on stations...
08/05/2024
EchoStar Loses 348,000 Pay TV Subs in 1st Quarter
EchoStar said it lost another 348,000 pay TV subscribers so far this year, closing the first quarter with 8.18 million subscribers. That total includes 6.26 mil...
08/05/2024
Fox Has Net Income of $666 Million in 3rd Quarter
Fox reported a profit for its fiscal third quarter....
08/05/2024
IPG's Kinesso Unit Adds Senior Executives to Lineup
Kinesso, the centralized tech and data unit at media agency IPG Mediabrands, named Tom Amies-Cull as global chief operating officer and Amie Owen as global chie...
08/05/2024
Post production houses adopt Cleanfeed Cinema solution
The solutions in-browser stream focuses on low latency, making it suited to low bandwidth scenarios By Matthew Corrigan Published: May 8, 2024 The solutio...
08/05/2024
TAG unveils subtitling language detection feature
Driven by algorithms, the solution performs a quality analysis informed by language-specific dictionaries By Matthew Corrigan Published: May 8, 2024 Drive...
08/05/2024
Mobilelinks acquires 2 SAT Europe to increase SNG truck fleet
The increase in fleet size will reduce travel distances, aligning with sustainability goals, said Mobilelinks By Matthew Corrigan Published: May 8, 2024 T...
08/05/2024
Arqiva adds Caroline Cardozo and James Lelyveld to technology team
The company said the new arrivals would drive collaboration and technological transformation across key business units By Matthew Corrigan Published: May 8, ...
08/05/2024
Actus Digital Set to Shine at CABSAT and Broadcast Asia
Following a successful NAB Las Vegas 2024 and winning a Best of Show Award, Actus Digital, a leading provider of Intelligent Monitoring Platforms, will bring it...
08/05/2024
TAG Revolutionizes Closed Captions and Subtitles Quality...
TAG Video Systems, a leading force in video monitoring solutions, has developed a new Language Detection feature set to transform how operators ensure quality a...
08/05/2024
Pliant Technologies Unveils New SmartBoom LITE Headset at...
Pliant Technologies, a leading provider of professional wireless intercom solutions,presents its new SmartBoom LITE Headset at InfoComm 2024 (Booth C5116). The ...
08/05/2024
Prism Sound Showcases High-Quality Audio Conversion at MP...
At the Media Production & Technology Show 2024, Prism Sound will showcase high-quality audio conversion products designed to suit the demands of professional us...