Cybersecurity hygiëne

Met enige regelmaat praat ik met organisaties over gave innovatieve oplossingen die bijdragen aan hun beheersing door het reduceren van risico’s of het vereenvoudigen van het werk.

Steeds vaker valt mij daar echter bij op dat de organisatie geen of te weinig aandacht heeft voor de basis hygiëne. Zeker als de plannen additionele investeringen voor producten of diensten al vergevorderd zijn.

Waar komt dit vandaan? Is het iets dat vergeten wordt of onderschatten we de risico’s die deze vormen omdat we er geen zicht op hebben?

Maar wat bedoel ik nu eigenlijk met deze basis hygiëne? Voor mij zijn dit maatregelen die een organisatie relatief eenvoudig kan realiseren en waar geen geavanceerde technologische oplossing voor nodig is.

Aandachtspunten

Mijn lijstje bevat hopelijk voor de meesten mensen open deuren maar bestaat uit de volgende aandachtspunten:

  • Voorkom persoonsgebonden accounts met niet verlopende wachtwoorden (dus ook geen managers, directie of andere bestuursorganen);
  • Beperk het aantal persoonsgebonden normale accounts met verhoogde privileges;
  • Beperk de hoeveelheid persoonsgebonden accounts die niet hoeven te voldoen aan wachtwoordeisen;
  • Voorkom persoonsgebonden accounts die vanaf het internet gebruikt kunnen worden zonder multi-factor authenticatie;
  • Voorkom dat beheerders met hun beheer account aanloggen op hun eigen werkplek;
  • Controleer het gebruik van accounts, wees daarbij niet alleen afhankelijk uit-dienst meldingen;
  • Deactiveer accounts die niet meer gebruikt worden en verwijderd deze na een vooraf bepaalde periode;
  • Beperk de hoeveelheid domain administrators;
  • Zorg dat accounts geblokkeerd worden na meerdere foutieve aanmeldpogingen;
  • Beperk de toegangsrechten op fileservers, beheerders hebben geen toegang nodig tot de data om de server te kunnen beheren;
  • Maak gebruik van encryptie op computers en mobiele apparaten;
  • Schakel User Account Control op Windows machines niet uit;
  • Schakel de firewall niet uit maar maak uitzonderingen voor applicaties en poorten indien nodig;
  • Patch naast de Windows updates ook de andere software van Microsoft en veelgebruikte andere applicaties zoals browsers, java en flash;
  • Doe geen concessies tijdens Proof of Concept met fabrikanten ten opzichte van uw securitymaatregelen, een beveiligingsrisico is eenvoudig gecreëerd.

Als bovenstaande punten goed zijn ingericht hoeft u minder bang te zijn dat u de voordeur goed hebt beveiligd maar de achterdeur wagenwijd openstaat!

Auteur:Maikel Roolvink

Manager Security Services