Ook dat verbaast mij nix, heb je wel eens gezien welk een niveau er van de z.g. Universiteiten afkomt?
Bejaarde electrotechnici zijn in ieder opzicht hun meerdere.

Eens we(en de overheid) vertrouwen te veel op datgene wat op papier staat, zowel bedrijven als overheden hebben helaas steeds meer de gedachten dat zolang er een geheimhoudingsovereenkomst, een Data Processing Agreement en het liefst nog een ISO27001 certificering is, de data wel veilig is.

Dit alles zonder te laten controleren door mensen vanuit de praktijk en/of mensen die nog echt verstand van zaken hebben.

We kunnen nog een hoop van de Russen leren, die hebben het liefst de echte (ex-criminele) hackers in dienst om daadwerkelijk hun beveiligingsniveau te toetsen/testen.

Hoewel het hebben van goede afspraken en procedures m.b.t. Informatiebeveiliging ook belangrijk is kan ik maar 1 ding zeggen:

Cybercrime vindt niet op papier plaats!!!!!!!!!

Bedrijven worden opgestookt om te gaan werken met dataopslag-oplossingen die ze beter niet kunnen gebruiken.
Maar goedkoper is het meestal wel. En als jij met de oplosing komt met de laagste kosten, mag jij het doen.
De overheid als afnemer ontbreekt het meestal aan voldoende technische kennis en inzicht, en daarbij: het geld regeert.

I dare to differ als het over de lokale overheden (ambtenaren waarmee jij en ik in contact komen) in België. Zij hebben strikte normen en richtsnoeren, gebaseerd op ISO2700x en worden hierop meer en meer gecontroleerd. Het bewustzijn is zeker aanewig, de uitwerking is gaande. Ook vanuit de Vlaamse Overheid is er sinds dit jaar een specifieke thema-audit rond informatieveiligheid (bijgestaan inderdaad door EY).

Minpunt is dat er geen stok achter de deur is wanneer het wel mis gaat. Er zijn sancties mogelijk en de politiek is niet blij met imagoschade. Maar op het einde komt het er toch op neer dat een lokaal bestuur zelf zijn schouders er achter moet zetten. En bij de meeste besturen waarvan ik op de hoogte ben, is die intrinsieke motivatie er wel.

In navolging van mijn vorige post, die nog moet verschijnen.

De richtsnoeren en normen waaraan de lokale besturen moeten voldoen, coveren heus niet alleen het digitale. De grote hap zit em in beleid, processen, procedures, bewustzijn en ook fysieke bescherming - ISO2700x is niet alleen digitaal.

En wat dacht u van de inhoud van het 'duo' communicatie en management en hun voorkeur voor outsourcing en de cloud-oplossingen. Denk hierbij aan het kostenplaatje.

Beveiliging aspecten zijn wat hen betreft alleen maar lastig en de technische ins en outs kunnen zich toch niet voorstellen.
Omdat ze gewend zijn binnen hun commercieel en marketing geweld elke technische stem te "overrulen" en als het moet nog te de-classificeren, is hun succes bij voorbaat verzekerd en gaat de beveiliging en de veiligheid voor de burger vervolgens
"de bietenbrug op".

Ik denk dat een paar IT stafleden hier op het forum deze gang van zaken niet geheel onbekend in de oren klinkt.
Trouwens onder Universitair niveau en behalve technische IT werken er niet veel bij voorbeeld met reguliere expressies.

Zolang de managers en CEO's de handen boven het hoofd worden gehouden door de beslissing nemers blijven we in de aap gelogeerd en blijf veiligheid "a last resource issue' of wel in goed Nederlands 'een sluitpost'. Tel uit je winst!

Dat klopt helemaal, daar doel ik ook op. Helaas zit hier de focus juist te veel. Ondanks de strenge normen en richtsnoeren veel onveilige en/of helemaal geen versleuteling van communicatie. Kijk ook naar de verplichte NEN7510 voor de zorg.... een grote wasseneus, het kan leuk op papier staan, je kan de control goed hebben ingeregeld, maar wanneer je control niet uit de juiste maatregelen bestaat is het nietszeggend. Daarmee doel ik op 50% websites van de ziekenhuizen geen httpS, geen laptop versleuteling, ALLE data lokaal op storage, etc, etc. Ook dit zijn ziekenhuizen die aan de NEN7510 norm voldoen.

p.s. let ook altijd heel goed op dat de afgenomen dienst inclusief jouw aanwezige data, binnen de scope van de ISO/IEC27001 certificering en/of de ISAE 3402 verklaring valt.

Geloof me of niet maar de meeste hosters hebben allen hun eigen beheerprocessen en infra binnen de scope, en niet altijd de aangeboden dienst voor de klant. (dit ben ik heeeeel vaak tegengekomen). Bij SaaS ligt dit weer net iets anders, maar bij IaaS+OS, IaaS en hosting valt dit vaak niet onder de scope.

Uiteraard zijn er ook goede hosters die dit wel netjes binnen scope hebben, maar ik zie regelmatig contracten met de eis dat de leverancier ISO/IEC27001 gecertificeerd moet zijn, dit is dan vaak geen probleem. Wanneer je stelt dat AL jou afgenomen diensten incl. de aanwezige data ISO compliant moeten zijn dan is het weer net een ander (en duurder) verhaal.

En wat dachten jullie dan van aanbestedingen waar de normen en policies niet een genoemd worden. De verwachting bij de aanbesteding dat de leverancier het wel zal weten.

Of stel dat het heel netjes genoemd is bij aanbesteding en contract vervolgens gaat project manager en teams aan de slag en de weten van niets en gaan wat voor customer journeys en het snelle resultaat.

Die bron - dat is toch gewoon je eigen website waar je wel vaker wat discussies op security.nl naar toe hengelt?

In context van de aankomende GDPR zijn organisatie verplicht een verwerkersovereenkomst af te sluiten met hun leveranciers, of verwerkers (data lezen = verwerken).

Hierin moeten een aantal zaken opgenomen worden zoals: welke data wordt verwerkt, met welk doel, wat na stopzetting overeenkomst (wissen/overdragen), geheimhouding en de melding dat zij aan dezelfde vereisten qua informatieveiligheid gebonden zijn als zijzelf en dat zij die verantwoordelijkheid ook moeten opleggen aan eventuele derde partijen/onderaannemers.

Daarbij komt dat de verwerker ook geauditeerd/gecontroleerd mag worden door de verantwoordelijke voor de informatie.

Akkoord, allemaal op papier, maar het wordt wel meer en meer afgedekt en er wordt meer en meer over nagedacht/bij stil gestaan.

Bij de meeste bedrijven is availability en integrity het belangrijkste. Terwijl je eigenlijk gezien de toenemende dreigingen de prioriteit steeds meer richting confidentiality zou moeten verhuizen. Maar dat zet je natuurlijk niet zomaar even om.

Er van uitgaande dat een bedrijf de prioriteitstelling van haar verschillende tenets/assets mbt CIA uberhaupt heeft wezen vast te stellen. En daar zit hem meestal het knelpunt. De meeste bedrijven hebben dit niet goed hebben gedefinieerd omdat velen nog achter lopen mbt security management, changemanegement of uberhaupt nog geen CMDB laat staan kennis hebben van iso27000x wetgeving etc....Laat staan dat ze uberhaupt aanspreekpunten hebben of gedefinieerde rollen of dat er iets stevigs staat.

Ik heb nog bij een van de top 3 vd wereld ICT bedrijven aan tafel gezeten en die hadden geen flauw benul wat changemanagement inhield. De tranen stonden in mijn onderbroek en in 1 klap was mij duidelijk waardoor ze zulke grote problemen halen wereldwijd. Jaren later verzonnen ze maar hun eigen standaard...

Ook ICT dienstverleners erven als het ware alle shit en denken opdrachtgevers met een turnkey opdracht er even snel van af te zijn. 1 grote pleitserparade. "Slank blijven is een lifestyle ..je kan wel een dieetje volgen maar daarna komen de kilos net zo hard weer aan"

Ik heb persoonlijk bv meegemaakt dat een van de grootste persoonsdataverwerkers in Nederland niet eens wist wat er nou werkelijk in het veld stond en dan het niet zo verwonderlijk is dat het een grote gaten kaas is en alle securityissues "logisch" zijn,

Diezelfde "bedrijven (in de ruimste zin van het woord" hebben het nog lang niet in orde en zitten met dikke pakken boter op hun hoofd van alles te beloven. Vol verbazing lees ik het nieuws en veelal weet wat ik er precies speelt. Alles nuanceren is een kunst apart.

En zo mag je dus je werk doen terwijl je te maken hebt met managers zowel bij de ICT dienstverleners als bij de klant die nog geen fractie snappen van wat securitymanagement inhoudt. Met als gevolg dat je enorme vertragingen oploopt omdat je enerzijds hier zelf ook een rol in hebt om hier assertief op te reageren of anderen moet aansturen om iemand klas 1 te laten doorlopen.

Resources zijn veelal onvoldoende omdat de korte termijnvisie overheerst.

Vervolgens blijft de gatenkaas bestaan totdat die muis weer een gat ontdekt en wij weer reactief ipv proactief achter de feiten aanhobbelen.

Maar omdat een mens van nature bij zware knelpunten c.q. veranderingen de neiging heeft het hoofd om te draaien en te kiezen voor schijnbare zekerheid zeker mbt baanbehoud en risicos die ze zien voor hun eigen carierre en de mamas thuis, worden volstrekt logische en goede adviezen door velen gereviewed, inclusief het kosten baten plaatje, volkomen genegeerd.

Vervolgens als er dan weer een ramp is en je dan weer een gat hebt gedicht en het hele proces van "wie is de pineut weer is opgestart" en vele emails verder eindelijk weer verder kan met het leggen van de fundamenten vraag je je af en toe af, waar je mee bezig bent.. En dan komt de volgende reorganisatie er weer aan in het kader van globalisering.

Wat ik vroeger echter flink had onderschat is de politiek die ook bedreven wordt bij grote bedrijven waaronder je je werk moet doen. Moe word je er soms van en tegelijkerlijk doet het een beroep op je SI IQ en EQ waardoor het leuk blijft.

ICT en vooral ICT security gaat de meeste leidinggevenden en politieke leiders zwaar boven hun pet en dat is op zich niet erg. Maar wat wel erg is als ze zich niet laten adviseren niet halen c.q. aangegeven wordt (haal / breng plicht) en dat het resulteert in enorme kostenposten die veelal op de burger wordt verhaald.en dat is een regelrechte schande.

Het is net cabaret...maar dan een met echte gevolgen.

Wat hebben we toch een leuke job en dat meen ik serieus.

De techniek is enorm snel gedaan waardoor veel achterloopt. En dit zal altijd zo blijven, We moeten vooral niet opgeven en hierin is voor ons een duidelijke rol weggelegd.

Waarbij we onze kritiek op een positieve manier inclusief de kosten baten analyse dienen te ventileren.

Voor mij is het ook een roeping net zoals dat beroep arts een roeping was...vroeger.

Amen

slecht stuk, zie geen feiten of referenties.

Ik vind "de overheid" nogal ruim geformuleerd, net zo ongrijpbaar als "het volk" of "de burger". Kan me niet voorstellen dat elke gemeente precies oplijnt met elk ministerie en elke overheidsdienst qua beveiliging, of ze zouden allemaal op 0 moeten zitten en dat is gewoon niet zo.

Dus graag wat specifieker: betreft het gemeentes, waterschappen, rijksdienst, ministerie, ZBO? Allemaal, of een paar? En welke dan en waarom ben je die overtuiging toegedaan?
Met algemene gevoelens kan ik niet zoveel. Trend signalering is leuk maar daar moeten wel harde cijfers onder zitten anders vind ik het toch echt "ook maar een mening".

Waarschijnlijk nog maar een paar dagen geduld oefenen, als je alles alleen nog voorgekauwd in telegramstijl wil lezen.
dinsdag.org/index.php?news=73

--
Als je eerder de feiten en referenties wil, doe wat moeite en lees dan gewoon even iets dieper door..
En haal ondertussen de eindeloze stroom 'het ging alweer fout met de security bij ...' nieuws berichten van de afgelopen jaren voor de geest, incl huidige enorme hoeveelheid data-lek meldingen van de overheid zelve.
Of.. doe zelf bijv eens een nmap -T Polite -F -Pn -sV --randomize-hosts langs het KPN-Gemnet, om zelf te zien wat er boven komt drijven, en hoe peper-dure SOC's zich zelf zit blind staren op te abstracte status schermen IPV aanvallen door juiste configuraties en architectuur keuzes bij voorbaat af te weren, voor een fractie van dat nu verkwanselde budget.
Gemnet zegt neem ik aan wel iets, en wat daar allemaal in/aan/achter hangt? En waarom bijv de fiscus even geen nieuwe zaken wil doen met die door ACM beboete, grove nalatigheid voortzettende, semi geprivatiseerde Critical-Infra leverancier monopolist KPN, maaar bijv de IBDgemeenten.nl en NCSC het niet nodig achten om hun klanten daarover te informeren/waarschuwen, en zo doen alsof hun neus bloed, in naam van de ....

Humor?: Schijf eens echt helemaal voluit, in woorden zonder afkortingen, waar de handelsnaam "Koninklijke KPN NV." voor staat..
Dan is misschien duidelijk hoe verknipt die ivoren-toren bende geworden is door de jaren poldermodel met zelf-toezicht.


c'est la vie;
Wij willen Holland hoog opstoten midden in de vaart der volkeren, en daarbij doet het volk zelve niet ter zake.

~ Welterusten

De enige referentie is naar zichzelf - een linkje naar z'n eigen website...

Inderdaad, en als je de overheid en providers een beetje kent, inhoudelijk ook zeer twijfelachtig.

Even snel gekeken. Ook weer snel weg geklikt. Niet erg interessant en lees voornamelijk bla bla bla en een hoop ik vind....

Sorry, waar heb mijn vrije tijd zojuist slecht besteed, ik had beter naar RTL boulevard kunnen kijken.

Ipso Facto:

www.security.nl/posting/500610/Politie+lekt+gevoelige+e-mails+via+verlopen+domeinnamen
"De politie zou echter niets met zijn melding hebben gedaan."


?*Welke wereldvreemde oenen versturen in deze tijd nog dat soort 'classified' informatie via publieke systemen en zonder crypto.

Mijn laptop met W7 is na al die Security / Quality updates en fixes (rollups) allen maar stabieler geworden. Ik ruim de C-schijf wel weer op!
Telemetry heb ik enkel uit principe uitgezet in Windows services.
Voor de rest installeer ik vrijwel alle aangeboden updates van de maker van het OS.
Kies een ander besturingssysteem als je Microsoft niet vertrouwd.
Met mijn Linux PC doe ik niet anders... alles gewoon installeren en niet al te moeilijk doen.

Mate

.