Wat moet je doen als accountantskantoor om te voorkomen dat er bijvoorbeeld vroeg of laat een klant de publiciteit zoekt, omdat een van uw medewerkers per ongeluk de verkeerde aangifte in het portaal heeft gezet? U heeft een heleboel uit te leggen om uw imago weer op te poetsen en u mag blij zijn als uw concurrenten zo netjes zijn om daar niet van te profiteren.
Tijd voor een stappenplan met concrete maatregelen dus. Om er geen al te technisch verhaal van te maken gaan we terug naar de middeleeuwen, zeg maar rond 1230 ad. De gemiddelde kasteelheer (vergelijk hem gerust met de partner van het accountantskantoor anno nu) had ook toen al de nodige zorgen om te voorkomen dat er iemand aan zijn goudvoorraad kwam (zie de parallel met de schat aan persoonsinformatie waar het accountantskantoor mee werkt)
Brengt ons bij de vraag hoe de oplossingen die men in 1230 ad hanteerde u kunnen behoeden voor datalekken?
1. Inventarisatie
Om te beginnen wist de kasteelheer hoeveel goud, zilver en brons hij in huis had, simpelweg door te tellen. Projecteren we dat op persoonsinformatie dan is dat het classificeren van de gevoeligheid hiervan. Weten wat u in huis heeft en waar u veel en weinig risico loopt mocht er onverhoopt een datalek optreden daar gaat het primair om. Een stap verder is ook het bepalen van de actualiteit van de persoonsinformatie. Immers als u deels verouderde gegevens in uw CRM pakket heeft staan wordt het wel heel lastig om de persoon in kwestie te bereiken als iets mis gaat.
2. Monitoring
Als u precies weet welke dataschatten u in huis heeft dan moet u de de juiste maatregelen treffen om ze te bewaken. Dat betekent dat als u de vijand wilt kunnen zien aankomen.
Een goede uitkijktoren, permanent bemand met een bekwame wachter is uw belangrijkste wapen. Daarbij is het zaak dat die wachter niet alleen naar buiten kijkt, maar ook uw binnenplaats regelmatig inspecteert. Immers onoplettendheid geeft de grootste kans op datalekken. Net als in 1230 is een poort vergeten dicht te zetten een significant risico, evenals het meegeven van de sleutel van de schatkamer aan een onbekende vriendelijke lijkende koopman (tegenwoordig heet dat phishing).
Maar let op! Ook toen al werden wachters omgekocht voor ongeziene toegang.
3. Gebruiksgemak
In 1230 was er altijd wel een verborgen achterdeurtje voor het keukenpersoneel. Daar kon je vaak met een roeibootje naar toe, datzelfde bootje kon je ook gebruiken als je minder goede intenties had en de loopbrug al opgetrokken was. Anno nu zou je het gerust mogen vergelijken met een niet-beveiligde tablet of smartphone (uw bootje) waar het wachtwoord voor toegang tot de klantenportal al in is opgeslagen (uw achterdeur naar de keuken). Typisch voorbeeld van verkeerd gebruiksgemak. De tegenhanger hiervan is dat het zo complex wordt gemaakt om het kasteel binnen te komen dat er sluipwegen worden gezocht. In 1230 was er allicht ergens een geheime tunnel voor noodgevallen die zo nu en dan werd misbruikt. Anno nu, als uw medewerkers elke maand hun wachtwoord moeten resetten omdat u nog niet met een tokensysteem werkt, dan kunt u erop wachten dat J@nuari2016 opgevolgd wordt door Febru@ri 2016 als nieuw wachtwoord. Voldoet immers aan alle regels voor een sterk wachtwoord en is zo lekker makkelijk te onthouden.
4. Encryptie
Het zegel van de kasteelheer samen met zijn handtekening was vroeger voldoende om zeker te weten dat er sprake was van een officieel document. Als dat werd afgeleverd door een betrouwbare bode dan was dat verder prima. Anno nu? We hebben nu mail en portalen als algemeen geaccepteerde betrouwbare bodes. Het zegel is er in de vorm van een wachtwoord en de handtekening, die is vaak nog steeds hetzelfde en soms vervangen door een digitale variant. Maar als het vroeger echt veilig moest dan werd er gewerkt met geheimtaal die alleen kon worden ontcijferd met de juiste hulpmiddelen. Anno nu heet dat encryptie. Als u dan per ongeluk het verkeerde document bezorgd bij een van uw afnemers of iemand raakt zijn laptop kwijt, dan weet u zeker dat er nog steeds geen risico op het eenvoudig lekken van data is.
5. Redundantie
Voordat je vroeger in het kasteel was, moest je langs een aantal verschillende beveiligingsmaatregelen. Het wachtershuisje, de ophaalbrug, de poort en als je nog verder wilde vaak ook nog langs diverse wachters binnen in het kasteel. De combinatie van maatregelen maakte het een hele klus om bij de schatkamer te komen, laat staan de weg terug en weer naar te kunnen lopen met een buit die enigszins de moeite waard was. Anno nu kennen we dual authentication (naam-wachtwoord en tokens samen), virus- en malware scanners, firewalls en poortscanners. Het doel is nog steeds hetzelfde als in 1230: zorgen dat inbrekers zo lang mogelijk worden tegengehouden. Opvallend en ietwat gruwelijk detail is dat uitbrekers in 1230 aan de schandpaal werden genageld. Daar zit wel een wezenlijk verschil met nu. Als één van uw medewerkers willens en wetens een datalek veroorzaakt is dat voor hem of haar sinds 1 januari 2016 waarschijnlijk een gegronde reden voor ontslag. Maar het zijn uw kantoor en uw reputatie die aan de moderne versie van de schandpaal gaan in de vorm van negatieve pers.
6. Compartimentering
Als we kijken naar de plattegrond van een kasteel in 1230 dan stond daar om te beginnen nooit op aangegeven waar de schatkamer was. Vergelijk het met de infrastructuurtekening van uw IT systeem, compleet met IP adressen waar precies op staat op welke server uw aangiftedata worden bewaard. Die kunt u maar beter niet met iedereen delen. Op die plattegrond van toen was wel een duidelijke verdeling in functionele ruimtes waar te nemen zoals de wapenkamer, de balzaal, de eetkamer en de keuken. Om van de ene naar de andere kamer te komen waren er vaak smalle deuren. Niet zomaar want dat maakte het de verdedigers makkelijker bij een inval in het kasteel om stand te houden.
Vergelijken we dat met moderne IT-systemen, dan praten we over koppelingen tussen systemen. Hoe meer er gekoppeld is en hoe meer data over en weer gaat hoe makkelijker het voor een inbreker wordt om snel naar het juiste systeem mee te liften en de schatkamer te plunderen.
De cruciale delen van uw systeem, de wapenkamer als analogie voor uw firewall en poortscan servers en de schatkamer als analogie voor uw dataopslag vormen in deze opzet dus een stukje hardware dat net als in 1230 extra bewaking verdient.
7. Diversiteit
In 1230 liepen de wachters elke dag hun ronde. Bij voorkeur nooit dezelfde ronde en ook niet in hetzelfde tempo. Dat zou voor een inbreker te voorspelbaar zijn. Anno nu hebben we DHCP-servers die IP-adressen uitgeven, liefst geen vaste maar dynamisch gegenereerde. De wachters werden in 1230 ondersteund door tal van fysieke maatregelen zoals een gracht, een ophaalbrug en een valhek. Allemaal andersoortige oplossingen om te voorkomen dat iemand met een simpele truc binnen zou kunnen komen. Anno nu lossen we dat bijvoorbeeld op met twee verschillende soorten firewalls van een ander merk met andere instellingen en andere wachtwoorden voor de beheerderstoegang.
8. Open ontwerp
Voor de liefhebbers van cultuur en historie is het geen geheim. De kastelen uit een bepaalde periode lijken qua ontwerp allemaal op elkaar. Simpelweg omdat men dit van elkaar afkeek en leerde van elkaars verhalen over kwetsbaarheden en hoe je die kon oplossen.
Zo ontstond bijvoorbeeld de rechtsdraaiende wenteltrap die de aanvallers noodzaakte om met linkshandige zwaardvechters de aanval in te zetten. Die waren nogal schaars in die tijd. Dus de verdediging was altijd in het voordeel. Anno nu is het wijs om gebruik te maken van standaard security oplossingen waar zeer regelmatig updates op plaatsvinden. Tevens is het wijs om best practices op dit gebied te volgen zodat u snel kunt schakelen als zich kwetsbaarheden voordoen. Dat vereist uiteraard net als in 1230 dat u goed op de hoogte bent van de verslagen over veldslagen die gevoerd werden. Anno nu noemen we dat websites met kwetsbaarhedenrapportages. Ook toen werden overigens al schijnaanvallen uitgevoerd om snel te ontdekken waar tekortkomingen in de verdediging zaten. Toen heten dat geen ethische hackers, maar trawanten.
9. Gecontroleerde toegang
Open deur, maar in 1230 had je een wachtwoord van de dag nodig om in tijden van gevaar binnen te komen en gingen ook alle toegangen dicht anders dan de hoofdpoort. Niemand mocht het kasteel verlaten zonder zich af te melden en niemand mocht er onaangekondigd in. Anno nu mag je niet op een systeem komen zonder dat je identiteit eerst is gecheckt via bijvoorbeeld active directory. Het is uiteraard niet de bedoeling dat je op een andere manier toegang kunt krijgen tot het systeem.
10. Isolatie
Voor het kasteel werd in 1230 een strategische eenvoudig te verdedigen plek gekozen. Een heuvel, of een bergpas waren erg geliefd. Gracht er omheen, vrij uitzicht rondom allemaal prima oplossingen om de vijand buiten de deur te houden. In het kasteel zelf waren de belangrijkste kamers moeilijk te bereiken, hoog in de burcht via een wenteltrap of diep onder de grond soms zelfs verstopt achter geheime deuren werden de schatten opgeslagen. Anno nu kunt u denken aan een streng beveiligd rekencentrum met een goede fysieke toegangscontrole en een heel strak afgeschermde set met security servers als moderne variant hiervan.
Elk kasteel valt bij gebrek aan voedsel, water en goud
Belangrijkste regel in 1230 voor elke verdediging was: zorg dat de verdedigers genoeg te eten en te drinken hebben en goed worden beloond anders houden ze het niet lang vol of lopen ze over naar de vijand. Anno nu: zorg voor een professionele IT-dienstverlener en ga niet voor een dubbeltje op de eerste rang proberen te zitten. Vergeet ook niet om uw personeel gelukkig te houden, zij vormen immers uw belangrijkste verdedigingslinie als het gaat om het zorgvuldig omgaan met kostbare persoonsgegevens.
Uw schatkamer moet u toch echt zelf bewaken
Dan nog even dit: vroeger werden er wel geregeld afspraken gemaakt om elkaar niet aan te vallen of op elkaars kasteel te passen in tijden van oorlog en tijdelijke afwezigheid (zie de analogie met de bewerkersovereenkomst anno nu). De waarde daarvan was toen en is nu beperkt. Als u uitsluitend en alleen durft te vertrouwen op een papieren toezegging dat anderen op uw kasteel zullen passen dan moet u zich niet verbazen als uw kasteel op een dag geplunderd wordt. De huursoldaat die roept dat hij u te vuur en te zwaard zal verdedigen tegen aanvullen van buitenaf (uw hostingpartij) of de leenheer die zwaait met zijn zwaard en zegt dat hij elke vorm van schade zal wreken (uw verzekeraar) kunnen namelijk geen van allen voorkomen dat u als eindverantwoordelijke de schade en schande van een datalek mag dragen. Net als in 1230 zou het ons niet verbazen als ze op het moment suprême aankomen met de kleine lettertjes waar toch echt in staat dat u zelf op uw schatkamer had moet passen.
In de afgelopen 786 jaar is er kennelijk nog niet veel veranderd…
Heeft u aan het lezen van dit artikel het gevoel overgehouden wel wat hulp te kunnen gebruiken bij het bepalen van de staat van de verdediging van uw accountantskasteel anno nu? Dan nodigen we u van harte uit om contact met ons op te nemen voor bijvoorbeeld een quick-scan, een awareness sessie voor uw personeel of een security gerichte audit.
reflaction.eu/diensten/datalekken/
Namens Refl@ction
Jack van Crooij (jack@reflaction.eu)
Martijn Kriek (martijn@reflaction.eu)
Geef een reactie