Oktober is de maand van cyber security. Een mooi moment om een actuele zaak te bespreken met Steijn Scheuntjes, Chapter Lead Cybersecurity bij One Zero IT, met een interessante vraag rondom de zaak “ Pepijn van der S. “.
Wat als de dreiging bij je (security)leverancier werkt?
Je kunt je eigen cybersecurity goed hebben ingericht, maar hoeveel zicht heb je eigenlijk op de beveiliging bij je leveranciers?
De zaak rond Pepijn van der S. roept een interessante vraag op. Wat als iemand met kwaadwillende intenties niet van buitenaf probeert binnen te dringen, maar gewoon werkt bij een organisatie die toegang heeft tot jouw systemen? Mogelijk zelfs bij een partij die verantwoordelijk is voor jouw beveiliging.
Organisaties investeren fors in Zero Trust, toegangsbeveiliging, monitoring en compliance. Tegelijkertijd vertrouwen we voor een belangrijk deel van onze IT en security op externe dienstverleners. We vragen om certificeringen, laten vragenlijsten invullen en leggen afspraken vast in contracten. Maar hoeveel zegt dat over de daadwerkelijke beheersing van risico’s?
Trust, but verify. Ook bij je (security)partner.
Een ISO 27001 certificaat of SOC 2 rapport biedt een belangrijke basis, maar geeft niet automatisch inzicht in hoe individuele medewerkers van je leverancier omgaan met hun toegangsrechten.
Wie controleert bijvoorbeeld of een beheerder van je IT-dienstverlener terecht toegang heeft tot je productieomgeving? Of afwijkend gedrag wordt gesignaleerd? En wie beoordeelt of verdachte activiteiten ook daadwerkelijk worden onderzocht?
Van een professionele securitypartner mag je verwachten dat die niet alleen beveiligingsmaatregelen bij klanten implementeert, maar deze ook aantoonbaar binnen de eigen organisatie heeft ingericht.
Denk aan User and Entity Behavior Analytics (UEBA), Privileged Access Management (PAM), vulnerability scanning en periodieke toegangsreviews. Niet alleen als technische oplossingen, maar als onderdeel van een aantoonbaar werkend stelsel van beheersmaatregelen.
Je mag van je securitypartner verwachten dat deze kan aantonen welke maatregelen aanwezig zijn en wat de effectiviteit ervan is.
Welke controles worden uitgevoerd, hoe worden afwijkingen opgevolgd en welke rapportages zijn beschikbaar? En als die securitypartner dat voor zichzelf kan inrichten, dan kan dat ook bij de andere leveranciers.
Je leveranciers hebben zelf ook weer leveranciers.
Veel organisaties besteden hun IT-beheer geheel of gedeeltelijk uit.
Bijvoorbeeld aan een dienstverlener in Oost-Europa of Azië. Die dienstverlener kan op zijn beurt weer gebruikmaken van onderaannemers.
Daarmee ontstaat een keten van organisaties en medewerkers die mogelijk toegang hebben tot jouw systemen en gegevens.
De vraag is of je nog voldoende zicht hebt op wie die toegang heeft en onder welke voorwaarden. Vaak is dat erg lastig, maar met de NIS2 is het wel een verplichting.
Je securitypartner zou ook de beveiligingsmaatregelen van je IT-outsourcingpartij moeten beoordelen. En jij moet vervolgens kunnen vaststellen of je verantwoordelijke partner het juist invult. Is dat niet iets dat ze doen? Zorg er dan voor dat je zelf de efficiënte middelen hebt om het in te zien. Het blijven jouw data en organisatie waar een ander binnen en voor actief is.
Daarbij zijn de eerste, tweede en derde verdedigingslinie minstens zo relevant als binnen je eigen organisatie.
De eerste lijn voert de operationele beheersmaatregelen uit. De tweede lijn bewaakt de risico’s en toetst of maatregelen en afspraken worden nageleefd. De derde lijn levert onafhankelijke assurance over de werking van het geheel.
Ook wanneer die verantwoordelijkheden over verschillende dienstverleners zijn verdeeld, moeten ze expliciet zijn belegd. Inclusief de bijbehorende rapportages, escalatieprocedures en onafhankelijke toetsing.
Compliance moet je kunnen aantonen!
Een certificering laat zien dat een organisatie aan bepaalde eisen voldoet binnen een vastgestelde scope. Dat is nuttig, maar geen garantie dat alle risico’s in jouw specifieke leveranciersketen voldoende worden beheerst.
Daarvoor heb je inzicht nodig in de daadwerkelijke werking van maatregelen. Wie heeft toegang? Wat gebeurt er met afwijkingen? Hoe worden kwetsbaarheden opgevolgd? En wie toetst onafhankelijk of de afgesproken controles effectief zijn?
Van een goede securitypartner mag je verwachten dat hij hierover transparant is, binnen de grenzen van vertrouwelijkheid en veiligheid. En dat hij dezelfde eisen stelt aan de partijen waarmee hij zelf samenwerkt.
Trust, but verify
is niet alleen een principe voor gebruikers, apparaten en applicaties. Zeker niet meer met de CBW. Het zou net zo goed moeten gelden voor iedere organisatie in je leveranciersketen.
Je kunt de uitvoering van cybersecurity uitbesteden. De verantwoordelijkheid voor het beheersen van de risico’s blijft bij jezelf.
Door: Steijn – Chapter Lead Cybersecurity
