Montelbaan Blog

Blog voor Montelbaan Internet & ICT BV - Specialisten in digitale veiligheid - www.montelbaan.nl

[montelbaan]

Montelbaan heeft zich aangesloten bij de FIDO (Fast IDentity Online) Alliance. Dit is een consortium dat in februari 2013 is gestart om de interoperabiliteit voor sterke authenticatie te verbeteren en gebruikersproblemen met een veelvoud van accounts te verminderen. PayPal en Lenovo zaten bij de oprichters, inmiddels is een breed scala aan bedrijven als Google, Samsung, Microsoft, Alibaba, VISA, etc. toegetreden.

[montelbaan]

Montelbaan pitch AntiFraude Hackathon in pdf, deze is hier te vinden. De afbeeldingen zijn twee screenshots uit deze presentatie. De originele powerpoint bevatte een aantal animaties.

[montelbaan]

Hackathon #AntiFraude BZK impressie

De sfeer was fantastisch. Indrukwekkend hoeveel creativiteit en werkende software er uit de 9 aanwezige teams is gekomen in 2 dagen tijd. Team Montelbaan heeft  een mechanisme voor fraude-detectie gebouwd met privacy-waarborg en een proces opt-out voor de burger.

Alle state-of-the-art techniek op het gebied van patroon-herkenning, privacy, linked-data, biometrie, apps, big-data, etc. is uit de kast gehaald. Onderling, tussen de verschillende teams, werd er veel gedeeld en heeft iedereen wel wat van elkaar bijgeleerd. 

De organisatie was top: goede locatie met infra en perfecte catering. Evenementen als deze moet je aan meedoen als het even kan. 

Op zijn verjaardag, zondag, kwam Plasterk langs. We hebben nog voor hem gezongen :-) Hij nam er de tijd voor om overal even een kijkje te nemen.

Zie ook: www.hackathonantifraude.nl

[montelbaan]

Beveiliging blijft verantwoordelijkheid van de opdrachtgever

Enige tijd geleden kwam het volgende social-media bericht langs: “MinVWS.nl doet 't slimmer en draait in EIGEN beheer een slecht geconfigureerde nameserver”. Als je dit soort berichten volgt dan sluit deze gewoon aan in een lange rij van incidenten. Maar juist het feit dat MinVWS.nl het slimmer wil doen in eigen beheer triggerde me in dit bericht. Ik kan het bericht zo lezen dat het eigenlijk helemaal niet slim is van MinVWS om een nameserver in eigen beheer te draaien. Hoewel ik niet weet of de steller van het bericht dat ook zo bedoelt, kom ik wel op de interessante vraag: zou het bericht erger of juist minder erg zijn wanneer de nameserver van MinVWS.nl bij een provider zou draaien die dezelfde fout maakt? Mijn antwoord is nee, het maakt niet uit.

MinVWS.nl is net als andere overheden of bedrijven eigenaar en daarom verantwoordelijk voor de goede werking en beveiliging. Of dit in eigen beheer is of bij uitbesteding aan een provider. Het probleem zit niet in eigen beheer of uitbesteding. De eigenaar en opdrachtgever moet keuzes maken in het beveiligingsniveau dat het nastreeft en daar actief op controleren. Daar ontbreekt het in veel gevallen aan. Zonder norm voor de minimale beveiliging en wanneer er niet goed is getest op de realisatie van de normen, schiet de eigenaar tekort.

Wat MinVWS wel en niet heeft gedaan weet ik niet. Maar het in eigen beheer inrichten van ICT betekent dat MinVWS keuzes moet maken tav. het minimale beveiligingsniveau en daar normen voor moet bepalen. Vervolgens moet MinVWS als opdrachtgever het testen van de beveiliging organiseren, laat de slager niet zijn eigen vlees keuren. Dus de opdrachtgever moet in het geval van eigen beheer investeren in het opstellen van normen voor minimale beveiliging en het testen ervan.

Een voorbeeld van uitbesteding aan een provider is de beveiliging van de voice mail door Vodafone. Blijkbaar koos Vodafone voor gebruikersgemak en niet voor beveiliging. De klant moet eerst bepalen wat de minimale beveiliging met zijn en de provider vragen dit te leveren. Wanneer Vodafone belooft de beveiliging te leveren dan is het nog steeds de verantwoordelijkheid van de klant om te testen of dit ook klopt. De klant neemt dan bewust een risico wanneer zij afziet van het testen. Dus de opdrachtgever moet in het geval van uitbesteding investeren in het opstellen van normen voor minimale beveiliging en het testen ervan.

Zoals gezegd het probleem zit niet in het eigen beheer of uitbesteden. De praktijk leert dat de eigenaar aan het begin onvoldoende investeert in het nadenken over de minimale beveiliging en de normen die daarvoor worden gekozen. Vervolgens is het een bekend feit dat er te weinig tijd en geld wordt gereserveerd voor testen, het testen op beveiliging is dan het eerste dat er uitvalt. Men vertrouwt vaak op standaard beveiliging. Maar zonder minimum eisen en normen is er geen standaard beveiliging en als die er wel is dan maken mensen nog steeds fouten, vooral in de meest eenvoudig zaken. Hierop moet de eigenaar en opdrachtgever verdacht zijn en moet daarin een eigen verantwoordelijkheid nemen voor ICT in eigen beheer en voor ICT uitbesteed bij een provider.

[montelbaan]

Public Key Infrastructure

Montelbaan ziet de inzet van PKI (Public Key Infrastructure) als een middel ter ondersteuning van uw bedrijfsproces en niet als een doel op zich. We hebben ervaring met de invoering van PKI op een (kosten)efficiente wijze.

We hebben ruime kennis van de onderliggende theorie, standaarden, methoden en technieken met een sterk praktische insteek: wat we adviseren kunnen we realiseren. Zoals u onder de link diensten kunt lezen leveren we advies in de verschillende fasen van beleidsbepaling tot realisatie.

In het bijzonder beschikken we over kennis rond PKIOverheid, TTP's, smartcard en HSM technologie, aanvraag en uitgifte werkprocessen, migratie- en groei-scenario's, communicatiebeveiliging en de digitale handtekening. Ondermeer de beveiliging van de huidige Gemeentelijke Basis Administratie (GBA) maakt gebruik van een door Montelbaan ontwikkelde PKI oplossing. Voor de modernisering van de GBA en de LRD ontwikkelde Montelbaan het beveiligd berichtenverkeer en gaf Montelbaan advies bij de netwerk migratie.

[montelbaan]

Aanpak beveiliging

Is ICT-beveiliging een noodzakelijk kwaad of is het mogelijk om de bedrijfsvoering ermee te versterken? Deze vraag is voor iedere organisatie een uitdaging.

Montelbaan Internet & ICT heeft als visie dat de efficiency en flexibiliteit van een organisatie te vergroten is door de ICT beveiliging af te stemmen op wat noodzakelijk is vanuit de bedrijfsvoering.

Hiervoor hanteren wij een systematische aanpak om de beveiliging van ICT-voorzieningen af te stemmen op de bedrijfsvoering van organisaties.

Het fundament van de systematische aanpak is het model dat de rol beschrijft van informatie in de bedrijfsvoering.

Op het fundament is de requirement analyse geplaatst, hiermee wordt vanuit de behoefte van de bedrijfsvoering en de rol van de informatie bepaald welke ICT-voorzieningen noodzakelijk zijn en welke functionaliteiten deze bieden. Voor een goede beveiliging is het noodzakelijk dat er niet te veel en niet te weinig voorzieningen zijn.

Het definieren van de beveiliging door middel van een risico analyse is de volgende stap. De risico analyse geeft inzicht in de vragen:

Hebben we voldoende maatregelen genomen om incidenten te voorkomen

Zijn we voldoende voorbereid wanneer er zich incidenten voordoen

Zijn we voldoende voorbereid om nieuwe bedreigingen effectief aan te pakken

Aan de hand van de risico analyse worden de beveiligingsmaatregelen bepaald die passen bij de ICT-voorzieningen die gedefinieerd zijn in de requirement analyse. De concrete maatregelen moeten een balans hebben tussen techniek, uw organisatie, procedures en het menselijk handelen.

[montelbaan]

Informatiebeveiliging

Informatie voorziening is een essentieel onderdeel voor bestuurs- en bedrijfsprocessen. Informatietechnologie speelt hierin een vooraanstaande rol. Informatiebeveiliging is er op gericht dat de gewenste informatie tijdig beschikbaar is, dat deze informatie correct is, niet verloren gaat en dat de informatie niet in verkeerde handen valt.

Gezien deze afhankelijkheid en de voortdurende wens tot het vergroten van de professionaliteit van dienstverlening naar klanten, zal de kwaliteit van de informatiebeveiliging steeds verbeterd moeten worden. Montelbaan staat haar klanten bij in het proces van het verbeteren van hun dienstverlening door advisering over informatiebeveiliging in een ICT omgeving.

Informatie beweegt zicht voortdurend door een keten van handelingen. Het wordt gecreëerd, aangepast, opgeslagen, verzonden en wederom aangepast. De informatiebeveiliging moet voor alle schakels in de keten op gelijk niveau liggen en van gelijkwaardige kwaliteit zijn.In onze advisering staan wij u bij in de afweging welke organisatorische maatregelen noodzakelijk zijn, en in de realisatie daarvan.

In de integrale aanpak van Montelbaan speelt het informatie-beveiligingsbeleid en het daarmee afstemmen van de ICT in combinatie met menselijk handelen een belangrijke rol. Aangezien het feitelijk gedrag van mensen in hoge mate de waarborging van het informatie beveiligingsbeleid in een ICT omgeving bepaalt, krijgt dit de meeste aandacht bij de analyse en de implementatie van de beveiligingsmaatregelen. De kwaliteit van het informatie-beveiligingsbeleid uit zich in de verbeterde afstemming tussen beveiligingsbeleid, ICT en menselijk handelen.

Montelbaan richt zich vooral op het gebruik van technologie voor informatie uitwisseling, informatiebeveiliging en integratie van systemen. Een gedegen kennis van technologie is hierbij ons uitgangpunt.

[montelbaan]

Video van het Honey project door Christiaan, een experimentele honeypot. 

Een honeypot is in de informatica een computersysteem dat zich bewust kwetsbaar opstelt voor (worm)virussen en andere aanvallen. Door de vergaarde informatie te analyseren, kan de verspreiding van de virussen mede worden tegengegaan.

Daarnaast worden honeypots ingezet om post-admission control in quarantainenetwerken te realiseren. Soms wordt een honeypot gebruikt om de gegevens van de hacker zelf te achterhalen. Zo kunnen ze de hacker aanhouden en desnoods berechten. De gegevens die door honeypot zijn achterhaald, dienen dan als bewijs. Een honeypot zal over gegevens beschikken die een hacker interessant vindt, zoals wachtwoordgegevens.

[montelbaan]

De inzet van biometrie voor authenticatie verhoogt doorgaans het gebruikersgemak. Een kenmerk van het lichaam is de sleutel voor de toegang tot een computer, een ruimte of een ander systeem. De gebruiker heeft het kenmerk altijd bij zich en hoeft daardoor geen wachtwoorden meer te onthouden. Vaak is een argument daarbij dat het gebruik van biometrie ter vervanging van wachtwoorden de beveiliging verbetert. Maar hoe veilig is biometrie eigenlijk ten opzichte van een wachtwoord?

(volg link naar artikel)