Het is zeker niet enkel de kop in het zand steken. Heel veel
IT-managers hebben te kampen met te krappe budgetten en
moeten dus keuzes maken. Aandacht is er dan vooral voor het
gebruik, daarnaast onderhoud en vervolgens pas extra audits
en beveiliging.

Totaal niet... Wij doen al jaren security audits voor de
grote bedrijven in nederland. We worden dan vaak door de
directie zelf ingehuurd. Bij het eerste gesprek met de IT
manager geeft hij al aan dat we zo weer buiten zitten omdat
ze potdicht zitten, "want ze zijn nog nooit gehacked".

Als je vervolgens vraagt wat voor IDS of IPS hebben, kijken
ze je met glazen koeieogen aan...

vreemd, bij veel bedrijven die audits laten uitvoeren zijn
de systemen die je noemt WEL bekend. Verkeerde klantenkring
/ branche ?

Ik denk dat je overdrijft of maar wat roept op basis van
horen zeggen, de verhalen tijdens de lunch zullen we maar
zeggen.

Tot slot, je hoeft geen IDS (zo passé) of IPS te hebben om
security te kunnen waarborgen. Maar daar zal 'jouw bedrijf'
dan wel aandelen in hebben.

http://www.security.nl/article/10349/1

I rest my case...

die vraag en antwoord spelletjes kennen we inmiddels ook wel
.... heeft u 10 minuten ? kost slechts een kwartiertje van
uw tijd ....

de enige antwoorden die gegeven kunnen worden:

- ja
- nee
- weet niet

En jij neemt dit soort onderzoeken serieus ? get a life man ....

Dat soort studies heeft als groot probleem dat ze altijd uitgaan van
asumpties die het gelijk van de vragenstellers moeten bevestigen.

Bijvoorbeeld de vraag:

Heeft u maatregelen genomen om interne hackers te traceren?

* Ja
* Nee
* weet niet

Mijn antwoord: Nee, we hebben geen speciale maatregelen genomen om
'interne hackers' op te sporen. In plaats daarvan zorgen we er proactief voor
dat alleen maar vertrouwde medewerkers hun machine op het netwerk
kunnen aansluiten, en hebben we geen wifi. Verder is windows gebaned
van het netwerk, en zijn al onze medewerkers erg goed qua. beveiliging.
(allemaal skilled in Unix sysop taken (en programmeur). Elke machine heeft
zelf een eigen firewall en van elke medewerker wordt verwacht dat hij/zij zijn
eigen OS kent en bijhoud.

Heeft u een IDS en/of IPS ?
* Ja
* Nee
* weet niet

Nee, we hebben een router die al het incomming traffic droped, en
uitgaande connecties doet via NAT. Dingen als dynamisch poorten
open zetten via uPnP staan allemaal uit om te voorkomen dat windows
achtige apps zichzelf willen prostitueren op het internet (here I am, Take
me!)

Heeft u maatregelen genomen om te voorkomen dat spyware vertrouwelijke
informatie doorstuurt naar een externe partij?

* Ja
* Nee
* Weet niet

Nee, niet speciaal. Maar we beschouwen spyware als een geslaagde
hackpoging, en een werknemer van ons die gehacked wordt heeft wat uit te
leggen.. Zowieso is spyware/virussen bij ons niet zo'n probleem, omdat we
geen Windows gebruiken.

Laat u P2P-applicaties toe op het netwerk?
* Ja
* Nee
* Weet niet

Ja, Als een medewerker denkt dat daar een goede reden voor is, mag hij
best een p2p app gebruiken.


Volgens dit onderzoek zijn wij zeeeeeeer onveilig. De werkelijkheid is
anders, omdat security-consience velen malen belangrijker is dan het
blindelings uitvoeren van 'de standaard maatregelen'.