"Geen excuus voor onversleutelde laptops"
Bedrijven hebben geen excuus meer om gevoelige gegevens op laptops en mobiele apparaten niet te versleutelen, aldus verschillende analisten. Die reageerden op het verlies van een BP-laptop met de gegevens van 13.000 slachtoffers van de olieramp die de oliemaatschappij veroorzaakte. Ondanks de gevoeligheid van de gegevens, waren die niet versleuteld. Bij veel data-incidenten zijn laptops betrokken, toch passen maar weinig ondernemingen encryptie toe.
"Er is geen enkel excuus voor het niet versleutelen van laptops", zegt Gartner-analist Avivah Litan. De kosten voor encryptiesoftware zijn laag en de systeembelasting in verhouding tot de veiligheid zijn het meer dan waard. "Bedrijven die laptops niet versleutelen zijn gewoon lui."
"Ik denk dat laptop-encryptie voor elk redelijk groot bedrijf één van de slam-dunks in computerbeveiliging is, omdat de risico's bekend zijn en de oplossingen volwassen", voegt analist Pete Lindstrom toe. Toch is hij geen voorstander van een situatie waarbij de overheid het gebruik van encryptie gaat verplichten. "Een soort boete voor het verliezen van gegevens zou mogelijk wel van toepassing zijn."
Voor laptops kan het inderdaad makkelijk, maar voor handhelds is volgens mij nog niet veel beschikbaar...
De vraag welke hardware/software je hebt is afhankelijk van keuzes. Indien een criteria voor die keuze de beschikbaarheid van encryptie is, dan is jouw probleem verholpen.
"Toch is hij geen voorstander van een situatie waarbij de overheid het gebruik van encryptie gaat verplichten."
Wat is het voordeel van een boete boven het verplicht stellen van encryptie ?
Wat weet een analist nou van de realiteit ? Heeft een analist door hoe waardeloos de gemiddelde IT afdeling is ? NEE!
Zelfs na datalekken wordt er nog erg luchtig over gedaan en 'is het maar een incident'. Encryptie is een investering waarvan managers niet begrijpen waarom zij die moeten doen. Ze snappen niet waar het voor nodig is, wat het voor voordelen heeft en hoe de investering teruggewonnen kan worden.
Zelfs na datalekken wordt er nog erg luchtig over gedaan en 'is het maar een incident'. Encryptie is een investering waarvan managers niet begrijpen waarom zij die moeten doen. Ze snappen niet waar het voor nodig is, wat het voor voordelen heeft en hoe de investering teruggewonnen kan worden.
Walter, leg jij het hier eens uit? Ik ben wel benieuwd naar het terugwinnen van deze investering. Incidenten die zich niet hebben voorgedaan kun je slecht meten. Hoe toen jij de ROSI (return on security investment) aan van laptopencryptie?
Banken en verzekeraars hebben zich te houden aan strenge regels als het om gegevens gaat. Hou je je daar niet aan, dan wordt de Nederlandse Bank boos. Dat wil je niet. Het lijkt mij nodig dat normale bedrijven blijkbaar met wetgeving om de oren geslagen moeten worden omdat het blijkbaar niet echt doordringt.
Wanneer diefstal van data van een organisatie geen (financiële) consequenties heeft hoeven ze zich ook niet te verzekeren.
In Nederland kan een bedrijf diefstal van data lekker onder de pet houden, tot het op sensatiemedia terechtkomt, of op Wikileaks, natuurlijk... En iedereen denkt dat het hèm (of haar) niet zal overkomen. Net Mac users zonder AV...
In het buitenland kunnen de bijkomende kosten, naast die van vervanging van de gestolen laptop, aardig oplopen... Boetes, postzegels op excuus/informatiebrieven, reputatie...
Zelfs na datalekken wordt er nog erg luchtig over gedaan en 'is het maar een incident'. Encryptie is een investering waarvan managers niet begrijpen waarom zij die moeten doen. Ze snappen niet waar het voor nodig is, wat het voor voordelen heeft en hoe de investering teruggewonnen kan worden.
Walter, leg jij het hier eens uit? Ik ben wel benieuwd naar het terugwinnen van deze investering. Incidenten die zich niet hebben voorgedaan kun je slecht meten. Hoe toen jij de ROSI (return on security investment) aan van laptopencryptie?
Dat is niet zo moeilijk maar vergt wel wat denk en rekenwerk.
We noemen het een Risicoanalyse: http://nl.wikipedia.org/wiki/Risicoanalyse
Je kunt dan berekenen wat het ongeveer gaat kosten als bepaalde data in verkeerde handen komt ( verlies in business, anti reclame als gevolg van een slechte naam, prijs laptop, verloren tijd om alles weer op orde te krijgen etc.) dat zet je af tegen de aanschaf van een encryptie pakket en de installatie en configuratie en het onderhoud.
Aan de hand van de uitkomst bepaal je of je wel of niet gaat encrypten.
Security is a state of mind. Dat ga je met encryptie software niet forceren,.
Security is a state of mind. Dat ga je met encryptie software niet forceren,.
Wat dacht je van two-factor authenticatie d.m.v. een smart card of token? Kan je ook wel een geeltje blijven plakken, maar dan moet de steler wel nog over de smart card of token beschikken! Uiteraard niet laptop, token en geeltje bij elkaar bewaren zodat de steler alles in 1 heeft.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
