NCSC adviseert berichtenapps met end-to-end-encryptie
Het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Veiligheid en Justitie heeft een factsheet uitgebracht waarin het bedrijven adviseert over het kiezen van een berichtenapp (pdf). Veel zakelijke communicatie verloopt tegenwoordig via berichtenapps, maar dit brengt risico's met zich mee.
Het voornaamste risico volgens het NCSC is dat data op andere locaties terechtkomt dan van te voren bedoeld. Zo kan de verkeerde persoon onbedoeld vertrouwelijke informatie ontvangen, waardoor er sprake van een datalek kan zijn. Daarnaast kan het telefoonnummer niet meer in bezit zijn van de persoon waar de informatie wel voor bedoeld was. Ook is er het risico van de locatie van de data, wie er toegang toe heeft en welke partijen de data kunnen opvragen.
Data komen, bijvoorbeeld door het koppelen van databases na een fusie of overname, bij andere partijen of op een andere locatie terecht. Het kan ook zijn dat data onder een andere jurisdictie valt als het buiten de landgrenzen is opgeslagen. Het NCSC stelt dat het voor organisaties van belang is om in kaart te brengen in hoeverre dergelijke risico's van toepassing zijn op de organisatie.
Het in kaart brengen van de risico's kan via een risicoafweging. Als eerste moet er worden gekeken of een berichtenapp gewenst is en bij de organisatie past. Vervolgens moet het interne beveiligingsbeleid op het gebruik van berichtenapps worde geëvalueerd. Hierna kan er worden onderzocht welke berichtenapp aan het beveiligingsbeleid voor een acceptabel restrisico voldoet.
Encryptie
Het NCSC geeft verder nog een aantal aanvullende beveiligingsmaatregelen voor berichtenapps, zoals alleen het gebruik van berichtenapps waar end-to-end-encryptie is ingeschakeld. Daarnaast moet er alleen voor apps worden gekozen die van opensource-encryptie gebruikmaken, welke controleerbaar is en onderdeel uitmaakt van een beveiligingsaudit. De berichtenapps moeten daarnaast alleen uit erkende appstores worden gedownload en moeten contactgegevens/het telefoonboek niet naar de server van de ontwikkelaar uploaden.
De overheid is echter zo groot dat je niet moet verwachten dat al haar uitingen en gedragingen consistent, verstandig en doordacht zijn.
Dit is volgens mij een plek voor security professionals.
Wat zou het heerlijk zijn als we onze focus houden op beheersbare risico's en gecontroleerde functionaliteit in plaats van met een alu hoedje op een beetje roeptoeteren.
Ik geloof dat U ook niet veel weet over security als je dit soort berichten on-professioneel vind. ^^
De inlichtingendiensten (mivd/aivd) hebben als taak de allerbeste informatie te vergaren. En dan is encryptie gewoon een bedreiging. Lijkt tegenstrijdig, maar het zijn gewoon twee organen met een andere taakstelling.
Ergens komt dat weer samen en aan die ambtenaren de mooie uitdaging om de juiste balans te vinden.
-> Maken we het vergaren van informatie door inlichtingendiensten makkelijker door de beveiliging te verzwakken: dan komt dat als een boomerang terug aangezien ook kwaadwillenden de zwakheden kunnen en zullen gebruiken. Dat raakt de concurrentiepositie en de veiligheid van onze vitale infrastructuur.
-> maken we het vergaren van informatie door inlichtingendiensten te moeilijk dan kunnen ze hun werk niet doen (en hebben we niets te ruilen met de Amerikanen/Engelsen/Duitsers. we spelen graag met de grote jongens samen en dan moet je mooi speelgoed meenemen (en het liefst kopen van bedrijven in de landen van diezelfde grote jongens))
Prachtig... die digitale cyberwedloop
Ik geloof dat U ook niet veel weet over security als je dit soort berichten on-professioneel vind. ^^
Een faal van start.
Als het ncsc zichzelf serieus neemt moeten ze dat juist daar oppakken. Closed met een nda of open maakt dan echt niets uit. Er wordt beweerd dat het specialistische kennis is en dat men dat bij het ncsc heeft..... (nou werkt daar guust?).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
