Grapperhaus ziet niets in back-upplicht voor organisaties
Minister Grapperhaus van Justitie en Veiligheid ziet niets in een verplichting voor organisaties om back-ups te maken. Ook zal het kabinet niet met beleid komen over het betalen van losgeld bij ransomware. Dat heeft de minister laten weten op Kamervragen van D66-Kamerlid Kees Verhoeven.
Hij stelde Kamervragen naar aanleiding van de ransomware-infectie bij de Universiteit Maastricht. De universiteit betaalde bij twee ton om weer toegang tot bestanden te krijgen. "In hoeverre is het mogelijk om voor dergelijke beslissingen over het al dan niet betalen van losgeld eenduidig beleid te ontwikkelen? Ziet u additionele mogelijkheden voor beleid op het gebied van back-upbeleid?".
Volgens de minister is het betalen van criminelen om bestanden te ontsleutelen "altijd onwenselijk". Daarnaast is het de verwachting dat het betalen van losgeld tot meer aanvallen zal leiden, stelt hij verder. Toch ziet Grapperhaus geen reden om aanvullend beleid te ontwikkelen met betrekking tot het al dan niet betalen van losgeld.
Wat betreft beleid over het maken van back-ups ziet de minister ook hier niets in. "Er bestaan geen algemene verplichtingen rond het maken van back-ups. Organisaties zijn zelf verantwoordelijk voor de cybersecurity binnen hun organisatie", laat hij weten. Wel wordt in verschillende preventiecampagnes en door het NCSC gewezen op het maken van back-ups. "Dit is een van de basisbeginselen om de schade van cybercrime te beperken", merkt de minister op.
Back-ups helpen daar totaal niet tegen. Sterker, ze stimuleren dit "business" model.
Prio 1: houd ongeautoriseerden buiten de deur;
Prio 2: neem maatregelen om de continuïteit te waarborgen (waaronder back-ups).
In het algemeen heb je gelijk. Helaas gaat het bij een ransomware versleuteling (ergo: er is al versleuteld) of je ransomware betaald of niet. Dan wordt opeens die backup relevant. Naast de maatregelen als segmentering, least privilged & anti ransomware tooling blijft bij mij off-line backup een sterk aanwezige noodzaak .
Eminus
"De criminelen hebben medische dossiers van patiënten online gezet". Echt fijn (not) voor die patiënten dat er nu meerdere back-ups zijn van hun gegevens.
Want ze moeten hun data dan terug halen vanuit een backup,hebben ze die niet dan moeten ze alles weer vanaf de grond af aan met de benodigde gegevens opbouwen.
Dus ik neem aan dat ieder bedrijf gewoon uit zich zelf zijn data opslaat op een tweede server.
Dus het verplichten van backuppen is niet aan de orde,iedereen is wijs genoeg dat te doen.
Want ze moeten hun data dan terug halen vanuit een backup,hebben ze die niet dan moeten ze alles weer vanaf de grond af aan met de benodigde gegevens opbouwen.
Dus ik neem aan dat ieder bedrijf gewoon uit zich zelf zijn data opslaat op een tweede server.
Dus het verplichten van backuppen is niet aan de orde,iedereen is wijs genoeg dat te doen.
Het probleem is meestal niet het terugzetten van de data, maar het terugzetten van de hele configuratie van de machines,
zeker in een Windows omgeving waar dit niet zo makkelijk met een standaard backup/restore gaat.
Als je ineens geen enkele werkende machine meer hebt maar alleen nog een partij tapes, dan is het niet eenvoudig.
In het algemeen heb je gelijk. Helaas gaat het bij een ransomware versleuteling (ergo: er is al versleuteld) of je ransomware betaald of niet. Dan wordt opeens die backup relevant. Naast de maatregelen als segmentering, least privilged & anti ransomware tooling blijft bij mij off-line backup een sterk aanwezige noodzaak .
Eminus
Machines met een os schoon inrichten.
De paketten schoon inrichten met daarbij de configuratie veranderingen voor het os en het pakket scripted uitrollen.
Dan blijft als laatste het wezenlijke voor een organisatie over. Dat zijn de werkelijke basisgegevens met de algoritmes voor de processen.
De kerntaken hebben een andere vereiste hersteltijd dan ondersteunende of die nog in ontwikkeling waren.
Daar moet je een draaiboek getest voor hebben. En die test moet zonder herstelacties zijn verlopen.
Men schrijft daarom niet voor dat je backups moet gebruiken om dataverlies te voorkomen, men schrijft voor dat je dataverlies moet voorkomen. Mocht er ooit een alternatief voor backups worden bedacht dat nu nog onvoorstelbaar is en pure magie lijkt dan is een wet die backups voorschrijft in een klap een blok aan ons been, terwijl een wet die alleen aangeeft wat je ermee moet bereiken gewoon van toepassing blijft.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
