Minister van Engelshoven: mens blijft zwakke schakel in digitale veiligheid
De mens blijft de zwakke schakel in digitale veiligheid, zo heeft minister Van Engelshoven van Onderwijs laten weten naar aanleiding van onderzoek naar de ransomware-aanval op de Universiteit Maastricht afgelopen december. De Onderwijsinspectie deed onderzoek naar het incident en kwam tot de conclusie dat de universiteit niet goed voorbereid was op een aanval met ransomware. Wel werd er adequaat gehandeld bij het afhandelen van de aanval.
Minister van Engelshoven onderschrijft de bevindingen en conclusies van de Onderwijsinspectie en stelt dat de aanval laat zien dat gebruikers bewuster van cyberdreigingen moeten worden gemaakt. De aanval begon met verschillende e-mails die een Excel-document als bijlage hadden. Twee medewerkers openden dit document en activeerden de kwaadaardige macro's die de aanvallers hadden toegevoegd. Zo werden de eerste twee UM-systemen gecompromitteerd.
Verder bleek dat twee servers een belangrijke beveiligingsupdate misten, hadden systeembeheerders in strijd met het beleid van de universiteit gebruikgemaakt van het domeinbeheerderaccount voor het uitvoeren van onderhoudswerkzaamheden en waren back-ups vanaf het gecompromitteerde netwerk toegankelijk, waardoor die ook konden worden versleuteld. Er was van een ander systeem wel een offline back-up, maar die bleek zes maanden oud. "Een lacune", aldus de universiteit.
"Ik onderstreep het belang van het vergroten van bewustzijn, dit in samenwerking met de sector. Zoals ik in mijn brief Cyberveiligheid in het onderwijs heb aangegeven blijft de mens de zwakke schakel in digitale veiligheid", laat Van Engelshoven in een brief aan de Tweede Kamer weten. De minister merkt op dat medewerkers en studenten bewust gemaakt moeten worden van cyberdreigingen. Iets wat continu aandacht vergt. "Ik zal daarom deelname blijven stimuleren aan sector brede initiatieven, zoals cyberoefeningen- en samenwerkingsverbanden", stelt Van Engelshoven.
De minister prijst verder de open en transparante wijze waarop de Universiteit Maasrticht de ransomware-aanval afhandelde en hierover communiceerde. Hier heeft de hele sector van kunnen profiteren. "Mogelijk kunnen we de geleerde lessen ook vertalen naar de andere onderwijssectoren. Dit is in lijn met onze ambitie om als overheid een meer gecoördineerde aanpak te volgen om beter voorbereid te zijn op de gevolgen van een cyberaanval", besluit Van Engelshoven.
Maar dat staat niet in het rapportje dat deze verder ook niet al te onderlegde politica nu publiekelijk onderschrijft. Daar gaan we dus de oorlog niet mee winnen, maar beter hebben we niet. Mooi man. Nog jarenlang goed geld voor "ICT-consultants" verzekerd.
Windows is dus de zwakste schakel gebleken.
Alleen windows tegen het licht houden gebeurd niet. daar zorgt de Microsoft lobby wel voor, of te wel het is de schuld van de gebruiker of beheeder.
Als je computer alleen mail kon lezen was er geen probleem.
Het probleem is dat je computer te veel kan.
Als de mens het zwakste schakel is, is het gebruikers-gemak simpelweg niet goed genoeg.
Die minister weet vast wel hoe e-mails werken, hoop ik ?
Ik denk inelkgeval niet dat het een computer-genie is.
Als je computer alleen mail kon lezen was er geen probleem.
Het probleem is dat je computer te veel kan.
Als de mens het zwakste schakel is, is het gebruikers-gemak simpelweg niet goed genoeg.
Die minister weet vast wel hoe e-mails werken, hoop ik ?
Ik denk inelkgeval niet dat het een computer-genie is.
Windows is dus de zwakste schakel gebleken.
Alleen windows tegen het licht houden gebeurd niet. daar zorgt de Microsoft lobby wel voor, of te wel het is de schuld van de gebruiker of beheeder.
Misschien niet de schuld van gebruiker en beheerder?
Wat dat je van Management, Sales en Directie?
Ik werk voor een groot IT bedrijf, daar hebben "beheerders" niet veel te vertellen, producten worden in verkoopfases (sales/marketing) al bepaald/gekocht, daarna komt het pas in beheer nadat het geimplementeerd is door een "project".
Dus als er geroepen wordt op deze forums dat de schuld bij beheerders zou liggen, weten deze mensen niet hoe het georganiseerd is bij grote bedrijven.
Dat gaat allemaal goed komen in de toekomst, nadat de universiteit een cultuurverandering bij haar medewerkers/gebruikers heeft doorgevoerd.
WANT:
hadden systeembeheerders in strijd met het beleid van de universiteit gebruikgemaakt van het domeinbeheerderaccount voor het uitvoeren van onderhoudswerkzaamheden
en waren back-ups vanaf het gecompromitteerde netwerk toegankelijk, waardoor die ook konden worden versleuteld.
Er was van een ander systeem wel een offline back-up, maar die bleek zes maanden oud. "Een lacune", aldus de universiteit.
Gaat u maar rustig slapen.
Die minister praat alleen maar lobbyisten na. Die lobbyisten hebben haar overtuigd/betaald dat het niet aan het OS ligt. De rest is net zo onveilig als windows.
Dit hele 'de gebruiker is de zwakste schakel' mantra leidt alleen maar af van structurele oplossingen, die gewoon bestaan. Allemaal zodat grote sectoren (banken! overheid!) niet te hoeven investeren in een betere beveiliging maar kunnen vasthouden aan de heilloze weg die ze al zijn ingeslagen.
Het blijft inderdaad elkaar napraten. Niemand die je uitlegt dat je als systeembeheerder macro's kan uitschakelen en dit problemen kan voorkomen. Niemand die je gaat vertellen dat het al sinds jaar en dag mogelijk is om phishing te voorkomen door over te stappen of smartcards/client certificates of WebAuthn.
Dit hele 'de gebruiker is de zwakste schakel' mantra leidt alleen maar af van structurele oplossingen, die gewoon bestaan. Allemaal zodat grote sectoren (banken! overheid!) niet te hoeven investeren in een betere beveiliging maar kunnen vasthouden aan de heilloze weg die ze al zijn ingeslagen.
Die minister praat alleen maar lobbyisten na. Die lobbyisten hebben haar overtuigd/betaald dat het niet aan het OS ligt. De rest is net zo onveilig als windows.
Een Linux desktop (de Mac ook) is niet gevoelig voor windows malware en had dit excel macro incident onmogelijk gemaakt. Een uitstekende 1e lijns verdediging tegen al die walmare. Dat is een feit en geen mening. Wat ook een feit is dat windows nooit ter discussie wordt gesteld. Dat doet natuurlijk een wenkbrauw fronsen waarom al die zogenaamde specialisten de andere kant op blijven kijken. Gewoon lekker door blijven roken. Steek er nog maar een op.
Windows is dus de zwakste schakel gebleken.
Alleen windows tegen het licht houden gebeurd niet. daar zorgt de Microsoft lobby wel voor, of te wel het is de schuld van de gebruiker of beheeder.
Sorry maar dit is echt veel te kort door de bocht. Als je het rapport goed bestudeerd hebt dan zie je dat waar daar mis is gegaan berust op een aaneenschakeling van menselijke en technische fouten. Het gebruikte OS is hierbij veel minder relevant. Natuurlijk is het zo dat Windows een bredere aanvalsvector is dan bijvoorbeeld Linux, maar ook Linux en OSX zijn zeker niet onfeilbaar.
Die minister praat alleen maar lobbyisten na. Die lobbyisten hebben haar overtuigd/betaald dat het niet aan het OS ligt. De rest is net zo onveilig als windows.
Een Linux desktop (de Mac ook) is niet gevoelig voor windows malware en had dit excel macro incident onmogelijk gemaakt. Een uitstekende 1e lijns verdediging tegen al die walmare. Dat is een feit en geen mening. Wat ook een feit is dat windows nooit ter discussie wordt gesteld. Dat doet natuurlijk een wenkbrauw fronsen waarom al die zogenaamde specialisten de andere kant op blijven kijken. Gewoon lekker door blijven roken. Steek er nog maar een op.
Juist, en als je niet kan zwemmen ligt het ook aan het water...
Natuurlijk gaat die vlieger niet op. Zelfs al zou Linux de weg naar het geluk zijn voor iedere eindgebruiker dan wordt dat de grootste aanvalsvector en zal vanzelf daar allerlei gespuis voor worden ontwikkeld.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
