Hoe BS7799 de bedrijfssecurity verbetert
Organisaties zijn zich bewust van de noodzaak informatie te beveiligen, maar zijn vaak niet in staat dit proces vorm te geven. Om bedrijven hierbij te helpen is de BS7799 standaard, ook bekend als de Code voor Informatiebeveiliging, opgesteld. Steeds meer bedrijven implementeren de standaard. Er zijn echter nog talloze organisaties die geen gebruik van de Code maken, voor deze organisaties beschrijft dit artikel de voordelen van de Code voor Informatiebeveiliging.
Uberhaupt niet inziet. En dan een beleidsdocument maken door dure
consultants: wat gaat dat kosten en hoeveel gaan we er meer door verkopen?
bedrijven verantwoordelijk worden gehouden voor zaken als:
Gehackte servers met:
illegale distributie FTP servers met kinderporno, films,
commerciele software,etc. Pas als de eerste boetes wegens
nalatigheid zijn uitgedeeld en de imago schade als een moker
de oragnisatie heeft wakker geschud dan...
Mail servers die naar alle klanten in de database
misleidende emails sturen die beurskoersen verstoren... En
dan aansprakelik gesteld worden voor de kosten...
Concurrenten volledige inzage hebben in je klantendatabase...
Het trieste is dat heel veel bedrijven het gewoonweg niet
merken als ze gehacked worden. Uit ervaring weet ik dat dat
zelfs bedrijven die dure externe consultants hebben zitten
met halfslachtige bewakingsoplossingen het stomweg niet eens
detecteren als ze gehacked worden.
Het probleem zit m erin dat er te veel vanuit stupide
checklisten wordt gewerkt en veel bedrijven denken dat het
blind volgen van standaarden iets opleverd. Verzekeraars
weten wel beter en wagen zich daarom er ook niet aan...
Carlo
Gaussian IT BV
beveiligingsbeleid. Een goed begin is het halve werk, probleem is vaak dat
het beleid niet vertaald wordt naar implementatieplannen en -budgetten. Als
er geen dure externe consultant wordt ingezet, valt de keus vaak op een
weggepromote interne medewerker. Het aantal interne en externe kneuzen
overtreft het aantal deskundigen. Van de deskundigen hebben er maar een
paar de vaardigheden om de plannen daadwerkelijk te implementeren (als
ze al budget en commitment hebben gekregen).
Laat ik het maar niet hebben over bedrijven die denken dat een firewall
genoeg is voor info beveiliging. ARGH@#$%%
onze ideeen op. Brittannia rules the waves. Die Engelsen zijn met hun
nationalisme soms nog irritanter dan Fransen.
Raar, er hebben aan BS7799 ook Nederlandse organisaties meegewerkt en
de BS7799 is al jaar en dag geaccepteerd als de Code voor
Informatiebeveiliging en door ISO als norm geaccepteerd namelijk de
ISO17799. Ook COBIT met als thuisbasis de USA, heeft al jaren terug
BS7799 als bron gebruikt en naar verwezen voor haar IT Governance model.
Voor alle duidelijkheid, BS7799-ISO17799 is geen standaard maar een
normenkader. Dit normenkader heeft als belangrijkste kenmerk en
succesfactor dat de normen aanpasbaar zijn aan de meeste organisaties.
Een standaard daarintegen is onveranderlijk, normen kunnen in een
standaard niet per onderozeksobject worden aangepast.
niet kunt stellen dat e.e.a. iets toevoegen kan aan de bedrijfsvoering.
Daarbij een flexibiliteit van nul, wat logisch is gezien de herkomst (britse
overheid, britse telecom pre-privatisering). De normen aanpasbaar?
Absoluut niet. Dan behaal je de certificering immers niet.
En ook anderzins is de benadering zwak - ze veronderstelt immers dat als
je een bepaalde maatregel neemt - verplichte awareness - dat deze
succesvol is: de gebruikers en propheads weten 'alles' wat ze moeten
weten.
De BS stal is leuk voor consultants en auditoren, maar verder
contraproductief, saai en rigide. Ik zou zeggen: voer het eens in, dan leer je
dat wel, als je dat niet gedaan hebt ben je theoreticus. Ook fijn, maar
positioneer je svp niet als kundige. Het false authority syndrome komt
binnen itsec wel erreg veel voor, zodanig dat dat een belangrijke reden is
voor bedrijven er maar niets aan te doen. Alles beter dan een betweter!
voor het implementeren van maatregels en het formuleren van beleid.
Hierbij wordt een beetje op de zelfde manier omgegaan als met ITIL.
Onderdelen die makkelijk te implementeren zijn en/of waarvan het
organisatie-nut makkelijk te bepalen is zijn ingevoerd, andere onderdelen
volgen misschien nooit (geen noodzaak, niet rendabel).
Ik kan mij voorstellen dat BS7799 zeer goed werkt in formele (grote)
organisaties, maar dat kleinere, informelere organisaties erg tegen de
overhead en de hoeveelheid werk aan hikken.
Zolang bedrijven de ondernemersrisico's die aan informatieverwerking
hangen niet in zien zal dit nooit hoog op de agenda komen.
dat het niet gaat om het implementeren per se, maar het interpreteren en
toepassen in de eigen situatie.
Een standaard geimplementeerd hebben die niets toevoegt of alleen maar
geld kost heeft geen zin, een standaard interpreteren voor de eigen situatie
en deze inpassen in de eigen organisatie wel.
Bij het hanteren van de BS7799 geldt hetzelfde, er wordt niet gerept over
het invoeren van het totaal aan maatregelen, er wordt zelfs alleen op
hoofdlijnen aandacht aan besteed. Deze standaard leent zich dan ook bij
uitstek tot interpretatie en gebruik in de eigen situatie.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Security Specialist Malware
NCSC
Zit cybersecurity diep in je DNA? Heb jij het in je om op het moment dat het er echt toe doet samen met je collega’s tot de juiste (technische) oplossing te komen? Als security specialist malware bij het Nationaal Cyber Security Centrum (NCSC) doe jij er alles aan om de impact van digitale dreigingen te verminderen en incidenten tegen te gaan.
Information Security Officer
Grijp deze unieke kans voor carrière-ontwikkeling in informatiebeveiliging! Bij Esri bouw je vertrouwensrelaties op en help je zowel ons als onze klanten veiligere technologie te gebruiken. Ben jij de ervaren Security Officer die energie krijgt van werken in 'twee werelden'? Solliciteer dan nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!