NCSC adviseert organisaties om Webex-vergaderingen opnieuw in te plannen
Het Nationaal Cyber Security Centrum (NCSC) adviseert organisaties om hun Cisco Webex-vergaderingen opnieuw in te plannen. Aanleiding zijn kwetsbaarheden in het videovergaderplatform. Eerder deze week werd bekend dat onderzoekers toegang tot metadata van allerlei overheidsvergaderingen hadden gekregen. Cisco stelde dat de "bugs" op 28 mei zijn verholpen en alle klanten ingelicht. Dat bleek niet zo te zijn. Daarnaast ontdekte het NCSC een afgeleide kwetsbaarheid in oude Webex-vergaderingen.
De overheidsinstantie merkt op dat het probleem met het verkrijgen van metadata alleen aanwezig was in de cloudversie van Cisco Webex, niet in de on-premise versie. Wat betreft de aanvullende kwetsbaarheid staat het NCSC hierover in contact met Cisco en adviseert organisaties om vergaderingen die vóór 4 juni zijn aangemaakt, te verwijderen en opnieuw in te plannen. "Deze eerder aangemaakte vergaderingen zijn nog steeds kwetsbaar", aldus het NCSC. De overheidsinstantie hanteert hier een veiligheidsmarge van enkele dagen tussen 4 juni en 28 mei, de dag dat Cisco aangeeft de kwetsbaarheden te hebben verholpen.
Daarnaast adviseert het NCSC organisaties de standaard hygiënemaatregelen voor alle online vergaderingen te hanteren, namelijk het instellen van een wachtruimte zodat deelnemers expliciet tot de vergadering toegelaten moeten worden, het altijd gebruiken van een wachtwoord of pincode voor vergaderingen, het controleren van aanwezige deelnemers en het niet bespreken van hoog gevoelige of -vertrouwelijke informatie in online vergaderingen. "Door het hanteren van deze hygiënemaatregelen ondervangt u het risico dat een persoon ongeoorloofd toegang krijgt tot uw vergaderingen", aldus het advies.
En ja dan doen sommige cloud diensten het neit, maar het is wel de veiligste methode waarbij iedereen een app nodig heeft en de browser versie niet werkt.
Daarnaast kun je, als meetings alleen binnen jouw organisatie gehouden worden, externe connecties per definitie uitsluiten in de security settings tijdens het plannen van de vergadering.
Een andere methode, gebruiken wij veel, is het niet standaard meesturen van het meeting wachtwoord en deze vervolgens via een alternatief kanaal (chat app bijvoorbeeld) aan de deelnemers te verstrekken. Nee, niet ook per e-mail.
Lobby functionaliteit voor meetings staat standaard uit bij de rijksoverheid als ik het mij goed kan herinneren.
Waarom de Rijksoverheid Webex gebruikt is prima uitlegbaar: binnen 6 weken na het begin van de corona crisis, eerste golf, is dit rijksbreed uitgerold omdat er niets anders was.
Pas ruim daarna zijn ministeries, waarschijnlijk onder druk van kennisloos top management, massaal ook Teams gaan implementeren (vooral tegen uitkomsten van DPIA's in).
Dit is dan, omdat dit vaker gebeurd wereldwijd, de reden waarom je tegenwoordig op Cisco Boards ook aan Teams meetings kan deelnemen. Alle ministeries staan vol met Cisco Board series devices (mooi spul overigens).
Waarom de Rijksoverheid Webex gebruikt is prima uitlegbaar: binnen 6 weken na het begin van de corona crisis, eerste golf, is dit rijksbreed uitgerold omdat er niets anders was.
Pas ruim daarna zijn ministeries, waarschijnlijk onder druk van kennisloos top management, massaal ook Teams gaan implementeren (vooral tegen uitkomsten van DPIA's in).
Dit is dan, omdat dit vaker gebeurd wereldwijd, de reden waarom je tegenwoordig op Cisco Boards ook aan Teams meetings kan deelnemen. Alle ministeries staan vol met Cisco Board series devices (mooi spul overigens).
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
