Een interview met Oona Van Belle, Account Manager Technology en Gert De Laet, Business Consultant van Securitas Belgium.

We zitten samen en bespreken de noodzaak, de mogelijkheden en de voordelen van een IT Health Scan.

Wat is een IT Health Scan?

Gert De Laet: Een IT Health Scan geeft je een inzicht in de staat van je IT voorzieningen en maakt het mogelijk om te bepalen welke IT aspecten aandacht nodig hebben. Het is een screenshot van je omgeving op dat specifieke moment. Dankzij deze scan krijg je verschillende rapporten waarop de mogelijke bedreigingen uitgelicht worden met passende aanbevelingen. Die bedreigingen en aanbevelingen worden samen met één van onze experten overlopen en in top-down van critical naar nice to have, pakken we dan samen gericht de problemen aan.

Waarom zou een klant een IT health scan kunnen gebruiken?

Oona Van Belle: De scan kent 2 doelgroepen. Aan de ene kant heb je klanten of bedrijven die hun digitale infrastructuur in kaart willen brengen. Ze willen duidelijkheid in hun omgeving. Er zijn misschien wat consultants die zaken hebben toegevoegd, een freelancer die wat updates heeft geïnstalleerd. Er staat dus veel in hun datacenter, maar wat? Ze hebben momenteel alles in eigen beheer en willen overstappen naar outsourcing. Dan kan zo’n scan dus wel heel interessant zijn om een actueel overzicht te krijgen van de  digitale infrastructuur. Aan de andere kant is het natuurlijk ook een nuttige tool voor bedrijven om te kijken hoe veilig hun omgeving momenteel is. We weten allemaal dat cyberaanvallen, phishing en randsomware aan een enorme opmars bezig zijn. Een data breach waardoor gevoelige bedrijfsdata op straat komen te liggen kan serieuze financiële implicaties met zich meebrengen. Of zelfs imagoschade als het gaat over de data van klanten. Een IT Health Scan is dan het ideale middel om net die zaken te gaan vermijden.

Over welke budgetten spreken we?

Oona: Elke scan is uniek en gepersonaliseerd voor iedere klant. Een scan start vanaf 2500 euro en afhankelijk van je beschikbare budget en je prioriteiten kies je zelf hoe ver we gaan met het onderzoek. Sommige dingen hoeven we bijvoorbeeld ook nog niet meteen aan te passen. Ze vormen momenteel nog geen grote bedreiging.  Maar een scan stelt ons dus ook in staat om te zien welke risico’s er in de toekomst eventueel nog naar boven kunnen komen of welke hardware bijna end of life is. Om een budget op te stellen naar de volgende jaren, kan een IT Health Scan ook heel nuttig zijn. We weten dat beveiliging voor bedrijven een heel belangrijk topic is, daarom hebben we onze scan ook zeer toegankelijk gemaakt.

Is 1 IT Health Scan genoeg om 100% beveiliging te garanderen?

Gert: Een IT Health Scan is een momentopname. We maken als het ware een screenshot van je omgeving zoals die nu is. Je omgeving verandert natuurlijk constant. Er worden toestellen toegevoegd en er komen nieuwe mensen bij. Dus in dat opzicht raden wij ook aan om die scan op regelmatige basis te herhalen. Dan krijg je van ons ook een progressierapport. Bij de eerste scan passen we bijvoorbeeld enkele dingen aan, we scannen opnieuw en dan kunnen we zien of de aanpassingen effect hebben gehad of dat er toch nog een tandje bijgestoken moet worden. Nieuwe toestellen worden toegevoegd, een nieuwe collega maakt nieuwe paswoorden aan... Ook dan doe je best weer een scan. Enkel zo kan je richting een 100% secure IT omgeving gaan.

En eenmaal de meest critical dingen zijn aangepakt, kunnen we, in plaats van een continue scanning, een monitoring agent achterlaten op de server. Zo maak je de overstap naar beveiliging als een managed service inclusief de ondersteuning van Securitas experten. Ons doel is om de klant volledig te ontzorgen. Een scan is een printshot, een monitoring agent is een blijvend oogje in het zeil.

Oona: Aanvullend kunnen we ook een ethical hacking uitvoeren om te kijken of de beveiliging echt 100% ok is. Een beetje de ultieme test voor de aangepaste IT omgeving.

Waarom is Securitas de beste unieke partner om zo’n IT Health Scan uit te voeren?

Oona: Door onze unieke en individuele aanpak. De rapporten die uit een scan komen zijn heel uitgebreid en vandaar dat de samenwerking met onze business consultants echt wel aan te raden is. Zij gaan de rapporten analyseren en je toegankelijke feedback geven. Het is ook met hun kennis en ervaring dat je samen kan aftoetsen welke zaken je zeker meteen moet aanpakken en welke nog even kunnen wachten. We begrijpen dat niet iedereen een even groot budget ter beschikking heeft en met vooropgestelde SLA’s kan je toch nog de nodige investeringen doen.

Sommige klanten komen ook naar ons met een vooropgesteld probleem of ze willen iets laten onderzoeken. Ze komen naar ons na een bepaald incident of ze hebben iets gelezen of gezien in de media en ze willen niet dat zoiets gebeurt met hun eigen omgeving. Dan kunnen we zeer doelgericht scannen dankzij de expertise van onze business consultants. Durf je als organisatie niet te zeggen dat je omgeving 100% secure is, dan kan een snelle assessment al soelaas brengen.

Gert: Uniek aan Securitas is dat we naast de IT omgeving ook de electronic security met camera's en badgereaders in kaart kunnen brengen. Securitas heeft vaak al die camera's en badgescanners zelf geïnstalleerd, dus bij ons zijn die zaken zeer belangrijk om ook mee te nemen in de scan. Alles wat een IP adres heeft, kunnen we scannen en in kaart brengen. Enkel zo heb je een totaal zicht op je volledige beveiligingsinfrastructuur, zowel fysiek als digitaal. In de toekomst hopen we ook nog een geolocatie toe te voegen om zo te zien waar er eventueel een gat zit in de fysieke beveiliging. Zo kunnen we zien waar er wel camera's hangen, maar vooral waar er nog geen hangen. Dit is belangrijk om je blinde vlekken te kennen.

Hoe gaat zo’n IT Health Scan in zijn werk?

Gert: We beginnen altijd met een intake gesprek om duidelijke afspraken te maken en een planning op te stellen. Tijdens de intake gaan we info vragen rond de architectuur van het netwerk om te weten waar we precies de scan moeten positioneren. Kan de scan in één keer gebeuren of moeten we op verschillende plaatsen langsgaan om alle info te vergaren? Enkel zo kunnen we optimaal inplannen en werken conform de verwachtingen van de klant.

We bieden standaard 3 formules aan. Baseline, Medium en Full. Bij Baseline gaan we puur de IT technologie bekijken. We overlopen de hele netwerk infrastructuur met switches, routers, firewalls,... Je kan ook zien hoe het zit met de lifecycle van je toestellen. We bepalen de hardware versie, dit traceren we naar de vendor website en daar kijken we in de database of het device end of life is. En zo kunnen we dan een volledige lijst opmaken. Het goede aan Securitas is ons ruim aanbod aan partners. We hebben hierdoor toegang tot zeer veel databases. Ook patches gaan we bekijken en gekende problemen bij bepaalde softwareversies. Soms is een simpele update van de software al een oplossing voor veel problemen.

Gaan we meer richting Medium en Full, dan gaan we ook de processen en de cloudopzet en -structuur bekijken. Bij Medium gebeurt alles nog volledig geautomatiseerd en dan gaan we bijvoorbeeld ook kijken of er op het Dark Web van een user paswoorden gekend zijn. Bij een Full assessment gaan we ook interviews doen met bepaalde IT managers en samen met hen de IT processen bekijken. Bij een Baseline of Medium scan hebben we al resultaten na ongeveer 3 uur, afhankelijk van hoe groot de omgeving is. Bij de Full assessment kan het wel enkele weken duren voor we alle info hebben. Alle security processen moeten in kaart gebracht worden. Wat zijn de vooropgestelde processen, zijn er problemen? Hoe beschermen jullie je data? Ook voor GDPR, wat is het proces bij een data breach, wie gaan jullie informeren? Is er data gestolen, wat met gegevens van een klant? Welke processen hebben jullie nu al in plaats?

Ik zou denken dat iedereen nu al wel mee is met GDPR, niet?

Oona: De meeste bedrijven zijn hier wel mee opgestart maar het is meestal nog niet 100% in orde. Er zijn dus data privacy ‘opfrissers’ nodig. DPO functies kunnen ook bijdragen tot een eventuele verzekering van je omgeving. Zonder scan is dit onmogelijk. Hoe kan je verzekeren als je de dreiging niet kent? Een IT Health Scan is eigenlijk de sleutel tot een mogelijke verzekering. Als een bedrijf de nodige voorzorgsmaatregelen genomen heeft, dan kan het eventueel wel nog een verzekering krijgen. Maar die nieuwe soort van verzekeringen zitten nog maar in een beginfase. Al kijken we bij Securitas graag altijd met één oog naar de toekomst. Elke omgeving is uniek en elke nood van de klant is anders. Dus een scan is eigenlijk altijd op maat van hun bekommernissen en van hun situatie.

Gert: Nog een simpel voorbeeld is een Share Permission Review, waarop we op de Microsoft servers gaan kijken naar de toegelaten shares. Welke users hebben toegang, is dat ok, is dat niet ok? Maar soms zijn er ook users gedefinieerd die al enkele maanden niet meer ingelogd zijn in geen enkel systeem. Die werken waarschijnlijk niet meer voor het bedrijf en die moeten dan verwijderd worden. Zo'n dingen zijn snel en makkelijk op te kuisen om incidenten te voorkomen. Maar je moet het natuurlijk weten!

Wat hebben jullie nodig voor een IT Health Scan? Wat moet de klant voorbereiden?

Gert: Er moet iemand aanwezig zijn die onze ingenieur kan binnenlaten, ons toegang tot het netwerk kan geven, toegang tot bepaalde locaties in het gebouw en ook enkele paswoorden enz. Belangrijk om weten is ook dat er tijdens de scan geen downtime is. De medewerkers merken ook niet dat er een scan aan het lopen is. Er blijft niets achter op het netwerk, er is geen traceability. We werken volledig transparant. Een IT Health Scan is puur een IT aangelegenheid. De effectieve interne gebruikers merken er niets van.

Van waar komt de dreiging meestal?

Oona: De bedreiging is heel breed maar ze komt meestal via de mensen, de processen of de technologie. Mensen, dat zijn je medewerkers, diegene die met je data in contact komen. Zijn zij zich bewust van de mogelijke gevaren? Educatie en training kan daar dus erg belangrijk zijn. En dan de processen; zijn de juiste processen in place om je data te beveiligingen. En als laatste heb je het technologische aspect. Zijn deze 3 factoren in orde? Dan sta je al zeer dicht bij een 100% secure omgeving.

De IT Health Scan geeft op een toegankelijke manier inzicht in de staat van de je IT-voorzieningen met aandacht voor de 3 grote bedreigingsniveaus: je mensen, je technologie en je processen.

Hoe veilig is jouw organisatie?

Check het met de IT Health Scan van Securitas en dan zetten we de eerste stap om samen de route te bepalen naar de optimale beveiliging van jouw IT structuur.

We zijn het als mens gewoon om het ons makkelijk te maken. We willen het beste, het snelste en het nieuwste maar dit tegen de laagst mogelijke prijs en zonder er veel tijd in te moeten steken. 10 jaar geleden kochten we enkel producten bij de lokale winkels die we konden vertrouwen via de volksmond. Nu smijten we ons op nieuwe software in een vingerknip en openen we extra accounts bij eender welk bedrijf. We klikken ja op alles omdat we gewoonweg onze tijd niet willen verspillen aan het lezen van algemene bedrijfsvoorwaarden. We delen, twitteren en sturen zonder het te weten riskante foto’s naar de Eveliens van deze wereld maar zuchten wanneer we tijd moeten vrijmaken voor een software update. Bijkomend vloeit de wereld van consumenten, organisaties en bedrijven steeds vaker door elkaar en zien we elk onderdeel evolueren in een speltempo.

Voor vele kleine microtransacties draaien we ons hand al niet meer om, maar geld spenderen aan cybersecurity lijkt ons een brug te ver. We negeren het en zien het als een ver-van-mijn-bed-show. Tot op het moment dat het fout gaat. En dan willen we natuurlijk zo snel mogelijk geholpen worden!

10 jaar aan incidenten

Het gaat hard de laatste tijd met cyberaanvallen en ook Covid-19 draagt hier een steentje bij. Maar ook nog voor ons volledige leven zich online begon af te spelen hadden we al te maken met datalekken.

2011 Sony

Het Playstation netwerk van Sony had in april 2011 te maken met een aanval die de data lekte van 77 miljoen gebruikers. Namen, wachtwoorden en emailadressen werden vrijgegeven en het netwerk lag 23 dag plat.

Sony kreeg een boete van 250,000 GBP (ongeveer 283,322 EUR) van de Britse regering en zag zich genoodzaakt om de betrokken klanten te compenseren in gratis aankopen.

2013 Adobe

Een van de bekendste namen in software gaf in oktober 2013 toe dat ze te maken hadden met een cyberaanval. 38 miljoen gebruikers zagen hun 152 miljoen bestanden te grabbel gegooid worden.

2014 Yahoo

Tot dan was dit het grootste data lek in de geschiedenis. De namen, wachtwoorden en antwoorden op beveiligingsvragen van 500 miljoen gebruikers werden gestolen.

En nog erger…Yahoo kwam pas naar buiten met dit nieuw in 2016. Ze kregen een boete van bijna 30 miljoen EUR, moesten zich verdedigen in meer dan 40 schadeclaims en hun beursaandeel verlaagde met 290 miljoen EUR.

2015 Snapchat

In 2015 kwam er een einde aan het idee dat Snapchat volledig anoniem was. Hackers zette login gegevens, telefoonnummers en de locaties van 4,6 miljoen gebruikers online. Dit was ook meteen een keerpunt in de beveiliging van apps. Waar we eerst dachten dat ze onschuldig waren, wisten we nu wel beter!

2017 Wannacry, de eerste ransomworm

‘s Werelds eerste ransomworm Wannacry richtte vernieling aan in 230,000 Windows computers verspreid over 150 landen.

2018 Facebook en Cambridge Analytica

Ook gigant Facebook zag zijn imago schade lijden. Zelf spraken ze van 50 miljoen aangetaste gebruikers maar eigenlijk waren het er meer dan 87 miljoen. We herinneren ons allemaal nog het beeld van de nerveuze Mark Zuckerberg die uitleg kwam geven in de rechtbank.

2019 Medische gegevens in Singapore

In het begin van januari 2019 lekte het rijksregisternummer, geslacht, bloedgroep, gewicht en lengte van 808,000 bloeddonoren. Januari was nog niet voorbij of nog veel pijnlijkere data werd bekend gemaakt. Namelijk het al dan niet dragen van het HIV virus voor 14,200 mensen.

2020 Picanol

En ook dichter bij huis kennen we al enkele cases. Zo was er aan het begin van vorig jaar de aanval op weefgetouwenbouwer Picanol in Ieper. De ransomware software had alle data en applicaties versleutelt, waardoor ze onbereikbaar was geworden voor de werknemers. Picanol wou niet ingaan op de eisen van de hackers en het bedrijf lag zo een week volledig plat terwijl de IT-afdeling een weekendje door deed om de volgende maandag de Ieperse vestiging weer voorzichtig op te kunnen starten.

Steeds meer vormen van ransomware

In het eerste kwartaal van 2020 is het gemiddeld betaalde bedrag voor ransomware aanvallen gestegen met 33% tegenover het vierde kwartaal van 2019. De cijfers zijn nog dramatischer als we het eerste kwartaal van 2020 vergelijken met het eerste kwartaal van 2019. Waar bedrijven in Q1 van 2019 met gemiddeld 10,300 EUR over de brug moesten komen om hun gegevens weer vrij te krijgen, was dat in Q1 van 2020 al opgelopen tot 92,396 EUR.

Dit ook mede door de opkomst van een, toen, nieuwe soort ransomware. Maze ging niet langer meer een bedrijf gijzelen, maar ze hadden hun pijlen gericht op het downloaden van data van de computers van medewerkers en dreigden dan om deze vrij te geven. Zo kwam er een shift in ook de aansprakelijkheid van de ondernemers. Waar je vroeger ‘enkel’ kostbare werkuren kwijt was, ben je nu ook verantwoordelijk voor de data en gegevens van jouw medewerkers en al jouw klanten en leveranciers.

Dan maar verzekeren?

Het is een evidentie dat je je bij steeds meer verzekeringsbedrijven kan indekken tegen data loss. De verschillende beschikbare formules stijgen elke maand en zo ook de maandelijkse bijdrage voor de polis daar er meer en meer vraag is. Maar specialisten in het vak menen nu al dat de trend van de cybersecurity verzekering tegen het plafond zit. En dit terwijl ze eigenlijk nog maar net in de startblokken staat. Door Covid-19 is het aantal cybersecurity gevallen de hoogte in gegaan maar is het beschikbare budget gedaald. Ondernemers hebben door covid nu even andere katten te geselen. Terwijl door het verhoogde aantal gevallen de verzekeringsmaatschappijen wel een hoger risico noteren voor uitbetaling. Er is dus simpelweg onvoldoende geld om dit systeem momenteel te onderhouden. Je kan je dus beginnen afvragen of we dan niet beter overschakelen naar een preventieve, predictieve aanpak in plaats van een reactieve en curatieve?

Cybersecurity nu en straks

Als 1 jaar al zo’n verschil kan maken, wat mogen we dan van de komende 10 jaar verwachten? Zullen we nog mijmerend terugdenken aan de tijd waar enkel onze emailadressen en wachtwoorden te grabbel lagen? Wat als we steeds meer wearables en sensors gaan dragen om onze gezondheid te meten? Steek je hand op als jij het niet erg zou vinden dat al jouw medische gegevens op het internet verschijnen. Hoeveel je weegt, hoe oud je bent, maar ook jouw medische familiegeschiedenis, de status van jouw cholesterol of zelfs hoe hoog de kans is dat je bepaalde ziektes zult krijgen eenmaal DNA mapping voor iedereen toegankelijk is.

Ook de opmars van de zelfrijdende wagen is er eentje om bij stil te staan. Ook die kan vanop afstand in de toekomst misschien gehackt worden. Opeens gaat het niet meer over het verlies van belangrijke data maar over jouw eigen leven dat op het spel staat. Daar zit je dan, in je Tesla op de E19 met een melding dat je meteen een grote som dient te betalen of de wagen zal zich van de weg rijden. En wat met zelfrijdende vrachtwagens? Bedrijven kunnen zo volledige transporten kwijtspelen omdat een hacker beslist om deze om te leiden naar een opslagplaats van zijn keuze. Het doet een mens even nadenken…

Wanneer doe je het goed?

Het is ons nu wel allemaal duidelijk. Cybersecurity is niet langer meer een luxe maar een absolute must. Vandaag de dag moet je zeer bewust omgaan met de risico’s die komen kijken bij al de data die we dagelijks massaal vergaren. En dit voor zowel jouw persoonlijke data, als die van jouw medewerkers, klanten en leveranciers. Een netwerk is zo sterk of zwak als de zwakste schakel en daarom is het essentieel om al die schakels in beeld te brengen en maximaal te beveiligen.

Besef dat je in deze wereld nooit 100% veiligheid kan creëren of kopen voor je organisatie. Wat je wel kan doen is je organisatie maximaal beschermen om de kans op cyberincidenten en de mogelijke impact hiervan zoveel mogelijk te beperken. Beter voorkomen dan genezen is ook in cybersecurity het motto!

Vermijd gegijzelde bedrijven, ontoegankelijke netwerken, werkloze medewerkers en vooral imago schade of zware schadeclaims wanneer criminelen via jouw servers ook aan de gevoelige data van jouw klanten geraken. Bescherm je bedrijfscontinuïteit en bedrijfsassets volledig en zonder veel gedoe – aan een vaste prijs per maand met Securitas Cybersafe

Ontdek de mogelijkheden en laat je adviseren door het Securitas Cybersafe team.

Kom meer te weten over Cybersecurity op de 10e ICT-inspiratiedag (digitaal event) op 11 maart 2021. Tijdens de verschillende break-out sessies zullen onze partners Awingu, Cranium, Darktrace en Aruba samen met ons eigen Securitas Cyber security team verschillende oplossingen en usercases voorleggen.

De coronacrisis heeft de wereld razendsnel veranderd. Voor een heel aantal organisaties blijkt het niet evident om medewerkers optimaal te laten verderwerken en een veilige manier te vinden om te communiceren met klanten. Dat heeft te maken met de digitalisatie van processen, de beschikbaarheid van de nodige data en de totale govenance errond.

Maar belangrijk is dat uw organisatie blijft draaien in deze uitzonderlijke periode! Voor elk van deze uitdagingen bestaan beproefde technologische oplossingen.

Joz Van Neygen geeft u graag enkele oplossingen mee die hij al presenteerde tijdens Securitas’ Digital Business 4.0. Hij neemt volgende vier uitdagingen onder de loep in een webcast: 

• Van documenten naar data op een veilige manier
• Cyberveiligheid en GDPR
• Data als fundering voor de toekomst
• Focus op uw kerntaken

Download hier de webcast:

Je fysieke veiligheid is het allerbelangrijkste, maar vergeet je digitale veiligheid niet.

In deze bijzondere tijden heeft de regering bijzondere maatregelen genomen om onze gezondheid maximaal te garanderen. Andere bedrijven moeten maximaal inzetten op thuiswerken. Op dit moment krijgen we het advies om zoveel mogelijk thuis te blijven en maximaal fysiek contact te vermijden buiten het gezin. Met als gevolg dat iedereen vanuit thuis enkel nog digitaal werkt, communiceert of online bestelt. Dit is een goede zaak voor je fysieke veiligheid, maar daarom nog niet voor je digitale veiligheid.

Veel meer digitale communicatie

Sinds het begin van deze crisis merken we een enorme stijging aan digitale communicatie, we worden overrompeld door e-mails met praktische en technische informatie en tips over hoe je kan telewerken, sociale media posts met gezondheidstips, blogs met informatie  over de actuele overheidsmaatregelen, … Deze informatie wordt massaal gelezen want in deze onzekere tijden hebben we extra nood aan informatie en antwoorden. Spijtig genoeg beseffen we niet altijd dat deze digitale communicaties ook gebruikt kunnen worden voor malafide doeleinden.
 

We hebben alvast een aantal echte voorbeelden verzameld hoe er ook in België al malafide communicaties gebruikt worden:

• sociale media berichten die financiële steun beloven, welke een link bevatten om maskers te kopen, … maar eigenlijk een virus installeren op je mobiel toestel.
• emails met gezondheidstips waarbij de bijlage een virus bevat. Dit virus probeert dan bankgegevens te stelen, of kan je toetsenbord volgen om je paswoorden te achterhalen.
• afbeeldingen van virus vuurhaarden waarbij gevraagd wordt om een app te installeren om up-to-date te blijven, waarbij dit dan je computer infecteert. Soms moet je zelfs niet downloaden maar gewoon op de map klikken is voldoende om toegang te krijgen tot je computer
• phishing mails : emails die lijken alsof ze van je vertrouwde leverancier komen, maar die vragen om extra informatie of handelingen (die ze vroeger niet deden, maar nu onder het mom van corona-maatregelen wel vragen). Voorbeelden zijn :
  • SMS berichten met de identiteit van de post- of telecombedrijven met de melding dat ze je iets gewonnen hebt of dat je gratis een bijkomende dienst kan gebruiken
  • Betalingsaanvragen voor een levering van een pakje
  • Extra persoonsgegevens of bankgegevens alvorens je informatie of een levering krijgt

Op zoek naar antwoorden

Onzekerheid zorgt dat we op zoek gaan naar allerhande antwoorden. Dat is heel normaal. En berichten die inspelen op ons gevoel van solidariteit willen we ook heel graag delen. Dat is hartverwarmend. We moeten echter wel beseffen dat niet elke communicatie onschuldig is. Let dus op welke berichten je reageert. Als je iets gevraagd wordt dat niet normaal is of door iemand die je niet zelf kent, wees dan extra voorzichtig.

We krijgen veel vragen van onze klanten maar ook van vrienden en kennissen over hoe ze zich digitaal het best beveiligen. Dit is niet alleen belangrijk voor particulieren maar ook voor bedrijven. Daarom zullen we jullie via deze weg blijven informeren hoe we ons allemaal digitaal het best kunnen beschermen.

Blijf veilig. En veel digitale groeten,

het Securitas ICT Solutions team