Aspecten (Computer-)Beveiliging

CIA van Security

• Vertrouwelijkheid - Confidentiality

• Integriteit / Betrouwbaarheid - Integrity

• Beschikbaarheid - Availability

• Continuïteit [login]

Fasen in het proces

• Preventief

• Detectief

• Correctief

• Repressief

Beveiligings domeinen

1. Personen (in- en extern personeel; leveranciers...)   ->   Security draait om mensen - Event | Cybersec Europe 2022 / 11 mei 2022

   • Identiteitsfraude

   • Privacy (AVG...), 2

2. Terreinen, Gebouwen en Technische Voorzieningen (Facilities: Airco, Energie, NSA / No Break

3. Werkplekken (PC's, Laptops, Smart Devices, Printers en andere randapparatuur)

   • Randapparatuur

4. Systemen (Servers (webservers, Netwerkservers onderste OSI lagen), Middleware), Mainframe, IoT) (*)

5. Netwerken (Communicatie infrastructuur, draadloos / koper / glas, Cloud, VOIP, telefonie, Netwerk-servers (Bovenste ISO/OSI-lagen: DNS, Proxy, Firewall, Load Balancer, Internet, bekabeling, ATM, Cell Relay, X.25, Leased Lines, Radiolines, CU en FO-media...)) (*)

6. Informatie

7. Applicaties (SAP, Oracle DB, Office365....)

8. Continuïteit (Business Continuity Management)

(*) Cloud Landschappen (PAas, IAas.....) - Office 365, Google Apps, Amazon....

Dreigingen -Maatregelen (matrix)

Dreigingsactoren

• Computerhackers:  vallen systemen aan met verschillend doel

• Hacktivisme of politiek getint vandalisme 

• (Bedrijfs)spionage en uitlekken van vertrouwelijke informatie.

• Bespioneren van burgers door de staten / overheden, of door grote internetbedrijven

• Sabotage.

Maatregelen

• Software

• Hardware

• Fysiek

• Menselijk en organisatie

Processen

Deze kaders zijn mijns inziens een essentieel fundament waarop het Security-framework kan worden gefundeerd. Zonder die aspecten kun je de maatregelen niet adequaat invoeren en continue borgen op een afgesproken niveau.

• ISO 9001

• ITIL

• Security Management

Standaarden

Voorbeelden

• ISO/IEC 27000-serie 

• NIST special publications 800-serie.

• BSI 100-2- tot 100-4-serie

• CSA Cloud Security Alliance  

Wetgeving

Mijn Voorkeur

Mijn persoonlijke voorkeur gaat uit naar Beleid, implementatie en naleving van Amerikaanse c.q. Duitse bedrijven. 

Die culturen  past daar beter bij, vind ik,  dan onze Nederlandse waarin alles ter discussie wordt gesteld of het nu door specialisten of andere deskundigen wordt verteld. Men is niet gehinderd door enige kennis ter zaken....en weet het altijd beter totdat...

Risico Management

• IRAM / IRAM2

• SARA A Safety Analysis Risk Assessment (SARA) is a comprehensive review of how safe conditions in the facility are, including an assessment of any workplace procedures and security measures in place.

• CRAMM (ENISA), een risicomanagementmethode die na inventarisatie van de informatie en de risico's een lijst maatregelen oplevert voor de bescherming van een digitaal informatiesysteem, met name gebruikt binnen de Engelse en Nederlandse overheid.

• SPRINT (ISF), een methode voor dataclassificatie.