NCSC en TNO maken toolkit om cybersecurityrisico's te kunnen schatten

Het Nederlandse Nationaal Cyber Security Centrum heeft samen met onderzoeksinstituut TNO een toolkit gemaakt waarmee Nederlandse bedrijven hun eigen beveiligingsrisico's kunnen schatten. In het document staan handleidingen en rekenmethodes om die schatting te maken.

De toolkit is het resultaat van een meerjarige onderzoeksagenda die het NCSC en TNO samen hebben opgezet. In 2020 hebben de organisaties al een basismodel ontwikkeld om die berekening te doen, maar die is nu ook omgezet in een 'toolkit' voor bedrijven en andere instanties. Die kunnen met dat document een schatting maken van de mate van beveiliging die ze nodig hebben voor hun organisatie.

In de handleiding wordt beschreven welke stappen bedrijven als eerste moeten zetten als ze een risicoschatting willen maken. Dat gebeurt op basis van een eerder geselecteerd risico, bijvoorbeeld het risico dat de bedrijfsvoering wordt verstoord of data wordt gestolen. Aan de hand daarvan worden bijvoorbeeld tips gegeven over het beveiligen van mogelijke initial indicators of compromise en welke gevaren daarbij om de hoek komen kijken.

Aan de hand van die gegevens geeft het model een schatting van hoe groot het risico op zo'n aanval is. Bedrijven of instanties kunnen op die manier bepalen of ze mitigerende maatregelen moeten inzetten en zo ja, welke dat zijn.

Reacties (11)

[roawser]

Toevallig net aan de slag met dit onderwerp dus snel eens bekeken. Helaas, ik vind het weer een gemiste kans voor het videoproductiebedrijf hiernaast en de producent van warmtewisselaars drie straten verder. Je wordt richting een heel risk assessment geloodst, erg kwantitatief want je hebt speciale data analytics, modeling en decision support software nodig (free trial te downloaden) en je moet al een flinke theoretische bagage hebben. Mensen die zich daar aan wagen kunnen ook wel andere resources vinden om hetzelfde doel te bereiken, dus voor wie is dit eigenlijk nuttig?

Kijk bijvoorbeeld naar "Figuur 9: Voorbeeld van een ingevuld rekenmodel in GeNie
voor het effect van een DDoS aanval" in het gelinkte document uit het artikel en vertel me dan eens hoe "Nederlandse bedrijven hun eigen beveiligingsrisico's kunnen schatten".

[Reactie gewijzigd door roawser op 23 juli 2024 01:54]

[TeleMax]

Ik heb je een +2 gegeven want ik denk dat deze bedrijven inderdaad in de kou blijven staan. Als ik het stuk van TNO & het NCSC mag quoten:

De opzet van de TNO/NCSC methode is speciaal gericht op organisaties in de vitale sector om het risico van specifieke dreigingsscenario’s voor de eigen infrastructuur te kunnen inschatten.

Volgens het Europese NIS2 directief vallen hieronder bedrijven en instellingen uit de volgende sectoren:

• Energie-distributie
• Transport
• Banken & financiele dienstverleners
• Gezondheidszorg
• Water distributie
• Digitale infrastructuur
• Digitale dienstverlening

Dit pas bij een medewerkersaantal van minimaal 250 en een omzet van 50 miljoen euro. Ik denk dat dit type instellingen wel kunnen voorzien in het absorberen van deze op het eerste gezicht zeer goede toolkit.

Ik denk dat je als kleine ondernemer je bewust moet maken van:

• de risico's die je loopt als onderneming
• de opbouw van je eigen infrastructuur
• de afhankelijkheden binnen je infrastructuur & leveranciers-netwerk
• waar je zwakke plekken zitten

Dit doe je als ondernemer ook op andere gebieden zoals HR, debiteuren, nutsbedrijven en klanten, dus ook op het gebied van je IT en beveiliging. Ondernemers moeten zich niet laten gek maken door de security-sector (waar ikzelf onderdeel van uitmaak). Je hebt geen grote zak geld of een security-tovenaar nodig om dit probleem op te lossen.

[Reactie gewijzigd door TeleMax op 23 juli 2024 01:54]

[bw_van_manen]

Voor organisaties zoals deze, met volgens het NCSC een 'lagere volwassenheid' kan het Australische Essential Eight model een goede opzet zijn. Scroll op die pagina even omlaag naar de appendix en je krijgt een mooie lijst met maatregelen die je kan nemen om je weerbaarheid te verhogen. Zo kun je als organisatie stap voor stap zaken afvinken om tot een hoger beveiligingsniveau te komen.

In een zoektocht naar betere modellen voor kleinere organisaties vond ik ook nog Ravib. Ik heb het nog niet gebruikt, maar het lijkt een gratis tool om een start te maken met een risicobeheerproces zoals beschreven in ISO. Dat zou ook een goede start kunnen zijn voor kleinere organisaties.

[roawser]

Interessant. Dat Ravib is voor mij te basaal maar het dekt de essentie en ziet er geruststellend no-nonsense jaren '00 uit, toen de meeste dingen op het internet nog intrinsieke waarde hadden.

[CAPSLOCK2000]

Helaas, ik vind het weer een gemiste kans voor het videoproductiebedrijf hiernaast en de producent van warmtewisselaars drie straten verder.

In het nieuwsartikel is een beetje weggevallen dat dit werk zich richt op de "vitale" sector en is ontwikkeld met/door/voor de banken.

Eerlijk gezegd heb ik geen ingewikkelde modellen nodig om je vertellen dat de security bij de bakker om de hoek een puinhoop is. Er zijn al een hoop documenten die zich op beginnersniveau richten op dat soort kleinere bedrijven. Iedere website met "10 tips voor PC gebruikers" bevat al een hoop verbeterpunten voor dat soort bedrijven. Zolang ze daar al moeite mee hebben heeft het imho niet veel zin om ingewikkeldere dingen te bedenken.

Je wordt richting een heel risk assessment geloodst, erg kwantitatief want je hebt speciale data analytics, modeling en decision support software nodig (free trial te downloaden) en je moet al een flinke theoretische bagage hebben. Mensen die zich daar aan wagen kunnen ook wel andere resources vinden om hetzelfde doel te bereiken, dus voor wie is dit eigenlijk nuttig?

Welke andere tools ken jij die dit doen?
Het principe (bayesian risk assesment) is inderdaad niet echt nieuw maar volgens mij is er niet heel veel software om je daar bij te helpen. Ik heb even gezocht en kan een paar tools vinden maar die zijn allemaal vrij recent gepubliceerd en vooral gericht op de wetenschap en niet op gebruik in de praktijk.
Deze principes toepassen op IT-security is een heel hot onderwerp bij onderzoekers.
TNO past daar imho prima bij, abstracte wetenschap wat meer concreet maken is een deel van wat ze daar doen. Het klopt dat je zelf een flinke bak kennis nodig zal hebben om dit toe te passen maar dit document helpt om de drempel te verlagen.

Nu ben ik toevallig vertrouwd met Bayesiaanse methodes, ken ik GeNIe en doe ik veel met security maar ik heb nooit zelf de moeite gedaan om het op deze manier uit te werken. Ik neem aan dat ze het bij TNO ook niet allemaal zelf hebben bedacht maar zich baseren op de nieuwste wetenschappelijke inzichten en ervaringen.

Voor mij is dit een werkbaar document dat mij helpt om verschillende vaardigheden die ik heb samen te brengen. Ik geloof dat ik het geluk hebt dat het toevallig netjes aansluit bij mijn kennis en achtergrond. Ik zal nog steeds een hoop moeten aanvullen maar voor mijn gevoel kom ik daar wel uit. Ik onderschat het vast, maar het fijne van Bayes is dat je met hele grove schattingen al veel kan bereiken.

Kijk bijvoorbeeld naar "Figuur 9: Voorbeeld van een ingevuld rekenmodel in GeNie
voor het effect van een DDoS aanval" in het gelinkte document uit het artikel en vertel me dan eens hoe "Nederlandse bedrijven hun eigen beveiligingsrisico's kunnen schatten".

Het is dus gericht op organisaties die bovengemiddelde beveiliging nodig hebben. Neemt niet weg dat die bedrijven er ook een stevige kluif aan zullen hebben. Helaas ken ik geen makkelijkere manieren om hetzelfde te bereiken. Het onderwerp is gewoon enorm lastig.

[CAPSLOCK2000]

Gaaf werk, mooie aanpak. Het lezen van het document was nogal een achtbaan rit met pieken en talen.

Techneuten moeten zich niet op het verkeerde been laten zetten doordat de eerste pagina's zich vooral op het abstracte proces richten. Als je oppervlakkig naar de eerst pagina's kijkt lijkt het misschien een typisch high-level management document , zo van "verzamel informatie, stel doelen en maak een planning om je doelen te bereiken", geen slecht advies maar wel een beetje erg algemeen.

Lees vooral even verder, daarna wordt het echt leuk. Zodra het document begint met het uitwerken van die rekenmoddelen in GeNIe wordt het gaaf. Niet alleen leg je vast hoe je systeem werkt en wat de bedreigingen zijn maar je krijgt ook inzicht in hoe alles samenhangt. Dat is echter heel belangrijk omdat IT-systemen niet in isolatie bestaan en er vaak geen perfecte keuzes bestaan. Verbeteringen op het ene punt kunnen risico's op een ander punt met zich meebrengen. Met deze tool kun je dat soort dingen in beeld brengen en zien wat er gebeurt als je veranderingen aanbrengt.

Het lijkt me wel geen makkelijk werk en ontzettend veel werk om dit uit te werken voor ieder stuk IT dat je hebt. Het aantal potentiele bedreigingen is haast eindeloos. Dat is uiteraard niet de schuld van die tool, in tegenstelling, de tool helpt om te laten zien hoe moeilijk het is om Security (of IT) goed te doen.

Een beetje moeilijk punt is wel dat je een hoop schattingen moet maken, zoals de kans dat iemand een bepaalde aanvalstechniek tegen je gebruikt. Informatie daarover is maar moelijk te krijgen, meestal weet je het niet eens als je wordt aangevallen en van wat er bij andere organisaties gebeurt heb je helemaal geen beeld. Voor heel algemene aanvallen (zoals phishing mails) kun je nog wel cijfers vinden, maar de kans dat een geheime dienst een 0-day inzet tegen jouw organisatie lijkt me bijzonder moeilijk in te schatten. Is dat eens per jaar of eens per 10 jaar? Dit lijkt misschien een extreem voorbeeld maar deze tool is niet gericht op kleine gebruikers maar op kritieke infrastrucuur (zoals banken) die zich daar echt zorgen over moet maken.

Gelukkig zijn Bayesian Believe Networks redelijk goed in omgaan met dit soort grove schattingen. Zelfs als de getallen er flink naast zitten kun je nog steeds effecten zien van hoe de verschillende onderdelen van het netwerk elkaar beinvloeden. Daarmee kun je antwoord geven op vragen als op welke punten je moet investeren om veel te bereiken met kleine investering, of juist waar het géén zin heeft om extra moeite te doen, of hoe een verbetering op het ene aspect negatieve gevolgen heeft voor andere aspecten.

Geen makkelijk werk maar wel heel gaaf.


PS. Bayesian wiskunde en Bayesian Believe Networks gaan helemaal om conditionele kansen.
Een gewone kans is een vraag als: "Wat is de kans dat het morgen meer 30 graden wordt?"
Een conditionel kans geeft extra informatie: "Wat is de kans dat het morgen 30 graden wordt als je weet dat het vandaag 32 graden was."

De kans dat het in NL 30 graden wordt is normaal gesproken niet zo groot. Maar als je als weet dat het vandaag 32 graden is dan is het waarschijnlijk hoogzomer en dan is de kans dat het morgen 30 graden is een stuk groter dan in de rest van het jaar.

[Reactie gewijzigd door CAPSLOCK2000 op 23 juli 2024 01:54]

[DigitalExorcist]

Goeie actie. Het is al lang tijd dat er meer aandacht komt voor veiligheid bij bedrijven en gezien de effort die de overheid hierin steekt mag er ook wel eens een échte stap gemaakt worden.

En dit is een prima stap!

[Aldy]

Kan mij niet voorstellen dat er in de hele wereld niet zoiets bestaat. Mijn eerste gedachte was dat er opnieuw een wiel werd uitgevonden en de tweede gedachte was dat de belastingbetaler voor dat opnieuw uitgevonden wiel moet betalen.

[DigitalExorcist]

Nja, 'in de wereld' zal het wel bestaan, maar dat is niet specifiek voor Nederland - en meestal als zoiets wel bestaat hangt het samen met een grote vendor die jou een bijpassende oplossing wil aansmeren.

[eheijnen]

Het is natuurlijk een begin en probeert men meer aandacht te trekken voor deze materie. Aan de andere is het zo dat dit voor de gemiddelde gebruiker meer abracadabra is dan wat anders en dat zie ik ook niet echt veranderen in de toekomst.

Zonder tussenkomst van een partij die hier verstand van heeft kun je nauwelijks verwachten dat de gebruiker zelf tot een oplossing komt waarvan hij/zij met overtuiging zal zeggen: dit is zo goed als waterdicht.

Desondanks denk ik dat het goed is dit te belichten en onder de aandacht te houden. Ransomware aanvallen, bijvoorbeeld, laten goed zien dat dit een onderdeel is wat men niet moet onderschatten.

[DigitalExorcist]

In de toekomst krijgen we NIS2, of de Nederlandse invulling daarvan - en dan zullen ook een hoop MKB-bedrijven wel móeten.