Welke onderwerpen mogen niet ontbreken op de komende Meet-up Privacy & Security?

Op zaterdag 19 november vindt weer een Tweakers Meet-up plaats. In Theater Gooiland in Hilversum duiken we van 09.30 tot 18.00 uur de diepte in met het thema Privacy & Security. Over de dag verspreid kun je meer dan tien verschillende sessies bijwonen.

Ook dit jaar mag een meet-up omtrent Privacy & Security niet ontbreken. Dit onderwerp raakt ons elk jaar meer en meer, in professioneel verband maar ook privé. Daarom blijft het enorm belangrijk om op de hoogte te blijven van de nieuwste trends en ontwikkelingen.

We zijn volop bezig om het programma rond te breien en kunnen er alvast wat van onthullen. Laura Pavias van het Team Digitale Opsporing bij de Nationale Politie vertelt op de meet-up over de afweging tussen privacy- en opsporingsbelangen. Daarnaast geeft Inge Bryan van Fox-IT een deep dive over cybersecurity in tijden van letterlijke oorlog.

Nog niet alle onderwerpen die op de meet-up aan bod komen, staan al vast. We hebben ruimte op het programma en zijn erg benieuwd naar onderwerpen waar jullie in zijn geïnteresseerd. Heb je interesse in een bepaald onderwerp? Laat het ons dan weten in de reacties onder dit bericht.

Wellicht ken je een goede spreker of een bedrijf dat interessante dingen doet rond dit onderwerp. Ook dat horen we graag van je; daarvoor kun je het formulier achter de rode knop hieronder gebruiken.

Communityleden op het podium

Bij de Meet-up Smarthome hadden we als primeur dat twee communityleden op de podia stonden. Dit beviel zo goed dat we dit vaker gaan doen op onze meet-ups. Ben jij een expert op het gebied van privacy & security? Is er een onderwerp waar je gepassioneerd en inhoudelijk over kunt vertellen? Laat dit aan ons weten via het formulier achter de rode knop, waarna we samen kunnen kijken wat er mogelijk is. Ter ondersteuning is een sprekerscoach beschikbaar.

We gebruiken een Google-formulier omdat dit een prettige manier is om alle informatie te verzamelen. De data die we vanuit de ingevulde Google-formulieren verzamelen, gebruiken we uitsluitend voor het programma van deze meet-up. De gegevens zijn alleen toegankelijk voor degene die dit formulier heeft aangemaakt, Tweakers in dit geval. De data in G Suite wordt gehost bij Google, maar wel specifiek in Europa.

Wil je er graag bij zijn? Koop dan nu alvast je kaartje. Voor 20 euro ben je een dag onder de pannen en krijg je ook twee drankjes. Het evenement vindt fysiek plaats en zal niet worden opgenomen of gestreamd. Ben je abonnee? Profiteer dan van 25 procent korting, via de link in het forum.

In het kort

Locatie: Theater Gooiland in Hilversum
Datum: zaterdag 19 november 2022
Tijden: 09.30 - 18.00 uur
Prijs: 20 euro, inclusief twee consumptiemuntjes

Reacties (38)

[DigitalExorcist]

NIS2…

[Alxndr]

Een factsheet met 10 punten hoe je je als prive persoon jezelf zo makkelijk en goed mogelijk beschermd en wat voor gemak je daarvoor in moet leveren.

bijvoorbeeld:
- het nut/noodzaak van een VPN
- hoe goed werken plugins/add-ons zoals bv uBlock Origin
- (hoe) kun je je tegen tracking beschermen (als je cookies van derden weigert/automatisch verwijderd via browserinstellingen, heeft het dan zien om alles in de cookie pop-up uit te zetten of is dat dubbel/zinloos)
- welke diensten kun je/zou je moeten gebruiken zonder abonnement/account (bv Nvidia die wil dat je inlogt voor driver updates, slimme meters waar je een abonnement voor af moet sluiten om uit te lezen op afstand, nest deurbellen die over internet gaan)
- het nut/noodzaak van virtuele creditcards/telefoonnummer/extra emailadressen en wanneer moet je juist wel je echte informatie gebruiken?
- de beste manier om met passwords om te gaan (wel of niet regelmatig wijzigen en/of een vault gebruiken)
- een overzicht van de veiligste/privacy vriendelijkste optie voor de meest gebruikte apps/programmas (bv wat is veiliger/beter Signal/Telegram/whatsapp of Google Docs vs Office 365, of Gmail vs Hotmail vs protonmail)

[Reactie gewijzigd door Alxndr op 23 juli 2024 08:17]

[xleeuwx]

een factsheet is leuk, maar een meetup is er voor om te bespreken waarom je dat zou moeten doen en daar ook echt op in gaat en voorbeelden bij geeft ipv een factsheet die verteld dat je het moet doen om x.

Een factsheet is dus kort en bondig en meetup zou diepte informatie moeten geven.

[Alxndr]

Snap ik, beetje verkeerd uitgedrukt van mij, maar ik bedoel dus (achtergrond informatie bij) deze onderwerpen en uiteindelijk op een factsheet zodat het makkelijk te delen is voor degenen die er niet bij kunnen/willen zijn.

Ik heb een factsheet in m'n hoofd omdat iedereen familie/vrienden heeft voor wie online privacy en veiligheid te complex en te oninteressant is, ook al zijn ze zich steeds bewuster van de risico's. Ik denk dat veel mensen bereid er wat aan te doen als ze niet door de bomen het bos niet meer zien.

Zelfs ik als halve nerd die het wel interessant vind heb er moeite mee, bijvoorbeeld hoe extra add-ons/antivirus elkaar juist in de weg kunnen zitten ipv versterken.

[xleeuwx]

Voor de factsheet zou voor Tweakers niet verkeerd zijn om zoiets misschien een keer te maken of een artikel reeks op los te laten.

En de punten zouden idd als onderwerpen op de Meetup kunnen bestaan.

Maar vind een meetup niet voor de doelgroep die je niet moet uitleggen dat je een pc aanzet op de computer en niet op de monitor... maar meer voor de nerd die buiten zijn interesse in IT ook interesse in security heeft.

[Alxndr]

Maar vind een meetup niet voor de doelgroep die je niet moet uitleggen dat je een pc aanzet op de computer en niet op de monitor

Nee tuurlijk niet, en het onderwerp is misschien niet heel er diepgaand, maar gebeurt er niet zoveel op dit gebied dat er zelfs voor de gemiddelde Tweaker nog veel te leren valt? Aan de andere kant, de Tweakers die naar een Privacy & Security meet-up gaan hebben natuurlijk waarschijnlijk al wel een bovengemiddelde kennis/interesse van dit onderwerp. Anyway, just my 2 cents

[corset]

Noodzaak van vpn.. Daar ga je al fout. Als je wil dat je data in Amerika komt te liggen moet je dat vooral doen.

Daarom had ik in mijn reactie die ook al genoemd. Die sprookjes moeten echt een keer de wereld uit.

[Alxndr]

Fout? Echt niet, ik zit 100% goed en het is noodzakelijk om geo-restricties te omzeilen. Zonder VPN zou ik niet kunnen werken.

Maar een goed onderwerp dus, want een claim zonder onderbouwing zoals die jij nu maakt wil ik graag verduidelijkt hebben. Stellen dat je data zomaar direct en altijd in de VS terecht komt als je een VPN gebruikt klinkt mij net zo onwaarschijnlijk als de vele andere claims die gemaakt worden.

[corset]

Aangezien NordVPN zijn voorwaarden al veranderd heeft in "We tracken nooit" naar "We tracken alleen met een eis van justitie" zegt al genoeg.

Voor werk? VPN is ideaal (En is vaak een totaal andere VPN dan consumer grade.. een bedrijf gaat echt geen Nord/Atlas gebruiken )
Voor thuis? Je bent echt niet zo "Ontrackbaar" als mensen denken. En je data is niet opeens onaantastbaar.

Dat is meer wat ik bedoel, de hele obsessie van (onder andere) youtubers met hun sponsored NordVPN/Atlas VPN heeft de gehele discussie niks goeds gedaan. Want immers, wat youtubers zeggen is de weg, de waarheid en het licht voor de gemiddelde consument en IT'er. (ik ken genoeg systeem beheerders die serieus denken dat VPN je untrackable maakt op het internet, en daarom lekker Dropbox en andere amerikaanse data diensten gebruiken)

[Reactie gewijzigd door corset op 23 juli 2024 08:17]

[Alxndr]

En dat is dus idd precies wat ik bedoel, diepgang over het onderwerp; wat zijn de verschillen voor prive en zakelijk gebruik, welke claims zijn (gedeeltelijk) waar, wat is het praktisch nut en wat zijn de risico's (zoals schijnveiligheid).

Dat met een eis van justitie/gerechtelijk bevel of wat dan ook ze wel bepaalde informatie op kunnen vragen is natuurlijk compleet terecht, dat is hoe een rechtstaat werkt. Op het punt dat een rechter dat goedkeurt, is het ook maar een kleine stap om je hardware binnen te (mogen) dringen en spyware/keyloggers etc te installeren. Ook iets waar niets mis mee is, zolang de rechtstaat funtioneert (maar laten we alsjeblieft niet die discussie gaan voeren).

Je zou ook nog verder de praktische diepte in kunnen duiken, op welke manier kan VPN je wel helpen meer/betere veiligheid en privacy te krijgen als je het maar beter gebruikt/combineert met andere technieken ofzo.

[corset]

een goed voorbeeld imo is

https://www.youtube.com/watch?v=WVDQEoe6ZWY

de sprookjesboeken die er worden geschreven over consumer grade VPN is gewoon schandalig. En hier op Tweakers zie je ook dat mensen er vol intrappen. "VPN is geweldig! Ze zouden nooooit mijn data doorgeven" etc etc. Terwijl de realiteit totaal anders is.
Dat was ook mijn suggestie in mijn reactie, meer focus op "Wat is waar" en "Wat is onzin".

Helaas zullen er weinig mensen luisteren want "Dream/Pewdiepie zeggen dat het goed is, dus is het goed!"

[Alxndr]

Ah Tom Scott, mijn favoriete Youtuber, mede dankzij dit soort videos!

Maar juist vanwege die sprookjes lijkt me dit een nuttig onderwerp om mensen duidelijkere/volledigere info te geven waardoor je familie en vrienden beter kunnen informeren/corrigeren.

Je zou toch hopen dat mensen ondertussen geleerd hebben dat alles om geld draait en dat reclame per definitie opgeklopte BS is, maar helaas.

Een moment dat we altijd bij zal blijven uit mijn eerste opleiding is dat als bijvoorbeeld rimpelcreme's en shampoo dat zouden doen wat ze pretenderen te doen (met al die animaties), het medicijnen zouden zijn die enkel in de apotheek verkocht zouden mogen worden.

[SunnieNL]

Misschien wil ik volgend jaar of het jaar erop wel een keertje komen babbelen op het podium. Vind het nu net iets te vroeg voor mijzelf (en te weinig voorbereidingstijd om de boel goed op te bouwen).

[Alxndr]

nu ben ik nieuwsgierig; welk onderwerp zou je het dan over hebben?

[SunnieNL]

zero trust, security operations (beetje breed maar kan ik wel indammen ), hoe de wereld van endpoint/workspace management verschuift naar de combi security en digital employee experience (DEX) met self-healing.

Ik kan meerdere kanten op gaan.
Maar als ik spreek op een event dan neemt dat al snel 2 maanden voorbereidingstijd in de avonden in. Heb de dingen niet zo op de plank liggen en wat er ligt is specifiek voor een bepaald event gemaakt.

[Reactie gewijzigd door SunnieNL op 23 juli 2024 08:17]

[5V1NA70G]

En dan een privacy expert als counterpart die de privacy valkuilen behandelt bij bv digital employee monitoring experience en AI identity-based SIEM.

[Orangelights23]

Zero trust, kwantitatieve risicomanagement (ik heb nog geen bedrijf gevonden die dit goed kan), NIS2, vendor management en IoT-bescherming zijn vragen die ik heeeeel veel krijgin mijn rol als security consultant in Europa.

[J_van_Ekris]

kwantitatieve risicomanagement (ik heb nog geen bedrijf gevonden die dit goed kan)

Mijn werkgever is gespecialiseerd in kwantatieve beschikbaarheids-, betrouwbaarheids- en veiligheids-analyses van complexe (infrastructuur) objecten. Voor ons is (gebrek aan) security een van de vele bedreigingen op die onderdelen, en we zijn dus op zoek gegaan naar methodes voor kwanitatieve security analyses. Immers, als je zaken kunt kwantificeren (eventueel met een bandbreedte), dan kun je ze onderling gaan afwegen en kun je zien waar extra Euro's het meeste netto effect hebben.

Goede nieuws is dat er al tooling is (zie https://www.isograph.com/software/attacktree/) en dat die vrijwel identiek is aan tooling die zeer gangbaar is voor RAMS analyses. Nadeel is dat er geen methodes zijn om het model te maken en met name om kansen/risico's af te schatten. In vooronderzoek door de TU Twente bleek ook dat er nog niets significants in die richting was. In samenwerking met de TU Twente hebben we partners gezocht en verscheidene onderzoeksvoorstellen ingediend, maar die zijn helaas bij subsidieverstrekkers gestrand. Dus het is wat onontgonnen gebied vrees ik.

[Orangelights23]

Het is inderdaad iets wat veel gevraagd is, maar waar een standaard voor ontbreekt. De kosten voor een asset kan je berekenen, maar hoeveel meer is mijn laptop waard als ik lokaal (tegen het beleid om) confidentiële data heb? Of hoeveel is een infra waard dat is uitbesteed en de derde partij geen inzicht geeft in hoe zij het beheren?

Als we dan naar kans en impact kijken, is dat iets wat subjectief is en vaak op basis van goede moed bedacht wordt. Ik stuur nu een team van data scientists aan om dmv verschillende wiskundige modellen een kansberekeningstandaard te ontwikkelen. Dit is een project wat al een jaar loopt en waar slimme mensen op zitten. Super lastige materie, maar super interessant. Zonder deze basis te hebben, ondanks dat het moeilijk op te stellen is, laat wel zien waarom je welke controls moet implementeren. Ik als CISO word heel blij als duidelijk wordt dat een bepaald risico per jaar 30k kost en een control om dat binnen risk appetite te verkrijgen maar 3k.

[J_van_Ekris]

Als we dan naar kans en impact kijken, is dat iets wat subjectief is en vaak op basis van goede moed bedacht wordt. Ik stuur nu een team van data scientists aan om dmv verschillende wiskundige modellen een kansberekeningstandaard te ontwikkelen.

Klinkt mega-interessant! Onze aanpak ging uit van een Baysiaanse aanpak: op basis van een parametermodel een expertgroep simuleren die een inschatting doen van de kans. Dit is een aanpak die ik samen met een consortium heb ontwikkeld om betrouwbaarheid van software te kwantificeren (de TOPAAS methode die binnen Rijkswaterstaat gebruikt wordt).

[SunnieNL]

Kwantitatieve risicomanagement/analyse.. niet een van de makkelijkste dingen inderdaad. Heeft mij wat dagen aan lezen en doen gekost om dat een beetje door te krijgen voor mijn CISSP examen.

Wel goed onderwerp inderdaad. Het heeft mij een aantal dagen gekost om dit te doorgronden voor mijn CISSP examen. Maar mogelijk weer te diep/droog voor een event van Tweakers.

[Orangelights23]

Hoe CISSP het behandelt is verre van de kwaliteit waar ik naar op zoek ben. CISSP zie ik als eerste klas HBO, waar een echt goed kwantitatief riskmanagement programma WO+ is. Rete moeilijk, maar dit is de basis om je security op te baseren. En daarom juist heel interessant en leerzaam.

[SunnieNL]

CISSP behandelt het inderdaad oppervlakkig, maar ook weer niet zo oppervlakkig dat je alleen hoeft te weten hoe het werkt. De berekening en de gedachten erachter moet je wel begrijpen, incl. de fomules. Het rete moeilijke is het inschatten van hoe vatbaar je bent voor een risico en welke risico's er allemaal zijn.

Maar ik wilde er wel meer van weten en ben er daarom wel dieper ingedoken.
(ook omdat het bedrijf waar ik voor werk een GRC-management tool heeft en ik gewoon wil weten hoe het werkt en hoe je het moet doen).

Ben wel benieuwd hoeveel bedrijven dit sowieso echt goed doen. Hoeveel bedrijven in groningen houden er rekening mee dat een aardbeving het datacenter lam legt of dat bij bedrijven in zeeland de kans op een overstroming hoger is?

[J_van_Ekris]

Hoeveel bedrijven in groningen houden er rekening mee dat een aardbeving het datacenter lam legt of dat bij bedrijven in zeeland de kans op een overstroming hoger is?

Dat is het makkelijke deel, daar is (soms erg beperkte) statistiek van. Zeker met lokatiegebonden risico's is al decennia ervaring omdat de industrie dat ook al wilde weten. Overstromingsrisico's worden bijvoorbeeld zelfs landelijk gepubliceerd per dijkring. Dus daarmee kom je een eind.

Kans dat men een succesvolle Ransomware of DOS attack op je systemen uitvoert daarintegen zijn wat lastiger.

[Reactie gewijzigd door J_van_Ekris op 23 juli 2024 08:17]

[SunnieNL]

Ook van dat laatste worden steeds meer cijfers gepubliceerd op basis van hoe vaak het gebeurd in bepaalde omgevingen. Het valt en staat echter met het rapporteren ervan. Dus je moet het doen met rapportages die er zijn die meestal uit enquetes onder bedrijven komen.
Het zou zo kunnen helpen als het cybersecurity centrum dit op zich zou nemen om (anoniem) de info op te pakken en geanonimiseerd te publiceren.

Wij doen bij verkoop nu vaak of een gratis patchscan in de omgeving (dan is in 1 minuut zichtbaar hoe ze nu patchen en of er bekende gaten zijn) of een prioriseringsslag op hun vulnerability data (of een gratis vulscan bij de grotere prospects) om aan te tonen hoeveel we vinden en hoe hoog de prio is. Op basis daarvan kunnen we dan een schatting doen wat het risico nu is (omdat we weten welke vulnaribilities de afgelopen 24 uur/week/maand/3 maanden het meest gebruikt zijn in aanvallen) en wat de kosten zijn als er wat gebeurd.

Maar het is zeker niet makkelijk om dit te doen. De vraag "wat kost het als jullie 1 dag geen productie kunnen draaien en daarna alles weer moeten opstarten" kan vaak niet eens beantwoord worden omdat daar gewoon nog nooit over nagedacht is.

[Reactie gewijzigd door SunnieNL op 23 juli 2024 08:17]

[HeepH]

Ja! Kwantitatief risicomanagement! Misschien met een link naar FAIR?

[corset]

1.) Privacy online tov VPN. Hoe vaak ik nu hoor van mensen (en helaas ook zelf benoemde IT experts) dat VPN je 100% veilig maakt, en dat niemand je meer wat kan doen.

2.) Wat kan je doen om jezelf online zo goed mogelijk te beschermen? Dingen als locally stored password managers tov cloud versies. Google/Facebook/etc vermijden? Wat zijn goede alternatieven? Hoe kan je zo min mogelijk afhankelijk zijn van Amerikaanse bedrijven?

[SunnieNL]

Hunters laat zien dat dat van de vpn niet helemaal waar is. Zeker niet als je eerst naar je eigen mailbox gaat met de vpn aan, omdat die mailbox niet anoniem is. Daarna linken ze zo alles aan elkaar door als ze eenmaal de link tussen vpn ip en ID gelegd hebben.

[joost00719]

Introductie wat "self sovereign identity" is en hoe het werkt

[Reactie gewijzigd door joost00719 op 23 juli 2024 08:17]

[Darkangle]

Data harvesting middels fingerprint gekoppeld aan al je vr data/telemetrie/mics door meta en bytedance.

[hooibergje]

Ik hoor de laatste tijd van alles over een quantumnetwerk, en quantum keys.
Een praatje daarover zou interessant zijn. Ik kan me er namelijk niet zo veel bij voorstellen.

[the_leonater]

Het wil wel wat zeggen dat jullie als Tweakers onze input en hulp vragen op deze nogal korte termijn.
Als persoon die werkzaam is geweest in de media wil dat meestal zeggen dat jullie als redactie misschien niet de juiste personen in dienst hebben en inmiddels over zijn gegaan op plan B of zelfs C om maar tot goede onderwerpen en/of gasten te komen omdat je je aan kunt melden als gast, mocht je enige goede kennis hebt van deze zaken.

Niks mis mee uiteraard, maar als trouwe Tweaker: benoem dit dan gewoon voortaan op een goede manier.
Ik denk dat wij als Tweakers niet te beroerd zijn om jullie te helpen en transparantie zeer erg waarderen.

Het is ten slotte een dag voor ons als Tweakers, dat lijkt mij al motivatie genoeg om mee te denken en/of te brainstormen.

[Yzord]

Worstenbroodjes!!