Poll

We weten allemaal dat het lastig is om software up to date te houden in een omgeving waarin uptime ed. belangrijk is. Echter begint het de afgelopen paar jaar ook steeds meer duidelijk te worden dat kwaadwillenden van dat feit misbruik gaan maken. Je beveiliging is maar zo sterk als de zwakste schakel. Het is lastig, maar ik denk dat het niet vreemd is dat wij als gebruiker van diensten eisen dat er toch wel voorzichtig omgesprongen wordt met onze gegevens. Nu ben ik al vrij lang van mening dat als ik iets op internet gooi dat die informatie publiek is of ik het nu wel of niet op een, op het oog, afgeschermde omgeving heb staan. Toch vind ik dat bedrijven eens goed moeten kijken hoe zorgvuldig ze met die informatie omgaan en of het allemaal wel beveiligd is. Alles is te kraken, maar of het ook daadwerkelijk gebeurd hangt in bijna alle gevallen af van een afweging of het risico en de tijd/moeite het waard is. Oftewel is je software up to date, zijn er goede firewalls/security checks etc. etc. of loop je maanden achter en draai je nog versies waar allerlei lekken in zitten.

Beveiliging van informatie zal alleen nog maar belangrijker gaan worden in de toekomst. Ik denk ook dat er ook richtlijnen/controles zullen komen waaraan bepaalde bedrijven moeten voldoen, meer nog dan dat er nu al zijn. Iig hoop ik altijd bij dit soort berichten dat het bedrijf in kwestie eens goed kijkt naar hun beveiliging voor al hun diensten (intern & extern) en hopelijk dat andere bedrijven zichzelf ook eens achter de oren krabben en zelf ook eens gaan kijken of zij niet de volgende kunnen zijn.

Nu het zoveelste kalf verdronken is, zouden we misschien eens kunnen nadenken over hoe we deze put kunnen dempen.

Iedereen weet zo langzamerhand wel dat een van de dingen die je als sever beheerder moet doen is je software op tijd van updates en patches voorzien. Doen we met z'n allen liever niet, want de praktijk leert dat *iedere* patch het risico met zich meebrengt dat er neveneffecten optreden die tot storing leiden en die dan weer tijd kosten om op te losen (tijd die we eigenlijk niet hebben) en dus geld (waar natuurlijk niet voor gebudgetteerd is).

Idealitier wordt voor allebij gebudgetteerd., maar dat stuit vaak op problemen bij het management, dat immers meestal wel kan scoren met beheersing van operationele kosten, maar vaak niet zo gemakkelijk met verbetering van MTBF o.i.d..

Zou het daarom misschien een idee zijn om een verplichte "APK" in te stellen voor servers die aan het web gekoppeld zijn en waarop ofwel persoonsdata opgeslagen is, dan wel die dienen als tussenstation naar een database server waar dat soort gegevens wel op staan?

Die APK zou dan summiere veiligheidsaudit kunnen omvatten (op specifieke, vooraf vastgestelde aspecten; en dat kan grotendeels automatisch) waarin naast de actuele patchtoestand ook b.v. de patchlogs in beschouwing genomen worden. Een bedrijf zou dan een boete kunnen krijgen als de veiligheidsaudit lacunes laat zien in het aanbrengen van patches.

Op zo'n manier zou je de kosten van het niet up-to-date houden van kritieke servers zichtbaaar kunnen maken, en de verantwoordlijkheid voor budgettering voor veiligheid daar leggen waar die thuishoort: bij het management (en niet bij de systeembeheerders).

Nadeel is wel dat je fors wat extra overhead kosten introduceert, zeker als je het NL-breed invoert. Hoe denkt men daarover? Zou zo'n "APK voor servers" zijn geld waard zijn?