Dit is wat we doen en wat voor jouw bedrijf kunnen betekenen.
50-puntenlijst
Gedurende een dag inventariseren we de stand van zaken op het gebied van security aan de hand van een 50-puntenlijst. Aan het einde van de dag zal Jochen een presentatie houden over de uitkomst van het onderzoek. Dit onderzoek geeft ook een goede basis voor andere testen die uitgevoerd kunnen worden zoals een pentest, awareness sessie of het maken van beleid. Waar staat je organisatie op het gebied van security en privacy, en waar kan er nog een verbetering plaatsvinden?
Onderwerpen die dan aan bod komen zijn:
- Organisatie & Governance
- Gedrag & Cultuur
- Waardeketen versus Risico’s
- Verantwoordelijkheden
- Wet- en Regelgeving
- Beleid
- Detectie van een incident
- Reactie op een incident
Incident Handling & Response
Een kwetsbaarheid zit in een klein hoekje en het kan natuurlijk altijd voorkomen dat het toch misgaat. Wat doe je dan? In zeven stappen kun je van incident naar recovery en uiteindelijk response gaan. Hiervoor maken we de documentatie, stellen de plannen en procedures op en zorgen dat er getraind wordt zodat alle betrokkenen begrijpen wat er gedaan moet worden als er een incident plaatsvindt. Een IHR traject bevat daarom in ieder geval de volgende onderdelen:
- Voorbereiding: scope bepalen, inventarisatie van documenten en beleid
- Incidentregistratie: hoe doe je dit? Een prioriteit geven aan het incident.
- Notificatie: welke partijen informeren we?
- Incidenten insluiten
- Bewijsmaterialen verzamelen, analyse
- Incidenten wissen/uitroeien
- Herstel (recovery)
- Post incident acties
Pentesten en security scans
Den Ouden Informatiebeveiliging kan verschillende testen aanbieden om computersystemen, netwerken, software (zelfbouw en ingekocht), web en app te testen op kwetsbaarheden. Weten wat een pentest is? Lees dan dit blog.
Phishing mail
Er kan een phishing mailcampagne voor alle medewerkers van de organisatie worden opgezet. De mail wordt opgesteld aan de hand van de volgende criteria:
- Template (look & feel) is gelijk aan die van een legitieme mail zoals de medewerker gewend is. Dit kan vanuit de organisatie zijn of vanaf een leverancier of klant.
- De e-mail houdt bij door wie en wanneer de phishing mail is geopend. Er kan daarnaast bekeken worden welke gegevens zijn afgestaan. Dit is een stap extra waarbij je de mail voorziet van bijvoorbeeld een portaal waar de medewerker op kan inloggen.
- Resultaten kun je real-time bekijken. Er kan dus bekeken worden wat er met de mail gedaan wordt (wordt deze bijvoorbeeld doorgestuurd, geopend, weggegooid, welke data wordt er verstuurd, etc.).
- Er kan toegang gegeven worden aan je organisatie om mee te kijken op het dashboard zodat resultaten al direct zichtbaar zijn.
- Hierna wordt er dan een rapportage opgemaakt.
Mysterybezoek (Social Engineering)
Uit onderzoek blijkt dat veel security incidenten binnen de organisatie niet digitaal zijn. Vaak is het onwetendheid of onbewust gedrag van de medewerker zelf die zorgt voor een security incident. Kwaadwillende hackers maken daar graag gebruik van en leiden medewerkers om de tuin om hun slag te kunnen slaan. Dit wordt Social Engineering genoemd
We kunnen dan afspreken welke van de onderstaande mysterybezoeken we gaan uitvoeren.
De mogelijkheden:
- USB drop: er wordt een USB-stick afgeleverd bij de receptie. Deze USB-stick geeft een signaal door aan den Ouden Informatiebeveiliging wanneer deze in een computer gestoken is. De juiste reactie van de receptiemedewerker zou zijn om de USB-stick niet te gebruiken.
- Vishing – voice phishing: we gaan bellen met de service desk om te kijken of we een wachtwoord kunnen achterhalen of wijzigen. Ook zouden we met een andere afdeling kunnen bellen om te bekijken welke bedrijfsinformatie we kunnen achterhalen.
- Mystery-bezoek: tijdens dit bezoek proberen we om het pand ongeautoriseerd binnen te lopen. Tijdens het bezoek proberen we diverse dingen:
- Bijvoorbeeld een Wifi-Pineapple te plaatsen op een plaats zouden mensen hierop inloggen en we informatie kunnen onderscheppen.
- Prints meenemen van een printer.
- Een netwerkscanner plaatsen die het netwerk scant en informatie doorsluist naar een externe computer.
Geprepareerde USB-stick inpluggen in bedrijfsapparatuur waarbij wachtwoorden te achterhalen zijn.
Trainingen
Den Ouden Informatiebeveiliging biedt verschillende trainingen op het gebied van security en privacy aan.
Presentaties, lezingen en awarness sessies
Datalekken. Cybercrime. Hackers. Zo maar wat termen die dagelijks in het nieuws voorbijkomen. Hoe zit het dan nu eigenlijk? Wat is een hacker? Waarom is het publiek dus interessant voor een hacker? In een interactieve talk ga met het publiek door het landschap van cybersecurity en privacy. Ik laat zien wat mijn werk als IT Security Specialist inhoudt. In een aantal demo’s laat ik zien hoe een hacker te werk gaat, welke informatie het publiek deelt (ter plekke) en geef ik handvatten zodat het publiek direct aan de slag kan met hun eigen cyberveiligheid.