Verwacht het onverwachte

Gepubliceerd op 29/09/2021 in Inspireren

“We moeten bewuster omgaan met wat we op onze netwerken gebruiken.” Dat zegt Jaya Baloo, CISO bij securityspecialist Avast Software. Ze ziet testen en leren uit het opzetten van diverse scenario’s als speerpunten van ieder securitybeleid.”

Verwacht het onverwachte

Iedere organisatie is een mogelijk doelwit voor cybercriminelen. Daarom is het voor iedere organisatie een absolute must om een cybersecuritystrategie uit te werken. Volgens Jaya Baloo steunt zo’n strategie op drie principes: awareness stimuleren, visibiliteit en security intelligence creëren en eigen bekwaamheid ontwikkelen. Die strategie vormt dan weer de basis voor concrete plannen waar de organisatie een budget aan koppelt.

“Zonder plan sta je nergens.” Jaya Baloo legt uit hoe de cybersecurity moet steunen op een strategie.

De strategie van Jaya Baloo

“Belangrijk is dat je je plannen mee laat evolueren met de context van je bedrijf”, vertelt ze. “Een driejarenplan is ideaal om voldoende ver vooruit te kijken, maar tegelijk stuur je dat plan ieder jaar toch best bij.” Jaya Baloo pleit ervoor dat op een heel pragmatische manier aan te pakken. “Ga uit van de drie belangrijkste doelstellingen van je securitystrategie en vertaal die in tien concrete stappen. Stel ieder jaar zo’n prioriteitenlijst op. Zo komen alle belangrijke thema’s aan bod.”

Bedrijven moeten zich meer bewust zijn van de plaats die ze innemen in een supply chain

Jaya Baloo, CISO bij Avast Software

author

Kijk naar de hele supply chain

Die top tien stelt een bedrijf op door verschillende elementen af te wegen: enerzijds de interne stand van zaken, zoals het maturiteitsniveau op het vlak van security bij de medewerkers of de beveiligingsgraad van het netwerk, anderzijds de context waarin het bedrijf actief is en de bedreigingen die daar de kop opsteken. En ja, uiteraard moet je je interne keuken op orde hebben. Maar tegelijk pleit Jaya Baloo er ook voor meer naar buiten te kijken.

“Bedrijven moeten zich meer bewust zijn van de plaats die ze innemen in een supply chain. Ieder bedrijf hangt af van andere partijen, die op hun beurt gelinkt zijn met weer andere bedrijven, enzovoort.” Vandaar het grote risico dat samenhangt met de aanvallen die op zo’n supply chain zijn gericht. “De bedrijfswereld is enorm afhankelijk van technologie. We moeten dus eigenlijk beter gaan nadenken over de technologie die we gebruiken.”

Volgens Jaya Baloo geldt dat trouwens niet alleen voor bedrijven, maar ook voor overheidsinstellingen en voor kritische infrastructuur in het algemeen. “IT-architectuur ziet er vandaag ongeveer overal gelijk uit. Als cybercriminelen erin slagen een kritische component van die infrastructuur aan te vallen of uit te schakelen, dan kan alles plat gaat: ook banken of elektriciteitscentrales.” Meer omzichtigheid is dus geboden. “Als bedrijf of beheerder van kritische infrastructuur zou je iedere software moeten testen voor je die op je netwerk toelaat. Maar de meeste leveranciers willen dat nog altijd niet. Dat is toch te gek?”

Bereid je voor op incidenten. Wie goed getraind is, schrikt zich niet kapot wanneer er een echte aanval plaatsvindt.

Jaya Baloo, CISO bij Avast Software

author

Losgeld? Niet betalen!

Tegelijk sluiten waakzaamheid en preventie niet alle incidenten uit. Getuige daarvan de plaag aan ransomware-aanvallen van het voorbije jaar. “Aan de slachtoffers van ransomware adviseren wij duidelijk om niet te betalen”, zegt Jaya Baloo. Nochtans lijkt de betaling van losgeld vaak de makkelijkste uitweg. “, maar dat lijkt alleen maar zo. Het losgeld is inderdaad meestal maar een fractie van wat je als bedrijf aan schade zou lijden wanneer je fabriek een hele tijd stilligt of wanneer je je data voorgoed kwijt bent. Maar kun je cybercriminelen vertrouwen?”

Volgens Jaya Baloo ziet de echte oplossing er helemaal anders uit. Ze begint lang voor er een aanval plaatsvindt: met secuur patch management, stipte updates, investeringen in de versterking en segmentatie van het netwerk en een goede back-upstrategie. “Zorg ervoor dat je je comfortabel voelt, ook voor de onzekerheid en het onbekende die je altijd boven het hoofd hangen. Dat is en blijft de basis om met de risico’s van cybersecurity om te gaan.”

Test scenario’s uit

Vanzelf gaat dat echter niet. “Je moet je medewerkers hierop voorbereiden. Wie goed getraind is, schrikt zich niet kapot wanneer er een echte aanval plaatsvindt.” De training steunt voor een groot stuk op het testen en uitproberen van allerhande scenario’s: van beschikbaarheids- en stresstesten tot een meer geavanceerd rollenspel tussen aanvals- en verdedigingsteams. “Zet zelf een deel van het netwerk uit. Zorg ervoor dat de redundante systemen werken. Kijk wat er gebeurt en leer uit de onverwachte dingen die gebeuren.” Een gouden tip die Jaya Baloo daarbij meegeeft, is in te zetten op verschillende securityteams.

“Leg niet alle druk op de schouders van één enkel team”, zegt ze. “Spreid de druk, verdeel de taken. Zo vermijd je dat teams opbranden. Zelf volgen we security de klok rond op, met teams in drie continenten.”

Versterk uw cybersecurity aanpak.

Ontdek onze oplossingen

Jaya Baloo is CISO bij Avast Software, een leverancier van beveiligingssoftware. Voorheen was ze CISO bij KPN Telecom. Forbes plaatste haar op zijn lijst met ‘100 Women Founders In Europe To Follow’

One

One is het ICT-vakblad van Proximus voor CIO’s en ICT-professionals van grote en middelgrote ondernemingen. 

Andere artikels van One