5 vragen om uw cyberbeveiligingsprofessional te stellen

Bijna wekelijks horen we over een ander bedrijf of andere organisatie die het slachtoffer is geworden van een cyberaanval. We weten dat cybercriminelen hardnekkiger zijn en dat we ijveriger moeten zijn in het beschermen van informatie.

Ik denk dat de meesten van ons in ons persoonlijke leven voorzichtiger proberen te zijn. Voorbij (hoop ik) zijn de dagen dat we elk van onze persoonlijke wachtwoorden instelden op 123456. Toch lijken we niet dezelfde bezorgdheid op kantoor te hebben. Aangezien onze IT-professional zeker grip heeft op onze cyberbeveiliging, hoef ik me geen zorgen te maken... toch?

Het is een feit dat wij als werknemers een cruciale rol spelen bij de bescherming van het bedrijf waarvoor we werken, en er is maar één verkeerde klik nodig om een ​​bedrijf in gevaar te brengen. Uit een recent onderzoek van Willis Towers Watson blijkt dat 90 procent van de claims voor cyberincidenten het gevolg zijn van een soort menselijke fout of menselijk gedrag. Hier zijn vijf vragen en antwoorden om u te helpen op uw reis om uw bedrijf veiliger te maken.

1. Wat zijn de grootste cyberrisico's waarmee mijn bedrijf wordt geconfronteerd?

Het risico van een bedrijf varieert aanzienlijk op basis van zijn unieke bedrijfsomgeving, dus er zijn veel dingen om te evalueren en te overwegen.

Heeft u veel medewerkers die e-mail gebruiken? Spear phishing kan een groot risico voor u zijn. Is elk apparaat met een IP-adres op uw werkvloer beveiligd? Als dat niet het geval is, kunnen kwaadaardige code, ongeautoriseerde toegang en gebruik of gegevensexfiltratie een groot risico zijn.

Het uitvoeren van risicobeoordelingen voor cyberbeveiliging moet een belangrijk onderdeel zijn van het informatiebeveiligingsbeheerprogramma van uw organisatie. Iedereen weet dat er een zeker risico is als het gaat om de kritieke en veilige gegevens, informatie-assets en -faciliteiten van een bedrijf. Maar hoe kwantificeert en bereidt u dit cyberbeveiligingsrisico voor? Het doel van een IT-beveiligingsrisicobeoordeling is om te bepalen met welke beveiligingsrisico's de kritieke bedrijfsmiddelen van uw bedrijf worden geconfronteerd en om te weten hoeveel geld en moeite moet worden besteed aan de bescherming ervan.

Het NIST Risk Management Framework (RMF) is een geweldige bron om aan de slag te gaan. De RMF biedt een gestructureerde, maar flexibele benadering voor het beheren van het deel van het risico dat voortvloeit uit de systemen die uw bedrijf kan controleren en de bedrijfsprocessen van uw organisatie.

2. Is het ok om een ​​wachtwoordbeheerder te gebruiken?

Hoewel het gebruik van een wachtwoordbeheerder voor uw persoonlijke online accounts een geweldige manier is om veilig te blijven, moet u niet vergeten om het beleid van uw bedrijf te controleren voordat u software op het werk gebruikt.

Wachtwoordbeheerders kunnen u helpen uw wachtwoorden op te slaan en u te helpen unieke wachtwoorden voor elke site te genereren. Het is echter riskant om al uw wachtwoorden op één plek te bewaren. Het is belangrijk om te begrijpen hoe uw wachtwoorden worden beschermd en of ze versleuteld zijn. Er zijn verschillende commerciële producten beschikbaar die met meerdere apparaten en browsers werken, dus doe je onderzoek om er een te vinden die het beste aan je behoeften voldoet.

3. Voldoet mijn bedrijf aan toonaangevende kaders of standaarden voor informatiebeveiliging en is dat ook nodig?

Het beschermen van uw intellectuele eigendom en gevoelige klant- en werknemersinformatie kan u en uw klanten gemoedsrust geven. Het is ook een gezonde bedrijfsvoering als je kijkt naar de financiële impact, productiviteitsdaling en verlies van vertrouwen dat een cyberaanval je kan kosten.

Voor bedrijven in de toeleveringsketen van het Ministerie van Defensie (DoD) is een dergelijke bescherming een absolute must. Deze bedrijven moeten voldoen aan de minimale beveiligingsnormen van het Defense Federal Acquisition Regulation Supplement (DFARS), anders lopen ze het risico hun DoD-contracten te verliezen.

Hier zijn verschillende voorbeelden van beveiligingskaders of -standaarden die u kunnen helpen uw risico te begrijpen en te beperken:NIST Cybersecurity Framework, NIST SP 800-53 - Security and Privacy Controls for Information Systems and Organizations, het NIST MEP Cybersecurity Self-Assessment Handbook en de Payment Card Industry Data Security Standard (PCI DSS). Het is gemakkelijk om in de war te raken over naar welk document u moet verwijzen, dus hier is wat meer informatie over elk document:

• Het Framework is hoger (en beknopter) in vergelijking met NIST SP 800-53, dat een catalogus is van beveiligings- en privacycontroles. Het Framework is beter beheersbaar voor leidinggevenden en besluitvormers die mogelijk geen technische achtergrond hebben. Het richt zich ook op het beoordelen en prioriteren van beveiligingsfuncties en verwijst naar bestaande documenten zoals NIST SP 800-53, dat het best wordt gebruikt door technisch personeel dat beveiliging zal implementeren en de meer gedetailleerde informatie kan begrijpen over welke controles moeten worden geselecteerd en geïmplementeerd.
• Het NIST MEP Cybersecurity Self-Assessment Handbook helpt uw ​​bedrijf te voldoen aan de NIST SP 800-171 beveiligingsvereisten als reactie op DFARS Cybersecurity-vereisten. Het handboek biedt een stapsgewijze handleiding voor het beoordelen van de informatiesystemen van een kleine fabrikant aan de hand van de beveiligingsvereisten in NIST SP 800-171 rev 1, "Bescherming van gecontroleerde niet-geclassificeerde informatie in niet-federale systemen en organisaties."

• De Payment Card Industry Data Security Standard (PCI DSS) is een algemeen aanvaarde reeks beleidsregels en procedures die bedoeld zijn om de veiligheid van creditcard-, debet- en pintransacties te optimaliseren. De PCI DSS werd in 2004 gecreëerd door Visa, MasterCard, Discover en American Express. Het handhaven van betalingsbeveiliging is vereist voor alle bedrijven die kaarthoudergegevens opslaan, verwerken of verzenden. De inbreuk op of diefstal van gegevens van kaarthouders heeft gevolgen voor het hele ecosysteem van betaalkaarten. Enkele voorbeelden van gevolgen voor uw bedrijf zijn verlies van klantenvertrouwen, verminderde verkoop, verliezen door fraude, juridische kosten, boetes en beëindiging van de mogelijkheid om betaalkaarten te accepteren. Het handhaven van PCI DSS-compliance is essentieel voor het succes op lange termijn van een bedrijf dat kaartbetalingen verwerkt en cyberbeveiliging voorbereidt tegen aanvallen die gericht zijn op het stelen van kaarthoudergegevens. De meeste kleine bedrijven kunnen een zelfvalidatietool gebruiken om hun niveau van gegevensbeveiliging van kaarthouders te beoordelen.

4. Wat is tweefactorauthenticatie en hoe schakel ik dit in? Waarom zijn wachtwoorden niet goed genoeg?

Twee-factor-authenticatie (2FA) is een extra beveiligingslaag die wordt gebruikt om ervoor te zorgen dat u bent wie u zegt dat u bent. Het probleem is dat alleen gebruikersnamen en wachtwoorden gemakkelijk te raden zijn en dat mensen dezelfde wachtwoorden voor meerdere sites gebruiken. Uit openbaar gemaakte incidenten blijkt dat er elke minuut 5.518 gegevens worden gelekt.

2FA voorkomt dat andere mensen gemakkelijk toegang krijgen tot uw accounts. Wanneer 2FA is ingeschakeld, voert u uw gebruikersnaam en wachtwoord in op de inlogpagina. In plaats van onmiddellijk toegang te krijgen, moet u dan nog een ander stuk informatie verstrekken. Deze tweede factor kan een van de volgende zijn:

• Iets wat je weet:een persoonlijk identificatienummer (PIN), wachtwoordzin of antwoorden op geheime vragen.
• Iets dat u heeft:een creditcard, sleutelkaart, smartphone, hardware- of softwaretoken of melding van de site.
• Iets wat je bent – ​​een biometrisch patroon van een vingerafdruk, irisscan of stemafdruk.

Als je niet zeker weet of je sites of apps 2FA hebben, ga dan naar TwoFactorAuth.org om erachter te komen.

Schakel 2FA in voor alle accounts. Zie de stapsgewijze instructies van Telesign voor het inschakelen van 2FA:https://www.turnon2FA.com.

5. Is er een goedkeuringsproces voor het kopen van applicaties die volgens mij nuttig zouden zijn voor mijn werk?

De meeste bedrijven hebben beleid voor het aanschaffen van software (boxed/online of extern gehost in de cloud). Het is belangrijk om te weten welke applicaties u direct kunt gebruiken en welke mogelijk nader moeten worden onderzocht om ervoor te zorgen dat ze veilig genoeg zijn voor uw gebruik en de gegevens die daarin worden verwerkt en/of opgeslagen. Weet wat er nodig is en werk samen met uw cyberbeveiligingsprofessional om de vereiste processen te doorlopen om ervoor te zorgen dat de informatie goed wordt beveiligd.

Als u uw cyberbeveiligingsrisico beter wilt begrijpen, kunt u het MEP National Network ^TM gebruiken Zelfbeoordelingstool voor cyberbeveiliging. Als u vragen heeft of met een cyberbeveiligingsprofessional wilt spreken, neem dan contact op met uw lokale MEP National Network Center.