5 Essentiële Vragen om Je Cybersecurity Professional te Stellen

Bijna wekelijks horen we over een ander bedrijf of organisatie dat slachtoffer is gevallen van een cyberaanval. We weten dat cybercriminelen meer volhardend zijn en we moeten meer dijkzichtig zijn over het beschermen van informatie.

Ik denk dat in ons persoonlijke leven de meeste van ons proberen meer voorzichtig te zijn. Verdwenen (ik hoop) zijn de dagen dat we al onze persoonlijke wachtwoorden op 123456 zetten. Toch lijken we niet hetzelfde niveau van zorg in het kantoor te dragen. Aangezien onze IT-professioneel zeker een greep heeft op onze cybersecurity, hoef ik me geen zorgen te maken... toch?

Het feit is, wij als werknemers spelen een vitaal rol in het beschermen van het bedrijf waar we voor werken, en het kost slechts één verkeerde klik om een bedrijf te compromitteren. Een recent onderzoek van Willis Towers Watson vond dat 90 procent van cyberincidentclaims het resultaat is van een of andere vorm van menselijke fout of gedrag. Hier zijn vijf vragen en antwoorden om u te helpen op uw reis om uw bedrijf veiliger te maken.

1. Wat zijn de top cyberrisico's die mijn bedrijf loopt?

Een bedrijfsrisico varieert aanzienlijk gebaseerd op de unieke operationele omgeving, dus er zijn veel dingen om te evalueren en te overwegen.

Heeft u veel werknemers die e-mail gebruiken? Spear phishing zou een top risico voor u kunnen zijn. Is elk apparaat met een IP-adres op uw werkvloer beveiligd? Zo niet, kunnen kwaadaardige code, onbevoegde toegang en gebruik of data-exfiltratie top risico's zijn.

Het uitvoeren van cybersecurity risicobeoordelingen moet een kerndeel zijn van het informatiebeveiligingsmanagementprogramma van uw organisatie. Iedereen weet dat er een of ander niveau van risico betrokken is wanneer het aankomt op de kritieke en veilige data, informatie-assetts en faciliteiten van een bedrijf. Maar hoe kwantificeert en bereidt u zich voor op dit cybersecurityrisico? Het doel van een IT-beveiligingsrisicobeoordeling is om te bepalen welke beveiligingsrisico's de kritieke assetten van uw bedrijf lopen en te weten hoeveel financiering en inspanning gebruikt moet worden om ze te beschermen.

Het NIST Risk Management Framework (RMF) is een geweldige bron om te beginnen. De RMF biedt een gestructureerde, maar flexibele benadering voor het managen van het deel van risico dat voortkomt uit systemen die uw bedrijf kan controleren en zakelijke processen van uw organisatie.

2. Is het ok om een wachtwoordbeheerder te gebruiken?

Hoewel het gebruik van een wachtwoordbeheerder voor uw persoonlijke online accounts een geweldige manier is om veilig te blijven, onthoud om uw bedrijfsbeleid te controleren voordat u enige software op het werk gebruikt.

Wachtwoordbeheerders kunnen u helpen uw wachtwoorden op te slaan evenals unieke te genereren voor elke site. Echter, al uw wachtwoorden op één plek bewaren is riskant. Het is belangrijk om te begrijpen hoe uw wachtwoorden beschermd zijn en of ze versleuteld zijn. Er zijn diverse commerciële producten beschikbaar die met meerdere apparaten en browsers werken, dus doe uw onderzoek om er een te vinden die het beste aan uw behoeften voldoet.

3. Voldoet mijn bedrijf aan toonaangevende informatiebeveiligingsframeworks of standaarden en moet het dat?

Het beschermen van uw intellectuele eigendom en gevoelige klant- en werknemersinformatie kan u en uw klanten rust geven. Het is ook een goede zakelijke praktijk als u kijkt naar de financiële impact, daling in productiviteit en verlies van vertrouwen die een cyberaanval u kan kosten.

Voor bedrijven in de Department of Defense (DoD) toeleveringsketen is dergelijke bescherming een absolute must. Deze bedrijven zijn verplicht te voldoen aan de Defense Federal Acquisition Regulation Supplement (DFARS) minimum beveiligingsstandaarden of riskeren hun DoD contracten te verliezen.

Hier zijn verschillende voorbeelden van beveiligingsframeworks of standaarden die u kunnen helpen uw risico te begrijpen en te mitigeren: NIST Cybersecurity Framework, NIST SP 800-53 - Security and Privacy Controls for Information Systems and Organizations, de NIST MEP Cybersecurity Self-Assessment Handbook, en de Payment Card Industry Data Security Standard (PCI DSS). Het is makkelijk om verward te raken over welk document u moet refereren, dus hier is wat meer informatie over elk:

• Het Framework is meer hoog-niveau (en beknopter) vergeleken met NIST SP 800-53, wat een catalogus is van beveiligings- en privacycontroles. Het Framework is beter beheersbaar voor dirigenten en besluitvormers die misschien geen technische achtergrond hebben. Het focust ook op hoe beveiligingsfuncties te beoordelen en te prioriteren en refereert aan bestaande documenten zoals NIST SP 800-53, wat het beste gebruikt wordt door technisch personeel dat beveiliging zal implementeren en de meer gedetailleerde informatie kan begrijpen over welke controls te selecteren en implementeren.
• De NIST MEP Cybersecurity Self-Assessment Handbook zal uw helpen company compliant zijn met NIST SP 800-171 Security Requirements in Response to DFARS Cybersecurity Requirements. De handbook biedt een stap-voor-stap gids om de informatiesystemen van een kleine fabrikant te beoordelen tegen de beveiligingseisen in NIST SP 800-171 rev 1, "Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations."

• De Payment Card Industry Data Security Standard (PCI DSS) is een wijd geaccepteerde set beleidsregels en procedures bedoeld om de beveiliging van credit-, debit- en contantenkaarttransacties te optimaliseren. De PCI DSS werd in 2004 geschapen door Visa, MasterCard, Discover, en American Express. Het onderhouden van betalingbeveiliging is vereist voor alle bedrijven die kaarthouderdata opslaan, verwerken of verzenden. De inbreuk of diefstal van kaarthouderdata beïnvloedt het hele betalingkaart ecosysteem. Enkele voorbeelden van impact op uw bedrijf zijn verlies van klantvertrouwen, verminderde verkoop, fraudeverliezen, juridische kosten, boetes, en beëindiging van de mogelijkheid om betalingkaarten te accepteren. Het onderhouden van PCI DSS compliance is vitaal voor het langetermijnsucces van een bedrijf dat kaartbetalingen verwerkt en cyberverdediging klaar houdt tegen aanvallen gericht op het stelen van kaarthouderdata. De meeste kleine bedrijven kunnen een self-validatie tool gebruiken om hun niveau van kaarthouderdata beveiliging te beoordelen.

4. Wat is two-factor authentication en hoe schakel ik het in? Waarom zijn wachtwoorden niet goed genoeg?

Two-factor authentication (2FA) is een extra beveiligingslaag gebruikt om ervoor te zorgen dat u bent wie u zegt dat u bent. Het probleem is dat gebruikersnamen en wachtwoorden alleen makkelijk te raden zijn, en mensen dezelfde wachtwoorden voor meerdere sites gebruiken. Openbaar onthulde incidenten onthullen dat 5.518 records elke minuut gelekt worden.

2FA stopt andere mensen ervan gemakkelijk toegang te krijgen tot uw accounts. Wanneer 2FA ingeschakeld is, voert u uw gebruikersnaam en wachtwoord in op de inlogpagina. Dan, in plaats van direct toegang te krijgen, wordt u verzocht om nog een stukje informatie te verstrekken. Deze tweede factor kan een van de volgende zijn:

• Iets wat u weet – een persoonlijk identificatienummer (PIN), wachtwoordzin of antwoorden op geheime vragen.
• Iets wat u hebt – een creditcard, sleutelkaart, smartphone, hardware of software token of notificatie van de site.
• Iets wat u bent – een biometrisch patroon van een vingerafdruk, iris scan of stemafdruk.

Als u onzeker bent of uw sites of apps 2FA hebben, bezoek TwoFactorAuth.org om te ontdekken.

Zet 2FA aan voor alle accounts. Zie Telesign's stap-voor-stap instructies voor het inschakelen van 2FA: https://www.turnon2FA.com.

5. Is er een goedkeuringsproces om applicaties te kopen die ik nuttig vind voor mijn werk?

De meeste bedrijven hebben beleid over hoe software te kopen (zowel in doos/online als extern gehost in de cloud). Het is belangrijk om te weten welke applicaties u direct kunt gebruiken, en welke verder onderzoek nodig kunnen hebben om ervoor te zorgen dat ze veilig genoeg zijn voor uw gebruik en de data die daarin verwerkt en/of opgeslagen zal worden. Wet wat vereist is en werk met uw cybersecurity professional door de vereiste processen om ervoor te zorgen dat de informatie goed beveiligd zal worden.

Als u uw cybersecurityrisico beter wilt begrijpen, kunt u de MEP National Network™ Cybersecurity Self-Assessment Tool gebruiken. Als u vragen heeft of met een cybersecurity professional wilt spreken, neem contact op met uw lokale MEP National Network Center.